Trois résolutions de sécurité IoT à mettre en œuvre en 2024

IoT devices have evolved quite a bit since the first network-connected vending machine was invented in 1982. In 2024, the potential of IoT innovation is nothing short of transformative. 

But along with opportunity comes risk. Each individual connected device presents a potential access point for a malicious actor. At scale — electronic shelf labels deployed by a grocery store chain, or smart boards deployed across a school district, for example — the attack surface swells to an untenable dimension. That’s part of the reason why IoT attacks grew 400% from 2022 to 2023. 

Lorsqu'il est intégré dans les processus d'entreprise, comme un bras robotique connecté dans une usine, chaque appareil représente un point de défaillance potentiel qui peut entraîner des temps d'arrêt et une baisse de la productivité.

Many organizations, including device manufacturers and organizations leveraging those devices, aren’t sure where to begin regarding IoT security strategy. That’s why Keyfactor compiled its first-ever global IoT security report, Digital Trust in a Connected World: Navigating the State of IoT Security.

Le rapport montre comment les organisations et les fabricants d'appareils réfléchissent et élaborent des stratégies pour la sécurité sur le site IoT .

Alors que les responsables de la sécurité se projettent en 2024, le rapport révèle trois résolutions qu'ils peuvent prendre pour commencer à améliorer la sécurité sur IoT , quel que soit le stade où ils se trouvent dans leur parcours de sécurité. 

Résolution 1 : Faire en sorte que les pannes de certificats appartiennent au passé.

Digital certificates play a big part in how IoT devices function. A certificate is built into every device. When that device turns on for the first time, the certificate lets the device know it can trust the manufacturer’s server or API. Note – this is a drastic simplification, as there are many critical functions that are performed through the certificate handshake.

Mais si le certificat expire, l'appareil ne sait plus à quoi se fier. Il ne fait alors plus confiance à rien et cesse de fonctionner. 

The State of IoT Security report shows that 98% of organizations experienced a certificate-related outage in the past 12 months. For the average device manufacturer, these outages caused losses of more than $2.25 million. 

Ces types de pannes sont les symptômes d'une mauvaise gestion plus profonde des cycles de vie des certificats.

As devices grow in volume and usage, getting a handle on certificate management is crucial. The solution is to centralize certificate management into a single, universal hub, and then automate the discovery, monitoring, revocation, and re-issuance of certificates. 

Résolution 2 : Définir ce à quoi ressemble la sécurité IoT et ce qu'elle exige pour votre organisation.

IoT Les vulnérabilités peuvent être une sorte d'angle mort pour les organisations. 

Le rapport IoT montre que seulement 43 % des organisations pensent qu'elles sont "aussi bien protégées que possible" contre les attaques IoT , tandis que 56 % reconnaissent que leur organisation n'est pas suffisamment sensibilisée et ne dispose pas de l'expertise nécessaire pour se préparer aux attaques IoT .

Les organisations qui manquent de confiance dans la défense de leurs appareils IoT devraient avoir une visibilité sur l'état de la sécurité IoT au sein de l'entreprise.

Les concepteurs et les fabricants de produits devraient élaborer des politiques qui prennent en compte la sécurité dès le début du projet, plutôt que de l'ajouter à la fin. 

IoT devices come with finite resources — power consumption, processing power, budgetary restraints, etc. Considering the security demands at the beginning can inform product design in terms of hardware, chip selection, and other factors, which creates more space for security controls within the limits of the device. 

Les organisations qui exploitent les appareils IoT doivent s'efforcer d'obtenir une visibilité en identifiant le nombre d'appareils qui se connectent au réseau. D'où se connectent-ils ? Qui les utilise ? Quelles équipes utilisent les appareils IoT , et quels appareils utilisent-elles ? 

À partir de là, les organisations peuvent identifier les lacunes et élaborer un plan pour réduire les risques qui leur sont propres. La compréhension de ces particularités peut guider la recherche de fournisseurs et de partenaires qui apporteront le plus de valeur à l'organisation.

Une fois que les organisations ont compris la dynamique de leur propre paysage IoT , elles peuvent identifier les lacunes et élaborer un plan pour y remédier. 

In the 2023 Gartner® 2023 Hype Cycle™ for Digital Identity, organizations can find identity-first best practices to make smarter technology decisions.

Les organisations qui parviennent à la visibilité en centralisant les identités des appareils sont mieux informées lorsqu'elles élaborent leur approche de la sécurité IoT et mettent en œuvre des politiques qui maintiennent cette sécurité. 

Résolution 3 : Prendre de l'avance sur les nouvelles réglementations IoT .

Les gouvernements et les organismes de réglementation s'accordent sur le fait que la sécurité du site IoT est une responsabilité partagée. Les utilisateurs finaux doivent adopter une hygiène de sécurité de base, les organisations doivent adopter des outils et concevoir des systèmes qui favorisent la sécurité, et les concepteurs et fabricants d'appareils doivent veiller davantage à concevoir des appareils plus sûrs. 

Ce consensus se distille lentement mais sûrement dans les politiques. 

• The EU’s Cybersecurity and Cyber Resilience Acts put forth legislative frameworks that, among many objectives, set certification standards for digital and connected devices.
• In June of 2023, the White House directed agencies to prioritize technologies that were secure by design. This falls in line with the pillars of the Biden administration’s broader cybersecurity security strategy released in the spring of 2023. 
• While there is no hard law demanding device security, the Biden administration enacted a cybersecurity labeling program to designate smart products that resist attacks.  
• The Matter standard seeks to standardize smart home devices around a universal protocol, which will cut complexity and enable manufacturers to get products to market faster. The Matter standard strictly lays out security requirements for devices. 

Quatre-vingt-dix-huit pour cent des personnes interrogées dans le cadre du rapport IoT ont déclaré que les réglementations avaient un impact sur leur développement de produits IoT et connectés. Il est logique de supposer que la législation et les normes imposent des responsabilités accrues aux organisations qui utilisent et fabriquent des appareils connectés. 

Face à l'imprévisibilité, la crypto-agilité permet aux organisations de réussir.

Historiquement, l'adaptation aux nouvelles normes et aux nouveaux algorithmes cryptographiques a été loin d'être facile. Toutefois, l'omniprésence des technologies numériques, des identités des machines et des appareils connectés a fait évoluer les solutions et les méthodologies qui permettent aux organisations de s'adapter en douceur aux nouvelles exigences. 

In the IoT and machine identity context, this is known as crypto-agility. Crypto-agility allows organizations to respond quickly to authentication and certificate issues, manage machine identities at scale, and change out cryptographic algorithms fluidly. 

Tout en restant à l'écoute des nouvelles réglementations, les entreprises devraient également développer la crypto-agilité au sein de l'organisation. En plus de la centralisation, de l'automatisation et de la stratégie présentées dans nos deux résolutions précédentes, les organisations peuvent établir une feuille de route pour la prochaine phase de leur évolution et lier plus étroitement la sécurité à l'innovation.

Faire le lien entre les mondes physique et numérique - en toute sécurité

Pour de nombreuses organisations, la sécurité du site IoT est un défi de "l'inconnu".

Une fois qu'un appareil quitte la chaîne de montage et est vendu à un utilisateur final, il est impossible de savoir dans quel type d'environnement cet appareil peut se retrouver. Les fabricants d'appareils ont déclaré que leurs plus grands défis en matière de sécurisation des appareils qu'ils produisent sont les suivants : 

1. L'incapacité à quantifier l'impact de la menace que représentent les dispositifs de tierce partie IoT
2. Le manque de visibilité et de gestion des appareils  

Bien que les budgets consacrés aux dispositifs IoT augmentent, 52 % de ces budgets risquent d'être détournés pour couvrir le coût des brèches et des attaques IoT . 

Aujourd'hui comme demain, les organisations ne peuvent plus se permettre une sécurité insuffisante sur le site IoT . Il faut en faire une priorité. Il est essentiel de veiller à ce que la sécurité des produits soit gérée tout au long de leur cycle de vie afin de prévenir le risque de nouvelles menaces provenant de nouveaux vecteurs d'attaque.

Gartner, Hype Cycle for Digital Identity, 2023, Ant Allan, Nathan Harris, 26 juillet 2023. GARTNER est une marque déposée et une marque de service de Gartner, Inc. et/ou de ses filiales aux États-Unis et dans le monde, et HYPE CYCLE est une marque déposée de Gartner, Inc. et/ou de ses filiales et est utilisée ici avec autorisation. Tous les droits sont réservés.