Les États-Unis sont pour appliquer des étiquettes de cybersécurité aux appareils IoT

Le gouvernement américain s'est engagé à déployer une initiative visant à intégrer la cybersécurité sur les étiquettes des objets connectés (IoT) destinés au grand public pour le printemps prochain. L'objectif est d'exiger des fabricants qu'ils veillent à ce que des contrôles de cybersécurité adéquats soient intégrés à ces appareils.

La menace que représentent ces appareils est double. La première, c'est que les consommateurs sont de plus en plus conscients que les cybercriminels peuvent, par exemple, pirater un écran placé dans la chambre d’un enfant. La seconde, qui est un peu plus courante, est que bon nombre de ces appareils peuvent être réquisitionnés par des botnets pour lancer des attaques par déni de service distribué (DDoS) dont l'ampleur et la fréquence ne cessent de croître.

L'approche envisagée par la Maison Blanche pour créer ces étiquettes consiste à obliger les fabricants à inclure un code QR que les consommateurs pourraient scanner pour déterminer le niveau de protection fourni en matière de cybersécurité. Combien de consommateurs scanneraient réellement ce code QR pour déterminer le niveau de sécurité de leur appareil, le chiffre est incertain. Mais le simple fait que cette exigence existe, devrait au moins créer un référentiel de cybersécurité que les fabricants seront tenus de respecter.

Les organismes gouvernementaux américains impliqués dans cette initiative comprennent le Conseil national de sécurité, le Bureau du directeur national des cybermenaces, le Bureau des sciences et de la politique technologique, le Conseil économique national, le Département du commerce, le Département de l'énergie, le Département de la sécurité intérieure, le Département d'État, la Federal Communications Commission, la Federal Trade Commission et la Consumer Product Safety Commission.

Parmi les autres participants, figurent la Commission européenne, Amazon, l'American National Standards Institute, l'opérateur AT&T, Cisco Systems, Comcast, Consumer Reports, la Consumer Technology Association, la Connectivity Standards Alliance, CTIA, Google, Intel, ioXt, LG, la National Retail Federation, Samsung, Sony, UL Solutions, l'Atlantic Council, l'Université Carnegie Mellon et le think tank R Street Institute.

Sensibilisation aux risques de sécurité de l'IoT

Les appareils IoT grand public sont naturellement plus vulnérables que les appareils IoT industriels, mais le nombre de dispositifs IoT grand public les rend relativement faciles à cibler. En fait, alors que de plus en plus d'employés accèdent aux ressources de leur entreprise depuis leur domicile en utilisant des appareils et des réseaux destinés à la base au grand public, la probabilité que les logiciels malveillants se propagent de la maison au bureau n'a jamais été aussi grande.

Évidemment, le fait de connecter n'importe quel appareil à Internet apporte son lot de risques. Une enquête récente menée auprès de 800 responsables informatiques, directeurs de la sécurité informatique et chefs de projet responsables de l'Internet des objets industriel (IIoT)/de la technologie opérationnelle (OT) a révélé que 94 % d'entre eux ont signalé que leur entreprise avait subi un incident de sécurité au cours des 12 derniers mois. La différence est que la plupart des consommateurs d'aujourd'hui ne sont pas aussi conscients de ce risque qu'une entreprise qui gère des systèmes de contrôle industriels.

Bien entendu, tout système d'étiquetage qui serait créé devrait être accompagné d'une série de campagnes de sensibilisation du service public qui, au final, devraient encourager les consommateurs à faire de la cybersécurité un critère beaucoup plus important lorsqu'ils évaluent un appareil qu'ils ont l'intention d'introduire dans leur foyer. La difficulté sera peut-être de convaincre les consommateurs de payer plus cher pour une cybersécurité supplémentaire, d'autant plus que nombre d'entre eux sont désormais plus frileux en période de crise économique.

En attendant, les professionnels de la cybersécurité peuvent au moins se consoler en se disant que d'ici l'année prochaine, le nombre d'appareils grand public connectés à Internet qui ne sont pas du tout sécurisés devrait commencer à baisser.

Rapport : l'état de la sécurité industrielle en 2022