La mise en œuvre réussie d’une solution IoT repose sur de nombreux composants, dont chacun comporte des risques de sécurité, ce qui complique la gestion du système. Cependant, décomposer une solution IoT en ses éléments clés peut contribuer à garantir une sécurité adéquate pour chaque partie de la pile. Nous avons mis en évidence les trois « couches » fondamentales qui constituent la sécurité IoT, accompagnées des bonnes pratiques essentielles pour atténuer les risques.
1. Couche des appareils
Dans le domaine de la sécurité de l’IoT, la couche des appareils concerne les terminaux. Pour sécuriser correctement une solution IoT au niveau de cette couche, les entreprises doivent s’assurer que tant les caractéristiques physiques (par exemple, des boîtiers métalliques pour empêcher le vol de cartes SIM) que les caractéristiques logicielles (c’est-à-dire le micrologiciel, les systèmes d’exploitation et les applications exécutées sur l’appareil) sont protégées. En ce qui concerne les propriétés logicielles, les problèmes de sécurité potentiels doivent être pris en compte tout au long du processus de conception afin de garantir que le micrologiciel puisse être mis à jour, protégeant ainsi l’appareil contre tout accès indésirable et toute modification de configuration. D’un point de vue logiciel, les entreprises peuvent prendre plusieurs mesures pour renforcer la sécurité de leurs appareils. En voici quelques exemples :
- Utilisation du démarrage sécurisé pour garantir que seuls les logiciels vérifiés puissent fonctionner sur l'appareil
- Authentification et autorisation des utilisateurs afin d'assurer un contrôle d'accès adéquat
- Des micrologiciels sécurisés et régulièrement mis à jour pour éviter toute utilisation non souhaitée du réseau ou des applications
Il est important de noter que certains appareils IoT sont de petite taille et disposent d'une mémoire et de ressources de traitement limitées pour prendre en charge des fonctionnalités de sécurité avancées. Dans ces cas-là, les entreprises devraient envisager des solutions de sécurité IoT basées sur le cloud.
2. Couche de communication
Dans le domaine de la sécurité de l'IoT, la couche de communication désigne la technologie de connectivité réseau qui permet à un appareil d'envoyer et de recevoir des données. Les entreprises doivent envisager de mettre en œuvre des solutions axées sur l'infrastructure et les données afin de sécuriser correctement la couche de communication d'une solution IoT.
La sécurité de l'infrastructure réseau est généralement vérifiée auprès du ou des fournisseurs de connectivité réseau de l'entreprise. Voici quelques questions essentielles que les entreprises devraient poser à leurs fournisseurs de connectivité lors du processus de sélection des partenaires :
- Quelles méthodes de chiffrement et quelles technologies de pare-feu sont utilisées par le fournisseur d'accès à Internet ?
- Un système de prévention des intrusions (IPS) est-il en place ?
- Tous les serveurs et composants réseau du réseau de l'organisation sont-ils à jour avec les derniers correctifs de sécurité et mises à jour ? Existe-t-il une procédure permettant d'appliquer rapidement les nouveaux correctifs et mises à jour ?
En ce qui concerne les mesures de sécurité de l'IoT axées sur les données, les meilleures pratiques s'articulent autour du chiffrement des données. Le chiffrement de bout en bout ( Encryption ) protège les données de l'IoT contre tout accès et toute lecture lors de leur transit sur différents réseaux, y compris l'Internet public. Les solutions de réseau privé virtuel (VPN) de site à site (VPN) et les solutions de signature des données sont quelques exemples permettant de garantir l'authenticité et l'intégrité des données transmises.
3. Couche application
Dans le domaine de la sécurité de l'IoT, la couche applicative concerne la sécurisation des applications et des bases de données qui constituent le cœur de la solution. À l'instar des autres couches, la sécurité des applications doit être prise en compte afin de protéger les composants web, mobiles et cloud tout au long du processus de développement. Voici quelques bonnes pratiques pour protéger cette partie de la solution IoT :
- Outils d'analyse de code permettant d'inspecter automatiquement le code source et d'identifier les failles de sécurité potentielles
- Mises à jour automatisées et en temps opportun des applications, permettant de les actualiser rapidement et efficacement afin de les protéger contre les nouvelles attaques virales ou d'autres risques de sécurité émergents
- Solutions d'échange de clés pour l'IoT permettant la mise à jour sécurisée des clés de sécurité des applications IoT, même sur des réseaux publics
Solutions d'enregistrement de certificats visant à attribuer à chaque appareil IoT un identifiant unique et à vérifier cet identifiant avant d'autoriser l'accès aux systèmes ou aux réseaux.
Par ailleurs, les organisations doivent mettre en place une gestion des menaces afin de garantir la disponibilité et l’intégrité de leurs solutions. Le monde technologique étant en constante évolution et les pirates informatiques perfectionnant sans cesse leurs attaques, les entreprises doivent comprendre en profondeur les schémas de comportement de leurs solutions IoT afin de détecter rapidement les anomalies et d’y réagir. Le meilleur moyen d’y parvenir consiste à déployer des systèmes de surveillance sur l’ensemble des éléments de la solution IoT, qui alertent les équipes de sécurité dès qu’un changement dans le comportement d’un appareil ou d’une application est détecté.