Assurer la sécurité physique : le rôle critique de la cybersécurité pour la tranquillité d'esprit

L'ère des appareils connectés promet beaucoup de choses : en combinant des données numériques provenant de systèmes analogiques auparavant non connectés, nous pouvons fournir de nouveaux insights et innovations pour améliorer l'efficacité et la sécurité dans nos foyers et lieux de travail. La première règle de l'innovation, cependant, doit être de « ne pas nuire », ce qui dans le cas de l'Internet des objets (IoT) signifie mettre les bases de la cybersécurité en premier.

L'élan change rapidement dans les domaines de la vidéosurveillance et de la sécurité physique. Bien que le chemin vers le cloud ait été plus lent que dans d'autres secteurs, les caméras CCTV, le contrôle d'accès et les systèmes audio deviennent de plus en plus connectés au réseau, et sont donc intégrés dans les réseaux et processus IT pour fournir une protection physique plus intelligente.

Mais ce passage au cloud crée aussi de nombreuses opportunités commerciales. Les données vidéo en temps réel provenant de caméras connectées au réseau, par exemple, peuvent être combinées avec des informations d'autres systèmes pour développer de nouvelles sources de valeur métier via l'analytique cloud.

Cela se voit dans les magasins de détail, qui déploient couramment des caméras de surveillance réseau pour prévenir ou identifier les voleurs à l'étalage. Connecter ces mêmes caméras à une suite d'analytique cloud peut également donner aux gestionnaires de magasin la capacité de détecter automatiquement l'accumulation de files d'attente et de générer des alertes, ou d'obtenir une meilleure compréhension du flux de trafic dans un magasin.

Le risque omniprésent des systèmes connectés

Mais si les entreprises se méfient des caméras connectées, elles ont de bonnes raisons. La plus grande attaque par déni de service distribué (DDoS) au monde, qui a désactivé de nombreuses applications Internet populaires telles que Dropbox, Netflix, Uber et plus encore à la fin 2016, a été lancée en partie à partir de centaines de milliers de caméras de surveillance réseau compromises. Le malware Mirai qui a dirigé l'attaque a pris le contrôle des appareils en réseau en testant des combinaisons courantes de nom d'utilisateur et mot de passe par défaut, telles que admin:admin.

Deux ans et demi après ces incidents majeurs, il reste que trop de produits de sécurité physique de qualité professionnelle sont vendus avec peu ou pas de considération pour les meilleures pratiques de cybersécurité, et échouent encore aux tests de supervision de base tels que les identifiants par défaut. L'accent reste mis sur la rapidité de mise sur le marché et la réduction des coûts. Il n'y a pas assez d'attention portée au contrôle qualité, au développement de produits « sécurisés par conception » et aux processus efficaces de support post-vente avec mises à jour de firmware et contrôle des actifs.

Cela sape crítiquement le potentiel de ces appareils à livrer. Si la promesse de l'IoT dans la sécurité physique est celle d'un monde meilleur et plus sûr, elle ne peut être réalisée si l'équipement est susceptible d'introduire de nouvelles vulnérabilités dans le réseau d'un client.

Les OEM doivent faire beaucoup d'efforts pour garantir que les appareils sont adaptés à leur purpose et peuvent être confiés pour l'innovation. Cela nécessite un investissement dans les compétences et les processus en interne, et une communication claire et une transparence tout au long de la chaîne d'approvisionnement. Chaque composant répond-il aux normes rigoureuses qu'un client a le droit d'attendre ?

Tout aussi important, cependant, est l'investissement qui doit être fait dans l'éducation de l'utilisateur final. Le marché est très sensible au prix, et les clients ont besoin de conseils clairs pour comprendre les risques impliqués lors de l'achat d'équipements auprès de vendeurs inconnus qui ne sont pas configurés correctement.

Et au-delà, la sensibilisation doit être étendue au-delà du département IT. Tout le monde dans une organisation doit comprendre l'importance des processus d'approvisionnement corrects, car la baisse des coûts et la simplicité d'utilisation des appareils IoT modernes les rend difficiles à contrôler. Un DSI peut avoir la meilleure stratégie en place, mais si un gestionnaire d'entreprise achète de l'équipement sur une carte de crédit et l'ajoute au réseau d'entreprise, qui est responsable de garantir que les produits sont sûrs ?

Les réglementations ont accru la sensibilisation

Cela dit, les entreprises deviennent plus conscientes des risques de cybersécurité que présentent les appareils connectés au réseau, et 2018 a vu de nombreux changements réglementaires pour contrer les menaces. Le Règlement général sur la protection des données (RGPD) a commencé à être appliqué, tout comme la Directive sur la sécurité des réseaux et des systèmes d'information (Directive NIS).

Les deux directives imposent les mêmes pénalités financières substantielles pour non-conformité. De grosses amendes monétaires ont le potentiel de paralyser les entreprises, il est donc impératif que les entreprises concernées fassent preuve de diligence raisonnable pour répondre à leurs exigences.

Nous avons déjà vu des amendes RGPD imposées au Royaume-Uni et dans l'UE liées au déploiement de systèmes CCTV. Il a été récemment rapporté que des pirates au Royaume-Uni ont pénétré dans les systèmes CCTV d'écoles et ont diffusé en direct des images d'élèves sur Internet. On comprend que cela ait généré beaucoup de publicité négative ; après tout, nous envoyons nos enfants à l'école avec l'attente qu'ils seront en sécurité, et les systèmes de sécurité sont là pour les protéger plutôt que les mettre en danger.

Sélectionner les bons partenaires technologiques est crucial

Dans notre paysage de sécurité convergent, sélectionner le bon partenaire technologique n'a jamais été aussi important. Les praticiens de la sécurité doivent reconnaître que la cybersécurité n'est pas seulement un problème IT et comprendre les risques de cybersécurité associés à une entreprise liés au déploiement de systèmes de sécurité physiques et électroniques. Bien que la numérisation de la sécurité physique soit un espace tremendement excitant en ce moment, pour qu'elle continue, en tant qu'industrie, nous devons mieux aborder la question de la cybersécurité, et bientôt.