BTEX 2023 : La façon d’assurer la cybersécurité de votre environnement IdO

Des préoccupations en matière de cybersécurité concernant l’IdO ont également été soulevées lors d’une récente présentation de Noor Bains, conseiller principal en sécurité chez CDW Canada, lors de notre Exposition sur les technologies d’affaires 2023 à Toronto. Selon Bains, l’adoption de l’IdO a considérablement augmenté le potentiel de cyberattaques sur les entreprises, et un officier principal de la sécurité de l’information (OPSI) sur quatre affirmant avoir adopté l’IdO à « grande échelle » a mentionné avoir subi un certain type d’attaque dans leur environnement.

Bains a expliqué qu’il existe de nombreuses raisons pour lesquelles les cyberattaques IdO ont augmenté, notamment l’adoption rapide de la technologie, qui a connu au cours de la dernière décennie une croissance de déploiement de 16 pour cent d’une année à l’autre. Les cas d’utilisation de l’IdO se sont étendus aux processus et aux applications comme les systèmes de commandement des interventions, les environnements de chauffage, ventilation et climatisation (CVC), les processus de fabrication ainsi que d’innombrables appareils d’assistance personnelle.

Bain a expliqué l’évolution des cyberattaques au cours des deux dernières décennies, qui ont commencé par ce qu’il a décrit comme une première phase de 2005 à 2009, où la plupart des attaques étaient des logiciels malveillants basés sur Windows et des chevaux de Troie. « De 2009 à 2015, à mesure que de plus en plus d’appareils se connectaient, les cyberattaquants se sont concentrés sur les gains monétaires, tandis que certains États nationaux se sont concentrés sur les attaques géopolitiques conçues pour perturber ou interférer avec d’autres pays », a-t-il déclaré.

À partir de 2019, presque tous les appareils informatiques ont été connectés et il y a eu une explosion d’appareils IdO utilisés par les nombreux types d’entreprises et industries.

« Les attaques ne sont plus contre une organisation ou un marché vertical particulier », a déclaré Bains. « Ce sont des surfaces d’attaque potentiellement vulnérables et exploitables qui sont la cible. » À titre d’exemple, Bains a cité une attaque perpétrée en 2021 par un drone dans un environnement commercial. Le drone a trouvé une vulnérabilité dans les ampoules (intelligentes)… et a fini par prendre en charge l’exploitation de l’ensemble de l’installation.

« Toute surface d’attaque vulnérable sera exploitée », a-t-il déclaré.

« Les résultats potentiels des cyberattaques qui ciblent les connexions IdO peuvent être mortels, lorsqu’il s’agit de voitures ou d’appareils médicaux autonomes », a-t-il ajouté, affirmant que « la clé de la protection des environnements IdO est d’avoir de la visibilité et de comprendre les données que vous devez protéger ». Malheureusement, tous les environnements IdO ne sont pas soumis à une analyse de vulnérabilité, ce qui peut créer un grave problème de visibilité pour les administrateurs des TI et de la sécurité.

Bains a également expliqué que les équipes qui gèrent les environnements IdO doivent comprendre quelles données sont stockées, où et comment elles le sont, soit dans un nuage public ou une informatique virtuelle privée, si elles sont chiffrées ou non, et combien de temps elles doivent être conservées. « Cela nécessite une gouvernance de l’IdO, ce qui signifie créer des politiques sur les données et comprendre les risques », a-t-il déclaré. La gouvernance de l’IdO et les politiques de sécurité sont essentielles.

« Lorsque nous parlons des politiques de sécurité de l’IdO, il s’agit à la fois de comprendre les données et de savoir comment catégoriser les risques », a déclaré Bains. « Nous devons nous assurer que des politiques et des procédures sont mises en œuvre pour traiter les personnes, les processus et les technologies opérationnelles. »

Il est également essentiel d’évaluer les appareils et les politiques IdO pour déterminer :

• Cet appareil est-il vulnérable?
• Vos politiques de sécurité tiennent-elles compte de la présence de systèmes d’exploitation sur les appareils IdO? 
• Quelles données sont stockées sur un appareil IdO? S’agit-il de renseignements personnels?
• De quel type d’appareil s’agit-il? (A-t-il une caméra? Y a-t-il des capteurs?)
• Qui est responsable des Données personnelles identifiables qui peuvent être recueillies par ces appareils?

Bains a déclaré que les organisations devraient également chercher à mettre en place des politiques de sécurité qui tiennent compte de la collaboration interfonctionnelle entre les équipes sur les appareils IdO, ce qui, selon lui, pourrait présenter un écart de vulnérabilité. De plus, si un appareil qui n’a jamais été connecté à l’IdO est ajouté, mais que les correctifs n’ont pas été correctement appliqués sur celui-ci, les organisations doivent tenir compte des implications potentielles de ce scénario.  

« Si nous pouvons former l’équipe d’approvisionnement pour nous assurer qu’elle est en mesure de détecter tout nouvel appareil IdO, la sécurité des TI peut alors intervenir, et faire des recommandations et déterminer si l’appareil est conforme aux politiques de sécurité IdO de l’organisation », a déclaré Bains.

« Du point de vue du contrôle des processus, il faut comprendre quel matériel informatique existe dans l’environnement IdO, et plus particulièrement, quelles sont ses capacités de stockage. » « Plus la capacité de stockage est grande, plus le potentiel d’exfiltration des données est grand en cas d’atteinte à la sécurité », a-t-il déclaré.

Pour ce qui est des logiciels, il faut reconnaître le système d’exploitation sous-jacent et savoir s’il permettrait de contrôler un appareil à distance, ce qui représente un autre écart de vulnérabilité potentiel. Une autre question importante à considérer est de savoir si les certificats numériques peuvent être introduits sur un appareil. Si des certificats peuvent être utilisés, ce dispositif peut être identifié et authentifié.

Les contrôles techniques sont la dernière étape, une fois que les politiques, les procédures et la gouvernance de l’IdO ont été établies. Les appareils doivent être autorisés à fonctionner dans les segments d’un réseau. « La segmentation du réseau est un élément important du contrôle technique et, lorsqu’elle est effectuée correctement, elle peut immédiatement arrêter le mouvement latéral du trafic non autorisé plus profondément dans un environnement IdO, et neutraliser efficacement une cyberattaque », a déclaré Bains.

Les contrôles techniques sont établis lorsqu’un appareil IdO est ajouté, et ils vérifient si cet appareil est sûr et autorisé à fonctionner dans l’environnement. En raison des limites de certains, ce ne sont pas tous les appareils IdO d’une organisation qui peuvent utiliser des contrôles techniques, mais la plupart le peuvent. « Cependant, si un appareil connecté à l’IdO ne peut pas être soumis à des contrôles techniques, il doit être noté et enregistré par l’organisation », a déclaré Bains.

Enfin, assurez-vous toujours d’utiliser une sécurité et des analyses appropriées. En cas de compromission potentielle du réseau ou du système, une alerte doit être générée. Les contrôles d’accès au réseau sont nécessaires pour s’assurer que les appareils sont uniquement accessibles à partir d’adresses IP spécifiques, et seulement pour surveiller, détecter et retirer les appareils non autorisés de l’environnement.