L'Internet des objets (IoT) est souvent perçu comme un écosystème technologiquement avancé d'appareils et de systèmes back-end de nouvelle génération. En réalité, le terme a été inventé à la fin des années 1990, et de nombreux produits d'entreprise sont plus banals qu'attrayants : pensez aux imprimantes et aux systèmes de stockage en réseau (NAS). Ils sont également souvent confrontés à des problèmes de sécurité.
C’est pourquoi le gouvernement tient sa promesse de promouvoir la sécurité dès la conception pour toutes les technologies, en particulier celles qui sont essentielles à la productivité et à l’efficacité des entreprises. Cependant, son appel à contributions sur la cybersécurité des objets connectés d’entreprise n’est qu’une première étape dans un processus potentiellement long visant à améliorer la sécurité de base de l’Internet des objets en entreprise. L’avenir nous dira ce qui suivra.
À quel point la sécurité de l’IoT est-elle mauvaise ?
Afin de démontrer la nécessité d'une intervention politique, le gouvernement a chargé le groupe NCC de réaliser une évaluation de la vulnérabilité de certains appareils connectés couramment utilisés en entreprise. Le constat est loin d'être réjouissant.
Au total, le spécialiste en cybersécurité a évalué huit produits : une caméra IP haut de gamme et une caméra IP d'entrée de gamme, un NAS, un panneau de contrôle pour salle de réunion et un appareil VoIP. Parmi les 50 problèmes détectés, un était jugé critique, neuf à haut risque et 24 à risque moyen. Le problème critique concernait un NAS d'entrée de gamme qui ne nécessitait pas la modification du mot de passe par défaut au démarrage. Cependant, le groupe NCC a identifié de nombreux autres problèmes, notamment :
- Plusieurs vulnérabilités « graves » d’exécution de code à distance qui pourraient conduire à une prise de contrôle complète de l’appareil par un attaquant non authentifié
- Logiciel obsolète sur plusieurs appareils, y compris un chargeur de démarrage de caméra IP haut de gamme datant de plus de 15 ans
- Aucune protection contre un attaquant ayant un accès physique à un appareil, qui souhaite le compromettre et y installer une porte dérobée persistante
- La plupart des appareils exécutent tous les processus en tant qu'utilisateur « root », ce qui pourrait donner à un attaquant un contrôle illimité sur un appareil.
- Configuration non sécurisée des services, des applications et des fonctionnalités
- Adhésion inégale à la Principes de sécurité des appareils du NCSC et la norme ETSI EN 303 645
« De nombreux appareils IoT exécutent des processus susceptibles d'accroître le risque de compromission totale du système. Nous avons constaté que ces failles de sécurité résultent souvent d'un développement bâclé, de mesures de réduction des coûts ou de tentatives visant à simplifier la surveillance », explique Jon Renshaw, directeur des services de recherche en sécurité du groupe NCC, à ISMS.online.
« Les conséquences des économies réalisées sont souvent considérables et ont un impact sur la manière dont de nombreuses organisations déploient leurs solutions IoT. »
Trois options sur la table
Selon l'appel à commentaires du gouvernement, le marché de l'IoT d'entreprise se heurte à deux défis majeurs. Le premier concerne les fabricants eux-mêmes. Le gouvernement affirme que la connaissance et l'adoption d'un guide des 11 principes de bonnes pratiques, publié en 2022 par le Département des Sciences, de l'Innovation et de la Technologie (DSIT) et le Centre national de cybersécurité (NCSC), restent faibles.
Le deuxième problème concerne les acheteurs de matériel informatique. Se basant sur des données de 2021, le gouvernement affirme que 58 % des entreprises britanniques n'exigent « aucun contrôle de sécurité ni de procédure d'achat » lorsqu'elles investissent dans de nouveaux appareils connectés. De ce fait, elles utilisent des appareils dont la configuration est non sécurisée, les logiciels obsolètes et les fonctionnalités de sécurité insuffisantes.
C'est pourquoi le gouvernement propose un plan en deux étapes. La première consistera à élaborer un Code de bonnes pratiques pour la sécurité des appareils connectés en entreprise, basé sur les 11 principes. Ce document aidera les fabricants à concevoir et à fabriquer des produits plus sûrs et permettra aux acheteurs potentiels de prendre des décisions d'achat plus éclairées.
La deuxième étape est celle où le gouvernement sollicite le plus l'avis de l'industrie. Ses trois propositions d'« interventions politiques » sont les suivantes :
- Un engagement volontaire Les fabricants d'appareils IoT d'entreprise signeraient un tel accord pour prouver au marché leur sérieux en matière de sécurité. Bien que non juridiquement contraignant, il obligerait les signataires à s'engager publiquement à « montrer des progrès mesurables » par rapport aux principes du code de bonnes pratiques « dans un délai déterminé ».
- Une nouvelle norme mondiale Conçue pour s'appuyer sur les normes existantes, telles que l'ETSI EN 303 645 et le projet ISO 27402, cette norme s'appuierait également sur le code de bonnes pratiques et viserait à établir un consensus international sur les meilleures pratiques. Cependant, cette approche relève davantage de la « carotte » que du « bâton », car, théoriquement, la conformité serait également volontaire.
- La nouvelle législation visant à inscrire les 11 principes et le code de pratique dans la loi. Cela pourrait prendre la forme d'une extension de la Loi de 2022 sur la sécurité des produits et l'infrastructure des télécommunications (PSTI) ou une loi autonome. Le gouvernement admet que, compte tenu de la nature mondiale des chaînes d'approvisionnement de l'IoT, la législation est souvent le seul moyen de garantir que les fabricants respectent les meilleures pratiques.
« Contrairement aux consommateurs, les entreprises sont mieux à même de garantir la mise en place d'importantes mesures de sécurité, notamment en déployant du personnel dédié pour garantir le déploiement rapide des mises à jour de sécurité et corriger les problèmes, et en améliorant la compréhension de leur réseau », précise le gouvernement. « Nous envisagerons donc d'imposer des obligations spécifiques aux entreprises et aux autres utilisateurs finaux pour qu'ils prennent des mesures spécifiques. »
John Moor, directeur général de l'IoT Security Foundation (IoTSF), salue l'intérêt du gouvernement à sensibiliser à la sécurité des appareils et à contacter l'industrie pour déterminer « si encourager les comportements ou les imposer est le plus approprié au devoir de diligence ».
Il explique à ISMS.online que si le code volontaire semble une idée « sensée », la création d'une nouvelle norme de sécurité n'est peut-être pas la solution, car elle risque d'accroître la complexité. Moor privilégie donc l'extension d'une norme existante comme alternative. Il est également sceptique quant à une nouvelle réglementation.
« Le plus difficile est de savoir comment réaliser le changement nécessaire – en maintenant l’équilibre entre les mesures de protection et en évitant d’étouffer l’innovation ou d’encourager des comportements réactifs qui vont à l’encontre de l’intention », soutient Moor.
« Ce que j’ai appris au cours des dix dernières années, c’est qu’une réglementation de ce type est pratiquement impossible à mettre en place correctement – même la loi PSTI, avec ses trois exigences simples, n’est pas simple, et nous sommes conscients d’un certain nombre de préoccupations légitimes de la part de l’industrie. »
Moor affirme que « des complications surviennent et les coûts augmentent rapidement avec le nouvel appareil réglementaire », de sorte qu’une nouvelle législation ne devrait être considérée qu’en dernier recours, lorsque toutes les autres options ont été épuisées.
Renshaw, du groupe NCC, est plus positif à l'égard de la réglementation, affirmant qu'elle peut entraîner des changements de comportement parmi les fabricants d'IoT.
« La législation devrait obliger les fabricants à : effectuer des évaluations indépendantes de leurs produits par des tiers avant leur mise sur le marché ; faire preuve de diligence raisonnable à l’égard de leurs chaînes d’approvisionnement ; tenir compte des vulnérabilités de sécurité qui affectent leurs produits ; et clarifier les rôles et responsabilités des fabricants et des utilisateurs finaux/clients », poursuit-il.
« En s'alignant sur ces points, la législation protégera les données dans l'ensemble des écosystèmes commerciaux et garantira que les fabricants assument la responsabilité de la sécurité de leurs produits. »
Pendant ce temps
Aucune des trois options ci-dessus n'est exclusive, et le gouvernement a demandé à l'industrie si des mesures supplémentaires devaient également être envisagées. Mais cela prendra du temps. L'appel à contributions se termine le 7 juillet, mais le calendrier ultérieur reste incertain. En attendant, les responsables informatiques des entreprises doivent s'assurer de la sécurité de leurs achats et de leur mise en œuvre.
« Les acheteurs d'IoT doivent d'abord mieux comprendre leurs besoins, puis les comparer aux offres du marché. Une fois ces exigences définies, qui doivent inclure une maintenance continue tout au long de la durée de vie prévue, il s'agit de choisir les meilleurs fournisseurs pour y répondre », explique Moor.
Les fabricants devraient être testés sur leur approche de sécurité intégrée et leur support de maintenance. Les acheteurs devraient exiger au minimum des solutions sécurisées par défaut.
Renshaw, du groupe NCC, conseille aux acheteurs d'objets connectés de privilégier des fournisseurs « ayant une solide expérience en matière de sécurité et un engagement envers les normes du secteur ». Il ajoute qu'un support continu et des mises à jour régulières du micrologiciel sont également importants. Il soutient que les acteurs de la défense du réseau devraient s'appuyer sur une « gestion robuste des vulnérabilités », une segmentation et une surveillance du réseau pour atténuer les risques.
L'IoTSF tient à jour un cadre d'assurance de sécurité IoT très pratique qui recense toutes les normes et réglementations existantes et émergentes, y compris cette proposition et le règlement européen sur la cyber-résilience (CRA). Ce cadre peut aider aussi bien les fabricants que les acheteurs à s'y retrouver dans un environnement réglementaire de plus en plus complexe.
