Un objet connecté reste vulnérable et un réseau étanche n’existe pas, c’est pour ces raisons qu’il faut disposer d’une défense en profondeur sur tous les composants. Et cette défense passe par plusieurs aspects et fonctionnalités. Déjà le chiffrement, en effet, toutes les informations qui transitent dans la chaîne de gestion des objets connectés (équipements et plateformes) doivent être chiffrées. Cette opération garantit une totale illisibilité des données même si ces dernières sont interceptées. Ensuite, comme le mentionne Yavor Gueorguiev, Application Delivery Manager chez Genetec France, les objets connectés doivent être mis à jour régulièrement, pour ce faire, les failles doivent être communiquées par les fabricants et les corrections facilement accessibles depuis des plateformes de patch management par exemple. La surveillance et l’observabilité en temps réel jouent un rôle primordial dans ce processus de sécurisation de l’IoT, une détection précoce de toute activité suspecte permettra d’apporter une réponse rapide en cas de menace avérée. « C’est dans cette optique que nous avons racheté Splunk pour disposer d’un datalake qui regroupe toutes les informations y compris celles issues de l’IoT », précise à ce titre Fabien Maisl, global marketing Industrial IoT chez Cisco   

De l’importance de l’authentification des machines et des utilisateurs  

En outre, un objet connecté doit aussi disposer d’une identité qui s’active par son authentification en se connectant à une passerelle ou à un serveur central. En complément à cette authentification, il faut s’assurer que seuls les utilisateurs autorisés peuvent accéder aux données et aux appareils. Ces autorisations fixées en fonction de droits garantissent que les utilisateurs ont uniquement accès à ce qui leur est nécessaire. « C’est bien dans ce contexte que nous avons développé notre plateforme logicielle de sécurité physique unifiée en autorisant ou pas l’accès aux utilisateurs en fonction de leurs droits », précise Yavor Gueorguiev. A cela s’ajoute la nécessité de gérer rigoureusement et préalablement les identités et des accès. En effet, l’objectif des systèmes de gestion des identités et des accès est de s’assurer que l’authentification et l’autorisation s’effectuent correctement de façon simple, rapide et automatisée. Selon Grégory Gatineau, Category Manager chez HPE Aruba Networking, c’est toute la partie SSE (Security Service Edge) qui rentre en jeu, permettant de vérifier l’identité des utilisateurs et des machines et de gérer les privilèges accordés. Sans ce type de solution, c’est à un référent dans l’entreprise de suivre manuellement chaque entité qui a accès à ses systèmes, la méthode utilisée et le moment de l’accès. Compliqué donc !  

De l’approche security by design aux bug bounty  

Bien sûr, toutes ces mesures sont à mettre en parallèle à cette approche de security by design que doit prendre en compte le fournisseur de l’objet connecté. Celle-ci vise à réduire les risques de failles et à renforcer la cybersécurité dès le début du processus de développement. Car en intégrant des mesures de sécurité dès la conception, on évite déjà certaines vulnérabilités qui pourraient être exploitées par des attaquants. Toutefois, une approche de security by design nécessite de mettre en place des équipes et peut-être même une stratégie SecDevOps qui donne la priorité à la sécurité afin que les organisations puissent se rappeler de l'inclure à chaque étape et mieux éviter les risques d'intrusion. A cela, des phases de pentests sont recommandées pour éprouver la sécurité d'un objet et/ou la mise en œuvre de plateformes de Bug Bounty (YesWeHack, Yogosha, etc.) qui consistent à faire appel à des hackers éthiques capables de signaler de potentielles failles de sécurité. Toutes ces mesures coûtent chères, et les budgets liés à la sécurité IT ne sont pas forcément très élevés, de l’ordre de 5 à 20 % du SI suivant le secteur d’activité selon Numeum.