Un projet de loi bipartite fixant des normes de sécurité minimales pour les appareils de l’Internet des objets connectés aux réseaux fédéraux a été adopté lundi à la Chambre. Le projet de loi attend maintenant un vote au Sénat avant de se diriger vers le bureau du président.

La loi sur l’amélioration de la cybersécurité de l’IoT exigerait que l’Institut national des normes et de la technologie définisse les meilleures pratiques en matière de sécurité des appareils. Le Bureau de la gestion et du budget créerait alors des directives pour que les agences respectent ou dépassent ces normes.

Le projet de loi exigerait également que le Département de la sécurité intérieure publie des conseils sur les divulgations coordonnées de vulnérabilité pour les entrepreneurs et les fournisseurs.

Les législateurs derrière cet effort – les représentants Will Hurd (R-Texas) et Robin Kelly (D-Ill.), Ainsi que les sens. Mark Warner (D-Va.) Et Cory Gardner (R-Colo.) – ont dépensé plus plus de trois ans à essayer de faire franchir la ligne d’arrivée à ce projet de loi.

Kelly a déclaré mardi que l’adoption du projet de loi à la Chambre marquait une étape majeure vers la réduction d’un «écart flagrant dans l’infrastructure de cybersécurité».

«Les appareils IoT sont de plus en plus courants et remplissent de plus en plus de fonctions au sein de notre gouvernement, en particulier dans cet environnement de travail largement numérique créé par COVID-19», a déclaré Kelly lors d’un appel avec des journalistes. «En établissant des normes de base pour la sécurité de ces appareils, nous rendrons notre pays et les données des citoyens américains plus sûrs.»

Avec plus de 10 milliards d’appareils IoT utilisés aujourd’hui, et plus de 25 milliards d’appareils au cours des cinq prochaines années, Warner a déclaré que les agences devraient s’attaquer aux «fruits les plus faciles» en termes de cybermenaces.

«Avant d’augmenter notre vulnérabilité de surface cybernétique de façon exponentielle, ne devrions-nous pas nous assurer que ce que le gouvernement fédéral achète est au moins patchable?» il a dit.

En mars, le lieutenant-général Robert Ashley, directeur de la Defense Intelligence Agency a déclaré au Comité des services armés du Sénat que les cybermenaces émergentes les plus importantes pour la sécurité nationale proviendront de l’exploitation de «nos composants technologiques les plus faibles: les appareils mobiles et l’Internet des objets».

Les appareils IoT varient en sophistication, et les appareils haut de gamme ont des systèmes d’exploitation que les agences peuvent mettre à jour à distance, tandis que les capteurs bas de gamme sont plus difficiles à corriger. Indépendamment de l’appareil, Hurd a déclaré que les agences devraient être conscientes des vulnérabilités connues des appareils IoT.

«C’est vraiment basique – si vous allez introduire un widget dans l’infrastructure numérique du gouvernement fédéral et qu’il a une vulnérabilité connue, vous devez soit le corriger, soit trouver un moyen de le résoudre», a déclaré Hurd.

La plupart des grands fournisseurs d’IoT, a déclaré Warner, «construisent les appareils IoT les plus sophistiqués» et soutiennent généralement la législation.

«Cela n’a pas été difficile avec ces gars-là. Le défi a été que beaucoup de ces appareils connectés à l’IOT sont des capteurs extrêmement bon marché … c’est là que certains des fournisseurs bas de gamme n’ont pas voulu prendre la responsabilité de corriger les vulnérabilités connues », a déclaré Warner .

Warner a déclaré que le Congrès avait travaillé avec l’administration Trump sur plusieurs projets de loi et que la Maison Blanche était à l’aise pour adopter le projet de loi dans sa forme actuelle. Le Comité sénatorial de la sécurité intérieure et des affaires gouvernementales a adopté le projet de loi en juin 2019.

En savoir plus sur la cybersécurité

Les agences s’appuient sur des appareils IoT pour capturer une multitude de données en temps réel. Le département d’État les a utilisés pour suivre les données sur la qualité de l’air dans ses ambassades à travers le monde, tandis que l’armée a fait de ces capteurs un élément fondamental de sa vision de «installations du futur» basées sur les données.

La direction de la science et de la technologie du DHS, quant à elle, a été travailler sur un programme pour voir comment les appareils IoT peuvent réduire la menace d’incendies de forêt.