Examen du biais de survie dans les attaques IoT

Alors que les appareils IoT font leur entrée dans la vie et le foyer des consommateurs, les attaques sensationnelles de IoT font la une des journaux. 

The Verkada video camera hack gave attackers live views into factories (including Tesla’s), hospitals, jails, and more. A casino got hacked through a connected fish tank thermometer. Researchers remotely took control of a Jeep through a firmware vulnerability.

Si les avantages de IoT et des appareils connectés sont indéniables, les risques de sécurité des appareils IoT sont devenus une priorité absolue pour les acteurs de la confiance numérique, c'est-à-dire pour tout le monde. 

But not everyone is on the same page about the risks, as revealed by Keyfactor’s 2023 report, Navigating the State of IoT Security.

• 89 % des organisations exploitant/utilisant le site IoT ont subi des cyberattaques au cours de l'année écoulée. 
• 22 % de ceux qui n'ont pas subi d'attaques déclarent qu'ils n'ont pas de difficultés à sécuriser leurs produits IoT . 
• Pourtant, parmi les organisations qui ont subi des attaques, seules 2 % déclarent ne pas être confrontées à des difficultés.

One reading of these stats could assume these organizations have been proactive and effective in securing their IoT devices. However, another reading may suggest survivorship bias — an assumption that an attack could never happen to them. 

Qu'elles aient subi une attaque ou non, les entreprises ne doivent pas se reposer sur leurs lauriers en matière de sécurisation des appareils IoT . 

Le déficit de confiance

Selon le rapport, la moitié des personnes interrogées reconnaissent que leur organisation manque de sensibilisation et d'expertise pour se défendre contre les attaques IoT , tandis que 43 % pensent qu'elles sont "aussi bien protégées qu'elles peuvent l'être". Par ailleurs, 88 % des personnes interrogées reconnaissent que leur organisation doit améliorer la sécurité de IoT .

Cela montre que la plupart des organisations n'ont pas de vision de la sécurité totale ou de la manière d'y parvenir. En d'autres termes, elles savent qu'une "protection maximale" n'est pas "suffisante". Les organisations qui n'ont pas été victimes d'une attaque peuvent encore avoir des angles morts dans leurs stratégies de sécurité IoT . 

La marée montante

Au cours des trois dernières années, 69 % des organisations utilisant des appareils IoT ont signalé une augmentation des attaques IoT . Au cours de la même période, les entreprises ont constaté une augmentation de 20 % du nombre de produits connectés qu'elles utilisent.

La question de la responsabilité est omniprésente dans la conversation. Qui est à blâmer pour les attaques de IoT ? À qui incombe la responsabilité de les prévenir ? Alors que 38 % des personnes interrogées ont déclaré que le fabricant de l'appareil IoT et l'utilisateur devraient être tenus pour responsables à parts égales, 47 % des personnes interrogées ont déclaré que le fabricant devrait être principalement ou totalement responsable. 

Même si le fabricant de l'appareil est responsable, les organisations utilisatrices en pâtissent. La surface d'attaque s'agrandit et les attaquants tentent de plus en plus d'attaques par le biais de IoT. 

Les coûts augmentent également.

Pour les fabricants, l'interruption moyenne d'un certificat sur les chaînes de fabrication coûte 2,25 millions de dollars. Pas moins de 98 % des fabricants d'appareils ont déclaré avoir subi une telle panne au cours des 12 derniers mois. 

Ce qui fonctionne aujourd'hui pourrait ne pas fonctionner demain ou ne pas fonctionner à grande échelle. Le rapport montre que les organisations recherchent le soutien des fournisseurs lorsque le nombre d'appareils augmente, ce qui prouve qu'elles ont du mal à gérer la croissance et à rester au fait des dernières technologies en matière de sécurité. 

Pression de conformité

Si les attaques n'incitent pas les organisations à poursuivre la sécurité sur IoT , c'est la conformité qui le fera. 

Dans le rapport IoT , 98 % des organisations ont déclaré que les réglementations ont un impact sur le développement de IoT et des produits connectés. Par exemple : 

• The Matter Standard is an open smart home protocol that encourages interoperability, reliability, and security among smart home devices, mobile apps, and cloud services. 
• UNECE 155/156, ISO 15118, and ISO 21434 provide frameworks for security in the automotive industry.
• IEC 62443 lays out a framework for industrial automation control systems that gives operational technology direction on segmenting networks, implementing the principle of least privilege, and encrypting data.
• IEEE 802.1AR sets the foundation for device security, including device provisioning, boot, software updates, and communication.

La conformité est le strict minimum

Whether or not these standards and frameworks make their way into regulations — and which ones, and when — remains to be seen. More likely, consumers and organizations will apply more scrutiny to the connected devices they use. Studies show that security has made its way into the public consciousness.

Les entreprises ont la possibilité de faire de la sécurité un facteur de différenciation sur le marché. Elles feraient bien d'utiliser ces normes comme point de départ, comme boussole et comme strict minimum pour créer la confiance numérique.