De plus en plus sensibles aux enjeux de la cybersécurité, les entreprises sous-estiment encore les risques liés aux intrusions via les caméras et autres objets connectés. Lesquels constituent autant de points d’entrée dans leur système d’information.
Mobotix, le fabricat de cette caméra a obtenu la certification CNPP qui garantit la robustesse de ses produits contre les cyberattaques. © Mobotix
La convergence de la cybersécurité et de la sûreté, autre nom donné à la protection physique, constitue un risque encore sous-évalué par les entreprises. En mars dernier, un rapport de Fortinet, un éditeur de logiciels de cybersécurité, révélait que les cybercriminels continuent de tirer parti de la sécurité aléatoire des objets connectés. La convergence des réseaux IP et des dispositifs de sécurité physique tels que la vidéosurveillance, le contrôle d’accès et l’interphonie constitue en effet une formidable opportunité pour les cybercriminels. Les caméra, encodeurs ou contrôleurs de porte connectés au réseau des entreprises constituent autant de points d’entrée potentiels pour les pirates. Qu’on en juge. Au niveau mondial, quatre des douze exploits les plus communs ont visé des caméras IP. Des dispositifs qui permettent de détourner des communications privées ou d’exécuter des actions malveillantes sur site. Voire pis. Certains pirates s’en servent pour déployer une passerelle d’entrée vers les systèmes d’information afin de lancer des attaques de type DDoS ou Ransomware, souligne Fortinet.
Prévalence des cyberattaques contre des systèmes industriels
Face à de tels risques, les industriels sont appelés à redoubler de vigilance. Avec la convergence des environnements informatiques et des OT [Operational Technologies ; technologies liées à l’informatique industrielle], les attaques de cyberpirate ont gagné en volume et en prévalence. « Les données, sur une année, témoignent d’un changement dans la prévalence des attaques ciblant les systèmes de contrôle industriels », soulèvent les auteurs de l’étude. Une cyberattaque qui arrive à compromettre un système OT peut aboutir à des dommages physiques particulièrement lourds sur les infrastructures, les services critiques, les environnements et mêmes les vies humaines. Pour garder une longueur d’avance sur les cybercriminels, Fortinet recommande aux entreprises de repenser leur stratégie de sécurité dans le cadre de leur transformation numérique. Et par la même, d’instaurer une Security Fabric destinée à protéger l’environnement réseau, les objets connectés ainsi que les plateformes multicloud. Dans cette stratégie, il sera aussi nécessaire de penser à renforcer la sécurité physique du site. A commencer par le contrôle d’accès. Mal sécurisé, le système réduit à néant tous les efforts mis en œuvre pour limiter les accès à des zones restreintes ou sensibles. Les préoccupations sont aussi d’ordre législatif. « Un accès non autorisé à des enregistrements de caméra de vidéosurveillance représente par exemple une faille tombant sous le coup de la mise en conformité avec le RGPD [Règlement européen pour la protection des données personnelles, NDLR] », soulève Cyrille Becker, directeur général Europe Genetec, dans une tribune parue dans le journal Les Echos. Ce dernier recommande de choisir avec soin ses fournisseurs. Il s’agit de vérifier que la sécurité des produits est une vraie priorité. Et ce, dès leur conception.
Les risques d’intrusion sont encore sous-estimés
S’assurer de la qualité des produits ne suffit pas. Il faut aussi s’assurer de la sûreté physique des installations. Vérifier notamment que les barrières physiques telles que les clôtures, barreaudages et autres dispositifs vont constituer de vrais rempart contre les intrusions. Il est aussi nécessaire d’adapter les moyens mis en place au contexte géographique dans lequel se situent les biens à protéger, comme le recommande Denis Langlois, un expert en sûreté qui mène des tests d’intrusion et des audits pour le compte d’entreprises privées et publiques. Ce dernier estime qu’en matière de sûreté des installations les moyens mis en place sont insuffisants. « A vouloir faire du moins disant dans les appels d’offre, on se retrouve avec des systèmes inappropriés car mal installés ou incorrectement paramétrés », rapporte cet expert en citant le cas d’une porte protégée par un système biométrique dont les câbles ont été posés à l’extérieur de la pièce !
Une culture sûreté insuffisante
« Aujourd’hui grâce aux recommandations des pouvoirs publics et des conseils prodigués dans les médias, les entreprises ont pris la mesure des efforts à mener en cybersécurité, mais le côté sûreté est amplement sous-estimé », soulève l’expert. Ce dernier estime qu’à la différence des Israéliens ou de nos voisins Espagnols et Britanniques qui ont l’habitude de protéger leurs infrastructures contre les attaques terroristes, les Français manquent de culture sécuritaire. A commencer par les entreprises. « Elles ont encore du mal à imaginer qu’un vol d’ordinateur, de badge ou d’information peut tuer une entreprise », déplore Denis Langlois qui appelle les entreprises à consacrer davantage de moyens à la sûreté de leurs installations.
Eliane Kan
Commentez