Des objets connectés bientôt moins vulnérables

S’il n’y pas encore eu d’attaques DDoS via des brosses à dents connectées contre une entreprise suisse, une conductrice du Morbihan s’est bien faite pirater sa voiture Tesla et en a perdu le contrôle. Derrière cette affaire se pose la question du piratage des objets connectés pour voler des informations, prendre le contrôle de l’objet ou bien mener d’autres méfaits comme l’impossibilité d’accès à des sites Internet ou à des applications web. Huit attaques par jour seraient d’ailleurs menées en moyenne dans les foyers équipés d’objets connectés en tout genre selon le rapport publié en 2023 par les éditeurs Netgear et Bitdefender. C’est colossal, mais ce chiffre est aussi à mettre en parallèle à tous ces objets qui envahissent notre quotidien à domicile et au bureau ; d’ailleurs, Yavor Gueorguiev, Application Delivery Manager chez Genetec France, constate une pénétration plus importante des objets connectés chez ses entreprises clientes due notamment à la mise en œuvre accélérée de politiques de Byod. Un avis que partage Eric Antibi, directeur technique de Palo Alto Networks France, qui ajoute que l’usage des terminaux personnels s’est fortement accru depuis la crise sanitaire et la généralisation du télétravail qui en a découlé. À ce titre, le porte-parole de Palo Alto juge important de catégoriser les différents usages autour de l’IoT afin d’apporter les réponses adéquates comme l’IoT générale qui couvre les terminaux mobiles, les imprimantes ou encore les écrans dans une salle de réunion, l’IoT lié au monde médical composé de scanners et d’autres appareils ou encore l’OT (Operational Technology) autour du secteur industriel avec des systèmes utilisés pour la fabrication, la distribution d'énergie ou encore la gestion des bâtiments. De son côté, Fabien Maisl, global marketing Industrial IoT chez Cisco, identifie deux catégories et en précise leur gestion : l’IoT d’entreprise géré par l’équipe IT, parfois par les services généraux, et l’IoT industriel plutôt géré par les métiers avec le support des équipes IT.

Des botnets toujours très actifs

Entre les équipements industriels connectés, les objets grand public, la prolifération de capteurs dans les entreprises et les villes connectées, ce sont des dizaines de milliards d’objets opérationnels qui s’activent déjà dans le monde. Et les estimations à venir sont colossales tout comme les menaces qui pèsent sur eux. Selon Yavor Gueorguiev, il apparaît évident que les menaces seront d’autant plus importantes si la gestion des objets connectés n’est pas correctement assurée et que les objets ne sont pas issus d’un fournisseur de confiance. Plusieurs faits marquants et médiatisés ont d’ailleurs concerné le piratage des objets comme les caméras de vidéosurveillance. Par exemple, en septembre 2016, les cybercriminels avaient, via des caméras connectées, noyé de requêtes l’hébergeur OVH, ce qui avait provoqué des ralentissements des sites hébergés sans pour autant faire tomber les serveurs. Ce même type d’attaques s’était reproduit un mois après contre le gestionnaire de noms de domaine américain Dyn avec pour conséquence un accès temporaire interrompu de plusieurs sites (Netflix, Spotify, Airbnb, Twitter, PayPal). L’éditeur Cloudflare, qui protège 20 % de l’internet mondial donc des millions de sites d’entreprises et des milliers en France (dont Mano Mano, Carrefour, Norauto, etc.), avait indiqué en avril dernier une augmentation significative des attaques DDoS, +117 % sur le trimestre précédent de cette année (lien vers https://www.lemondeinformatique.fr/les-dossiers/lire-jo-2024et-8239-des-pirates-deja-a-l-oeuvre-1511.html). Mirai, Rift, Gafgyt, Bushido, Hakai et Muhstik sont les familles de malwares les plus couramment employées pour cibler ces dispositifs. Et ces malwares à l’origine de la création des botnets sont loin d’avoir disparu selon Florent Lefèvre, responsable du développement OT/IoT chez Fortinet France. « Beaucoup de ces botnets sont encore actifs d’après nos équipes au sein de notre centre de détection de menaces FortiGuard Labs qui gère entre 220 et 240 milliards d’informations par jour. » En 2019, un rapport de Zscaler alertait sur la vulnérabilité de l’IoT notamment sur les nombreux appareils connectés qui utilisaient des bibliothèques obsolètes avec des vulnérabilités. En 2023, les choses n’avaient pas évolué et se sont même aggravées, l’équipe de recherche de Zscaler a constaté que les attaques de malwares à l’encontre de l’IoT avaient augmenté de 400 % au premier semestre 2023 par rapport à la même période en 2022.

Des acteurs bientôt soumis à des règlements plus stricts

Ne mettons pas tous les fabricants d’appareils connectés dans le même panier, de nombreux acteurs se sont déjà attelés à mieux sécuriser leurs produits, c’est notamment vrai pour des fournisseurs qui ciblent des marchés très régulés comme la finance et la santé, ce qui ne garantit pas d’être inattaquable. A leur défense, la priorité de ces fournisseurs a d’abord été centrée sur l’expérience de l’utilisateur et les fonctionnalités. « En soi, les machines industrielles et objets grand public sont pensés à l’origine pour un usage opérationnel avec une expérience utilisateur améliorée mais pas forcément avec une sécurité accrue », clarifie sur ce point Grégory Gatineau, Category Manager chez HPE Aruba Networking. Un avis que partage aussi Marc Coutelan, directeur des ventes chez Nozomi Networks France : « C’est difficile de sécuriser les objets connectés, car ils embarquent souvent un OS très simplifié sans montée de version. Cela dit, nous ne devrions pas pouvoir démarrer un objet connecté avec un mot de passe par défaut. Et pourquoi n’appliquons-nous pas les règles de l’industrie automobile. En effet, en cas de problème, les fabricants rappellent les véhicules pour réparer les défauts. » Pour Yavor Gueorguiev, il est important de travailler avec des industriels sérieux qui se font auditer régulièrement, qui fournissent des mises à jour ou encore qui communiquent sur leurs failles de sécurité. « Nous sommes inquiets de constater qu’un certain nombre d’objets reste en place dans le réseau alors qu’ils sont obsolètes et donc plus mis à jour », rapporte le porte-parole de Genetec France. En effet, cette chaîne d’approvisionnement peu maîtrisée, voire défaillante, et ces problématiques d’obsolescence des machines représentent aussi un autre défi à relever. Cela dit, les règlements se renforcent. En effet, la future loi CRA (Cyber Resilience Act) bientôt applicable, sans oublier l’adoption de la directive NIS 2 en janvier 2023 par l’Union européenne, qui touche un plus grand nombre de secteurs d’activité et qui est plus stricte en matière de sécurité que NIS 1, vont changer la donne. Les exigences de ces règlements devraient obliger les acteurs concernés à concevoir en pratique des solutions et des produits bien plus sécurisés qu’auparavant et à mettre en place des stratégies de protection plus rigoureuses.

Dans les années 80-90 avant la démocratisation du TCP/IP, il existait des réseaux indépendants hermétiques notamment dans le secteur industriel. Un automate programmable, de type Siemens ou Télémécanique (racheté par Schneider Electric en 1988), fonctionnait comme une boîte noire et exploitait effectivement son propre réseau et ses protocoles. Pour Florent Lefèvre, responsable du développement OT/IoT chez Fortinet France, ce temps est révolu à l’heure où l’industrie 4.0 prône un modèle ultra connecté afin de répondre aux nouveaux usages (enjeux de big data, d’interconnexion avec le cloud, de jumeau numérique, d’IA, etc.). Que cette ultra connectivité passe obligatoirement par une ouverture au réseau de l’entreprise, de ce fait, l’étanchéité entre les réseaux n‘existe plus. « Dans l’industrie 4.0, tous les systèmes (de commande, commercial ou encore des clients) sont interconnectés, si nous prenons l’exemple de l’industrie automobile, il faut 3000 fournisseurs pour produire un véhicule, tout doit donc être synchronisé pour disposer d’une chaîne de production efficace. Très peu d’entreprises peuvent se permettre d’avoir des réseaux séparés, cela pose de toute façon un problème de scalabilité physique », admet Grégory Gatineau, Category Manager chez HPE Aruba Networking. De ce constat, peut-on néanmoins déployer des typologies de réseaux à la fois ouverts et plus adaptés à l’IoT/OT ? A cette question, Yavor Gueorguiev, Application Delivery Manager chez Genetec France, répond qu’il n’existe pas un seul réseau modèle exclusivement adapté à l’IoT. « Nous rencontrons tous types de réseaux chez nos clients, des réseaux privés LTE/4G/5G, des réseaux Wifi dans des bâtiments ; peu importe le réseau, il peut être corrompu. Pour les protéger, nous identifions déjà les menaces qui existent sur le réseau et nous apportons des solutions comme le chiffrement des données par exemple. » Le chiffrement fait bien sûr partie d’une approche globale de sécurisation qu’il faut mettre en œuvre selon Bernardo Cabrera, Global IoT Bu Manager chez Bouygues Telecom. Précisons que Bouygues Telecom se place comme un facilitateur sur les réseaux cellulaires (y compris les réseaux cellulaires basse consommation) via sa marque Objenious. « Nous nous positionnons sur l’accompagnement du client et l’accès à des informations sur les objets connectés. Certes, en tant qu’opérateur, nous sommes axés sur le transport des flux, mais nous privilégions aussi en parallèle cette approche de bout en bout et pour cela, nous collaborons avec un écosystème », précise Bernardo Cabrera. Pour Grégory Gatineau, avec tous ces réseaux et autant de protocoles différents, c’est compliqué d’avoir une homogénéisation en termes de sécurité. Cela dit, le porte-parole de HPE Aruba Networking souligne qu’il existe des moyens de rapatrier tous ces réseaux vers le réseau IP via des ponts multiservices. Ensuite, il faut savoir qui se connecte sur le réseau et pour ce faire, une gestion automatisée des identités et des accès est indispensable.

De la segmentation à l’analyse comportementale

Enfin, Grégory Gatineau préconise de créer un environnement autour de l’IoT via de la micro segmentation opérée de manière automatisée en mettant en avant la solution ClearPass de HPE Aruba Networking. En clair, une étanchéification des flux est réalisée entre le point d’émission jusqu’au point de réception. En parallèle, il existe également des mécanismes d’UEBA (User and Entity Behavior Analytics) qui vont détecter les comportements inhabituels à partir des modèles de trafic sur le réseau. De son côté, Eric Antibi, directeur technique de Palo Alto Networks, est sur la même ligne, à savoir de sécuriser l’IoT via le réseau représente une base essentielle pour disposer d’une visibilité, et ce, grâce aux firewalls. « Nous allons même profiter du pare-feu qui va agir comme une sonde pour analyser les flux et récupérer les informations, lesquelles seront par la suite envoyées vers un SIEM dédié. » Les firewalls sont aussi un rempart contre les menaces chez Fortinet. « Nous disposons d’outils qui apportent un très haut niveau de granularité dans le contrôle du réseau comme FortiNAC qui permet d’identifier tous les actifs numériques ou encore FortiDeceptor qui simule des faux objets connectés, ce leurre nous permet de découvrir qui est à l’origine de l’’attaque et de déclencher des opérations de mise en quarantaine. Mais au-delà des outils, il est important de suivre les guides de bonnes pratiques pour sécuriser l’IoT comme ceux publiés par l’ANSSI », relève Florent Lefèvre, responsable du développement OT/IoT chez Fortinet France.

La sécurisation par le réseau des systèmes industriels et techniques

Que ce soit la mise en place de capteurs sur des machines vieillissantes pour faire de la maintenance préventive ou d’équipements nativement plus ouverts, l’industrie est de plus en plus confrontée aux vulnérabilités tout comme le sont également les secteurs du transport (suivi de flottes par exemple) et des villes intelligentes (éclairage intelligent, capteurs de présence dans les parkings, etc.). Tous ces équipements connectés exploitent des protocoles divers et variés qu’il faut supporter et segmenter. C’est ce que font plusieurs éditeurs dont HPE Aruba Networking ou encore Palo Alto Networks. « Nous segmentons et protégeons par exemple les protocoles liés aux systèmes ICS/SCADA », indique Eric Antibi. C’est d’autant plus important qu’à l’origine, les divers protocoles dans ces systèmes sont dépourvus de fonctions de sécurité. De son côté, Fortinet est capable, selon Florent Lefèvre, de supporter plus d’une centaine de protocoles. « Le plus important est de réduire la surface d’attaque, car l’un des problèmes dans la sécurité industrielle et technique est le manque de compétences, nous avons donc travaillé sur une plateforme dotée de multiples composants qui interagissent entre eux afin de fournir des informations de qualité pour les équipes de maintenance. » Aux fonctions de segmentation des firewalls, Nozomi Networks ajoute une couche de monitoring du réseau et de la sécurité grâce à ses sondes passives. « Notre métier est d’écouter dans toutes les situations même en cas de changement de configuration que les firewalls ne peuvent parfois pas gérer en permanence, et pour cela, nous établissons déjà un inventaire des équipements pour aider les services de sécurité, puis une cartographie et une matrice des flux pour savoir qui communique avec qui. Nous allons aussi contrôler les comportements et s’ils sont déviants, des alertes seront remontées. Notre objectif est bien de combler tous les trous de sécurité », détaille Marc Coutelan, directeur des ventes chez Nozomi Networks France. En soi, Nozomi Networks n’apporte pas de remédiation, mais s’intègre avec les plateformes dédiées du marché. De son côté, Cisco apporte cette visibilité via son offre Cyber Vision directement intégrée à ses équipements (commutateurs, routeurs…) et met en avant un déploiement à l‘échelle facilité. Cisco va même plus loin avec son architecture Hypershield qui permet en quelque sorte de distribuer la sécurité dans tous les équipements réseau afin que ces derniers puissent réagir immédiatement et en autonomie aux menaces. Au-delà des solutions et des outils, Fabien Maisl, global marketing Industrial IoT chez Cisco, souligne l’importance de prendre en compte le cycle de vie de l’équipement dans le domaine industriel. « Comment s’assure-t-on que le code source n’a pas de failles ? Comment effectuer les mises à jour ? C’est tout un processus qui doit débuter dès la conception des équipements et logiciels. Chez Cisco, nous nous engageons dans cette approche, nous répondons d’ailleurs aux exigences de la certification ISA/IEC 62443, notamment d’avoir ce processus de développement sécurisé tout au long du cycle de vie de l’équipement. Il faut savoir que la norme NIS 2 va obliger les entreprises industrielles à s’assurer que les appareils OT qu’elles déploient n'introduisent pas de cyberrisques pour les opérations. Et s’ils répondent à la norme ISA/IEC 62443, ils deviennent normalement conformes à NIS 2. »

La vulnérabilité des produits numériques aux cyberattaques entraînerait un coût annuel de 5,5 milliards d’euros pour l’Europe, voici en substance le constat qu’avait dressé la Commission européenne en 2021 au préambule de la future loi CRA (Cyber Resilience Act). Rappelons que l’objectif du CRA va imposer aux fabricants, mais aussi aux importateurs et distributeurs des obligations de sécurité pour commercialiser leurs produits connectés. Qu’imposera exactement la loi ? Pour résumer, la loi demande déjà plus de Security by design, c’est-à-dire de prendre en compte la sécurité dès la conception du produit et qu’aucune faille de sécurité connue soit détectée au moment de la livraison. Ensuite, la documentation technique évaluant les cyberrisques doit être plus rigoureuse. Enfin, il y aura une obligation de fournir des mises à jour du produit pour corriger d’éventuelles failles. Tout incident devra par ailleurs être notifié à l’Enisa (European Union Agency for Cybersecurity) dans les meilleurs délais et en tout état de cause, au plus tard 24 heures après en avoir eu connaissance.

36 mois pour se préparer dès la loi adoptée

Le champ d’application du CRA concerne non seulement le matériel connecté intégrant du logiciel, mais aussi les applications qui traitent des données à distance. Aujourd’hui, nous ne connaissons pas encore le calendrier exact de la mise en œuvre de la loi et sa transposition dans chaque pays européen, mais le 12 mars dernier, le parlement européen a approuvé la loi sur la cyberrésilience avec 517 voix pour 12 contre et 78 abstentions. Par la suite, ce texte doit encore être validé par le Conseil européen pour une potentielle mise en œuvre dès cette année. Il faut toutefois savoir que dès l’application du règlement, les acteurs concernés disposeront alors de 36 mois au plus pour s’adapter aux nouvelles exigences. En outre, ce texte semble assez dissuasif au regard des sanctions potentielles. En effet, la non-conformité avec les exigences de cybersécurité établies et avec les obligations énoncées aux articles 10 et 11 fait l’objet d’une amende administrative pouvant aller jusqu’à 15 000 000 d’euros ou, si l’auteur de l’infraction est une entreprise, jusqu’à 2,5 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent. D’ores et déjà, les industriels anticipent la loi CRA. « Les spécificités de cette loi sont déjà prises en compte dans nos développements ; de toute façon, nous n’avons pas le choix, car les entreprises, notamment celles du secteur public, exigent déjà que nous soyons conformes à cette réglementation », souligne Yavor Gueorguiev, Application Delivery Manager chez Genetec France. Pour Florent Lefèvre, responsable du développement OT/IoT chez Fortinet France, si cette réglementation peut être perçue par certains comme une contrainte, elle va néanmoins inclure des processus de sécurité de base. « Avec 10 % de ces dispositifs de base, on peut réduire de 90 % la surface d’attaques, il faut savoir que les attaquants utilisent très souvent les mêmes vecteurs d’attaques. »

NIS 2, une autre directive qui concerne l'IoT

Il y aura bien sûr le Cyber Resilience Act, mais un autre règlement englobe et complète le secteur de l’IoT, c’est la directive NIS 2 (Network and Information Security) qui entrera en vigueur le 18 octobre prochain. Comme le rappelle Grégory Gatineau, Category Manager chez HPE Aruba Networking, l’article 89 de cette directive va permettre de renforcer la stratégie Zero Trust dans les entreprises concernées, bref de contrôler ainsi qui aura accès aux objets connectés. NIS 2 va aussi encourager les entreprises à introduire des mises à jour logicielles régulières et d’autres fonctions. Par rapport à NIS 1, avec NIS 2, le périmètre des entreprises concernées passe de 19 secteurs à 35. Sont entre autres concernés les administrations publiques, le secteur spatial, les fournisseurs de services numériques, les réseaux d’eaux usées et de gestion de déchets, les services postaux, l’alimentation, les fabricants de produits chimiques et pharmaceutiques, les acteurs de l’énergie, des transports, les banques et institutions financières puis la santé. De ce fait, des milliers d’entreprises vont être contraintes par la loi de rehausser le niveau de leur sécurité informatique dont certaines PME et collectivités. Cette directive vise également les prestataires IT des dites entreprises ayant un accès à toutes ces infrastructures critiques. Plus stricte, la NIS 2 oblige les acteurs à déclarer le sinistre dans les 72 heures afin de réagir au plus vite et d’annihiler la cybermenace. Tous devront se soumettre à des audits de sécurité dans le but de recevoir des recommandations et de répondre à des normes de sécurité drastiques. Là aussi, en cas de non-respect, les sanctions seront plus sévères ; elles incluent notamment des amendes administratives dont le montant peut aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires de l’entité, la responsabilité du dirigeant pouvant même être engagée.

Selon le CNLL (Conseil National du Logiciel Libre qui représente entre 200 et 300 entreprises), l’immense majorité (de 78 à 96 % selon les sources) de tous les logiciels contient aujourd’hui des composants open source. Cela signifie que les logiciels libres jouent un rôle décisif dans l’industrie des technologies de l’information et dans l’économie dans son ensemble ; en clair, rien (dont les objets connectés) ne fonctionne sans logiciels libres. Pour Stéfane Fermigier, co-président du CNLL, le CRA pose deux problèmes qui n’ont pas été retenus. Déjà le CRA va à l’encontre du principe de l’open source et du libre dont les licences contiennent une clause de responsabilité. En somme, vous utilisez le logiciel à vos risques et périls, c’est le fondement juridique du logiciel libre. « Le CRA casse ce modèle. Pour l’entreprise, on lui rajoute une ligne de risque », précise Stéfane Fermigier. De plus, toujours pour le représentant du CNLL, c’est au concepteur de l’objet d’endosser la responsabilité et non à toute la chaîne de production comme le souhaiterait un certain nombre d’industriels très influents dans les couloirs de Bruxelles. Même si la mobilisation des différentes associations européennes (CNLL en France, APELL pour l’Europe à Bruxelles, Free Software Foundation active en Allemagne, etc.) a été forte pendant un an, le texte passera avec toute sa complexité. « Le texte est long et compliqué, il doit être complété dans les 3 ans à venir d’une quarantaine de normes dont on ne sait pas ce qu’il y aura dans certaines d’entre elles, cela nécessite des explications », relève Stéfane Fermigier et d’ajouter : « Les coûts de développement pourraient augmenter de 30 %... ».

Un guide d’accompagnement en préparation

C’est dans ce contexte que le CNLL va lancer en partenariat avec inno3, un cabinet de conseil spécialisé dans le libre, un guide d’accompagnement à ses membres pour faciliter la mise en conformité avec la nouvelle réglementation. Ce guide sera articulé autour de l’organisation de deux réunions (réunion de cadrage et de restitution) et d'un workshop réunissant l’ensemble des acteurs autour du CNLL pour représenter les besoins et les solutions de la filière open source. Il synthétisera l’impact du CRA et opérationnalisera les principales attentes du législateur européen. Ce document pourra évoluer par la suite avec des ajouts autour des spécificités concernant certaines catégories d'utilisateurs et contributeurs open source (grands utilisateurs, administrations). Selon Stéfane Fermigier, ce guide devrait être disponible à la fin de l’année, peut-être dès les 4 et 5 décembre 2024, une date où aura lieu le salon Open Source Experience au Palais des Congrès à Paris.

Un objet connecté reste vulnérable et un réseau étanche n’existe pas, c’est pour ces raisons qu’il faut disposer d’une défense en profondeur sur tous les composants. Et cette défense passe par plusieurs aspects et fonctionnalités. Déjà le chiffrement, en effet, toutes les informations qui transitent dans la chaîne de gestion des objets connectés (équipements et plateformes) doivent être chiffrées. Cette opération garantit une totale illisibilité des données même si ces dernières sont interceptées. Ensuite, comme le mentionne Yavor Gueorguiev, Application Delivery Manager chez Genetec France, les objets connectés doivent être mis à jour régulièrement, pour ce faire, les failles doivent être communiquées par les fabricants et les corrections facilement accessibles depuis des plateformes de patch management par exemple. La surveillance et l’observabilité en temps réel jouent un rôle primordial dans ce processus de sécurisation de l’IoT, une détection précoce de toute activité suspecte permettra d’apporter une réponse rapide en cas de menace avérée. « C’est dans cette optique que nous avons racheté Splunk pour disposer d’un datalake qui regroupe toutes les informations y compris celles issues de l’IoT », précise à ce titre Fabien Maisl, global marketing Industrial IoT chez Cisco

De l’importance de l’authentification des machines et des utilisateurs

En outre, un objet connecté doit aussi disposer d’une identité qui s’active par son authentification en se connectant à une passerelle ou à un serveur central. En complément à cette authentification, il faut s’assurer que seuls les utilisateurs autorisés peuvent accéder aux données et aux appareils. Ces autorisations fixées en fonction de droits garantissent que les utilisateurs ont uniquement accès à ce qui leur est nécessaire. « C’est bien dans ce contexte que nous avons développé notre plateforme logicielle de sécurité physique unifiée en autorisant ou pas l’accès aux utilisateurs en fonction de leurs droits », précise Yavor Gueorguiev. A cela s’ajoute la nécessité de gérer rigoureusement et préalablement les identités et des accès. En effet, l’objectif des systèmes de gestion des identités et des accès est de s’assurer que l’authentification et l’autorisation s’effectuent correctement de façon simple, rapide et automatisée. Selon Grégory Gatineau, Category Manager chez HPE Aruba Networking, c’est toute la partie SSE (Security Service Edge) qui rentre en jeu, permettant de vérifier l’identité des utilisateurs et des machines et de gérer les privilèges accordés. Sans ce type de solution, c’est à un référent dans l’entreprise de suivre manuellement chaque entité qui a accès à ses systèmes, la méthode utilisée et le moment de l’accès. Compliqué donc !

De l’approche security by design aux bug bounty

Bien sûr, toutes ces mesures sont à mettre en parallèle à cette approche de security by design que doit prendre en compte le fournisseur de l’objet connecté. Celle-ci vise à réduire les risques de failles et à renforcer la cybersécurité dès le début du processus de développement. Car en intégrant des mesures de sécurité dès la conception, on évite déjà certaines vulnérabilités qui pourraient être exploitées par des attaquants. Toutefois, une approche de security by design nécessite de mettre en place des équipes et peut-être même une stratégie SecDevOps qui donne la priorité à la sécurité afin que les organisations puissent se rappeler de l'inclure à chaque étape et mieux éviter les risques d'intrusion. A cela, des phases de pentests sont recommandées pour éprouver la sécurité d'un objet et/ou la mise en œuvre de plateformes de Bug Bounty (YesWeHack, Yogosha, etc.) qui consistent à faire appel à des hackers éthiques capables de signaler de potentielles failles de sécurité. Toutes ces mesures coûtent chères, et les budgets liés à la sécurité IT ne sont pas forcément très élevés, de l’ordre de 5 à 20 % du SI suivant le secteur d’activité selon Numeum.

Lorsqu’une entreprise décide de mettre en place des outils IoT, comment s’y prendre ? Quels sont les outils incontournables ?

Grégory Gatineau : Ce dont il faut tout d’abord prendre conscience, c’est que nombre d’entreprises sont bicéphales ; par cela, j’entends que les équipes recourant au quotidien à l’IoT ne seront pas nécessairement celles qui auront la charge de la sécuriser. Les équipes métier vont donc parfois mettre en place des solutions répondant à leurs enjeux bien précis, mais déphasées par rapport aux exigences de cybersécurité. C’est là qu’est parfois le point d’achoppement, et c’est à cela que viennent répondre les solutions HPE Aruba Networking. Nos solutions intègrent donc directement du Bluetooth, des puces GPS ou des ports USB, afin d’étendre l’écosystème de connectivité au maximum et de garder de la visibilité sur tous les terminaux IoT – même lorsque ceux-ci font appel à des technologies différentes. Rapatrier ces flux sur le réseau Ethernet permet d’appliquer les mécaniques de cybersécurité déjà présentes. Nos solutions permettent également à nos clients d’entamer une réflexion sur l’évolution de leurs réseaux ; elles pourront interconnecter nos solutions avec leurs outils déjà en place, et simplifier le fonctionnement de ceux-ci.

Stéphane Leroux : Effectivement, les entreprises ont logiquement un intérêt à mutualiser ses cas d’usages et leur sécurité sur un même réseau et au sein d’un seul outil de gestion, pour l’ensemble de leurs infrastructures. Cela incite donc les équipes à davantage de communication et de collaboration entre elles. Pourtant, une fois que l’on sait cela, comment piloter cet environnement convergé ? Nous exploiterons donc des technologies de segmentation dynamique, pour différencier les divers usages, via ce qu’on appelle les « rôles ». L’objectif est clairement de faire cohabiter et prioriser les flux, mais de façon silotée, étanche. Cela est d’autant plus aisé que l’un des avantages de l’IoT est qu’il est assez peu gourmand en bande passante.

Quels sont précisément les différents usages auxquels ces solutions IoT viendront répondre ?

Stéphane Leroux : En fonction de chaque secteur, il y aura bien sûr des spécificités. Je citerai toutefois un exemple que l’on retrouve dans de nombreux secteurs : le bâtiment intelligent, qui permet une gestion plus précise et rigoureuse de l’énergie. Ensuite, en fonction du secteur et des besoins clients, les solutions IoT seront davantage orientées. D’où l’importance pour HPE Aruba Networking de mettre en place un vaste écosystème, très diversifié – puisque nous ne pouvons proposer des solutions pleinement ciblées sur une activité particulière. Si l’on prend l’exemple du retail, les applications de l’IoT seront relatives à l’expérience client ou l’affichage des prix. Dans le secteur de la santé, il s’agira du parcours du patient ou du visiteur au sein d’un hôpital, ou encore le suivi des actifs. L’objectif, dans chaque cas de figure, est de faire qu’une infrastructure soit la plus ouverte possible, afin de couvrir un maximum d’usages – sans pour autant renoncer à la sécurité, ni complexifier l’infrastructure et le SI.

Quelle est la plus-value des solutions HPE Aruba Networking ?

Grégory Gatineau : Nous avons documenté un écosystème de partenaires technologiques, qui viendront fournir aux entreprises les solutions métier adapté à leurs enjeux. Cet écosystème est développé et enrichi par une veille économique et technologique, qui a aussi lieu via nos clients et partenaires historiques. Il s’agit donc d’un processus continu ; parfois, il s’agit d’une solution identifiée par un de nos clients, et sur laquelle celui-ci vient nous demander conseil. Du fait de notre notoriété et de notre réputation, nous sommes également fréquemment contactés par des fournisseurs de solutions IoT souhaitant interfacer leur technologie avec la nôtre et s’ouvrir à de nouvelles perspectives. Nous pouvons donc jouer un vrai rôle de prescripteurs auprès de nos clients. Mais du fait que notre offre est ouverte par nature, via API, ARUBA peut interagir avec n’importe quelle solution pour peu qu’elle soit basée sur des standards industriels.

Cet aspect précis est primordial, surtout lorsque l’on sait qu’une infrastructure peut rester en place au sein d’une entreprise pendant 5, 10 voire parfois 15 ans ! Il faut donc être capable de se projeter dans le temps long, et que nos clients sachent qu’ils ont mis en place la bonne infrastructure, puisque c’est sur le bon fonctionnement de celle-ci que reposeront tous les enjeux IT et parfois métiers d’une entreprise. Mettre le bon réseau en place dès le départ, c’est le meilleur moyen de bien construire son SI ensuite.

Lorsqu’une entreprise a mis en place des outils d’IoT et qu’elle a pris ses dispositions concernant la bonne gestion de ceux-ci, il lui reste encore un chantier de taille : assurer la sécurité desdits outils IoT. Si la DSI de l’entreprise peut garder la mainmise sur de nombreuses opérations d’identification, celle-ci peut manquer de visibilité sur certains terminaux, comme ceux ayant trait au shadow IT. Grégory Gatineau précise : « Certaines équipes métier au sein des entreprises sont dans une logique d’innovation permanente et cherchent à expérimenter, à tester des solutions qui pourraient les rendre plus compétitives ou efficaces. Si cela part souvent d’une bonne intention, la DSI n’a pas forcément donné son feu vert pour certains usages. Les équipes IT s’en rendent parfois compte trop tard, alors que le risque de sécurité est déjà avéré. »

Mieux communiquer pour mieux collaborer

Face à de telles évolutions sur le terrain, il est ainsi primordial que la DSI parvienne à conserver une visibilité complète sur tous les terminaux se connectant au réseau de l’entreprise, y compris les potentiels « éléments perturbateurs ». Ces pratiques qui émergent peuvent aussi être le point de départ d’une meilleure communication entre les équipes métiers et IT. Grégory Gatineau poursuit : « L’idée est d’ouvrir une discussion, de savoir selon quels paramètres configurer les outils, pour que chaque équipe en tire le meilleur parti sans créer de brèche de sécurité – et sans être non plus dans le blocage pur et simple. » Pour changer de paradigme en la matière, les entreprises doivent faire appel aux acteurs spécialisés, tels que HPE Aruba Networking afin d’avoir un large choix de solutions renforçant la sécurité des réseaux. Stéphane Leroux précise l’étendue des services fournis par HPE Aruba Networking en la matière : « Nos solutions permettent d’étendre les capacités de filtrage des pares-feux, lesquels sont directement intégrés aux équipements réseau. L’objectif derrière cela est de filtrer tous les flux, avant même que ceux-ci ne pénètrent au sein du réseau. »

Autre défi lié aux appareils IoT : la prolifération de ces équipements au sein des entreprises, qui complique de plus en plus leur sécurisation. A ce sujet, Grégory Gatineau explique : « D’une équipe à l’autre, il n’y a pas toujours de vraie standardisation sur les formats, la connectivité, les façons de communiquer… Tout ceci pose un réel problème pour la DSI, puisque celle-ci se retrouvera avec un véritable maquis de protocoles à mettre en place, de formats à faire cohabiter, de connexions à assurer. » C’est ici que les solutions HPE Aruba Networking entrent en jeu ; celles-ci permettront en effet de prendre en compte la totalité des éléments présents sur le réseau, sans pour autant que l’infrastructure s’en voit complexifiée. Cet outil jouera ici le rôle de « tiers de confiance » en vérifiant quel utilisateur cherche à se connecter, humain ou machine, à se documenter sur lui puis, le cas échéant, l’authentifier – en se portant garant de cette connexion et en continuant à vérifier tout au long de sa session d’utilisation au maintien de la cohérence de la politique de sécurité.

Redonner davantage d’autonomie

Au-delà du gain évident de sécurité pour l’entreprise, cette solution permet également de redonner davantage d’autonomie aux équipes de terrain. Stéphane Leroux explique : « Si un équipement se déconnecte et se reconnecte à un autre endroit dans l’entreprise, il sera reconnu et sécurisé comme s’il n’avait jamais bougé. Je prendrai l’exemple d’une imprimante : un collaborateur peut la débrancher au rez-de-chaussée et la connecter à un autre étage, en Wi-Fi ; celle-ci sera reconnue et accessible à tous les utilisateurs, sans qu’il y ait besoin de faire de demande à la DSI. Cette simplicité, nous sommes capables de la garantir à tout type d’équipements et IoT sur le réseau. »

Pour une entreprise, mettre en place les bons outils de sécurité est un bon moyen de rester à la pointe de l’innovation, mais aussi et surtout de conserver un réel avantage concurrentiel sur des marchés souvent compétitifs. Stéphane Leroux explique : « Une opération qui nécessitera peut-être plusieurs mois pour ses concurrents n’exigera que quelques semaines pour l’entreprise qui a mis en place nos solutions. Si on parle souvent de l’expérience utilisateur, il s’agira ici davantage de l’expérience administrateur, non moins capitale puisque la sécurité concerne toutes et tous au sein de l’entreprise. »

Pour une entreprise, garder la mainmise sur les différents terminaux IoT se connectant à son réseau est parfois difficile, alors que la multiplication des appareils IoT fait émerger de nouveaux défis pour les équipes IT. Pourtant, il est primordial qu’à tout moment les équipes IT sachent précisément quel appareil est connecté, et pour quel usage, ou encore ce qui fonctionne et ce qui dysfonctionne. Il est tout aussi essentiel que les entreprises aient à leur disposition des outils en mesure d’unifier les différents protocoles de communication et types de connectivité des outils IoT, qui nécessitent bien souvent des passerelles spécifiques afin de piloter les appareils et collecter les données. D’autant plus que les appareils ne sont pas fiables par nature et qu’un manque de visibilité peut générer des risques plus importants pour l’entreprise. De fait, l’intégration des données IoT aux processus métier est complexe et nécessite des connaissances approfondies en IoT. Les équipes IT, sollicitées sur un vaste nombre de sujets, doivent donc bien s’entourer.

Des recommandations simples à mettre en pratique

Pour accompagner les organisations dans la gestion de leurs ressources IoT, les acteurs spécialisés n’ont cessé de faire évoluer leurs solutions, notamment en y intégrant de l’intelligence artificielle. En effet, les dernières technologies développées sont en mesure de le faire précisément, mais aussi de faire des recommandations de maintenance prédictive à l’administrateur du réseau, lesquelles peuvent être mis en pratique simplement par les entreprises. Grégory Gatineau explique : « L’administrateur d’un SI sur lequel les solutions HPE Aruba Networking sont déployées consulte son interface, sur laquelle un smiley rouge apparaît en cas d’alerte ; il peut s’agir d’un appareil IoT qui ne fonctionne pas. L’administrateur demandera à l’IA « d’enquêter » et prendre ensuite une décision tout à fait éclairée. »

Les points d’accès extensibles Wi-Fi 6, Wi-Fi 6E et Wi-Fi 7 de HPE Aruba Networking prennent en charge de nombreuses technologies IoT ; les entreprises peuvent donc gérer une large gamme d’applications IoT avec leur infrastructure HPE Aruba Networking déjà en place, et ainsi éliminer le coût, la complexité et les vulnérabilités potentielles des passerelles et réseaux IoT superposés. De plus, les entreprises peuvent appliquer les principes de sécurité Zero Trust : la segmentation dynamique automatise l’identification des appareils, l’application des politiques et leur mise en œuvre, et facilite l’évolutivité de l’adoption de l’IoT.

Faire gagner du temps à chaque maillon de la chaîne

Pour un DSI devant souvent gérer des parcs étendus avec des équipes réduites, pouvoir automatiser de nombreuses tâches et accélérer la prise de décision représente ainsi un apport inestimable. Ces solutions peuvent être aisément paramétrées au sein d’écosystèmes existants et interagir avec les outils existants, pour assurer une connexion et une sécurisation optimales. Selon Stéphane Leroux, mettre en place les bons outils est aussi riche de nombreux autres avantages : « Une solution qui permet d’émettre des diagnostics et d’effectuer des dépannages, fait gagner du temps à chaque maillon de la chaîne, et améliore donc l’expérience – que cela soit celle de l’opérateur ou de l’utilisateur. L’IA s’enrichit d’autant plus que ses données sont stockées dans le cloud et enrichissent l’intelligence de nos plateformes, du fait du fonctionnement en crowdsourcing. »

Même les entreprises qui ne souhaitent pas rester dépendantes du cloud pourront développer des solutions IoT fonctionnant en vase clos, en demeurant tout aussi flexible et tirer pleinement parti de l’IA. Grégory Gatineau précise : « On pense souvent au cloud lorsque l’on entend parler d’IoT mais il ne va pas de soi dans certains secteurs. Pour certains d’entre eux, c’est même dans le cahier des charges de ne pas embarquer du cloud, notamment dans certaines entités publiques, par exemple rattachées à l’armée. »