90 % des entreprises anticipent des cyberattaques IoT, révèle une nouvelle enquête

Malgré une sensibilisation croissante, l'étude démontre que les capacités de gestion des risques IoT nécessitent encore des mises à niveau significatives dans presque toutes les entreprises.

La gestion des risques est une discipline qui couvre à peu près tous les domaines que vous pouvez imaginer à travers l'entreprise, des systèmes informatiques à la sécurité des données en passant par les demandes d'indemnisation des travailleurs. Cependant, les entreprises ne font que commencer à se réveiller aux risques potentiels auxquels elles font face de l'Internet des objets (IoT). Nous parlons de plus de 40 millions de dispositifs connectés aux entreprises dans les cinq prochaines années.

Faisons-y face, une bonne partie de l'IoT consiste en des dispositifs de périphérie et des données maintenues par d'autres, en dehors des murs de l'entreprise. Nous espérons que ces tiers font attention à l'entretien de leurs dispositifs et à la qualité des données qu'ils fournissent. Une partie de cette dépendance concerne aussi la sécurité, et c'est là que l'IoT devient délicat.

Voir aussi : La sécurité IoT reste une préoccupation majeure

Malgré une sensibilisation croissante, l'étude démontre que les capacités de gestion des risques IoT sur le lieu de travail et parmi les tiers nécessitent encore des mises à niveau significatives dans tous les secteurs et au sein de presque toutes les entreprises.

C'est la conclusion de l'étude de l'Institut Ponemon sur la gestion des risques IoT des tiers, qui a interrogé 630 cadres, dont les trois quarts reconnaissent que les risques IoT des tiers posent une menace sérieuse pour leurs actifs de données à haute valeur.

Les violations de données connues causées par des dispositifs non sécurisés ont doublé depuis 2017, selon le rapport Ponemon. De plus, près de neuf répondants sur dix s'attendent à ce que leur entreprise subisse une cyberattaque ou une violation de données causée par des dispositifs ou applications IoT non sécurisés dans les deux prochaines années.

De plus, il y a un fort besoin d'identifier et de mettre en œuvre les meilleures pratiques dans cet espace — la plupart des répondants, 74 %, rapportent que leurs programmes de gestion des risques IoT ne parviennent pas à suivre le rythme des risques posés par l'utilisation ubiquitaire des dispositifs IoT tant en interne qu'en externe.

Les auteurs du rapport Ponemon font les recommandations suivantes pour assurer une plus grande sécurité à travers le spectre IoT :

Combler le fossé entre la compréhension et la pratique. « La gouvernance actuelle des risques IoT se caractérise par des structures de gestion des risques inadéquates, des ressources, de l'attention et des techniques d'atténuation. Tous ces défauts révèlent des vulnérabilités IoT tant au sein des organisations d'externalisation que parmi leurs tiers. »

Développer une culture de risque plus forte. « Les individus à travers l'écosystème IoT devraient mieux comprendre les menaces posées par la technologie. Les organisations doivent s'assurer que la sécurité IoT est prise au sérieux par la direction à tous les niveaux — y compris les conseils d'administration. »

Adopter une plus grande responsabilisation pour les risques IoT. « Une structure mature de gestion des risques IoT est essentielle pour s'assurer que la sécurité des technologies IoT répond aux tolérances de risque définies. Le paysage des menaces présenté par l'écosystème IoT s'étend rapidement, pourtant trop peu d'entreprises ont assigné la responsabilité et la propriété de la supervision IoT à travers leurs organisations — et peu de conseils mettent au défi les dirigeants organisationnels de le faire. »

Mettre en place une évaluation des contrôles IoT plus efficace. « Un mouvement est nécessaire vers un paradigme de validation des contrôles structuré sur un modèle « confiance-mais-vérifie ». Aujourd'hui, les entreprises s'appuient sur les contrats tiers et les revues de politiques, portant l'attention sur l'élément Confiance des contrôles de dispositifs et d'applications IoT sans vérification adéquate. »