De SIDO 2016 à SIDO 2017 : la question de la sécurité

Le premier SIDO 2015 était un SIDO d’évangélisation focalisé sur l’innovation et les objets connectés pour le public. L’an dernier, le SIDO 2016 abordait à parts égales les usages professionnels (objets connectés dans l’industrie, smart cities) et grand public, d’où le titre de mon compte-rendu d’avril 2016 : « De SIDO 2015 à SIDO 2016 : la professionnalisation »

La tendance se confirme au SIDO 2017, puisque les usages industriels semblent prendre l’ascendant sur les usages concernant le grand public. Manifestement, le marché du grand public ne se développe pas aussi bien que prévu et le marché considéré comme prometteur aujourd’hui est celui des usages professionnels.

Même si le village des start-ups nous permet de découvrir de nouveaux objets connectés aussi « folkloriques » que les années précédentes, les stands proposent des offres de service très professionnelles pour la conception d’objets connectés, la fourniture de composants standardisés et sécurisés pour l’intégration de fonctions diverses dans les objets connectés, et l’accompagnement à la transition numérique.

Le temps n’est d’ailleurs pas appréhendé de la même façon. On ne parle plus de gadgets pour les geeks dont la durée de vie est comprise entre 18 mois et 3 ans, mais d’automates dont la durée de vie peut être comprise entre 20 et 30 ans, ce qui génère des contraintes particulières dans la conception et le déploiement des objets.

La sécurité devient une préoccupation majeure. D’une part, plusieurs attaques récentes ont montré que le détournement d’objets connectés n’était pas un scénario de science-fiction : voir l’utilisation par le virus MIRAI de caméras connectées mal sécurisées pour générer un déni de services de la société DYN, paralysant par ricochet plusieurs grands sites (AMAZON notamment), voir également les soupçons qui pèsent sur la Russie concernant son ingérence récente dans la campagne présidentielle américaine, ou les inquiétudes actuelles sur l’attaque des sites de certains candidats à l’élection présidentielle en France. L’adoption d’objets connectés a pour effet d’augmenter de façon importante le risque informatique, d’une part, parce que bon nombre de ces objets connectés sont mobiles ou physiquement installés hors de l’entreprise, d’autre part, parce que les interconnexions d’objets et de systèmes informatiques génèrent des risques supplémentaires.

Les projets actuels de Smart City (que l’on pourrait qualifier de 1.0) concernent des réalisations sectorielles (énergie, mobilité, etc), qui même quand elles coexistent dans un même projet, ne remettent pas en cause les silos informatiques qui constituent les systèmes d’information des collectivités territoriales. Ils se contentent souvent de greffer des objets connectés ou d’interconnecter des terminaux aux systèmes d’information existants ou de prévoir le déploiement de nouveaux silos. Le risque informatique augmente cependant du fait, d’une part, que de nombreux objets connectés ne sont pas (ou mal) sécurisés, d’autre part, que le public est encouragé à participer à l’écosystème informatique à l’aide de smartphones ou autres terminaux. Cette coexistence d’outils et d’usages professionnels et individuels est délicate à gérer.

La situation deviendra beaucoup plus dangereuse quand les projets évolueront vers la dimension 2.0 de la Smart City, qui prévoit l’interconnexion des silos métiers et le déploiement d’outils de pilotage plus globalisés de la ville. On peut se demander si ce n’est pas un fantasme d’informaticien d’imaginer que dans quelques années, le décideur d’une ville (le maire ? le DGS ?) s’installera devant un écran de contrôle similaire à celui d’un pilote d’avion, et prendra des décisions en temps réel, en fonction de l’évolution de l’évolution du trafic, de la qualité de l’air, du stock d’énergie disponible dans sa ville ou de tel ou tel autre critère. Sans aller jusque-là, l’interdépendance des différentes approches de la ville est identifiée et justifie qu’on décloisonne les métiers et donc les systèmes d’information. On va donc franchir un cap supplémentaire dans le risque informatique, d’autant que cette interconnexion va associer des systèmes d’information gérés en interne dans la collectivité, d’autre gérés dans le cloud et d’autres gérés par des partenaires externes.

Le constat de la nécessité de prendre très au sérieux les exigences de sécurité est donc posé. Quelles solutions et bonnes pratiques sont proposées pour réduire et gérer les risques ?

  • Améliorer la qualité des logiciels et composants : aujourd’hui encore, la plupart des intrusions et attaques passent par des failles de sécurité résultant de la non qualité des logiciels. Outre le constat qu’un programmeur n’est pas infaillible et que les fournisseurs comptent souvent sur les clients pour déboguer leurs solutions, la priorité accordée à la vitesse de mise sur le marché par rapport à la sécurité est problématique : aujourd’hui encore, les concepteurs d’objets connectés préfèrent mettre rapidement sur le marché des objets à la fiabilité incertaine que prendre le temps de les sécuriser. Dans le monde professionnel, et pour des objets dont la durée de vie pourra être longue, c’est un vrai problème.
  • Utiliser des fournisseurs de confiance pour les composants : c’est une des préconisations de l’ANSSI, ce qui pose la question de la place des start-ups sur ce marché : une start-up peut-elle être considérée comme un fournisseur de confiance ? D’un autre point de vue, la sécurité numérique devient un différenciateur des offres commerciales.
  • On peut proposer des bonnes pratiques de sécurité « by design », mais il ne faut pas négliger le problème que posent les systèmes et objets connectés existants, qui ne satisfont souvent pas les exigences de sécurité actuelles, mais qu’on ne peut remplacer rapidement, pour de simples raisons financières.

Ces bonnes pratiques, finalement assez basiques, montrent la difficulté à sortir d’une approche cartésienne de la sécurité (garantir la sécurité de chacun des composants du système) pour aller vers une approche systémique (garantir la sécurité du système dans son ensemble). Même si la sécurité de chacun des composants est un préalable à la sécurité de l’ensemble, le risque est systémique.

Signalons enfin deux initiatives concernant la sécurité : l’ANSSI a engagé une démarche de qualification de prestataires du cloud, basée sur son référentiel d’exigences, et avec des objectifs de sécurité nationale.

Le nouveau règlement sur la protection des données de l’UE est applicable à partir du 25 mai 2018. On en trouvera une présentation sur le site de la CNIL.

Publicités
Cet article, publié dans ville intelligente, est tagué , , , . Ajoutez ce permalien à vos favoris.

Laisser un commentaire

Entrez vos coordonnées ci-dessous ou cliquez sur une icône pour vous connecter:

Logo WordPress.com

Vous commentez à l'aide de votre compte WordPress.com. Déconnexion / Changer )

Image Twitter

Vous commentez à l'aide de votre compte Twitter. Déconnexion / Changer )

Photo Facebook

Vous commentez à l'aide de votre compte Facebook. Déconnexion / Changer )

Photo Google+

Vous commentez à l'aide de votre compte Google+. Déconnexion / Changer )

Connexion à %s