La sécurité IoT et l’entreprise: introduction à la pratique

La sécurité IoT et l’entreprise: introduction à la pratique

L’Internet des objets (IoT) se développe rapidement. Les recherches menées par IoT Analytics font apparaître plus de 7 milliards d’appareils IoT connectés, alors que les entreprises cherchent à étendre leur portée, à optimiser la collecte de données et à améliorer la prise de décision stratégique. Mais une adoption rapide crée de nouveaux problèmes de sécurité pour l’IoT, dus à des failles inhérentes qui exposent les données à un risque de «militarisation» des périphériques connectés. Et ces risques ne font pas de distinction: les entreprises qui commencent à peine à adopter l’IoT, cherchent à étendre leur réseau actuel ou cherchent à devancer les appareils connectés, se heurtent aux mêmes défis pour gérer, surveiller et sécuriser les environnements IoT.

Bien qu’il soit facile de trouver des pistes de réflexion sur l’inquiétante évolution de l’Internet des objets, il est plus difficile de rechercher des informations exploitables sur les véritables enjeux, les responsabilités et la façon dont les entreprises peuvent adopter une défense de bout en bout. Si vous avez besoin d’un bon point de départ, poursuivez votre lecture pour découvrir un guide pratique et utile sur la sécurité IoT d’entreprise.

Déballer l’Internet des objets

Recherchez les «menaces IoT» et vous trouverez des centaines de blogs de sécurité en chute libre qui expliquent la nature omniprésente des risques liés aux appareils connectés. Le problème est que la plupart ignorent le rez-de-chaussée: qu’est-ce que l’internet des objets? Comment ça marche? Pourquoi est-ce important?

L’internet des objets est à la base «le concept de connexion de tout appareil à Internet et à d’autres appareils connectés». Une plate-forme IoT est ensuite utilisée pour collecter et gérer les données provenant de plusieurs capteurs d’appareil et fournir des informations commerciales.

En règle générale, la portée et les fonctionnalités des appareils IoT sont limitées: une caméra connectée est un appareil IoT car elle remplit une fonction unique, alors qu’un smartphone ne l’est pas – mais peut être utilisée pour alimenter une plate-forme IoT. En agrégeant des milliards de points de données en temps réel dans des environnements auparavant inaccessibles, les entreprises ont tout à gagner d’une emprise stratégique sur les tendances clés, l’identification des problèmes potentiels et l’amélioration de la valeur de la marque.

Les réseaux IoT offrent un potentiel énorme: comme le souligne Forbes, plus de 70% des dirigeants déclarent que l’IoT génère déjà des revenus accrus, et 94% s’attendent à une augmentation de 5-15% de leurs bénéfices au cours de la prochaine année.

IoTSécurité – Une histoire de vitesse et d’échelle

Les cyberattaquants ne sont pas intéressés par des combats acharnés visant à compromettre les réseaux d’entreprise. C’est pourquoi les attaques de phishing sont toujours l’un des vecteurs de menace les plus répandus – et les plus rentables. Les utilisateurs restent des points faibles dans la sécurité des entreprises, ce qui en fait des cibles faciles pour les acteurs de la menace.

Le récit émergent de la sécurité IoT, quant à lui, est façonné par deux forces clés: la vitesse et l’échelle. Comme le note Internet of Business, la précipitation à fournir des appareils IoT prêts à être mis sur le marché signifie que la sécurité est souvent ignorée au profit de la fonctionnalité, ouvrant ainsi la porte aux attaques par botnet et aux attaques par type de déni de service distribué (DDoS) qui exploitent les technologies connectées (et non protégés). Les fabricants et les utilisateurs d’appareils contribuent à cet environnement de sécurité préoccupant: comme le souligne l’article sur l’IoB, seulement 28% des entreprises estiment que les stratégies de sécurité spécifiques à l’IoT sont «très importantes», malgré les plans visant à adopter ces appareils en plus grand nombre.

L’ampleur de l’interaction du réseau IoT est également problématique pour la sécurité. Au-delà des exigences traditionnelles en matière de confidentialité, d’intégrité et de disponibilité, la sécurisation efficace des périphériques IdO requiert une authentification et une autorisation en temps réel. En conséquence, les réseaux IoT en expansion renforcent rapidement la complexité de la sécurité, offrant aux acteurs menaçants des opportunités pour mener des attaques physiques telles que des attaques de type intercepteur (Mit-M), des attaques réseau telles que l’usurpation d’identité ou le clonage, des attaques logicielles exploitant l’accès volé les identifiants, ou les attaques de chiffrement qui ciblent l’implémentation d’un algorithme clé.

BYOD 2.0?

S’il est tentant de considérer la sécurité IoT comme un défi d’entreprise unique, il présente des similitudes frappantes avec un autre problème informatique récent: le BYOD (bring-your-own-device). Tout comme les appareils mobiles exploitant le réseau de l’entreprise, les technologies IoT arrivent souvent sans contrôle de l’entreprise ou supervision informatique. Combinés à des capacités techniques en rapide amélioration, telles que le transfert de données et la communication entre équipements, les composants IoT et leurs homologues mobiles supportent des risques similaires.

La différence essentielle réside dans le fait que les appareils IoT ont le surnom de BYOD 2.0 car ils sont souvent cachés à la vue de tous, soit intégrés à des produits plus volumineux, soit passés inaperçus en tant qu’outils uniques de collecte de données. Des données d’enquêtes récentes montrent que 48% des entreprises ne peuvent pas détecter tous les périphériques connectés sur leur réseau, ce qui crée un paradoxe: elles doivent protéger ce qu’elles ne peuvent pas voir, même si elles ne savent pas comment trouver ou sécuriser des périphériques à grande échelle. . En conséquence, tout comme les déploiements BYOD de première génération, les entreprises tentent – mais échouent souvent – de sécuriser les réseaux critiques IdO.

Risque: c’est votre affaire

L’état de la sécurité IoT est en constante évolution, mais il existe suffisamment de données pour énoncer cinq faits incontestables:

  1. À mesure que les données s’accumulent, les expositions augmentent.
  2. Les configurations IoT faibles persisteront.
  3. Les secrets partagés ne resteront pas secrets.
  4. La sécurité des logiciels se dégradera avec le temps.
  5. Les appareils fonctionneront dans des environnements sécurisés et hostiles.

Qu’est-ce que cela signifie pour les entreprises cherchant à protéger leurs appareils et leurs données? Ce risque est désormais l’affaire de tous. Tout d’abord, les fabricants de périphériques et les développeurs mettent en place des contrôles de sécurité de niveau logiciel et matériel afin de réduire les risques de compromis. Les microprogrammes et logiciels de sécurité inexistants (ou impossibles à mettre à jour) ne sont plus une option.

Les utilisateurs finaux assument également la responsabilité du bon fonctionnement des appareils IoT, ce qui inclut le contrôle de l’accès aux données sensibles et le maintien de la sécurité des détails du compte. Les administrateurs informatiques, les intégrateurs et les responsables de la suite C, quant à eux, doivent déployer des solutions intelligentes capables de défendre les endpoint à grande échelle.

Adoptez une approche de gestion multicouche

Il n’ya pas de solution facile pour la sécurité de bout en bout de l’IoT. Le grand nombre de périphériques, l’étendue de la complexité et la rapidité d’adoption empêchent les entreprises de suivre le rythme des menaces émergentes, sans parler des problèmes potentiels. Comme indiqué ci-dessus, le risque lié à l’IdO est maintenant une responsabilité partagée des entreprises, mais pour passer de la reconnaissance conceptuelle à l’efficacité en pratique, il faut adopter une nouvelle approche: la gestion à plusieurs niveaux.

Cela nécessite trois composants clés:

  1. Meilleurs plans – Le design, ça compte. Les appareils IoT avec un micrologiciel qui ne peut pas être mis à jour ou des combinaisons nom d’utilisateur / mot de passe par défaut qui ne peuvent pas être modifiées sont intrinsèquement dangereux. En concevant les technologies et les réseaux IoT autour du concept de sécurité (plutôt que d’essayer de l’intégrer après coup), les entreprises peuvent établir un cadre IoT avant-gardiste.
  2. Intégration continue – Les appareils IoT sont les plus vulnérables quand ils sont au-delà de la supervision informatique et des utilisateurs. En conséquence, les entreprises doivent donner la priorité à l’interopérabilité des périphériques, à la formation des employés et à l’intégration de la sécurité IoT dans les programmes de gestion infosec existants pour optimiser la visibilité.
  3. Protection proactive – La nature évolutive des environnements IoT exige une approche proactive de la conception et de la sécurité des appareils. En anticipant les besoins futurs, tels que l’analyse de données granulaires et le suivi des événements en temps réel, les entreprises peuvent générer une valeur IoT améliorée.
Forger un avenir 5G

Il convient également de noter l’impact croissant des communications 5G sur la sécurité de l’IoT. Les entreprises ne devraient pas encore s’attendre à un déploiement généralisé de la 5G, mais ZDNet a souligné les avantages de cette norme dans la gestion de gros volumes de données à des taux de transaction élevés, afin d’accroître considérablement la valeur de l’IdO. L’avertissement est que cela signifie plus de données en transit pour les attaquants, ainsi qu’une bande passante accrue pour les attaques DDoS basées sur l’IoT. Semblable à l’IdO lui-même, la 5G est à la fois prometteuse et problématique.

L’achat à emporter

Comme l’Internet des objets, la sécurité IoT évolue rapidement. La vitesse et l’ampleur concourent à accroître l’efficacité des attaquants. La protection des actifs critiques de l’entreprise nécessite un changement de responsabilité culturelle associé à de meilleures capacités de conception, de déploiement et de défense.