Couverture ElectroniqueS n°127

Au cours des années à venir, les entreprises feront face à une généralisation des objets connectés. Une entreprise peut prospérer si elle est capable de bien gérer ce qui s'annonce comme un défi majeur, la sécurité… ou voir ses clients et collaborateurs déserter dans le cas contraire. Et tous les secteurs d'activité sont concernés, y compris le médical, qui pourrait bien être la prochaine cible des cybercriminels. L 'Internet des Objets, ou IoT pour Internet of Things , est le sujet de nombreux débats depuis déjà pas mal de temps. Ces discussions portent sur les opportunités d'affaires qui y sont liées, les avantages pratiques apportés au grand public, et, bien sûr, les implications en matière de confidentialité et de sécurité des données. L'IoT s'inscrit dans une migration qui s'opère alors que le monde évolue des communications M2M (Machine-to-Machine) de l'IoT vers l'Internet de Tout (« Internet of Everything»), autrement dit, au-delà des objets (données, processus, voire gens connectés). Cette évolution est induite par trois moteurs : la prolifération des objets connectés, la croissance exponentielle des applications multi-plates-formes, et la maturité des technologies réseau capables de connecter des milliards de dispositifs, de manière économique et sans effort. L'IoT est source de nombreux avantages, avec notamment une visibilité et une veille en temps réel, une disponibilité 24 heures/24, 7 jours sur 7, une automatisation des processus, davantage de praticité, ainsi que la maîtrise des coûts. Les entreprises, les administrations et le grand public : tout le monde peut tirer parti de cette évolution. Les opportunités de marché sont par conséquent nombreuses. Gartner, par exemple, estime que les fournisseurs de produits et de services liés à l'IoT vont pouvoir générer un chiffre d'affaires supplémentaire de plus de 300 milliards de dollars en 2020, tandis que le nombre de ces objets connectés est estimé à plus de 26 milliards à cet horizon. De son côté, IDC table sur une croissance du marché mondial des solutions IoT de 1900 milliards de dollars en 2013 à 7100 milliards en 2020. La perte de données: une menace pour les entreprises L'IoT va transformer nos processus au quotidien, qu'il s'agisse de nos communications avec les autres, de nos méthodes de col-laboration ou encore de nos tran-sactions. De nombreux services novateurs seront également créés autour de l'IoT. Le revers de la médaille, cependant, est que l'IoT présente des risques de sécurité. En premier lieu, la migration d'informations et d'activités vers le cloud les rend vulnérables au piratage: en effet, le réseau est davantage exposé avec l'introduction d'objets connectés, tandis que le logiciel qui fait fonctionner ces objets est souvent peu sécurisé et plus vulnérable. À l'heure où le grand public et les salariés s'attendent à ce que les entreprises protègent leurs données personnelles, ces vulnérabilités peuvent porter à de lourdes conséquences. Les entreprises ont aujourd'hui pour responsabilité de protéger leurs ressources «corporate», mais également les informations de leurs clients et de leurs salariés: éléments de rémunération, historique de recherche et d'achat de produits, et autres données sensibles. Cette évolution s'opère à l'échelle mondiale, de la simple protection des clients contre l'utilisation frauduleuse de leur carte bancaire vers une protection exhaustive des informations personnelles. Ces responsabilités doivent être tenues par les entreprises pour éviter qu'elles ne se mettent en péril. CHRISTOPHE AUBERGER, directeur technique France de Fortinet L'inspection du “ réseau constitue la seule solution possible pour sécuriser l'Internet des Objets. Chaque réseau devra intégrer un dispositif de sécurité suffisamment intelligent pour assurer une inspection détaillée des plates-formes logicielles de ces objets non conventionnels. Dans une récente enquête sur l'IoT menée par Fortinet, 62 % des personnes interrogées affirment qu'ils se sentiraient particulièrement en colère – jusqu'à prendre des mesures – si elles apprenaient qu'un objet connecté personnel collectait secrètement des informations les concernant pour les transmettre à un tiers. D'autre part, si un dispositif connecté identifié recueille des données, 66% des répondants insistent sur le fait que l'accès à ces données soit limité à eux ou à des tiers dûment autorisés par leurs soins. Des objets connectés facilement piratables Les objets de l'IoT sont simples à pirater: ils utilisent en effet de nombreux modules et bibliothèques communes, souvent issus de l' Open Source . Ils ont également tendance à utiliser les protocoles les plus récents tels qu'UPnP ( Universal Plug n Play ), susceptibles de présenter davantage de défauts que les protocoles plus matures. D'autre part, les fabricants d'objets connectés ne donnent pas forcément la priorité à la sécurité lorsqu'ils les conçoivent, et ne disposent pas de mécanismes de réponse en cas de piratage de leurs équipements. La sécurité concerne tous les secteurs d'activité, y compris le médical qui pourrait bien devenir la prochaine cible des cybercriminels. Le système d'informations de santé, qui regroupe les dossiers électroniques des patients jusqu'aux dispositifs médicaux, est plus vulnérable qu'on ne l'imagine. Les principaux éditeurs de logiciels, tels que Microsoft et Adobe, sont des cibles historiques d'attaques et ont donc fait de la sécurité un élément essentiel de leur cycle de développement applicatif, avec notamment une mise à disposition fréquente de patchs de sécurité. Si une vulnérabilité majeure est repérée sur leur logiciel, ce sont des équipes d'urgence dédiées à la sécurité qui prennent en charge rapidement cette problématique. De plus, ces éditeurs ont intégré de nombreuses mesures de sécurité au cœur de leurs produits, ce qui ne facilite guère la tâche des assaillants. Adobe Reader, par exemple, dispose d'une « sandbox » pour davantage de résilience face aux attaques. Les objets connectés sont dépourvus de ces contrôles de sécurité. Ils gagnent en complexité avec le temps qui passe, ce qui devrait faire émerger davantage de bugs de sécurité. Il s'agira, pour l'essentiel, de bugs traditionnels affectant les interfaces Web utilisateurs qui contrôlent les dispositifs IoT. Pour FortiGuard Labs, la division de Fortinet dédiée à la recherche et veille des menaces, les hackers ont déjà commencé à tester les vulnérabilités de l'IoT. Peu d'attaques ont été menées à ce jour, mais les choses devraient changer dans les mois à venir. Les équipements IoT constituent ainsi des cibles privilégiées compte tenu de leur faible résistance. D'ailleurs ces hackers le savent : en l'absence d'équipes de sécurité pour gérer les patchs et les problèmes de sécurité de l'IoT, leurs attaques sont susceptibles de réussir. Si un équipement est connecté, dispose d'un espace de stockage, de ressources mémoire et d'un processeur, il devient un candidat idéal pour les attaques. Notons également qu'un objet connecté va souvent servir d'intermédiaire vers une seconde attaque vers le réseau interne. Inspecter le réseau pour une sécurité pertinente Face à la « surface » d'attaque importante que présente l'IoT, la sécurité et la gestion des terminaux tendent à se fragmenter. La majorité des objets connectés ne disposent pas d'un antivirus. D'ailleurs, le déploiement d'un tel outil de sécurité est complexe, face au volume et à la diversité de l'écosystème IoT. L'inspection du réseau constitue par conséquent la seule solution possible pour sécuriser l'IoT. Chaque réseau devra intégrer un dispositif de sécurité suffisamment intelligent pour assurer une inspection détaillée des plates-formes logicielles de ces objets non conventionnels. C'est ce que ce nous appelons une inspection multi plate-forme, la meilleure option pour faire face aux évolutions de l'IoT. Pour chaque requête de données, ce dispositif doit être capable de répondre à trois questions liées à l'utilisateur: qui est-il, que fait-il et quelles sont les données dont il a besoin. Ceci implique que le réseau intègre des technologies de protection réseau à l'instar d'un pare-feu, d'un système de prévention d'intrusions, d'un filtrage Web et de solutions antimalware qui assurent l'application des règles, contrôlent les applications et préviennent les fuites de données. De plus, les contenus doivent également être analysés précisément parce que la surface d'attaque est plus large. En effet, les menaces peuvent se dissimuler un peu partout aujourd'hui, et notamment au sein d'un trafic qui semble a priori légitime. Avec ces solutions intelligentes, des règles bien définies et des équipes de sécurité IT vigilantes, les professionnels pourront espérer remporter cette bataille de la sécurité de l'IoT, ou, tout du moins, mettre leur entreprise sur un pied d'égalité face aux menaces. Le médical, prochaine cible des cybercriminels? La sécurité concerne d'ailleurs tous les secteurs d'activité, y compris le médical qui pourrait bien devenir la prochaine cible des cybercriminels. Le système d'informations de santé, qui regroupe les dossiers électroniques des patients jusqu'aux dispositifs médicaux, est plus vulnérable qu'on ne l'imagine. Et les enjeux sont bien trop importants pour fermer les yeux sur cette problématique épineuse. Aujourd'hui, sur le marché noir, les données de patients se monnayent jusqu'à 20 fois plus cher que les données de cartes de paiement récupérées, par exemple, à l'issue d'un piratage visant un acteur de la grande distribution. Les données médicales sont en effet détaillées, riches et regorgent d'informations que recherchent les cybercriminels pour perpétrer leurs détournements d'identité et autres fraudes. De plus, les patients prennent bien plus de temps à se rendre compte du détournement de leurs informations de santé, jusqu'à près d'un an pour certains patients. En effet, pour identifier une utilisation frauduleuse des cartes de paiement, les banques disposent d'algorithmes qui repèrent rapidement les activités suspectes et prennent souvent automatiquement les mesures de sécurité qui s'imposent. Mais ces mesures de sécurité n'existent pas dans le domaine médical. Les acteurs de santé, eux-mêmes, ne se rendent pas toujours compte de la vulnérabilité des nombreux systèmes qu'ils utilisent face aux cyber-attaques: - Cyberattaques traditionnelles Ces attaques, qui s'en prennent à tous les profils d'organisations, sont véhiculées par des logiciels malveillants, phishing , chevaux de Troie ou encore des ransomware . Par rapport aux autres secteurs d'activité, celui de la santé est particulièrement vulnérable en l'absence de mesures de protection intégrées et compte tenu d'une priorité moindre accordée à la sécurité. Ces logiciels malveillants, qu'ils soient déployés via des attaques ciblées, des sites Web piratés ou des dispositifs mobiles infectés, entraînent une divulgation de données confidentielles et aboutissent à des coûts importants et à des tâches de restauration post-incident particulièrement chronophages. Ces attaques ne sont pas vraiment nouvelles, mais elles gagnent en sophistication et la perte de données de patients est une vraie problématique. Les cybercriminels ont d'ailleurs conçu des plates-formes entières de logicielsmal-veillants qui peuvent être per-sonnalisées pour attaquer les acteurs de santé. Dès 2011, un chercheur en sécurité a su démontrer qu'une pompe à insuline pouvait être piratée et utilisée pour injecter une dose mortelle d'insuline. Dispositifs médicaux connectés Aujourd'hui, des moniteurs cardiaques aux pompes à perfusion, tous les équipements peuvent être connectés à un réseau et s'interfacer avec les dossiers électroniques de patients, permettant ainsi d'activer des alertes en temps réel à l'intention du personnel soignant. Cette interactivité est, dans la perspective du patient, une bonne nouvelle. Mais au niveau sécurité, il s'agit plutôt d'un cauchemar. La majorité de ces équipements, et notamment les IRM, les scanners et autres équipe-ments de diagnostic n'ont pas été conçus en faisant de la sécurité une priorité. Ils sont nombreux à utiliser des systèmes d'exploitation comme Microsoft Windows et des logiciels conçus pour collecter les données, mais pas forcément les garder en sécurité. Le piratage de ces appareils est donc possible. Les cybercriminels peuvent alors accéder directement aux systèmes de données cliniques avec lesquels ces équipements sont interfacés. Les données de patients ne constituent pas les seules ressources pouvant être piratées via des dispositifs connectés. Les cyber-terroristes pourraient potentiellement manipuler les machines et porter atteinte aux patients. D'ailleurs, dès 2011, un chercheur en sécurité a su démontrer qu'une pompe à insuline pouvait être piratée et utilisée pour injecter une dose mortelle d'insuline. Equipements de santé personnels et résidentiels Les dispositifs de santé prolifèrent bien au-delà des murs des hôpitaux. Les équipements de santé personnels, les applications de santé et autres coachs de fitness sont de plus en plus nombreux à recueillir et à transmettre des données. Ces systèmes peuvent potentiellement mettre les données de patients en péril (ou du moins ne pas assurer leur parfaite protection), et ils s'interfacent aussi souvent avec des dossiers électroniques de patients ou des systèmes hébergeant des données cliniques. Si un dispositif de contrôle du taux de glucose ou une application de santé sur iPhone peuvent être la cible d'attaques, ces vulnérabilités s'appliquent également aux institutions de soins de santé. Les dispositifs cliniques ont, en effet, pour priorité d'offrir de nouvelles modalités pour une prise en charge pratique, innovante et performante des patients. La sécurité, elle, est moins prioritaire. La sécurité des soins de santé ne doit pas attendre que les piratages de données de patients aient réussi pour devenir prioritaire. Il faut s'en préoccuper dès aujourd'hui. Le secteur des soins de santé, dans sa globalité, doit engager des actions proactives et privilégier les équipements qui intègrent la sécurité en natif, mais aussi déployer une protection active au niveau du réseau et des applications. Les enjeux sont tout simplement trop critiques pour s'offrir le luxe d'attendre…

Internet des Objets: relever le défi de la sécurité

Couverture ElectroniqueS n°127

IBM grave les premières puces en 2 nm en abandonnant les FinFET

Zeta, le protocole LPWAN made in China, arrive en Europe

Harting invente le connecteur électronique sur mesure

Internet des Objets: relever le défi de la sécurité

Dans la même rubrique

Couverture ElectroniqueS n°127

IBM grave les premières puces en 2 nm en abandonnant les FinFET

Zeta, le protocole LPWAN made in China, arrive en Europe

Harting invente le connecteur électronique sur mesure