Télécoms et PAM : une réponse à la prochaine vague de l'Internet des objets

Nous vivons à l'ère de l'hypermondialisation au sens physique du terme, permettant aux personnes et aux marchandises de voyager à l'autre bout du monde en quelques heures, mais cette hypermondialisation est aussi virtuelle grâce aux nouvelles technologies.
Fin 2018, on, dénombrait 22 milliards d'équipements connectés à l'Internet des objets (IoT), soit environ trois par habitant de la planète. En 2030, ce chiffre aura plus que doublé pour atteindre 50 milliards.

Des objets tels que ceux-ci sont utilisés pour envoyer jusqu'à 65 milliards de messages WhatsApp par jour, ainsi que plus de 300 milliards d'e-mails, sans que la distance physique entre l'expéditeur et le destinataire fasse obstacle au processus.
Selon la GSMA, l'association mondiale des acteurs des télécommunications mobiles, le marché mondial de l'IoT représentera 900 milliards de dollars d'ici à 2025, c'est-à-dire près du triple de son évaluation en 2019, et ce malgré les effets négatifs du COVID-19, qui ont été en partie contrebalancés par la hausse des recettes issues des connexions Internet.

La 5G est une technologie clé pour assurer une couverture nationale en très haut débit (gigabit). De plus, les applications de la 5G sont vastes. Qu'il s'agisse de l'Internet industriel des objets (IIoT), de la santé connectée ou des véhicules autonomes, les enjeux de cette technologie sont tels qu'il commence même à être question de 6G et de 7G.

Un appel aux opérateurs télécoms pour évaluer les risques de l'IoT

Si tout le monde s'accorde à penser, à juste titre, que les objets connectés peuvent améliorer la société à l'avenir, il nous faut adopter cette technologie de manière responsable et ne pas oublier que toute opportunité s'accompagne d'un risque. La GSMA identifie l'IoT comme l'une des principales menaces pour la sécurité des réseaux. Cette menace est double. Au niveau des consommateurs, elle provient des dangers présentés par des masses d'équipements IoT non sécurisés et, au niveau des entreprises, de services critiques gérés par des équipements IoT vulnérables à des cyberattaques.

Par ailleurs, les opérateurs télécoms étendent rapidement leur périmètre à d'autres services, tels que les contenus ou services de divertissement en streaming qui font intervenir des échanges d'argent, saisissant ainsi des opportunités jusque-là exploitées par les fintechs.

En 2020, le nombre de comptes financiers mobiles a dépassé 1,2 milliard, en hausse de 13 % en l'espace d'un an. Cela traduit un appétit croissant pour les transactions monétaires sur les mobiles, des équipements qui font appel à l'IoT et à la 5G pour assurer plus facilement ces services.

Que les menaces aient pour but de s'emparer de données sensibles d'entreprises ou d'informations financières de particuliers, leur paysage s'élargit et devient plus tentant pour les cybercriminels à mesure que l'IoT et la 5G montent en puissance. Le risque est non seulement que les cybercriminels aient accès à un plus grand nombre d'équipements mais aussi qu'ils puissent extraire des données sensibles bien plus rapidement pour en dérober des quantités considérables en quelques minutes au lieu de plusieurs jours.

Bien entendu, ces évolutions s'accompagnent de technologies de sécurité et de défenses de plus en plus élaborées, destinées à protéger les réseaux, les entreprises et les consommateurs. Il est impératif pour les opérateurs télécoms d'adopter une méthode d'évaluation du risque spécifique à la sécurité des équipements IoT.

Cela est important pour de multiples raisons. Tout d'abord, les équipements IoT interagissent avec le monde physique par des moyens inconnus des équipements informatiques classiques.
À l'inverse, de nombreux équipements IoT ne sont pas accessibles et ne peuvent pas être gérés ou supervisés par les moyens habituels. La plupart des menaces contre l'IoT sont des attaques mettant à profit la non-modification des paramètres d'usine par défaut ou une mauvaise configuration des équipements.

Pour chaque équipement IoT, l'évaluation des risques doit répondre à des questions fondamentales telles que : « Qu'est-ce qui pourrait mal tourner ? », « Quels sont les risques pour que cela se produise ? », « Quelles en seraient les répercussions ? »

De même, l'IoT lui-même ne doit pas être traité en bloc. Chaque équipement a une finalité distincte : certains collectent des données, d'autres mettent en corrélation les données provenant de divers capteurs, d'autres encore présentent ces données en appliquant divers algorithmes. Avant de formuler une stratégie de sécurité pour l'IoT, les entreprises doivent prendre du recul et ne pas tomber dans le piège qui consisterait à considérer l'IoT comme un tout sans discernement.

Le PAM apporte une partie de la solution pour réduire le risque

Grâce à cette méthode, les opérateurs télécoms pourront savoir qui doit avoir accès à certaines infrastructures et à quel niveau (il existe typiquement deux types d'accès : visualisation et modification).

Les solutions PAM (Privileged Access Management : gestion des comptes à privilèges) sont destinées à gérer les comptes d'identités (humaines ou non) autorisées à visualiser et modifier des ressources critiques de l'entreprise. Ces identités peuvent être des administrateurs humains, des équipements ou des applications, constituant tous des cibles lucratives pour les cybercriminels.

En particulier, les outils PAM offrent également des fonctionnalités qui permettent aux responsables de la sécurité et du risque de générer de manière aléatoire, de gérer et de sécuriser automatiquement les mots de passe et autres identifiants, de contrôler l'accès aux comptes à privilèges ou encore d'isoler, de surveiller, d'enregistrer et de vérifier les sessions, commandes et actions d'accès privilégié.

Il existe de nombreuses pratiques que les entreprises peuvent adopter en matière de PAM. Notamment :

· Traiter tous les utilisateurs comme des utilisateurs à privilèges : vous devez avoir pour objectif de mettre en place des accès privilégiés complets dans l'ensemble des applications classiques, des infrastructures de postes de travail et des zones du réseau.

· Ne pas relâcher la surveillance : ce conseil peut sembler simpliste mais les droits d'administrateur changent fréquemment.

· Surveiller les comptes d'administrateur local : une fois qu'ils disposent de droits d'administrateur, les utilisateurs créent souvent un compte secondaire ou local bénéficiant d'un accès total mais sans être correctement identifié dans un répertoire. Appliquez le principe des moindres privilèges et n'octroyez les privilèges qu'à la demande.

· Aller au-delà des simples identifiants : les solutions de sécurisation de mots de passe ne sont pas la panacée, dans la mesure où les équipes informatiques délaissent les mots de passe au profit de formes d'authentification plus forte.

· Utiliser le PAM pour limiter les risques de mouvements latéraux : une tactique courante des auteurs d'attaques consiste à exploiter un jeu d'identifiants pour s'infiltrer dans un système et s'y déplacer ensuite latéralement.

En bref, le PAM vous permet l'IoT granulaires plus stricts aux différents types de rôles et à l'étendue de leur accès aux équipements et aux infrastructures. C'est là une formidable opportunité dont nombre d'opérateurs télécoms ne profitent pas à l'heure actuelle. Les opérateurs ne seront plus de simples fournisseurs de bande passante et d'accès Internet.

À terme, en raison de tous les services transactionnels supplémentaires qu'ils explorent, ils vont s'apparenter davantage aux banques ou aux groupes de médias et ils doivent intégrer ce facteur. En proposant d'héberger des services pour les entreprises grandes ou petites, ils devront prendre en compte la gestion des accès publics afin de sécuriser non seulement leurs propres infrastructures mais aussi celles de leurs clients.

La sécurité pourrait devenir un facteur clé de différenciation pour les opérateurs télécoms. Plus vite ils prendront conscience de cette opportunité, plus ils auront de chances d'en profiter pour contribuer à bâtir une société connectée plus sûre pour tous.

Joseph Carson, Chief Security Scientist - ThycoticCentrify.