• 43% des responsables IT et sécurité de grandes entreprises déclarent que la sécurité n’a qu’une importance mineure dans leur stratégie Internet of Things
• Seulement la moitié d’entre eux considèrent l’IoT comme un risque de sécurité, en dépit du regain de cyber-criminalité
• 52% des grandes entreprises pointent la perte de confiance de la part des consommateurs comme principale conséquence d’un piratage ou d’une fuite de données

La sécurité ne revêt qu’une importance secondaire pour de nombreuses grandes entreprises qui investissent dans des projets IoT. C’est ce que tend à démontrer une enquête internationale effectuée pour le compte de Trend Micro, spécialiste de la cyber-sécurité, auprès de 1.150 responsables IT et sécurité de sociétés employant plus de 500 personnes. Ils se disent surtout inquiets de l’effet néfaste que peut avoir une cyber-attaque liée à l’IoT sur la confiance des consommateurs, bien plus que de l’amende RGPD (General Data Protection Regulation) qu’ils encourent.

Davantage de dispositifs connectés, davantage de menaces
A l’instar du nombre croissant d’appareils qui se connectent les uns aux autres via l’Internet, la menace numérique progresse de son côté. Deux-tiers des personnes interrogées (63%) déclarent que le nombre de cyber-menaces liées à l’IoT a progressé au cours de ces douze derniers mois. Ils sont même 71%, au Royaume-Uni et aux Etats-Unis, à l’affirmer. La moitié des personnes ayant participé à l’enquête (53%) estiment que ces appareils connectés constituent une menace pour leur propre entreprise ou organisation. Dans le même temps, 43% des responsables IT et sécurité interrogés ne voient dans la sécurité IoT qu’une question secondaire. C’est en Allemagne – avec 46% – que cette attitude est la plus marquée. L’enquête révèle par ailleurs un profond déséquilibre entre les investissements consentis dans des systèmes IoT et leur sécurisation.

Des contrôles de sécurité quasi inexistants
Les résultats de l’enquête indiquent par ailleurs que seuls des tests limités sont effectués en amont de la phase d’implémentation afin de s’assurer que les nouveaux appareils ajoutés aux environnements sont protégés. L’année dernière, les entreprises ont en moyenne subi trois cyber-attaques visant des “connected devices”. Parmi les entreprises qui ont implémenté ou qui ont l’intention d’implémenter des solutions IoT, seulement 38% ont impliqué les responsables sécurité dans le processus d’implémentation. Le pourcentage est de 32% pour des implémentations IoT au sein d’usines dites intelligentes (smart factories), de 31% du côté des services d’utilité publique intelligents (smart utilities) tandis que 30% des personnes interrogées impliquent un décideur sécurité lors de l’implémentation de “wearables” IoT. Ces résultats prouvent qu’une proportion significative d’entreprises s’expose ainsi inconsciemment à toutes sortes de menaces électroniques.

De la nécessité d’investir dans la sécurité
« Les systèmes IoT représentent l’avenir des entreprises. De nombreux types nouveaux d’appareils connectés ont d’ores et déjà fait leur apparition au coeur du réseau des entreprises », déclare Kevin Simzer, directeur opérationnel de Trend Micro. « Bien que ce soit là une bonne nouvelle en termes de gestion, le système d’exploitation embarqué des dispositifs IoT n’a par exemple pas été conçu pour l’application de correctifs simples, ce qui résulte dans un cyber-risque à l’échelle de la planète. Les investissements à consentir dans des mesures de protection devraient être aussi importants que ceux consacrés à des mises à jour de systèmes afin de minimiser autant que possible les risques de fuites de données. »

Sécurité, responsabilité, réputation et impact sur l’entreprise
Selon les personnes interrogées, la perte de confiance de la part des consommateurs (52%) et les pertes financières sont, pour une entreprise, les principales conséquences provoquées par un problème de sécurité. Bien que la législation RGPD soit récemment entrée en vigueur et soit considérée comme une priorité par beaucoup, elle est perçue comme moins urgente par un nombre conséquent d’acteurs. Les entreprises considèrent qu’un problème de sécurité dans leur environnement IoT aura une influence en termes de:

• confiance des consommateurs (52%)
• perte financière (49%)
• perte d’informations personnelles identifiables (32%)
• amende des autorités – RGPD (31%)
• infraction aux règles en matière de protection des données (28%)

Des brèches pouvant avoir un impact majeur sur le fonctionnement d’une entreprise, le conseil que nous donnerions est de ne pas considérer la protection de l’IoT comme un sujet marginal et d’intégrer dès le départ la cyber-sécurité dans le processus d’implémentation IoT.

Implémenter la sécurité, dès l’ébauche de la conception
L’enquête révèle également que d’importants investissements sont consentis dans des systèmes IoT: les entreprises y investissent en moyenne plus de 2,1 millions d’euros par an. Au vu de tels enjeux financiers – et l’impact que peut avoir une cyber-attaque sur les entreprises -, la sécurité de ces systèmes IoT doit bénéficier du même type de priorité pour réduire les risques.

« L’importance des investissements consentis dans cette technologie, à travers le monde, s’explique par le fait que les solutions IoT peuvent procurer de nombreux avantages aux entreprises », déclare Olivier Bertrand, responsable avant-vente chez Trend Micro. « Mais si l’on n’intègre pas la sécurité, dès le départ, dans la conception des solutions IoT, les entreprises pourraient bien subir davantage de dommages qu’elles ne retireront de bénéfices de l’IoT. Le Benelux dispose d’une très bonne infrastructure Internet et s’avère dès lors intéressant pour les cyber-criminels. Nous adoptons rapidement les nouvelles technologies et nous y consacrons également pas mal d’argent. Il est dès lors important que les entreprises et les consommateurs du Benelux prennent la sécurité IoT au sérieux. Si nous ne le faisons pas, cela peut avoir d’importantes répercussions. »

[toggle title =”A propos de l’enquête”]Les résultats sont basés sur une étude menée conjointement avec Vanson Bourne. Entre le 1er avril et le 25 mai, 1.150 responsables IT et sécurité ont participé à des entretiens en-ligne. Ils travaillent pour des entreprises qui emploient un minimum de 500 personnes aux Etats-Unis, au Royaume-Uni, en Allemagne, en France et au Japon. Les personnes interrogées occupent des fonctions de cadres dirigeants, cadres supérieurs et cadres intermédiaires au sein d’organisations évoluant dans différents secteurs, notamment dans le secteur public, les médias, la grande distribution, les services financiers et la construction.[/toggle]