L’Europe veut plus de sécurité dans les objets connectés

L’Europe veut plus de sécurité dans les objets connectés

L'Union européenne travaille sur une proposition de loi dans le cadre du Cyber Resilience Act. L'objectif est d'établir des normes de cybersécurité et des procédures d'évaluation de conformité plus strictes pour les objets connectés grand public, mais surtout industriels.

Téléviseurs, montres, réfrigérateurs, machines à café… De plus en plus d’appareils domestiques sont dits « connectés ». De nombreux secteurs industriels intègrent aussi ces capteurs connectés pour obtenir en temps réels différentes mesures ou pour optimiser la maintenance de machines et d’automates.

Or, l’intégration de ces appareils a un impact sur la vie privée des consommateurs. Quelles données sont récupérées par ces appareils et sont-elles sauvegardées de façon sécurisée ? Pour les industriels, le déploiement de ces capteurs augmente ce que les experts en cybersécurité appellent la « surface d’attaque ». En clair, plus il y a de logiciels, d’ordinateurs, d’automates et d’objets connectés et plus il y a de potentielles tentatives d’intrusion malveillante dans les réseaux et donc d’exfiltration de données.

Cette semaine, la Commission européenne a sifflé la fin de la récré, car depuis des années, les experts tiraient la sonnette d’alarme : trop d’appareils connectés n’intègrent aucune sécurité des connexions et trop d’éditeurs ne mettent pas en place un niveau de sécurité adapté.

Des autorités de surveillance et des amendes

La Commission a donc présenté sa proposition de loi sur la cyber-résilience, qui vise à protéger les consommateurs et les entreprises contre les produits connectés numériquement dont les caractéristiques de cybersécurité sont insuffisantes. La législation sera obligatoire pour tous les États membres de l’UE. Mais elle aura probablement aussi des répercussions à l’échelle mondiale puisque toute entreprise vendant des produits dans l’UE devra s’y conformer.

La loi a été annoncée en septembre 2021 et s’appuie sur la stratégie de cybersécurité de l’UE de 2020. L’objectif est de faire en sorte que les produits numériques, souvent regroupés sous l’appellation « Internet des objets », soient plus sûrs pour les personnes qui vivent et travaillent dans l’Union européenne, et d’accroître la responsabilité des fabricants en matière de respect des exigences minimales.

Selon une fiche d’information publiée par la Commission européenne, 90 % des produits seront autoévalués par les fabricants. Environ 10 % des produits feront l’objet d’une évaluation par un tiers, en raison de leur caractère critique (interfaces réseau, pare-feu, processeurs, etc.).

Les États membres désigneront des autorités de surveillance du marché qui seront chargées de faire respecter les obligations de la loi sur la cyber-résilience. En cas de non-conformité, ces autorités pourront demander aux opérateurs de mettre fin à la non-conformité et d’éliminer le risque, d’interdire ou de restreindre la mise à disposition d’un produit sur le marché, ou d’ordonner le retrait ou le rappel du produit.

L’IoT, nouvelle cible des pirates

Chacune de ces autorités sera en mesure d’infliger des amendes aux entreprises qui ne respectent pas les règles. La loi sur la cyber-résilience établit des niveaux maximums pour les amendes administratives qui devraient être prévues dans les lois nationales en cas de non-conformité.

Il y a urgence, car les réseaux des entreprises et des industriels ressemblent à des gruyères. Reconnaissons que la tâche n’est pas simple pour les équipes chargées de la sécurité informatique de leur entreprise : comment gérer et surveiller précisément un réseau informatique qui ne cesse de grossir, comme un mille-feuille auquel on ne cesse d’ajouter des couches ?

Les cyberattaquants disposent avec l’IoT d’une porte d’entrée idéale pour s’y infiltrer, disséminer des ransomwares, voler des données ou bien encore lancer des opérations de minage clandestines (cryptojacking). Mais la situation est-elle encore sous contrôle quand 69 % des décideurs informatiques interrogés en France déclarent que leur organisation a constaté une augmentation du nombre d’appareils IoT connectés au réseau d’entreprise en 2020 selon « The Connected Enterprise : IoT Security Report 2021 » de Palo Alto Network, un des poids lourds mondiaux de la cybersécurité.

Preuve que la situation devient explosive, un récent rapport de Nozomi Networks – une entreprise américaine spécialisée dans la protection des réseaux industriels – affirme que les cybercriminels exploitent les capteurs industriels pour lancer des attaques. Selon ce spécialiste, « l’activité des botnets IoT s’est intensifiée au premier semestre 2022 ».

À l’instar de ce qui se passe avec l’informatique où des pirates prennent le contrôle d’ordinateurs (des botnets ou « réseaux zombie »), la finalité des capteurs industriels est également détournée par des cybercriminels pour lancer des attaques DDoS (Distributed Denial of Service, déni de service distribué). Le but est de paralyser l’activité d’un serveur ou d’une ressource web en le submergeant de requêtes.

Comme pour les entreprises, les industriels doivent renforcer leur niveau de sécurité afin d’assurer leur pérennité en appliquant des mesures simples, mais efficaces : mots de passe durcis, segmentation des réseaux, contrôle des accès.