Sécurité cyber de l'IoT : paysage britannique et mondial

La croissance des appareils connectés et de l’Internet des objets a entraîné une prise de conscience accrue de l’importance de la cybersécurité. Les entreprises et les organisations ont appris à protéger leur infrastructure informatique contre les pirates informatiques, mais les appareils connectés sont eux aussi vulnérables et constituent une plateforme tout aussi viable pour lancer une attaque de cybersécurité plus large. Par leur nature, ces appareils sont plus difficiles à protéger, et sur le marché des consommateurs, la prise de conscience des menaces potentielles est beaucoup plus faible.

Les tentatives de remédier à cette baisse se répartissent généralement en trois catégories :

• Normes et directives. Basés sur la recherche et les meilleures pratiques, ils définissent les exigences et les contrôles nécessaires pour garantir la sécurité des dispositifs physiques et des processus de développement.
• Systèmes de certification. Ces normes permettent aux fabricants ou aux fournisseurs de dispositifs et de produits de démontrer que leurs produits respectent un certain niveau de sécurité, souvent en référence à une ou plusieurs normes ou ensembles de directives.
• Souvent, le facteur déterminant qui incite les fabricants à agir et à faire tester leurs produits pour détecter les vulnérabilités de sécurité est la législation. Cette dernière tend à imposer des mesures de sécurité de haut niveau, mais peut également identifier certains programmes de certification qui peuvent être utilisés comme preuve.

Il n'existe pas de manque de normes et de directives dans ce domaine. La plupart des organismes de normalisation établis et de nombreuses organisations commerciales ont publié des normes de cybersécurité visant les produits IoT destinés aux consommateurs au cours des dernières années.

Normes pertinentes

Peut-être que le plus largement utilisé et cité parmi ces documents est ETSI EN 303 645. Publiée pour la première fois en 2020, la norme EN 303 645 est utilisée comme cadre de référence dans les systèmes de certification à l’échelle mondiale. De nouvelles normes dans des applications verticales spécifiques, telles que l’énergie intelligente, font souvent référence à la norme EN 303 645 afin de couvrir les exigences de sécurité informatique. La norme EN 303 645 figure régulièrement dans certaines législations concernant les dispositifs IoT destinés aux consommateurs.

En 2020 aux États-Unis, l’Institut national des normes et technologies a publié NISTIR 8259A. Classé comme ‘ base de référence pour les capacités de cybersécurité ’ des appareils IoT et initialement destiné à fournir des conseils aux organisations qui développent, acquièrent ou mettent en œuvre des produits IoT, le NISTIR 8259A est devenu largement utilisé dans les programmes de certification et dans les activités de cybersécurité menées par les pouvoirs publics aux États-Unis, notamment dans le secteur de l’IoT destiné aux consommateurs.

D’autres normes concernant les appareils connectés comprennent celles de l’Association de la technologie du consommateur. CTA-2088, le cadre d’assurance sécurité IoT de la IoT Security Foundation, et la série UL-2900 de UL Solutions qui couvre également spécifiquement les dispositifs médicaux.

Systèmes de certification

À quelques exceptions près, les organismes de normalisation ont généralement évité d’offrir des systèmes de certification directement liés à leurs normes publiées. Au lieu de cela, ces systèmes provenaient généralement du secteur des essais, inspections et certifications (TIC).

Resillion propose une Dispositif connecté sécurisé un programme d’assurance permettant aux fabricants de dispositifs IoT de faire tester et certifier leurs produits indépendamment selon une gamme de normes, notamment celles énumérées ci-dessus. Des programmes similaires sont disponibles auprès d’autres sociétés de test technologique.

La Fondation IASME est active sur le marché britannique, en proposant Programme IoT Cyber d’IASME en parallèle avec d'autres programmes de sécurité informatique plus vastes tels que Cyber Essentials et Cyber Essentials Plus.

Un autre organisme du secteur qui développe un système de certification est l’Alliance des normes de connectivité (CSA), l’organisation qui a créé Zigbee et plus récemment le protocole Thread. Matter des normes pour la connectivité des appareils. Avec des membres de la CSA comprenant de nombreux des plus grands fabricants d’équipements et de dispositifs connectés pour le domicile, tels que Apple, Google et Amazon, le programme de la CSA a le potentiel d’être largement adopté, notamment par les fabricants membres de la CSA et de l’écosystème Matter.

Succès de certification

Les systèmes d’étiquetage ou de certification les plus performants sont toujours ceux qui bénéficient d’un soutien législatif ou d’incitations gouvernementales, ou qui peuvent être utilisés comme preuve de conformité aux exigences réglementaires. Surprenant, compte tenu des risques potentiels qu’ils représentent, cette intervention gouvernementale a pris du temps et reste encore relativement rare.

Parmi les administrations qui ont été les premières à adopter une législation à ce sujet, on peut citer Singapour, qui a promulgué la loi en 2003. Système de certification de la cybersécurité (CLS), ainsi que les États d’Oregon et de Californie, tous en 2020. Le CLS de Singapour s’appuie sur la norme ETSI EN 303 645 et comprend différents niveaux de garantie, commençant par une déclaration d’auto-certification du fabricant et allant jusqu’à des niveaux nécessitant des tests indépendants. En l’absence de certification spécifique, la législation, comme celle d’Oregon et de Californie, tend à spécifier certains critères de base, tels qu’un mot de passe standard non commun, un moyen de signaler les vulnérabilités découvertes et un processus d’actualisation du firmware pour y remédier.

En Europe, le Loi sur la résilience cybernétique Il fera progresser la législation dans les États membres, obligeant ainsi à terme les appareils IoT à respecter certaines exigences de sécurité informatique avant que ceux-ci puissent être commercialisés sur les marchés européens. Directive sur le matériel radio (RED) a des exigences spécifiques en matière de cybersécurité qui entreront en vigueur en mi-2025 (reportée de 2024).

Plus récemment, en 2023, le gouvernement américain a annoncé, via la FCC, le développement d’un ‘US Cyber Trust Mark’. Il s’agit d’un système d’étiquetage volontaire pour les appareils IoT destinés aux consommateurs, visant à offrir aux consommateurs un choix éclairé lors de l’achat d’appareils connectés et à leur faire confiance en ce qui concerne la sécurité de leurs appareils et de leurs données personnelles.

Au Royaume-Uni, le Loi de 2022 sur la sécurité des produits et l’infrastructure des télécommunications (PSTI) était une loi importante. Cette loi vise à protéger les acheteurs et les utilisateurs de produits IoT, en donnant au Secrétaire d’État le pouvoir de requérir par la loi que ces produits répondent à certaines exigences en matière de cybersécurité.

La définition de ‘ produit connectable ’ dans la PSTI est assez large : tout produit numérique pouvant se connecter à Internet ou à un réseau. La loi impose des obligations aux fabricants, mais aussi aux importateurs, aux distributeurs et aux détaillants des produits concernés, afin de s’assurer que tout ce qui est destiné à être vendu sur le marché britannique respecte les exigences. Par conséquent, toute entreprise de cette chaîne d’approvisionnement doit prendre des mesures pour s’assurer que ce qu’elle vend est conforme aux réglementations, ou risque des sanctions potentiellement importantes.

Que verrons-nous à l'avenir ?

Il est probable que les organisations internationales de normalisation développent à terme des normes harmonisées que les fabricants pourront certifier en tant que preuve de conformité aux exigences réglementaires. C’est probablement la voie à suivre en Europe pour le RED, le CEN-CENELEC (le Comité européen de normalisation et le Comité européen de normalisation en électrotechnique) étant déjà chargé de rédiger une telle norme.

Dans le court et moyen terme, cependant, le meilleur moyen pour un fabricant de démontrer la sécurité de ses produits IoT est de tirer parti de l’un des programmes existants commercialement disponibles, tels que le IASME IoT Cyber Scheme ou la garantie Secure Connected Device de Resillion. Même sans mandat législatif ou réglementaire, les risques commerciaux et de réputation liés à un incident majeur de cybersécurité lié à un produit d’un fabricant constituent une raison convaincante d’investir dans l’évaluation et la certification de la sécurité avant chaque lancement de produit.