Des faits réels, des conséquences réelles, et les enseignements qu’on en tire
La sécurité de l’IoT fait souvent l’objet de discussions en termes abstraits.
Chiffrement. Certificats. Modèle « Zero Trust ».
Ce sont des sujets importants, mais ils ne traduisent pas toujours le sentiment d’urgence.
Rien ne vaut les faits réels pour illustrer cela.
Au cours des dernières années, plusieurs failles de sécurité très médiatisées liées à l’Internet des objets (IoT) ont mis en évidence une même réalité dérangeante :
La plupart des incidents de sécurité liés à l’IoT ne sont pas le fait de pirates informatiques sophistiqués,
mais résultent de faiblesses architecturales et opérationnelles élémentaires.
Ce blog explore des scénarios concrets liés à la sécurité de l’IoT, leurs conséquences et, surtout, la manière dont ils auraient pu être évités.
Le mythe du « on s’en occupera plus tard »
L’une des hypothèses les plus dangereuses dans le domaine de l’IoT est la suivante :
« Nous mettrons en place des mesures de sécurité dès que le produit sera disponible. »
Dans le domaine de l’IoT, « plus tard » signifie souvent :
- une fois les appareils déployés
- une fois le matériel réparé
- une fois la connexion verrouillée
À ce stade, les options sont limitées et les coûts montent en flèche.
Scénario d’incident n° 1 : appareils exposés à l’Internet public
L’une des failles de sécurité les plus courantes dans le domaine de l’IoT est tout simplement l’exposition.
Dans de nombreux cas :
- les appareils étaient accessibles depuis l’Internet public
- les ports par défaut étaient ouverts
- l’authentification était insuffisante ou inexistante
Les pirates n’ont pas eu besoin d’exploits « zero-day ».
Ils se sont contentés de scanner Internet.
Conséquences:
- prise de contrôle d’un appareil
- fuites de données
- perturbation du service
- atteinte à la réputation
Cause première: absence d’isolation au niveau du réseau.
Scénario d’incident n° 2 : réseaux plats et confiance illimitée
Un autre problème récurrent concerne l’utilisation d’architectures réseau plates.
Dans ces configurations :
- Tous les appareils partagent le même segment de réseau
- un appareil compromis peut infecter d’autres appareils
- les déplacements latéraux sont faciles
Conséquences:
- les petites failles finissent par devenir systémiques
- les assaillants se déplacent d’un navire à l’autre au sein de la flotte
- les incidents s’aggravent rapidement
Cause première: absence de segmentation. Absence de contrôle du rayon d’explosion.
Scénario d’incident n° 3 : aucune visibilité avant qu’il ne soit trop tard
De nombreuses organisations ne découvrent les incidents de sécurité liés à l’IoT qu’après :
- les clients se plaignent
- les services ne fonctionnent pas
- des consommations de données anormales apparaissent sur les factures
À ce moment-là, le mal est déjà fait.
Conséquences :
- réponse lente
- portée incertaine de l’impact
- coupures prolongées
Cause première: manque de visibilité et de suivi en temps réel.
Le coût réel des failles de sécurité liées à l’Internet des objets
Les incidents de sécurité liés à l’IoT se limitent rarement à des aspects techniques.
Ils deviennent rapidement :
- questions juridiques
- problèmes de conformité
- crises de confiance des clients
- préoccupations au niveau du conseil d’administration
Dans les secteurs réglementés, elles peuvent également entraîner :
- amendes
- rappels obligatoires
- refonte imposée
Le coût indirect dépasse souvent de loin celui de la solution technique.
Comment ces incidents auraient pu être évités
La plupart des scénarios catastrophe en matière de sécurité de l’IoT présentent les mêmes failles, qui pourraient pourtant être évitées.
- Isolation au niveau du réseau: utilisation d’APN privés ou de mécanismes équivalents pour empêcher les appareils d’accéder à l’Internet public.
- Segmentation et confinement: concevoir des architectures qui tiennent compte des défaillances et limitent la portée des incidents.
- Une approche de la sécurité axée sur le cycle de vie: sécuriser les appareils tout au long de leur durée de vie, et pas seulement lors de leur mise sur le marché.
- Préparation opérationnelle: une répartition claire des responsabilités, des procédures de gestion des incidents et la capacité à agir rapidement.
La sécurité est une discipline opérationnelle
L’un des principaux enseignements tirés d’incidents réels est le suivant :
La sécurité de l’IoT n’est pas seulement un problème technique.
Il s’agit d’une discipline opérationnelle.
La technologie permet d’assurer la sécurité, mais ce sont les opérations qui déterminent si elle fonctionne concrètement.
Conclusion
Avec le recul, chaque incident de sécurité lié à l’IoT semble évident.
Les signes avant-coureurs étaient bien là :
- exposition
- manque de visibilité
- confiance excessive
- décisions reportées
La différence entre les organisations qui parviennent à surmonter les incidents et celles qui n’y parviennent pas est simple :
Ils anticipent les défaillances avant même qu’ elles ne surviennent.