Top IoT Predictions pour 2023 : Doublement de la sécurité des appareils IoT , introduction de nouvelles normes, etc.

L'internet des objets (IoT) est un sujet brûlant depuis des années. Plus récemment, c'est la sécurité de IoT qui a été mise au premier plan, et ce n'est pas près de changer.

Aussi prometteur que soit le site IoT - qui a d'ailleurs déjà tenu ses promesses - il ne vaut que ce que vaut la sécurité qui l'entoure. Et historiquement, cette sécurité a laissé beaucoup à désirer. Heureusement, les fabricants et les régulateurs ont commencé à accorder une attention beaucoup plus grande à la sécurité des appareils IoT au cours des dernières années, et nous faisons beaucoup de progrès dans ce domaine.

En 2023, nous pouvons nous attendre à voir encore plus de progrès dans la sécurité des appareils IoT . Bien que la voie à suivre reste semée d'embûches, l'introduction de nouvelles normes a contribué à renforcer les meilleures pratiques et bon nombre de ces changements porteront leurs fruits au cours de l'année à venir.

Dans cette optique, quelles sont les plus grandes tendances du site IoT pour 2023 et quels sont les progrès à attendre en termes de sécurité des appareils IoT ? Pour en savoir plus, nous nous sommes entretenus avec Ellen Boehm, vice-présidente senior de IoT Strategies and Operations à Keyfactor. Voici ce qu'elle avait à nous dire.

Keyfactor: Quel est le plus grand défi en matière de sécurité des appareils IoT qui, selon vous, aura un impact sur les organisations à l'horizon 2023 ?

Ellen Boehm: There are certainly a lot of challenges regarding IoT device security, but the biggest one I foresee in 2023 centers around evolving standards and guidelines for product cybersecurity.

Plus précisément, alors que les normes et les lignes directrices en matière de cybersécurité des produits continuent d'évoluer, les équipementiers doivent suivre de près les changements afin de comprendre l'impact sur leurs activités et leurs processus. C'est d'autant plus important - et difficile - que les évolutions de ces normes et lignes directrices peuvent avoir un impact sur tout, du développement des produits au fonctionnement général des appareils, et que les équipementiers devront agir rapidement pour ne pas se laisser distancer.

Keyfactor: Que pensez-vous qu'il faille faire pour rendre les dispositifs IoT plus sûrs ?

Ellen Boehm: The best thing we can do to boost IoT device security is to continue to follow best practices around unique device identities and certificate-based authentication. Ensuring this becomes the standard in 2023 will be essential to strengthening security in other areas going forward.

Keyfactor: La norme Matter innove en établissant la norme pour les politiques et les processus de sécurité en utilisant PKI pour valider la certification et la provenance des appareils. Dans quelle mesure pensez-vous que les organisations adopteront les normes Matter ? Et que peuvent faire les organisations pour s'assurer que les utilisateurs connectent des appareils authentiques, certifiés et à jour à leur domicile et à leur réseau ?

Ellen Boehm: I absolutely think organizations will embrace the standards that Matter has put forth. This is notable since as of now, the Matter standard only covers certain devices (like light bulbs and switches, smart locks, and garage door controllers) but not others (like vacuums and security cameras). Even so, I recently spoke with GE, and they confirmed that the OEMs with which they work are following the recommendations from Matter around enabling interoperability with smart home devices produced by multiple manufacturers. 

Tout simplement, les équipementiers de la maison intelligente reconnaissent maintenant que plusieurs marques seront utilisées dans la maison et qu'ils doivent collaborer pour construire la "maison intelligente du futur" et s'assurer que ces appareils peuvent être utilisés ensemble en toute sécurité. Matter fournit la norme industrielle nécessaire à cette fin, et les équipementiers commencent à adopter ces lignes directrices.

Keyfactor: Y a-t-il des secteurs verticaux spécifiques qui, selon vous, font des progrès particuliers en matière de sécurisation des dispositifs IoT ?

Ellen Boehm: I’ve personally worked with companies in the automotive (V2X, EV charging), medical technology, utilities/metering, transportation, telecommunication, and Industry 4.0 verticals on IoT projects. Notably, all of these companies and their verticals are adopting IoT technologies to advance their product and service capabilities, and thinking through security from the very beginning comes part and parcel with that.

Keyfactor: En janvier 2020, la Californie a adopté la loi sur la sécurité de l'Internet des objets (Internet of Things Security Law), une loi inédite axée sur l'amélioration de la sécurité de IoT qui oblige les fabricants à promouvoir activement la sécurité des appareils IoT . Comment voyez-vous l'impact de cette loi sur l'approche des fabricants en matière de sécurité IoT ?

Ellen Boehm: Manufacturers are typically sensitive to the strictest regulations and then design to those standards if possible. With that in mind, we’ve already seen manufacturers following recommendations around passwords, authentication, and connections to VPNs based on California law. And that’s a good thing, as those are all good practices that should be adopted independently of any laws passed.

Keyfactor: Historiquement, les lois adoptées en Californie ont été un signe avant-coureur, d'autres États ayant suivi leur exemple et adopté des lois similaires (par exemple, des réglementations en matière de travail et d'environnement). Avez-vous constaté que d'autres États commençaient à suivre leur exemple dans ce cas-ci ? Si ce n'est pas le cas, pensez-vous qu'ils devraient faire davantage pour promouvoir la sécurité des appareils IoT ?

Ellen Boehm: I haven’t seen other states take a focused approach to IoT device security as California has. That said, I think state requirements are too narrow, and there should instead be a country-wide approach to regulating IoT device security. 

N'oublions pas que ces dispositifs sont conçus, produits et utilisés à l'échelle mondiale et que leur portée dépasse donc largement le cadre d'un seul État. Par conséquent, nous avons besoin de réglementations ayant une portée plus large pour atteindre le bon niveau de gouvernance en ce qui concerne la sécurité des appareils IoT .

Keyfactor: Au niveau international, quelles seront les exigences les plus importantes de la première loi sur la cyber-résilience prévue par l'UE ?

Ellen Boehm: Three requirements coming from the EU stand out to me in particular:

1. L'identité de l'appareil doit être à la base de la sécurité de l'appareil, et cette identité doit être établie à l'aide de certifications numériques uniques et asymétriques.
2. Software et le firmware DevSecOps doivent être activés par des méthodes de signature et de vérification appropriées.
3. Les dispositifs doivent faire l'objet d'un suivi et d'une traçabilité des vulnérabilités, y compris des plans d'atténuation, pour que les produits conservent leur homologation CE.

Ensemble, ces exigences contribuent à créer une base solide qui permettra non seulement de renforcer la sécurité des dispositifs IoT à partir de la situation actuelle, mais aussi de préparer le terrain pour des améliorations continues au fur et à mesure de l'évolution du domaine.

Keyfactor: Quel sera l'impact de la législation européenne sur les fabricants de dispositifs IoT ?

Ellen Boehm: First, it means that IoT device manufacturers must assess cybersecurity risks and apply mitigation plans to all products they make. Next, after deploying products, they’ll need to report any incidents and known vulnerabilities of their products to ENISA. Finally, it means OEMs must take corrective actions and implement security updates as needed immediately and free of charge, typically via secure over-the-air firmware updates.

Il sera donc essentiel pour les équipementiers de s'assurer qu'ils disposent des processus et des capacités nécessaires pour répondre à ces exigences, en particulier pour les appareils qui resteront longtemps sur le terrain. Il s'agit d'un changement pour de nombreux fabricants, et c'est sans aucun doute un grand pas dans la bonne direction.

Vous êtes prêt à passer à la vitesse supérieure en matière de sécurité des appareils IoT ?

As your team looks ahead to 2023, strengthening IoT device security practices must be top of mind. Fortunately, Keyfactor EJBCA and Keyfactor Command for IoT make that possible by providing OEMs with an end-to-end IoT identity platform to manage and automate identities for devices from manufacturing to end-of-life.

Contact us today to learn more.