Sécurité de l'IoT industriel : Surmonter les défis et mettre en œuvre des solutions robustes

La croissance exponentielle de l'IoT industriel est en ligne avec les prévisions récentes. Et alors que nous nous dirigeons vers un monde avec plus de 75 milliards d'appareils connectés d'ici 2025, près d'un tiers sera utilisé dans des applications industrielles au sein de la fabrication. Mais alors que les opportunités dans ce marché - particulièrement chez les fournisseurs de services tiers basés sur le cloud - continuent de s'étendre, un problème se démarque moins comme une barrière à la croissance que comme un signal d'alarme à ne pas ignorer. Ce signal d'alarme est l'exigence permanente de sécurité.

Chaque semaine apporte son lot de nouvelles histoires couvrant des violations de données dans des bases de données toujours plus grandes et dans des entreprises censées être à l'abri de telles intrusions. Tout aussi préoccupants sont les cas où les entreprises ont stocké ou utilisé les données collectées de manière jamais prévue par les personnes et entreprises qui leur avaient confié ces données. Et avec la prolifération des appareils qui s'accélère, le problème pourrait s'aggraver avant de s'améliorer.

Dans cet article, nous discutons des vulnérabilités courantes des réseaux IoT industriels ainsi que de la manière dont vous pouvez traiter ces vulnérabilités pour assurer la sécurité de votre réseau et de votre entreprise.

Comment en sommes-nous arrivés là

Il y a deux raisons fondamentales pour expliquer comment l'IoT industriel est arrivé à ce dilemme. L'une est basée sur des mathématiques simples. Avec le nombre d'appareils déployés augmentant exponentiellement, et la pression sur les fournisseurs de services pour sortir à la fois les appareils et les plateformes pour le déploiement, l'industrie a risqué de devancer ses propres initiatives et protocoles de sécurité qui ne pouvaient pas absorber et répondre à cette croissance.

La deuxième raison est un problème qui a tourmenté d'autres technologies nouvelles et sauvages réussies par le passé. À savoir, le problème de la sécurité n'avait jamais dû être abordé au niveau machine auparavant. Par conséquent, aucune norme ou protocole n'avait été développé. À bien des égards, cela signifiait que les fournisseurs les traitaient soit ad hoc au fur et à mesure qu'ils les rencontraient, utilisaient le fournisseur de sécurité tiers choisi par le client, ou comptaient même uniquement sur les mesures de sécurité internes du client (souvent inadéquates en elles-mêmes).

S'ajoute au problème le fait que de nombreux fournisseurs de services sont lents ou intermittents dans le déploiement des mises à jour de firmware, la poussée pour de nouvelles fonctionnalités de base améliorées prenant souvent le pas. Quelle que soit la façon dont le problème est survenu, c'est l'un des sujets les plus brûlants de l'industrie aujourd'hui et un défi que beaucoup peinent à relever.

Emplacements des préoccupations de sécurité

Alors que les pirates deviennent plus sophistiqués dans l'utilisation des mêmes outils de données et de technologie IA que ceux qui construisent les systèmes IoT, le risque de violation de données augmente. Au sein d'une usine et de ses systèmes connectés, il existe plusieurs endroits où une violation peut se produire :

• Interfaces Web non sécurisées : L'endroit où les utilisateurs interagissent avec les appareils IoT souffre de problèmes tels que des mots de passe par défaut inadéquats, des problèmes de verrouillage et de gestion de session, et l'exposition d'identifiants dans le réseau.
• Services réseau non sécurisés : C'est là que les pirates peuvent accéder au réseau lui-même via des ports ouverts, des débordements de tampon et des attaques par déni de service.
• Chiffrement faible : Un chiffrement faible, ou dans certains cas l'absence de chiffrement, peut permettre aux intrus de collecter des données lors de l'échange entre appareils.
• Interfaces mobiles non sécurisées : Comme de nombreuses entreprises offrent le service sur site comme extension de leur opération de fabrication pour la réparation et la maintenance, les interfaces mobiles souffrent des mêmes problèmes de chiffrement et d'authentification.

Défis de la sécurité IIoT

De nombreuses entreprises ont déjà une sécurité faible ou inadéquate en place, ce qui pèse sur les fournisseurs IoT fournissant à la fois services et appareils. Plus de 50 % de toutes les opérations d'infrastructure critique utilisent des logiciels Microsoft obsolètes et 40 % de tous les sites industriels utilisent l'internet public.

Cela place l'infiltration des machines comme un risque clé à mesure que les appareils prolifèrent, ce qui signifie que des pirates sophistiqués pourraient potentiellement accéder à une usine entière et soit perturber gravement, soit endommager les capacités de production pendant une longue période. Cela pourrait également poser des conditions physiquement dangereuses comme résultat direct ou indirect d'une intrusion.

La sécurité héritée est également une préoccupation. L'une des propositions de valeur clés pour le déploiement de l'IoT industriel est que les équipements existants peuvent être rénovés avec des appareils IoT. Cela permet des cycles de vie d'équipement plus longs et une intégration complète pour construire une usine intelligente sans déclencher d'achats d'équipements capitaux coûteux. Mais le choix doit être fait en parallèle d'une réflexion approfondie sur les appareils qui peuvent être correctement sécurisés pour une utilisation dans le système, une compétence qu'une entreprise peut ne pas avoir et dont elle peut ne pas réaliser qu'elle en a besoin.

L'absence de normes et protocoles dans une industrie encore en plein essor mais en croissance astronomique freine également une progression cohérente en matière de sécurité. Le sentiment est que les fournisseurs de services IoT en tant que communauté d'affaires se réuniront et s'autoréguleront pour développer des normes et protocoles pour tout développement.

Cela éliminerait la chance de protocoles "locaux" concurrents ou chevauchants et serait le plus rentable pour le client. Jusque-là, l'absence de norme fait de la sécurité ad hoc une norme et sollicite les capacités du système de sécurité existant du client, qui peut déjà avoir ses propres faiblesses.

Solutions de sécurité pour l'IoT industriel

Plus de 40 % de toutes les violations consistent en des attaques par malware ou par force brute. Mais il existe de nombreuses autres formes d'intrusion. En raison du nombre de façons dont les appareils et systèmes d'une entreprise pourraient être accédés, la sécurité est considérée comme consistant en quatre niveaux : appareil, communication, cloud et gestion du cycle de vie. En raison de la vitesse à laquelle l'industrie a grandi, cela complique les solutions de sécurité car il n'existe pas de solution de sécurité de bout en bout, prête à l'emploi.

Mais il existe des mesures que les fournisseurs et les entreprises peuvent prendre en attendant le développement de solutions de bout en bout.

Une telle mesure serait de segmenter le réseau IT afin que tout ce qui contrôle les équipements soit maintenu dans un réseau séparé du reste de l'infrastructure IT de l'entreprise.

Une deuxième mesure que les fournisseurs de services peuvent prendre est de garantir les "bases". Des structures de base telles que le verrouillage des identifiants après un petit nombre d'essais et des identifiants par défaut qui doivent être changés à l'activation aideront à sécuriser l'accès à l'interface Web. De même, imposer des règles de mots de passe forts et l'authentification à deux facteurs peut limiter les accès non autorisés.

Au niveau IT, s'assurer que les services ne sont pas vulnérables aux débordements de tampon et que les ports sont fermés lorsqu'ils ne sont pas utilisés coupera également les voies d'intrusion. Les mêmes précautions peuvent être intégrées dans les interfaces d'appareils mobiles pour les règles de mot de passe, de verrouillage et de mot de passe par défaut. Et bien sûr, une meilleure discipline dans la production et le déploiement des mises à jour de firmware aidera à réduire la dégradation du système.

Peut-être la plus grande mesure qui pourrait être entreprise pour devancer les préoccupations de sécurité serait que l'industrie collabore vers l'autorégulation dans le développement de normes et protocoles industriels. En définissant une architecture de base pour bon nombre des problèmes ci-dessus et en standardisant et en imposant leur inclusion, les fournisseurs de services et leurs équipes de programmation seraient libérés des préoccupations de sécurité mineures et laissés à se concentrer sur des problèmes de sécurité plus vastes et plus intensifs à mesure qu'ils évoluent.

L'établissement de normes de base mettrait un "plancher" de sécurité minimum sous tous les systèmes pour protéger à la fois les entreprises qui achètent les services et les fournisseurs lors du déploiement de systèmes dans des entreprises avec des systèmes de sécurité inadéquats ou faibles.

Les défis de sécurité continueront de croître avec l'IoT

Les défis de sécurité auxquels font face les fournisseurs de services IoT industriels et leurs entreprises clientes sont en croissance. Beaucoup n'insistent pas fortement sur le côté sécurité de l'équation, mais en ne le faisant pas, une opportunité est manquée. De nombreux dirigeants ont indiqué qu'ils seraient prêts à payer plus pour les appareils et services IoT si des solutions de sécurité faisaient partie du paquet. Mais alors que l'industrie continue de croître, de nouveaux services incluant la sécurité dans la plateforme, ou des partenariats solides avec des fournisseurs de sécurité tiers, gagneront une position plus forte sur le marché.