Sécurisez vos appareils intelligents : meilleures pratiques pour la sécurité IoT

Dans cet article, nous utiliserons le terme « Internet des objets » ou « IoT » comme terme fourre-tout pour décrire les appareils intelligents interconnectés, la communication machine-à-machine (M2M) et les technologies logicielles/matérielles associées.

Les insights de données et le potentiel d'automatisation fournis par les technologies Internet des objets (IoT) ont créé de grandes opportunités d'amélioration des processus et d'autres révolutions dans la façon dont les entreprises opèrent. La popularité de ces appareils augmente considérablement — Le marché mondial de l'IoT est estimé à 22 milliards d'appareils activement connectés pour différentes industries IoT dans le monde d'ici 2025.

Comme pour toute nouvelle technologie, l'Internet des objets n'est pas sans inconvénients en matière de cybersécurité. Toute entreprise cherchant à mettre en œuvre des appareils IoT doit le faire avec la cybersécurité comme préoccupation prédominante si elle souhaite garder ses appareils, systèmes et données en sécurité.

Comment l'IoT peut-il aider les entreprises ?

Les technologies sous l'égide de l'IoT peuvent faire des merveilles pour les entreprises dans une variété de secteurs, bien qu'un impact significatif ait été démontré avec son utilisation dans les entreprises industrielles.

Les appareils IoT, avec d'autres technologies en développement rapide telles que l'impression 3D, l'intelligence artificielle, l'informatique quantique et les avancées dans le stockage d'énergie, ont déclenché une révolution sans précédent dans les capacités des entreprises industrielles, menant à ce qui devient connu sous le nom de Quatrième Révolution Industrielle.

Les appareils IoT permettent aux entreprises industrielles de :

• Contrôler et surveiller à distance leurs chaînes d'approvisionnement
• Combiner les capteurs IoT avec la technologie existante pour aider à la prédiction et à la mise en œuvre de la maintenance préventive en surveillant les signes d'usure et en mettant en œuvre la solution nécessaire.
• Faire fonctionner leurs processus de manière plus économe en énergie grâce aux données énergétiques en temps réel

Pour les entreprises dans d'autres secteurs, les appareils IoT peuvent apporter un changement considérable sous la forme d'insights de données améliorés. Ces améliorations peuvent fournir aux entreprises des avantages qui incluent un meilleur contrôle des stocks/inventaires, une efficacité accrue de la planification et une réduction des déchets, parmi d'autres améliorations.

Les dangers de l'IoT

Bien qu'il y ait un avantage clair à gagner grâce à la collecte de données et à l'automatisation qui accompagnent les appareils IoT, ils ne sont pas sans risques. De nombreux utilisateurs d'IoT et d'appareils intelligents ne réalisent pas à quel point certains de leurs appareils peuvent être accessibles. Le moteur de recherche Shodan explore le web pour trouver des appareils avec une protection par mot de passe laxiste et affiche des captures d'écran de ce qu'il a pu accéder — les exemples les plus notables étant les flux de caméras de sécurité IoT utilisées dans les espaces professionnels et les habitations privées.

Cette liste est loin d'être exhaustive, cependant, elle rappelle que les appareils IoT non sécurisés peuvent être exploités et doivent être mis en œuvre avec une prudence appropriée.

Absence de sécurité intégrée pour les appareils IoT et intelligents

Les entreprises souhaitant tirer parti de la puissance de l'IoT doivent s'assurer que les fabricants d'appareils IoT qu'elles utilisent prennent la cybersécurité au sérieux.

Dans un effort pour commercialiser leurs appareils en masse et maintenir les coûts bas, de nombreux fabricants d'appareils intelligents ont choisi de ne pas investir dans la cybersécurité et ont plutôt priorisé la rentabilité de leurs appareils pour attirer les acheteurs pour ce marché en évolution.

Alors que des gouvernements comme le Royaume-Uni et les États-Unis commencent à prendre au sérieux la législation sur la cybersécurité IoT, pour la plupart, la pression externe sur les fabricants d'appareils intelligents pour prioriser la cybersécurité dans leur processus de développement n'a pas été suffisante.

De nombreux appareils intelligents ne sont pas intégrés avec des fonctionnalités d'authentification à deux facteurs (2FA), ni ne chiffrent les données qu'ils collectent et transfèrent. Jusqu'à ce que les fabricants d'appareils intelligents soient tenus responsables d'implémenter la sécurité comme une priorité dès le premier jour du développement, les appareils intelligents continueront d'être un vecteur viable pour les menaces de cybersécurité.

Exemples de violations de sécurité IoT

Historiquement, les appareils IoT ont été utilisés comme point d'entrée pour des attaques par malware. Pour fournir plus de contexte, voici quelques exemples de haut profil.

Attaques par déni de service distribué (DDoS)

En 2016, un botnet connu sous le nom de « Mirai » a exécuté une attaque par déni de service distribué (DDoS) en exploitant les mots de passe par défaut d'une variété d'appareils IoT. L'attaque DDoS a entraîné la perte de connectivité Internet pour un grand segment de la côte est des États-Unis.

La facilité relative avec laquelle cette attaque a été mise en œuvre donne un aperçu de la façon dont les technologies IoT peuvent être exploitées à des fins néfastes, et ce n'était loin d'être la seule attaque de botnet alimentée par des appareils IoT compromis.

La tentative de Stuxnet de détruire des machines nucléaires

Bien que les créateurs de Stuxnet ne soient pas confirmés, une étude approfondie de ce ver informatique hautement évasif a confirmé son but — cibler les centrifugeuses utilisées dans les centrales nucléaires et les reprogrammer pour effectuer des cycles dommageables pour leurs composants physiques. Stuxnet fournit un avertissement que les vulnérabilités des machines connectées peuvent causer des problèmes plus graves que la perte de données et la désactivation de logiciels — elles peuvent causer de graves dommages physiques aux appareils, ou même mettre des vies en danger.

Comment un thermostat a conduit à une violation de données

Un casino non nommé à Las Vegas a vu sa base de données de données clients volée de la manière la plus inattendue possible — via le thermostat de son aquarium. Le casino utilisait un thermostat IoT connecté au WiFi pour surveiller et ajuster la température de l'aquarium. Comme le thermomètre était sur le même réseau que les données de leurs clients, les cybercriminels ont pu exploiter les vulnérabilités du thermomètre pour l'utiliser comme point d'entrée.

Passer du Cloud Computing au Fog Computing

Contrairement à la croyance populaire, l'Internet des objets peut fonctionner sans fournisseur de cloud computing externe, cependant, les avantages du cloud computing doivent être fortement considérés avant de décider de passer à une solution sans cloud.

Les entreprises qui souhaitent avoir un contrôle total sur leurs données peuvent tirer parti de leur propre infrastructure de « fog computing » contrôlée localement pour leur permettre de traiter et transmettre leurs données IoT sans les partager avec un fournisseur de cloud computing externe.

Le fog computing est une infrastructure de calcul décentralisée qui transmet les données des appareils IoT vers une passerelle sur le réseau local (LAN) qui gère la transmission des données vers le matériel de traitement approprié — l'utilisation de matériel local pour ce traitement de données est souvent appelée « edge computing ». Bien que le fog computing et l'edge computing offrent une suite d'avantages incluant une latence réduite et un plus grand contrôle sur la façon dont les données sont partagées et transmises, ils ne sont pas sans leurs vulnérabilités.

Les entreprises qui exploitent le fog computing et l'edge computing pour stocker et transmettre leurs données sont les seuls fournisseurs des mesures de cybersécurité physiques, procédurales et techniques nécessaires pour protéger les données qu'elles collectent, ce qui n'est pas une mince affaire.

Les principaux fournisseurs de cloud computing investissent massivement dans la mise en œuvre et le maintien de mesures de cybersécurité de pointe pour protéger les données qu'ils stockent, transmettent et traitent, car leur modèle d'affaires entier repose sur leur fiabilité et leur sécurité. Les entreprises qui veulent simplement utiliser les appareils IoT comme une mise à niveau de leurs opérations habituelles ne peuvent pas raisonnablement maintenir un niveau de sécurité similaire à celui des fournisseurs de cloud computing, ce qui entraîne des risques de cybersécurité plus grands si leur utilisation du fog computing n'est pas réalisée avec des mesures de cybersécurité tout aussi robustes.

Comment utiliser les appareils IoT en toute sécurité

Bien qu'ils ne soient pas sans risques, les appareils IoT présentent une opportunité sans précédent pour les avancées dans la collecte et la transmission de données qui peuvent mener à des gains incroyables en capacités et en efficacité. Pour utiliser les appareils IoT en toute sécurité, il existe des mesures de sécurité clés qui peuvent être mises en œuvre.

Chiffrer les données sensibles

Bien que le processus de chiffrement des données avant leur envoi pour traitement au fournisseur de cloud computing puisse causer des retards dans la transmission des données, c'est une étape importante pour les données sensibles. Les entreprises qui transmettent des données sensibles (telles que des données médicales) d'un appareil IoT vers le cloud doivent prendre au sérieux la sensibilité de ces données, cependant des données plus anodines peuvent être laissées non chiffrées.

Utiliser des mots de passe uniques

Comme vu avec l'attaque DDoS du botnet Mirai, l'une des méthodes utilisées pour exploiter les appareils IoT est via un logiciel qui tente d'accéder en utilisant des mots de passe par défaut d'usine connus utilisés par le fabricant de l'appareil IoT.

En plus de changer les mots de passe par défaut d'usine en un mot de passe unique, les appareils IoT utilisés doivent être fabriqués de manière à ce qu'ils ne puissent pas être réinitialisés au mot de passe par défaut d'usine, car la capacité de réinitialiser à un mot de passe par défaut pourrait fournir aux cybercriminels un vecteur supplémentaire pour les attaques.

Utiliser un réseau séparé pour les appareils IoT

Pour les entreprises qui sont responsables de données sensibles, ces données doivent être détenues sur un réseau distinct de vos appareils IoT. En raison de l'immaturité relative de la sécurité des appareils IoT, les garder sur un réseau séparé réduit la possibilité qu'ils puissent être utilisés comme point d'entrée vers le réseau principal.

Choisissez judicieusement vos fournisseurs de cloud et d'appareils IoT

Les entreprises qui choisissent de tirer parti de la puissance du cloud computing pour leurs appareils IoT doivent choisir soigneusement un fournisseur de plateforme cloud IoT en qui elles peuvent avoir confiance pour sécuriser les données qu'ils stockent et traitent sur leurs systèmes. Elles devront également choisir des produits IoT fabriqués avec la cybersécurité comme préoccupation significative.

Lors de la décision des fournisseurs d'appareils IoT pour vos besoins, considérez ce qui suit :

• Le fabricant de l'appareil fournit-il un point de contact public pour les rapports de vulnérabilité de cybersécurité ? Ont-ils un historique de prise au sérieux de ces rapports ?
• Combien de temps le fabricant de l'appareil fournira-t-il des mises à jour de sécurité pour ses produits ?
• Le fabricant de l'appareil priorise-t-il la cybersécurité comme partie de son mandat de production ?

Considérations de cybersécurité pour le fournisseur de services cloud (CSP) IoT :

• Le CSP a-t-il un historique de prise au sérieux de la cybersécurité ?
• Quelles mesures de cybersécurité le CSP a-t-il prises pour protéger les données ?
• Le CSP peut-il offrir le chiffrement et d'autres mesures de sécurité à grande échelle à mesure que l'infrastructure IoT grandit ?

La liste ci-dessus est loin d'être exhaustive et chaque cas d'utilisation d'entreprise aura des considérations de cybersécurité uniques. Alors que les technologies IoT continuent de contribuer à une croissance rapide, les entreprises cherchant à tirer parti des insights et fonctionnalités évolutifs fournis par elles devront prioriser la cybersécurité en premier et continuer à rechercher et mettre en œuvre les meilleures solutions possibles pour leurs besoins.