Comment assurer la sécurité des réseaux face à l’explosion des objets connectés (IoT) et des appareils mobiles dans un environnement d’entreprise ?
PLAN :
Problématique
Démarche de veille (quels outils ont été mis en place pour surveiller le sujet)
Analyse argumentée
(Optionnel) Explication de l’expérimentation technologique
Mes recommandations
Glossaire
Sources (liste des sources d’informations utilisées pour réaliser mon analyse)
1) PROBLÉMATIQUE :
Dans un contexte où l’Internet des Objets (IoT) et les appareils mobiles se multiplient de manière exponentielle, les entreprises doivent faire face à de nouveaux défis en matière de sécurité des réseaux. Un objet connecté (Internet of Things ou IoT en anglais) est un matériel électronique connecté ou directement propriétaire à Internet, c’est-à-dire qu’il est capable d’envoyer ou de recevoir des informations par Internet
Les objets connectés, en raison de leur nature distribuée et de leur capacité à collecter des données sensibles, représentent un vecteur de risque majeur.
L’intégration de ces appareils dans les infrastructures réseaux des entreprises expose celles-ci à des vulnérabilités accumulées, notamment en matière de gestion des accès, de protection des données et de maintenance des systèmes.
L’enjeu principal réside donc dans la gestion de cette multiplication des points d’accès (objets connectés et appareils mobiles) tout en garantissant l’intégrité des réseaux, la confidentialité des informations et la disponibilité des services.
Enceintes, montres, ampoules, thermostats, téléviseurs, réfrigérateurs, jouets pour adulte ou enfant, caméras, alarmes, « baby-phones », etc… Les objets connectés font aujourd’hui de plus en plus partie de notre vie numérique, tant personnelle que professionnelle.
Comme tout équipement informatique communicant, ces objets peuvent cependant présenter des vulnérabilités qui peuvent entraîner certains risques comme leur piratage ou le vol des informations personnelles qu’ils contiennent, d’autant plus qu’ils sont souvent insuffisamment sécurisés, et peuvent donc représenter le maillon faible de votre environnement numérique.
Nous viendrons à nous questionner sur le fait de : Comment assurer la sécurité des réseaux face à l’explosion des objets connectés (IoT) et des appareils mobiles dans un environnement d’entreprise ?
2) Démarche de la veille :
Afin de surveiller cette problématique, une démarche de veille s’est mise en place avec plusieurs outils et différentes techniques.
Dans un premier temps, une mise en place d’alertes Google spéciales avec des mots clés tels que « Iot sécurisés », « Sécurité es réseaux Iot », « Iot en entreprise » … afin de nous permettre de suivre les dernières recherches, publications et actualités du sujet.
Un suivi de blog et de forums, spécifiques à la cybersécurité ainsi qu’aux objets connectés telles que les plateformes connectés comme Reddit/r/networking pour les retours d’expériences et différents discussions ouvertures pour débattre ou informer. Pour les blogs, un particulièrement connu, Krebs on security Dark reading, et en effet le blog est en anglais mais actuellement, les blogs et les forums sont plus renseignés en anglais.
Pour surveiller cette veille, un usage d’outil de surveillance a été mis en place via Shodan. Cet outil nous a permis de scanner l’internet à la recherche de dispositifs connectés et probablement à risques. Pour suivre les failles de sécurité spécifiques aux Iot, il y a CVE (Common Vulnerabilities and Exposures).
Une surveillance, sur tout ce qui est réglementation, normes et lois sur la cybersécurité, tels que les RGPD (règlement général sur la protection des données). La norme sur la sécurité des réseaux IoT (par exemple, ISO/IEC 27001, NIST Cybersecurity Framework)
De partout cela, il y a aussi un déploiement de systèmes de gestion des accès et de contrôles d’identité (IAM), tel Microsoft Azure AD souvent utiliser en entreprise, pour s’assurer que seul le personnel autorisé puisse accéder aux appareils IoT et aux applications sensibles.
Pour finir, un usage de solution bien connu dans le monde de la cybersécurité, l’usage de solutions SIEM comme Splunk pour centraliser et analyser en temps réel les logs (journau) provenant de tous les appareils connectés au réseau.
3) Analyse argumentée :
En effet, une prolifération d’objets connectés en entreprise est observée. Malheureusement, une augmentation drastique des attaques cyber sur les Iot… Sur la première moitié 2023, un rapport ZScaler chiffre une augmentation de 400% par rapport à l’année 2022.
Alors quels sont les avantages et les inconvénients des Iot au sein une entreprise ?
Cela permet d’améliorer votre efficacité opérationnelle et votre productivité. En effet, l’IoT permet aux entreprises de collecter des données en temps réel sur leurs opérations pour analyser leurs processus. L’IoT permet également d’automatiser certaines tâches.
Cela donne ainsi la possibilité d’exécuter une tâche de manière permanente ou quasi-permanente, de se débarrasser des tâches répétitives ou encore d’effectuer des tâches avec plus de précision que ce n’est capable l’être humain (par exemple déterminer la conformité d’un produit).
Améliorer l’expérience client. En utilisant l’IoT, les entreprises peuvent mieux comprendre les préférences et les comportements de leurs clients. Cela leur permet notamment de personnaliser les offres en conséquence.
Réduisez les coûts. Par exemple, l’IoT permet de suivre l’usure et de prévoir les besoins en maintenance des machines. En ce faisant, cela permet d’éviter les interruptions imprévues.
Mais les Iot n’ont pas toujours que des points positifs, pour le moment un grand large d’inconvénients fait face.
Pour commencer, gros point noir niveau sécurité.
Ces dispositifs sont (au même titre que tout autre appareil connecté au réseau) de portes d’entrée potentielles pour les hackers. Il faut être vigilant à leur configuration et à leur maintenance (mises à jour, tests de fonctionnement…)
Ensuite en terme de complexité, ces appareils demandent pour la plupart une alimentation électrique continue et une connexion à internet. Ensuite, parce que la multiplication des solutions IoT implique généralement la multiplication des fournisseurs.
Enfin, ces solutions nécessiteront un onboarding (intégration en entreprise) dont la durée dépend de la technicité de la solution.
Un gros problème de fiabilité. Elle varie en fonction des fournisseurs, des technologies utilisées ainsi que de la robustesse des SI existants. Par exemple, s’il y a des coupures de réseaux fréquentes et que certains systèmes doivent avoir une connexion continue, cela générera des pertes de données. Une répétition, cela aurait un impact sur le fonctionnement global du système.
Un mauvais point sur l’aspect financier, un aspect qui est particulièrement surveiller par chaque entreprise, la nécessité de multiplier les solutions pour une efficacité maximale décuple les coûts. La montée en compétence sur l’/les outil(s) ainsi que son/leur intégration aux systèmes existants viennent également s’y ajouter.
4) Explication de l’expérimentation technologique
Dans le contexte de l’expérimentation, une solution de sécurité s’appuyant sur l’authentification multifactorielle (MFA) a été mise à l’épreuve dans le but d’améliorer la gestion des accès aux appareils mobiles et IoT.
Le but était d’évaluer l’efficacité de la MFA en conjonction avec un système de contrôle d’accès basé sur des rôles (RBAC).
Suite à l’implémentation, une surveillance des incidents de sécurité a conduit à une diminution de 40 % des tentatives d’accès non autorisées aux systèmes critiques de la société.
Les tests ont également requis l’établissement de segments réseau séparés pour les appareils IoT, en les enfermant dans des VLAN distincts, et en mettant en œuvre une politique sévère de contrôle des communications internes.
5) Mes recommandations :
Tout d’abord, procédez à une évaluation des canaux de partage des données qu’utilise votre entreprise, c’est-à-dire une cartographie qui démontre quelles fonctions sont accessibles par lesquelles à l’interne, et comment sont partagées ces données. Cela permettra de découvrir où des informations plus précises seraient nécessaires. Cela contribue donc à identifier de manière plus précise la cible que vous visez.
Ensuite, arrivé à l’étape de la planification stratégique en vue d’adopter cette nouvelle technologie, il faut se demander si l’infrastructure technologique ne dispose pas votre entreprise permet de supporter ce nouveau genre de système.
Par exemple, opter pour le stockage d’informations sur le Cloud pour permettre l’intégration des données transmises par les objets connectés dans la chaîne de valeur de l’entreprise, et adopter une architecture informatique permettant aux différents logiciels de communiquer ensemble), sont des étapes préliminaires à l’intégration de cette technologie.
Il serait pertinent d’évaluer la possibilité d’une éventuelle interaction du système IoT avec une autre technologie du moment, telle que la blockchain mais surtout l’intelligence artificielle (IA).
Pour finir, une fois cette analyse réalisée, vient le temps de sécuriser un investissement pour l’adoption ou l’adaptation des systèmes nécessaires à l’intégration de cette nouvelle structure de partage de données. Cette transition représente des coûts importants et un échéancier est à prévoir si l’on veut assurer un bon retour sur l’investissement grâce à un investissement durable.
Les mesures de sécurité concernant les données transmises par les objets connectés ne doivent pas être laissées pour compte, puisqu’une adoption à grande échelle précipitée entraîne souvent une plus grande vulnérabilité au niveau de la protection des données.
6) Glossaire :
Iot (Internet of Things) = objets connectés : matériel électronique connecté ou directement propriétaire à Internet, c’est-à-dire qu’il est capable d’envoyer ou de recevoir des informations par Internet
L’authentification multifacteur (MFA) : méthode d’authentification dans laquelle l’utilisateur doit fournir au minimum deux facteurs de vérification pour accéder à une ressource de type application, compte en ligne ou VPN. La MFA est une composante essentielle à la base de toute politique de gestion des accès et des identités (IAM, pour Identity and Access Management) se voulant solide. Au lieu de se contenter d’un nom d’utilisateur et d’un mot de passe, la MFA exige un ou plusieurs facteurs de vérification supplémentaires, ce qui réduit la probabilité qu’une cyberattaque puisse réussir.
Une solution SIEM, pour Security Information and Event Management (gestion des informations et des événements de sécurité), : renforce votre posture de cybersécurité en vous donnant une visibilité complète en temps réel de l’ensemble de votre environnement distribué, ainsi que des analyses historiques. Une technologie SIEM peut également accroître la résilience de l’entreprise.
Pour détecter les menaces et autres anomalies, un SIEM importe et inspecte un volume considérable de données en quelques secondes, afin de repérer et signaler les comportements anormaux. Un outil SIEM peut vous donner un aperçu de votre infrastructure informatique à tout moment. Parce qu’il est capable d’analyser les données de toutes les sources (applications réseau, matériel, cloud et solutions SaaS) en temps réel, il est incontournable pour aider les entreprises à devancer les menaces internes et externes.
Le Role Based Access Control, abrégé RBAC, signifie « contrôle d’accès à base de rôles » : concept de sécurité et d’autorisation permet l’attribution de rôles et d’autorisations dans l’infrastructure informatique d’une organisation. Le principe «à base de rôles » est ce qui distingue le RBAC des autres concepts de sécurité, par exemple du contrôle d’accès obligatoire. Avec ce modèle, un administrateur système attribue à chaque utilisateur et objet un niveau de sécurité et une catégorie. Le système d’exploitation compare automatiquement les deux niveaux et attribue ou non l’accès.
Dans le RBAC, les droits d’accès sont attribués à l’aide d’un modèle de rôles défini. Les rôles d’utilisateur établis séparent les processus de travail dans une organisation et varient donc d’une entreprise à une autre. Les repères possibles pour une répartition adéquate sont les services, les sites, les centres de coûts ou les fonctions d’un collaborateur.
