Sécurité des objets connectés (IoT) : construire ou acheter ? Protéger votre entreprise contre les cybermenaces

L'Internet des objets (IoT) offre de nombreuses attractions pour les petits et moyens fabricants (PMM) qui souhaitent intégrer l'IoT dans leurs installations et opérations, ou qui cherchent à entrer sur le marché de l'IoT avec des produits innovants. Le spectre des produits IoT disponibles est large et en constante croissance. Lors de l'aventure dans les eaux de l'IoT, il est utile d'être préparé aux écueils potentiels de cybersécurité, que ce soit sous la forme d'implications pour la gestion des risques organisationnels lors de l'introduction de l'IoT dans l'environnement, ou de considérations pour la conception et le support de produits lors de l'entrée sur le marché en tant que fournisseur. Le programme NIST Cybersecurity for the Internet of Things travaille à fournir les informations dont les PMM ont besoin pour naviguer dans ces eaux potentiellement turbulentes.

IoT et gestion des risques

Avant d'installer des thermostats intelligents pour garder vos employés à l'aise, d'ajouter des machines à café intelligentes dans les salles de pause pour les garder caféinés, ou de déployer la dernière technologie de système de contrôle industriel (ICS) dans votre environnement de production, il est important de reconnaître les implications potentielles. Vous pouvez avoir un programme robuste de sécurité de l'information pour votre informatique traditionnelle, mais ces outils, processus et procédures nécessiteront probablement une adaptation lors de l'introduction de l'IoT. Voici quelques-unes des façons dont l'IoT est différent :

• Interaction avec le monde physique. Les appareils IoT sont équipés soit de capteurs qui collectent des informations de leur environnement, soit d'actionneurs qui font bouger ou changer des objets « du monde réel ». La détection peut générer beaucoup de données potentiellement sensibles, il est donc important de savoir ce qui est collecté et où cela va. Un actionneur compromis pourrait permettre à un adversaire de causer une perturbation significative — imaginez ce qui pourrait se passer si vous ne savez pas qui commande vos serrures intelligentes.
• Défier les pratiques de gestion informatique conventionnelles. Les appareils IoT sont souvent des « boîtes noires » qui obscurcissent leur fonctionnement interne et ne peuvent pas être équipés d'agents ou interrogés de la même manière que les serveurs, postes de travail ou pare-feu. En conséquence, les pratiques de gestion informatique courantes peuvent s'avérer inefficaces avec l'IoT. Ces défis de gestion peuvent se multiplier rapidement si vous déployez des appareils IoT « à grande échelle ».
• Absence de fonctionnalités communes de cybersécurité et de confidentialité. Les appareils IoT manquent souvent de support pour la journalisation et la surveillance, le support pour la mise à jour des appareils afin de corriger les vulnérabilités nouvellement identifiées, ou les capacités cryptographiques nécessaires pour protéger les informations sensibles qu'ils génèrent ou traitent. On ne peut pas supposer que ces appareils possèdent les mêmes capacités de cybersécurité que les appareils informatiques sur le même réseau.

Les PMM adoptant l'IoT dans leurs environnements doivent être prêts à relever ces défis. Si l'on entre sur le marché de l'IoT en tant que fournisseur, comprendre ces défis peut être une opportunité de développer un produit offrant une meilleure expérience client.

Gérer votre risque de sécurité IoT

Lors de l'adoption de la technologie IoT dans votre organisation, les PMM devraient planifier pour relever ces défis en visant trois objectifs :

1. Protéger la sécurité des appareils IoT pour s'assurer que le produit est entièrement sous le contrôle du propriétaire, et non exploité par des acteurs externes pour accéder au réseau du PMM ou participer à un botnet.
2. Protéger la sécurité des données afin que les données générées par les appareils IoT ne soient pas exposées ou altérées lorsqu'elles sont stockées sur les appareils, transférées sur le réseau ou transmises à un service cloud utilisé pour fournir des aspects des capacités du produit.
3. Protéger la vie privée des individus, en étant attentif à la possibilité que des informations sensibles soient capturées ou créées par les produits IoT, et conscient de l'endroit où ces données pourraient voyager.

Ces objectifs sont articulés dans le NISTIR 8228, Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks, et peuvent être difficiles à atteindre avec les produits IoT actuellement disponibles. Pour les organisations qui appliquent le NIST Cybersecurity Framework (CSF) ou définissent leurs exigences de sécurité à l'aide des contrôles NIST SP 800‑53, le NISTIR 8228 identifie une série de défis que les appareils IoT posent pour atteindre les objectifs visés par le CSF et le SP 800‑53. Par exemple, le contrôle SI-2, Flaw Remediation, du SP 800‑53 ne peut pas être satisfait par des appareils IoT qui n'ont pas la capacité de mises à jour logicielles/firmware sécurisées. De même, de nombreux appareils IoT ne peuvent pas être analysés de la manière nécessaire pour satisfaire la sous-catégorie CSF DE.CM-8 : les analyses de vulnérabilités qui sont effectuées.

La prise en compte des trois objectifs identifiés ci-dessus devrait être prise en compte dans la sélection des produits IoT ainsi que dans leur gestion, car les capacités de sécurité des appareils IoT contribuent à atteindre les exigences de sécurité globales des systèmes dans lesquels les appareils sont intégrés.

Améliorer la posture de sécurité de vos produits IoT

Si vous vous lancez dans la création de produits IoT, la connaissance des défis de cybersécurité peut guider votre approche du développement et du support de votre produit. Les trois objectifs décrits ci-dessus s'appliquent également lors du développement d'un produit IoT. Une approche réfléchie du développement avec ces objectifs à l'esprit aboutira à un produit plus gérable et plus sûr. Cette approche implique à la fois la phase de conception et de développement du produit et la phase de support une fois qu'il est mis sur le marché, comme illustré dans cette figure du NISTIR 8259, Foundational Cybersecurity Activities for IoT Device Manufacturers.

Les bases fondamentales décrivent les capacités des appareils et les actions de support à travers un spectre de besoins :

Capacités techniques de cybersécurité

Identification de l'appareil	L'appareil IoT peut être identifié de manière unique logiquement et physiquement.
Configuration de l'appareil	La configuration du logiciel de l'appareil IoT peut être modifiée, et de telles modifications ne peuvent être effectuées que par des entités autorisées.
Protection des données	L'appareil IoT peut protéger les données qu'il stocke et transmet contre les accès et modifications non autorisés.
Accès logique aux interfaces	L'appareil IoT peut restreindre l'accès logique à ses interfaces locales et réseau, ainsi qu'aux protocoles et services utilisés par ces interfaces, aux entités autorisées uniquement.
Mise à jour logicielle	Le logiciel de l'appareil IoT peut être mis à jour par des entités autorisées uniquement en utilisant un mécanisme sécurisé et configurable.
Connaissance de l'état de cybersécurité	L'appareil IoT peut rendre compte de son état de cybersécurité et rendre cette information accessible aux entités autorisées uniquement.

Capacités de support non techniques

Documentation	La capacité pour le fabricant et/ou l'entité de support de créer, rassembler et stocker des informations pertinentes pour la cybersécurité de l'appareil IoT tout au long du développement d'un appareil et de son cycle de vie ultérieur.
Réception d'informations et de requêtes	La capacité pour le fabricant et/ou l'entité de support de recevoir du client des informations et requêtes liées à la cybersécurité de l'appareil IoT.
Diffusion d'informations	La capacité pour le fabricant et/ou l'entité de support de diffuser et distribuer des informations liées à la cybersécurité de l'appareil IoT.
Éducation et sensibilisation	La capacité pour le fabricant et/ou l'entité de support de créer une prise de conscience et d'éduquer les clients sur des éléments tels que les informations, considérations et fonctionnalités liées à la cybersécurité de l'appareil IoT.

Les activités de planification combinées à l'application des bases techniques et non techniques aideront les PMM à développer des produits à la fois plus sécurisables et mieux supportés, aidant vos clients à profiter de vos innovations IoT tout en limitant l'impact sur leurs défis de gestion des risques.

Informations qui peuvent aider

Le programme NIST Cybersecurity for the Internet of Things s'est profondément engagé avec la communauté au cours des dernières années et a développé une riche collection de conseils sur les défis de cybersécurité IoT. Que vous soyez un PMM cherchant à améliorer ses opérations avec l'intégration de l'IoT ou à entrer sur le marché avec de nouveaux produits, de nombreuses ressources et publications sont disponibles pour soutenir vos efforts.

Le programme NIST Cybersecurity for IoT accueille les commentaires des fabricants sur nos projets publics actuels.