Pourquoi les objets connectés sont une menace cyber : protégez votre entreprise aujourd'hui

L'internet des objets offre aux entreprises un niveau de visibilité et de contrôle sans précédent sur leurs chaînes d'approvisionnement. Mais il ouvre aussi la porte à des cyberattaques potentiellement paralysantes.

Une nouvelle étude de l'Institut Ponemon révèle une augmentation significative des violations de données causées par des appareils IoT tiers non sécurisés. Et elle suggère que les meilleurs experts en sécurité n'en font pas assez pour les arrêter.

La troisième étude annuelle de l'institut sur le risque IoT tiers est sous-titrée « Les entreprises ne savent pas ce qu'elles ne savent pas. » En effet, l'ignorance des dangers des cyberattaques semble avoir accru la vulnérabilité de nombreuses entreprises. Les violations liées à l'IoT ont augmenté d'au moins 26 % depuis 2017, selon l'étude. (Le nombre pourrait être encore plus élevé, notent les auteurs, car la plupart des entreprises ne sont pas conscientes de chaque appareil ou application non sécurisé sur leurs locaux provenant de fournisseurs tiers.)

À une époque où les violations de données deviennent endémiques, la cybersécurité ne semble pas être une priorité particulièrement élevée pour beaucoup d'entreprises — du moins quand il s'agit d'investir des ressources dans ce domaine. La supervision par la direction est particulièrement défaillante. Selon l'étude, moins de la moitié des membres des conseils d'administration des entreprises ont approuvé des programmes destinés à réduire le risque tiers de cyberattaques. Seuls 21 % comprennent pleinement la nature de ce risque et sont « hautement engagés » dans les mesures de sécurité nécessaires pour l'adresser.

Quand il s'agit d'anticiper le risque cyber, l'attitude prévalente semble être le fatalisme. L'étude a trouvé 87 % des répondants croyant que leur propre organisation subira une cyberattaque causée par des appareils ou applications IoT non sécurisés dans les 24 prochains mois. Et 84 % s'attendent à subir une violation de données dans ce même laps de temps.

La dernière version de l'étude s'appuie sur 600 répondants qualifiés et environ 450 entreprises uniques, selon Larry Ponemon, cofondateur de l'Institut Ponemon. Dans ce qu'il appelle un « échantillonnage éclectique mais intéressant », les participants incluaient des experts en IT, protection des données, technologie tiers et régulation.

« Tiers » signifie la gamme complète de vendeurs, contractants, partenaires de distribution et affiliés internes en dehors de l'environnement IT propre d'une entreprise, note Charlie Miller, conseiller senior du programme Shared Assessments, une unité de The Santa Fe Group spécialisée dans l'évaluation du risque tiers.

Les appareils IoT externes prennent généralement la forme de capteurs, appareils intelligents, imprimantes, caméras, thermostats Nest, assistants numériques personnels à activation vocale — en bref, tout ce qui contient de l'électronique capable de se connecter au réseau d'une entreprise.

Malgré cette panoplie de technologies non sécurisées, dont une grande partie est introduite dans le réseau via les appareils personnels des employés, la direction ne la considère pas comme un risque énorme, dit Ponemon. Miller ajoute que le problème est empiré par une énorme augmentation du nombre d'appareils IoT arrivés sur le marché ces dernières années.

Chacun de ces appareils a une adresse IP unique et représente un point de vulnérabilité potentiel à travers lequel les hackers ou voleurs cyber peuvent accéder à des données propriétaires. Avant d'autoriser l'un d'entre eux à être introduit dans le réseau, les entreprises doivent comprendre précisément ce que les appareils sont censés faire, quels types de données ils sont censés collecter, et comment cette information sera transmise.

« Toutes ces choses sont des concepts fondamentaux qui n'ont pas encore cristallisé dans cet immense espace IoT », dit Miller.

Face à cette avalanche d'attaques, pourquoi les entreprises ne sont-elles pas plus proactives pour les prévenir ? Ponemon suggère que le problème réside dans un manque de responsabilité au sein des organisations. De plus, les appareils IoT sont séduisamment pratiques à utiliser, les propriétaires donnant peu de réflexion à la façon dont ils pourraient compromettre la sécurité corporate.

Miller voit quelques signes d'illumination parmi les équipes de sécurité et organisations. Certains secteurs comme les fabricants de dispositifs médicaux sont plus focalisés sur le problème que d'autres, largely parce qu'ils sont soumis à une réglementation lourde. (La Food and Drug Administration, par exemple, a des « règles strictes sur les dispositifs à implanter dans les gens », dit Miller.) De nouvelles législations comme le California Consumer Privacy Act resserrent l'utilisation des données consommateurs par les marchands à des fins marketing. De plus, les législateurs ciblent les fabricants avec des mesures qui exigeraient des niveaux plus élevés de sécurité intégrée pour les appareils basés IoT. (Interdisant, par exemple, l'utilisation de mots de passe par défaut faciles à craquer, que beaucoup d'utilisateurs négligent de changer.)

D'autres efforts pour renforcer la cybersécurité sont menés par des organisations comme le National Institute of Standards and Technology, dont les standards sont acceptés mondialement, et l'Autorité Monétaire de Singapour, la banque centrale de ce pays. Quatre des cinq recommandations de cette dernière pour renforcer la sécurité sont incluses dans l'étude Ponemon.

« Vous devez comprendre quels sont les appareils que vous avez au sein de votre propre organisation, et que vous permettez à vos tiers d'utiliser », dit Miller. « Et vous devez vous assurer que la façon dont les appareils sont connectés est segmentée de votre département de production. Donc s'il y a une violation, il y a isolation vers un segment non-production de votre réseau. »

L'éducation est primordiale, dit Ponemon, soulignant que la conscience du risque cyber doit aller de chaque employé individuel jusqu'à la suite exécutive, ainsi qu'aux partenaires et clients externes de la chaîne d'approvisionnement.

Miller dit que les entreprises devraient entreprendre des cas d'usage avant de s'engager sur l'utilisation de tout appareil IoT, pour déterminer le potentiel de mauvais usage. Par exemple, les systèmes de surveillance dans les automobiles modernes pourraient permettre aux hackers de prendre le contrôle du véhicule à distance. « L'industrie du transport regarde cela très sérieusement », dit-il.

Au final, cela revient à la vigilance de la part de l'utilisateur. « L'hygiène cyber est la responsabilité de l'individu », dit Ponemon. « C'est critique. Ce n'est pas juste à propos de l'IoT — c'est à propos de tout. »