Sécurité IoT démystifiée : protéger vos appareils connectés

Histoire de la sécurité

La sécurité a été importante pour la société humaine depuis longtemps. Mais au fil du temps, ce qui avait besoin de sécurité et comment elle était assurée a radicalement changé. Au cours de la dernière durée de vie humaine, une nouvelle forme de sécurité est apparue — la cybersécurité — qui change plus rapidement que la sécurité traditionnelle ne l'a jamais fait. Le piratage a évolué de la réplication de tonalités de connexion commutée pour faire des appels interurbains gratuits, à l'exécution de campagnes sophistiquées parrainées par des États-nations sur une période de mois.

La sécurité industrielle rencontre l'Internet des objets

Chaque nouvelle technologie et tendance technologique représente une nouvelle surface d'attaque — ou une tendance de changement de surface d'attaque — pour les acteurs malveillants. Le roi figuratif des tendances technologiques actuelles est l'Internet des objets (IoT), un terme utilisé pour décrire les appareils maintenant connectés à Internet en nombres si grands que le cerveau humain ne peut littéralement pas les concevoir. En 2020, on estime que 31 milliards d'appareils auront été installés et connectés à Internet. Si chacun de ces appareils était un grain de riz de long et aligné en ligne, la ligne ferait le tour de l'équateur terrestre près de six fois. La même tendance se produit au sein des systèmes industriels, appelée Internet industriel des objets (IIoT). Cet afflux massif d'appareils affecte certainement la surface d'attaque pour les acteurs malveillants, et la façon dont nous sécurisons ces systèmes — mais comment ?

Appliquer la sécurité à l'IIoT

Les experts luttent actuellement avec cette question exacte. En fait, l'International Society of Automation (ISA) et la Commission électrotechnique internationale (IEC) envisagent d'étendre la série de normes de cybersécurité ISA/IEC 62443 pour les systèmes de contrôle industriel avec des normes spécifiquement pour guider les implémentations de sécurité pour les systèmes IIoT.

Si cela se produit, de nombreuses réunions et discussions seront tenues pour développer une réponse consensuelle à la question. En attendant, certaines vérités peuvent être acceptées. La principale parmi celles-ci est que l'IIoT, et la connectivité améliorée qu'il cause, effacent les frontières entre les systèmes — physiquement, géographiquement et logiquement dans le réseau. Sécuriser le périmètre d'un système n'est plus suffisant ; la défense en profondeur doit être utilisée.

En essence, construire un mur pour que l'attaquant l'escalade n'est pas la bonne approche — une « douve » est nécessaire, si large et avec une boue si épaisse que les attaquants ne peuvent pas la traverser. Cette approche nécessite une combinaison de pratiques de conception de système fondamentales (telles que la segmentation et le filtrage du trafic au sein d'un réseau), de technologies de sécurité avancées (telles que les systèmes de détection d'intrusion), de formation et de sensibilisation à la cybersécurité pour tous, de l'opérateur au dirigeant, et de politiques et processus pour maintenir les systèmes et les programmes de sécurité. En fin de compte, une bonne sécurité IIoT est une combinaison de toutes les meilleures pratiques de sécurité développées à ce jour, appliquées de manière cohérente et uniforme dans toute l'entreprise.