Cybersécurité dans l'IoT : indispensable et pourtant négligée

À propos de cette offre

Pour les fabricants et les exploitants d'applications IoT, la sécurité joue souvent un rôle secondaire. Cela peut se retourner contre eux. Sans prise en compte de la cybersécurité, l'appareil IoT devient une porte d'entrée pour les cybercriminels : l'infrastructure de l'entreprise devient une zone à haut risque. Découvrez dans cet article de blog les trois aspects pertinents de la sécurité IoT.

L'Internet des objets (IoT) se déploie à grande vitesse dans tous les secteurs et marchés, et le réseau IoT devient de plus en plus dense – y compris dans l'environnement industriel (IIoT). Ainsi, les applications IIoT pénètrent plus fréquemment dans des domaines plus critiques de notre société numérique. Les appareils connectés deviennent la norme dans des secteurs tels que la technologie médicale et les infrastructures critiques. Les risques augmentent donc de manière drastique et ont un impact massif et négatif sur les entreprises et l'économie à travers des incidents cybernétiques dangereux. Outre la perte de confidentialité et les perturbations de la disponibilité des données, les manipulations de données, notamment dans les domaines de la médecine, de la pharmacie, des transports et des infrastructures critiques, peuvent avoir des conséquences dramatiques pour la vie humaine. Et pourtant : le sujet de la cybersécurité est encore souvent minimisé, voire ignoré, dans les applications IIoT aujourd'hui.

Les cyberattaques sur les appareils IIoT sont une réalité

De nombreuses entreprises qui exploitent déjà des applications IIoT sont mal préparées aux cyberattaques. Les principaux risques proviennent des appareils IIoT insuffisamment protégés eux-mêmes (capteurs, actionneurs, passerelles). En plus des vecteurs d'attaque classiques comme les e-mails, ces appareils sont de plus en plus utilisés par les attaquants comme porte d'entrée dans l'infrastructure de l'entreprise ou comme tremplin pour compromettre d'autres systèmes au sein d'infrastructures segmentées. Les principales vulnérabilités responsables sont : le trafic des appareils IIoT est souvent non chiffré, les appareils IIoT fonctionnent 24h/24, toujours en ligne, sont mal entretenus et rarement surveillés. De plus, combinés à la connaissance de leur environnement d'utilisation, ils fournissent des informations sur l'identité de l'utilisateur ou de l'entreprise. Les cybercriminels exploitent délibérément les failles de sécurité IoT existantes. Ainsi, des chaînes de production entières peuvent être paralysées, des données clients manipulées, des entreprises extorquées ou même de l'espionnage industriel pratiqué. Dans le pire des cas, des vies humaines sont en danger. L'augmentation massive des cyberattaques devrait en fait contraindre les fabricants et exploitants à agir.

Une connectivité IoT sécurisée ne suffit pas

Les fournisseurs classiques de cybersécurité se concentrent souvent aujourd'hui sur des connexions réseau sécurisées depuis les périmètres vers l'exploitant, le fournisseur cloud ou l'utilisateur. Cette prise en compte est fondamentalement correcte, mais ne représente qu'une partie des mesures nécessaires. Pour protéger un écosystème IoT de manière complète et « de bout en bout », il faut en plus des appareils IIoT sécurisés et un savoir-faire pour une intégration sécurisée dans une infrastructure réseau existante. Par exemple, dans le domaine de la technologie médicale, les organismes réglementaires ont également reconnu cela et édictent des exigences en matière de cybersécurité des dispositifs médicaux, comme la Food and Drug Administration (FDA) aux États-Unis et le Règlement sur les dispositifs médicaux (MDR) de l'UE.

Les trois aspects pertinents de la sécurité IoT : sécurité en matière de connectivité, produit et intégration

« Security by Design » est la devise pour les fabricants

Une considération complète de la sécurité doit donc être intégrée dès le développement du produit. Ajouter ultérieurement des composants et fonctions de sécurité aux produits IIoT est risqué et coûteux. Un design matériel et logiciel sécurisé avec validations et contrôles de plausibilité, une séparation stricte des données, la traçabilité, des interfaces sécurisées, la surveillance et la capacité de mise à jour doivent être planifiés et mis en œuvre de manière cohérente dès le départ. « Security by Design » est l'approche efficace et durable. Ce n'est qu'ainsi que les fabricants peuvent développer des produits pouvant être mis à jour, qui s'adaptent en exploitation aux risques cybernétiques changeants et restent utilisables plus longtemps pour les exploitants.

Les exploitants doivent exiger les aspects de sécurité

Les exploitants ont également une responsabilité : lors de l'évaluation d'un nouvel appareil IIoT connecté au réseau, il faut regarder de plus près. Ils doivent exiger et vérifier auprès du fabricant des informations détaillées concernant les aspects de sécurité : connectivité, produit IIoT sécurisé, intégration sécurisée et gestion des données. Ce n'est qu'ainsi qu'ils peuvent s'assurer que leur infrastructure IT/OT ne devient pas un facteur de risque avec les nouveaux produits connectés achetés.

Facteur de succès pour fabricants et exploitants

Avec « Security by Design », les fabricants acquièrent un avantage concurrentiel décisif et un accès au marché supplémentaire en minimisant les risques cybernétiques pour leurs produits et applications. Les exploitants peuvent compter sur une solution sécurisée, minimiser leurs risques opérationnels et prolonger la durée de vie des produits. Il est donc avantageux pour toutes les parties d'investir davantage à l'avenir dans la sécurité IIoT ou la cybersécurité des produits.

Les compétences spécifiques aux trois aspects de la sécurité IoT, qui s'étendent sur l'ensemble du cycle de vie d'un produit, se différencient clairement des compétences classiques en cybersécurité pour les infrastructures IT, qui se sont établies ces dernières années dans les entreprises. Il est judicieux de faire appel à des experts en sécurité IoT spécifiques au projet pour atteindre une sécurité IIoT globale et durable. Ainsi, les équipes de développement des fabricants peuvent se concentrer sur leur cœur de métier – développer des appareils IIoT innovants – et économiser des ressources humaines.

Gagner du temps de mise sur le marché

La grande complexité des écosystèmes IoT complique la garantie de la sécurité en l'absence des connaissances spécifiques nécessaires. C'est pourquoi les entreprises doivent se poser la question « Make or Buy ? » : devons-nous développer nous-mêmes l'ensemble des connaissances très spécifiques en sécurité IoT ou est-il plus judicieux de faire appel à des experts spécifiques au projet ?

CyOne Security soutient les fabricants et exploitants d'applications IoT avec son savoir-faire approfondi pour atteindre la cybersécurité IoT la plus élevée, durable et complète possible. Ainsi, les clients n'ont pas à développer toutes les compétences en sécurité, mais peuvent obtenir les compétences manquantes auprès d'un expert pour chaque projet. Ils gagnent ainsi du temps de mise sur le marché et peuvent se concentrer sur leur cœur de métier.

« IoT Security – Make or Buy ? » – vaut-il la peine de développer en interne les compétences nécessaires en sécurité IoT et cybersécurité produit ou est-il préférable de les acheter spécifiquement pour chaque projet ? Nos listes de contrôle décisionnelles vous aident dans ce choix.