Sécurisez votre avenir IoT : piloter la transformation numérique tout en minimisant les risques

En quelques courtes années, l'Internet des objets (IoT) a radicalement remodelé notre façon de vivre et de travailler. Des gadgets sur nos poignets et dans nos foyers aux bâtiments connectés et usines intelligentes où nous passons nos vies professionnelles, il nous rend plus sûrs, plus heureux et plus productifs tout en offrant de nouvelles opportunités de croissance pour les organisations. La technologie est à l'avant-garde d'une révolution de la transformation numérique qui imprègne déjà la grande majorité des entreprises, les aidant à devenir plus efficaces, agiles et centrées sur le client.

Cependant, l'expansion numérique signifie aussi un risque numérique accru : les derniers chiffres révèlent une augmentation de 100 % d'une année sur l'autre des attaques IoT. La clé pour les équipes IT est donc de soutenir la croissance de l'entreprise tout en minimisant ces risques cybernétiques grâce aux meilleures pratiques de sécurité adaptées à la nouvelle ère connectée.

Passer au numérique

L'IoT a parcouru un long chemin en relativement peu de temps. Gartner prévoit qu'il y aura 14,2 milliards d'objets connectés en usage en 2019, le total atteignant 25 milliards d'ici 2021. Avec ce volume croissant d'appareils est venue une explosion des données. Cisco estime que la quantité totale de données créées par tous les appareils atteindra 600 zettaoctets par an d'ici 2020, contre seulement 145 zettaoctets par an en 2015. C'est une quantité massive de données — un seul zettaoctet équivaut à 1 milliard de téraoctets.

Pourquoi l'IoT a-t-il commencé à imprégner si complètement les environnements professionnels au cours des dernières années ? Un sondage Forbes Insights auprès de 700 dirigeants en 2018 aide à expliquer. Il révèle que 60 % des entreprises étendent ou transforment de nouvelles lignes d'activité, un nombre similaire (63 %) fournissent de nouveaux services mis à jour aux clients, et plus d'un tiers (36 %) envisagent de nouvelles entreprises. Au cours des 12 prochains mois, presque tous (94 %) les répondants prédisaient que les profits augmenteraient de 5 à 15 % grâce à l'IoT.

Les capteurs IoT, les données collectées et envoyées dans le cloud pour analyse offrent de nouvelles opportunités majeures pour améliorer l'expérience client, rationaliser les processus commerciaux complexes et créer de nouveaux services grâce aux insights révélés. Cela pourrait inclure des entreprises de services publics surveillant les signes avant-coureurs de fuites d'eau ou de pannes de courant, des entreprises manufacturières améliorant l'efficacité opérationnelle sur le terrain d'usine, et des fabricants de matériel fournissant de nouveaux services après-vente aux clients basés sur la maintenance prédictive.

Le risque est partout

Le défi auquel fait face toute entreprise augmentant son utilisation de systèmes IoT et IoT industriel (IIoT) est qu'elle aura élargi la surface d'attaque de l'entreprise dans le processus. Un coup d'œil rapide au document IoT Attack Surface Areas d'OWASP illustre combien de nouveaux points de faiblesse possibles sont introduits. Ceux-ci vont des appareils eux-mêmes — y compris le firmware, la mémoire et les interfaces physiques/web — aux API backend, systèmes cloud connectés, trafic réseau, mécanismes de mise à jour et application mobile.

L'un des plus grands risques pour de tels systèmes est qu'ils sont produits par des fabricants qui n'ont pas une compréhension adéquate des meilleures pratiques de sécurité IT. Cela peut entraîner des faiblesses et vulnérabilités systémiques graves qui peuvent être exploitées par des attaquants, des défauts logiciels aux produits livrés avec des identifiants d'usine par défaut. Cela pourrait aussi signifier que les produits sont difficiles à mettre à jour et/ou qu'il n'y a pas de programme en place pour émettre des correctifs de sécurité.

De telles failles pourraient être exploitées dans une variété de scénarios d'attaque. Elles pourraient être utilisées pour violer les réseaux d'entreprise dans le cadre d'un vol de données, ou saboter des processus opérationnels clés — soit pour extorquer de l'argent à l'organisation victime, soit simplement causer un maximum de perturbations. Dans un scénario plus courant, les pirates peuvent scanner Internet à la recherche d'appareils accessibles publiquement encore protégés uniquement par des mots de passe d'usine par défaut ou faciles à deviner/craquer, et les enrôler dans des botnets. C'est le modèle utilisé par les fameux attaquants Mirai et ensuite adapté dans de nombreuses attaques imitatrices. Ces botnets peuvent être utilisés pour une variété de tâches, y compris le déni de service distribué (DDoS), la fraude publicitaire et la propagation de chevaux de Troie bancaires.

Dans l'ombre

La difficulté pour les équipes de sécurité IT est souvent d'obtenir une visibilité sur tous les points de terminaison IoT dans l'organisation, et certains appareils IoT détectés peuvent souvent fonctionner sans la connaissance du département IT. Ce facteur d'IT fantôme (shadow IT) est à bien des égards le successeur du défi BYOD d'entreprise — sauf qu'au lieu de téléphones mobiles, les utilisateurs apportent des wearables intelligents et d'autres appareils qui se connectent ensuite au réseau d'entreprise, augmentant le risque cyber. Imaginez simplement une smart TV détournée par des attaquants pour espionner les réunions du conseil d'administration, par exemple, ou une bouilloire intelligente dans une cafétéria du personnel utilisée comme tête de pont pour lancer un vol de données contre le réseau d'entreprise.

Pire encore pour les responsables de la sécurité IT, ils doivent gérer ce risque cyber croissant avec moins de professionnels qualifiés à disposition. En fait, la demande pour les rôles IoT a grimpé de 49 % au T4 2018 par rapport aux trois mois précédents, selon un groupe de recrutement.

Les régulateurs rattrapent leur retard

L'impact de toute menace cyber majeure liée à l'IoT pourrait être sévère. Perte de données, pannes de systèmes IT, perturbation opérationnelle et similaires peuvent entraîner des dommages financiers et de réputation. Le coût d'investigation et de remédiation d'une violation de sécurité seul peut être prohibitif. Une panne grave pourrait exiger un investissement majeur de fonds en heures supplémentaires du personnel IT. Les amendes réglementaires sont un autre coût de plus en plus important à garder à l'esprit. Non seulement il y a le RGPD à considérer pour tout problème affectant les données personnelles des clients ou des employés, la directive NIS de l'UE impose également les meilleures pratiques de sécurité pour les entreprises opérant dans des industries critiques spécifiques. Les deux comportent les mêmes amendes maximales.

Cette surveillance réglementaire s'étend des deux côtés de l'Atlantique. Un nouveau projet de loi aux États-Unis exigera que l'Institut national des normes et de la technologie (NIST) élabore des directives de sécurité minimales pour les fabricants IoT et exigera que les agences fédérales n'achètent qu'auprès de fournisseurs répondant à ces normes de base.

Visibilité et contrôle

Si elle est adoptée, cette législation américaine pourrait bien s'appuyer sur une norme européenne ETSI TS 103 645, qui elle-même était basée sur un code de pratique proposé par le gouvernement britannique pour l'industrie. C'est certainement un excellent début et devrait espérément pousser l'industrie à être plus consciente de la sécurité, tout en permettant aux consommateurs et aux entreprises de rechercher les produits les plus sûrs sur le marché. Mais en réalité, il faudra un certain temps pour que de telles mesures filtrent jusqu'au marché, et même alors, les organisations pourraient déjà faire fonctionner des milliers de points de terminaison IoT hérités non sécurisés.

Les équipes de sécurité IT doivent agir maintenant, en acquérant une meilleure compréhension de leur environnement IoT. Les outils de gestion d'actifs IT devraient pouvoir aider ici en fournissant la première étape cruciale : la visibilité. Ensuite, assurez-vous que le firmware des appareils est à jour via des outils de gestion de correctifs automatisés et que ce processus est surveillé pour s'assurer qu'il fonctionne correctement — certaines mises à jour de sécurité sont enfouies au fond d'un site web fournisseur et nécessitent une intervention humaine pour s'assurer qu'elles ont été activées. De plus, les équipes IT doivent vérifier que tous les noms d'utilisateur/mots de passe sont immédiatement changés pour des identifiants forts et uniques. Mieux encore, les remplacer par une authentification multi-facteurs. D'autres meilleures pratiques pourraient inclure le chiffrement des données en transit, la surveillance continue du réseau, la gestion des identités, la segmentation du réseau, et plus encore. Enfin, n'oubliez pas l'aspect humain de la cybersécurité : les employés doivent être formés pour comprendre les risques de sécurité associés à l'IoT et comment utiliser les systèmes et appareils en toute sécurité.

C'est la façon de tirer le maximum de valeur de toute initiative IoT, sans exposer l'entreprise à un risque supplémentaire inutile. Il suffit d'une seule violation de sécurité grave pour saper la croissance propulsée par l'innovation si vitale pour le succès de l'entreprise numérique moderne.