Comment sécuriser les appareils et les réseaux IoT

Selon un rapport du Government Accountability Office en août, de nombreux organismes fédéraux (56 sur 90 sondés) ont déclaré utiliser les technologies de l’Internet des objets.

Le plus souvent, les agences ont déclaré utiliser l’IdO pour contrôler ou surveiller des équipements ou des systèmes (42 sur 56), contrôler l’accès à des appareils ou des installations (39 sur 56) ou suivre des actifs physiques (28 sur 56) tels que des véhicules de flotte ou des biens d’agence.

Les appareils IoT sont également utilisés pour surveiller la qualité de l’eau, surveiller les frontières du pays et contrôler les navires dans les écluses des voies navigables. En outre, l’utilisation de l’IoT par les agences fédérales pourrait augmenter à l’avenir, puisque 25 des 56 agences utilisant actuellement les technologies de l’IoT ont indiqué qu’elles prévoyaient d’étendre l’utilisation de l’IoT au cours des cinq prochaines années.

«L’IoT peut également permettre la collecte et l’analyse de données sur le monde physique et utiliser les résultats pour mieux éclairer la prise de décision, modifier l’environnement physique et anticiper les événements futurs», déclare le NIST dans son rapport de mai.

Cependant, comme le note le NIST, «les appareils IoT manquent souvent de capacités que les clients peuvent utiliser pour atténuer leurs risques de cybersécurité, tels que les fonctionnalités que les clients attendent régulièrement de leurs ordinateurs de bureau et portables, smartphones, tablettes et autres appareils informatiques.»

En conséquence, ceux qui déploient des solutions IoT «peuvent devoir sélectionner, mettre en œuvre et gérer des contrôles de cybersécurité supplémentaires ou nouveaux ou modifier les contrôles dont ils disposent déjà». Une agence peut ne pas savoir qu’elle doit modifier les processus existants pour s’adapter à la nature unique des appareils IoT.

«Le résultat est que de nombreux appareils IoT ne sont pas sécurisés face à l’évolution des menaces; par conséquent, les attaquants peuvent plus facilement compromettre les appareils IoT et les utiliser pour nuire aux clients d’appareils et mener des actes néfastes supplémentaires (par exemple, un déni de service distribué [DDoS] attaques) contre d’autres organisations », note le NIST.

Avant que les appareils ne soient envoyés aux agences ou à d’autres utilisateurs, le NIST recommande aux fabricants d’appareils IoT d’identifier les clients et les utilisateurs attendus et de définir les cas d’utilisation attendus. Le rapport recommande également aux fabricants de rechercher les besoins et les objectifs de leurs clients en matière de cybersécurité.

Une autre recommandation est de «déterminer comment répondre à ces besoins et objectifs en demandant à leurs appareils IoT de fournir des capacités de cybersécurité des appareils spécifiques afin d’aider les clients à atténuer leurs risques de cybersécurité.» Une quatrième recommandation implique «l’approvisionnement approprié des ressources matérielles et logicielles des appareils pour prendre en charge les capacités de cybersécurité des appareils souhaitées».

Les fabricants d’appareils IoT peuvent également mieux communiquer les risques de cybersécurité à ceux qui utilisent les appareils.

Une publication distincte du NIST, « Considérations relatives à la gestion des risques liés à la cybersécurité et à la confidentialité de l’Internet des objets (IoT)», Note que l’un des principaux objectifs de la sécurité IoT est« d’empêcher un appareil d’être utilisé pour mener des attaques, y compris de participer à des attaques par déni de service distribué (DDoS) contre d’autres organisations, et d’écouter le trafic réseau ou de compromettre d’autres appareils sur le même segment de réseau. »

Une autre consiste à protéger la confidentialité, l’intégrité et / ou la disponibilité des données que les appareils IoT collectent, stockent, traitent ou transmettent. Un troisième objectif est de protéger la vie privée des personnes touchées par le traitement des informations personnellement identifiables «au-delà des risques gérés par la protection de la sécurité des appareils et des données».

EXPLORER: Quels sont les avantages des solutions de protection des terminaux de nouvelle génération?