La sécurité ne doit pas être reléguée au second plan dans l'Internet des objets (IoT)
L'Internet des objets continue de stimuler l'innovation et l'efficacité dans presque tous les secteurs d'activité. Cependant, l'augmentation du nombre d'appareils s'accompagne d'une augmentation des risques – et, dans de nombreux cas, la sécurité n'a pas suivi le rythme.
En 2022, on estime à 112 millions le nombre de cyberattaques visant l'Internet des objets (IoT), contre 32 millions en 2018. Alors que le nombre d'appareils connectés devrait atteindre près de 40 milliards d'ici 2030, les enjeux ne font que s'accroître.
Que vous déployiez des compteurs intelligents, des bornes de recharge pour véhicules « EV » ou des appareils de santé connectés, la sécurité doit être intégrée dès le départ, et non ajoutée a posteriori. Cela signifie qu’il faut prendre en compte la protection dès le premier jour, et non une fois que le mal est fait.
Pourquoi la sécurité de l'IoT représente-t-elle un tel défi ?
Les écosystèmes de l'Internet des objets (IoT) présentent des caractéristiques propres. Les appareils disposent souvent d'une puissance de calcul limitée, fonctionnent dans des environnements isolés ou non sécurisés, et peuvent être amenés à fonctionner pendant des années, voire des décennies, sans être réinitialisés. Cela engendre des vulnérabilités spécifiques, en particulier lorsque la sécurité est intégrée a posteriori.
Il n'est pas rare que la sécurité soit reléguée au second plan lors du développement d'un produit, au profit des fonctionnalités, de la rapidité de mise sur le marché ou des coûts. Or, les conséquences d'une faille de sécurité – qu'il s'agisse de la compromission de données, de la prise de contrôle d'appareils ou d'une atteinte à la réputation – peuvent être graves et avoir des répercussions considérables.
Une fois qu'un appareil est déployé sur le terrain, il est coûteux et difficile d'y ajouter des mesures de sécurité a posteriori. La meilleure approche ? Mettre en place une architecture sécurisée dès le départ.
Exemples concrets d'erreurs en matière de sécurité
Vous n'êtes toujours pas convaincu ? Voici quelques exemples qui montrent à quel point les décisions prises dès le début en matière de sécurité sont cruciales :
- Zoom (premières failles de sécurité)
Avant de devenir un nom connu de tous, Zoom a été critiqué pour les vulnérabilités de sa plateforme. Bien que l'entreprise ait réagi rapidement et ait finalement regagné la confiance de ses utilisateurs, cela lui a coûté cher – et cela aurait pu être évité si des mesures de sécurité plus solides avaient été intégrées dès le départ. - Hikvision (compromission de caméras)
Les caméras de sécurité d'une grande marque ont été piratées en raison d'une mise en œuvre défaillante des mots de passe et d'une vulnérabilité de type « porte dérobée ». Avec un minimum de compétences techniques, les pirates ont pu accéder aux images en direct – un véritable cauchemar pour les clients et une tache sur la réputation de la marque. - Colonial Pipeline (attaque par ransomware)
En 2021, une cyberattaque contre Colonial Pipeline a paralysé la distribution de carburant dans tout le sud-est des États-Unis. Les pirates ont exploité des vulnérabilités dans les systèmes numériques de l'entreprise – des systèmes qui ne sont pas sans rappeler ceux qui gèrent aujourd'hui les infrastructures connectées et l'IoT industriel.
Par où commencer : éléments clés à prendre en compte pour la sécurité de l'IoT
Si vous concevez, déployez ou gérez des appareils IoT, voici les priorités à respecter :
1. Définissez votre modèle de menaces
Tout plan de sécurité commence par un modèle de menaces. Posez-vous les questions suivantes :
- Que protégez-vous et contre qui le protégez-vous ?
- Vous protégez-vous contre les utilisations abusives involontaires ? Les attaques malveillantes ? Les menaces internes ?
Pour certaines organisations, il peut suffire de prévenir les attaques exploitant des mots de passe faibles. D'autres doivent anticiper des menaces complexes liées à la chaîne d'approvisionnement ou des adversaires agissant au niveau des États. Votre stratégie dépend de votre contexte.
2. Respecter les réglementations et les normes
Les bonnes pratiques en matière de sécurité sont de plus en plus souvent inscrites dans la législation. De la loi californienne sur la sécurité de l'Internet des objets (IoT) aux mesures de protection des consommateurs au Royaume-Uni, les réglementations s'adaptent au rythme de l'innovation.
Éviter les mots de passe par défaut et mettre en place des normes d'authentification n'est plus une option : c'est désormais une exigence.
Les référentiels sectoriels tels que la norme ISO 27001, l’ARM PSA et le SESIP peuvent vous aider à vous aligner sur les meilleures pratiques internationales, et certains clients peuvent même exiger ces certifications dans le cadre de leurs procédures d’appel d’offres.
3. Concevoir des appareils sécurisés dès leur conception
Un appareil véritablement sécurisé ne se résume pas à une connexion verrouillée ou à un mot de passe sécurisé. Selon le document de Microsoft intitulé « Les sept caractéristiques des appareils hautement sécurisés », votre appareil IoT doit prendre en charge :
- Base de confiance matérielle
- Une base informatique réduite et fiable
- Défenses en plusieurs niveaux (défense en profondeur)
- Composants compartimentés
- Authentification par certificat
- Une sécurité évolutive et renouvelable
- Journalisation des événements et signalement des défaillances
Et au-delà de ces sept éléments ? Pensez au démarrage sécurisé, à l'approvisionnement sécurisé et aux contrôles du cycle de vie. Si vous ne pouvez pas vérifier que votre appareil exécute le bon code, vous ne pouvez pas vous fier aux données ni aux décisions qui en découlent.
La sécurité de la fabrication et de l'approvisionnement est essentielle
Une mise sur le marché rapide ne doit pas se faire au détriment de la sécurité. Trop de déploiements commerciaux ont été lancés à l’aide de composants destinés aux amateurs, qui conviennent parfaitement aux prototypes mais ne disposent pas de fonctionnalités de sécurité telles que le démarrage sécurisé ou le provisionnement fiable.
Un appareil peut fonctionner, mais cela ne signifie pas pour autant qu'il est prêt à être commercialisé.
Grâce aux services gérés IoT sécurisés de KORE, nous aidons les entreprises à passer du produit minimum viable (MVP) à la commercialisation sans compromettre la sécurité, en garantissant un provisionnement fiable, une connectivité sécurisée et une gestion à distance du cycle de vie dès le premier jour.
La sécurité relève d'une décision stratégique : prenez-la dès le début
La tentation de repousser les décisions en matière de sécurité est compréhensible. Il est plus rapide, plus simple et souvent moins coûteux de se contenter du strict minimum… jusqu’à ce que ce ne soit plus le cas.
C'est pourquoi la sécurité de l'IoT doit être une priorité stratégique, et non une simple réaction. Le coût d'une mise en œuvre correcte est bien inférieur à celui d'une remise à niveau ou à celui d'expliquer à vos clients pourquoi leurs données ou leurs appareils ont été compromis.
De la toute première décision de conception jusqu’à la dernière mise à jour du micrologiciel, intégrez la sécurité dès le départ dans votre architecture – ne vous contentez pas de l’ajouter après coup.
Sécurisé, évolutif et conçu pour durer grâce à KORE
Chez KORE, nous proposons des solutions de connectivité sécurisées dès la conception et de gestion du cycle de vie pour les appareils IoT dans tous les secteurs, du secteur de la santé à l'EV t en passant par les infrastructures et la surveillance industrielle. Forts d'une expertise approfondie en matière d'IoT et d'une connectivité mondiale fiable, nous aidons les entreprises à mettre en place des stratégies garantissant leur réussite à long terme.
Faisons en sorte que l'IoT soit plus sûr, plus intelligent et plus résilient dès le départ.
Publié le 17 avril 2025.