Pourquoi l'internet des objets est-il si difficile à sécuriser ?

L'accès aux données en temps réel a une valeur immense pour l'intelligence économique. Imaginez qu'un bras robotisé sur une chaîne de montage puisse vous indiquer la quantité d'énergie qu'il consomme, le temps qu'il met à effectuer son travail ou la date à laquelle il devra être entretenu.

From pacemakers to self-driving cars, devices that were previously siloed are getting connected to the internet. This offers a great deal of value to users and can even save lives in the case of medical devices. But with the added value of interconnectivity comes much greater risk.

Theoretically, the Internet of Things (IoT) infrastructure can be even more secure than that of servers and workstations, as manual processes are often the most vulnerable part of a cloud-based infrastructure. 

Mais en tant que nouvelle technologie confrontée à une croissance explosive, la sécurité des dispositifs IoT peut être une cible mouvante à mesure que de nouvelles technologies, réglementations, cas d'utilisation et menaces émergent. Et les enjeux sont élevés, car les retombées potentielles d'une violation de données compromettant des appareils médicaux, des équipements militaires, des véhicules personnels ou de grands services publics pourraient mettre des vies en danger.

L'internet des objets est un monde nouveau pour les spécialistes traditionnels de l'informatique et de la cybersécurité. Leur expertise actuelle peut s'appliquer de multiples façons à cette nouvelle révolution IoT , mais ils devront également faire face à de nouveaux défis.

Défi 1 : Répondre aux exigences d'échelle

Les machines de fabrication doivent souvent produire des centaines de milliers d'unités par semaine, chacune avec son propre certificat et sa propre identité. Les certificats doivent être délivrés aussi rapidement que les unités sortent de la chaîne de montage. 

Le simple fait de maintenir l'inventaire de tous les certificats délivrés, sans parler de leur contrôle et de leur mise à jour, est une entreprise de grande envergure, en particulier pour les certificats dont le cycle de vie est court. 

Forty-two percent of enterprises still use spreadsheets to track digital certs manually, and 57% don’t have an accurate inventory of their SSH keys. Consequently, up to 40% of machine identities aren’t being tracked.

Défi 2 : Confiance zéro

Les unités de contrôle électronique (UCE) automobiles, qui contrôlent les systèmes de sécurité, de transmission et d'infodivertissement des véhicules, sont fabriquées dans le cadre d'une chaîne d'approvisionnement tentaculaire comportant plusieurs points d'entrée susceptibles d'être exploités par un acteur menaçant. 

Et les produits de cette chaîne d'approvisionnement sont déployés dans des environnements inconnus qui peuvent utiliser des contrôles de sécurité vieux de plusieurs dizaines d'années. Les fabricants ne peuvent pas laisser la sécurité de leurs produits dépendre de l'utilisateur final, car une violation de données liée au produit peut potentiellement nuire à la réputation du fabricant, même si la violation est en fin de compte imputable à l'utilisateur.

IoT technology must take a Zero Trust approach to security for both human and machine identities. This approach, in which rejecting access is the default and access is only granted based on strict criteria, doesn’t just bolt on security as a feature—it bakes it in as a design element throughout the product lifecycle.

En outre, l'appareil doit s'intégrer à un large éventail de systèmes adjacents, dont certains peuvent ne pas adhérer aux mêmes normes de sécurité rigoureuses. Les réglementations et les normes industrielles sont encore en train de prendre forme dans l'espace IoT , de sorte que les fabricants sont confrontés au défi de la disparité des outils entre ces systèmes. Protéger vos produits tout en les rendant interopérables n'est pas une mince affaire.

Défi 3 : Limites de la plate-forme

La sécurité n'est pratiquement jamais un argument de vente pour un dispositif IoT . Ce qui compte sur le marché, c'est la qualité du fonctionnement du produit, son efficacité énergétique, son coût, etc. IoT Les vendeurs de produits ne peuvent pas faire payer plus cher un produit en utilisant la sécurité comme proposition de valeur. Par conséquent, les fabricants doivent veiller à ce que les mesures de sécurité n'aient pas d'impact négatif sur la facilité d'utilisation et l'efficacité.

Les considérations relatives à la sécurité doivent être intégrées tout au long du processus de développement et de fabrication du produit afin qu'elles ne deviennent pas des ajouts encombrants. Si la sécurité fait partie du flux de travail dès le début, c'est-à-dire la "sécurité dès la conception", elle créera moins de frictions dans le cycle de sortie du produit et réduira moins les marges bénéficiaires.

Défi 4 : Équilibrer la sécurité et la fonctionnalité

Security is not usually Job #1 in the design process for manufacturing equipment. Clients mainly care about how well the product works, whether it has all of the capabilities they need, and how much it costs. Giving business leaders the ability to oversee operations across the internet is a huge value driver, but everything a device connects to presents a new risk. Balancing security and interconnectivity has to be on a product designer’s mind to prevent the damage to a company’s reputation a potential data breach could cause.

Cet exercice d'équilibre peut s'avérer difficile, surtout si la phase de conception s'oriente vers un modèle Agile ou DevOps. Les concepteurs s'épanouissent dans le changement et l'innovation, tandis que les responsables de la sécurité trouvent la stabilité dans la stase et la prévisibilité. Les concepteurs peuvent ne pas vouloir d'un autre cuisinier dans la cuisine, et les responsables de la sécurité peuvent ne pas être assez flexibles pour faire des compromis.

Défi 5 : Respecter les normes de conformité

IoT va connaître une évolution considérable au cours des prochaines années. De nouveaux cas d'utilisation, de nouvelles technologies et de nouvelles menaces entraîneront de nouvelles réglementations. Mais si la sécurité n'est pas une priorité absolue pour les développeurs de IoT , la conformité sera toujours un problème.

Currently, the regulatory environment around IoT security is disjointed. NIST informs regulations in the U.S., but other countries have their own sanctioning bodies and standards. Electric vehicle regulation covers PKI, but those regulations differ from one region to the next. Standards like IEC 62443 are often discussed in comparison to other security standards. California’s SB: 327 law was the first IoT-specific law in the U.S. 

An enterprise releasing a product globally must manufacture that product with security that complies across several regulatory landscapes (e.g., GDPR in Europe, PIPL in China, LGPD in Brazil). These privacy regulations are being expanded to include IoT devices, and some organizations may benefit from specialized consultants who are familiar with all the standards.

Risques liés au fait de traiter la sécurité de IoT après coup

For most IoT manufacturers, security is not the primary value, but buyers assume that products are secure, and a breach at the device level can diminish customer confidence in a brand and lead to high-profile reputational damage. An aquarium thermometer in a casino allowed a hacker to export 10 GB of undisclosed data out of the country. Breached security cameras gave hackers access to video feeds in Tesla factories as well as jails, police departments, and hospitals. 

On a grander scale, the Stuxnet virus altered the speeds of Iran’s nuclear centrifuges so imperceptibly that humans could not detect the change, bringing the Iranian nuclear program to its knees. 

But it’s not just governments and corporations that can be impacted: from vehicles getting hacked while driving down the highway to home security cameras being compromised to vulnerabilities in IoT pacemakers, cyberattacks on some IoT devices can be directly life-threatening and create fear on the part of consumers.

C'est pourquoi les dispositifs non sécurisés peuvent entraîner de lourdes amendes et pénalités de la part des organismes de réglementation gouvernementaux. En 2015, l'Office of Civil Rights (OCR) du ministère de la santé et des services sociaux a annoncé son premier règlement concernant une violation de données par le biais de dispositifs médicaux dans un hôpital. 600 dossiers ont été exposés et le Lahey Hospital & Medical Center a conclu un accord pour 850 000 dollars. On pourrait dire que l'OCR envoie un message sur la nécessité d'intégrer les dispositifs et les systèmes dans le cadre de la conformité à la HIPAA.

Le marché est en expansion

The IoT industry is set to explode across several verticals. According to IoT Analytics, the Global IoT market grew over 22% in 2021, and it is projected to keep increasing at that same compound annual growth rate through 2027. 

Ce secteur relativement nouveau connaît de nombreuses difficultés de croissance et les entreprises ne savent pas exactement qui est responsable de quoi en matière de sécurité. La meilleure posture de sécurité sera atteinte lorsque les responsables de la conception, des opérations et de la sécurité reconnaîtront qu'ils ont tous un intérêt dans la sécurité des appareils IoT . Les meilleurs produits IoT seront construits par des fabricants qui intègrent dès le départ des considérations de sécurité et de conformité dans la conception des appareils.

If you want to dive deeper into the principles of how to secure the Internet of Things, check out our whitepaper Five Guiding Tenets for IoT Security.