Services de sécurité de l’IoT
Les appareils IoT sont déployés parce qu’ils apportent une solution à un problème métier — un capteur, une caméra, un lecteur de badge intelligent — et la sécurité est généralement une réflexion après coup, ajoutée a posteriori, si tant est qu’elle soit prise en compte. Ces appareils sont souvent livrés avec des identifiants faibles ou codés en dur, ne bénéficient que de rares (voire d’aucune) mises à jour de sécurité, et disposent d’un accès au réseau bien plus étendu que ne l’exige réellement leur fonction.
Le risque ne réside pas uniquement dans l’appareil lui-même. Il réside dans ce à quoi l’appareil peut accéder une fois qu’il a été compromis. Une seule caméra non mise à jour sur un réseau plat peut servir de point d’ancrage pour accéder à tout le reste de ce réseau ; c’est pourquoi la sécurité de l’IoT doit être abordée autant sous l’angle du réseau que sous celui des appareils.
Par où je commencerais
Premièrement, l’inventaire : vous ne pouvez pas sécuriser ce dont vous ignorez l’existence, et l’« IoT fantôme » — ces appareils que quelqu’un a branchés sans en informer personne — est extrêmement courant. Deuxièmement, la segmentation : les appareils IoT doivent être placés sur leur propre segment de réseau avec un accès strictement délimité, et non sur le même réseau plat que vos systèmes financiers. Troisièmement, le cycle de vie : qui est responsable des mises à jour du micrologiciel, de la rotation des identifiants et de la mise hors service lorsqu’un appareil arrive en fin de vie ou est remplacé ?
Évaluation de ce que vous avez déjà déployé
Pour les appareils déjà en production, j’évalue ce à quoi ils peuvent réellement accéder, quelles informations d’identification ils utilisent et si leur micrologiciel est à jour — puis je hiérarchise les correctifs en fonction de l’exposition réelle, et non de l’intérêt que présente l’appareil. Un thermostat intelligent situé sur un segment isolé est une priorité bien moindre qu’un contrôleur d’accès au bâtiment se trouvant sur votre réseau central.
Il ne s’agit pas d’un projet ponctuel si votre organisation continue d’ajouter des appareils connectés, ce qui est le cas de la plupart d’entre elles. Il est judicieux de mettre en place un processus permanent permettant de vérifier les nouveaux appareils avant leur déploiement, et non après.
Si vous disposez d’un environnement IoT et que vous n’avez pas une idée précise de son champ d’action, examinons la question ensemble.