Une imprimante qui se connecte au Wi-Fi de l’entreprise, un capteur de qualité d’air dans la salle de réunion, un badge d’accès sans contact sur chaque porte : les objets connectés se sont installés dans les bureaux sans que la sécurité suive le même rythme. Ces appareils IoT collectent, transmettent et stockent des données en permanence, souvent avec des protections bien inférieures à celles d’un ordinateur portable ou d’un serveur.
Le problème ne vient pas d’un seul appareil mal configuré. Il vient de leur accumulation, de leur diversité et du fait que beaucoup échappent au radar des équipes informatiques.
A lire également : Les mises à jour logicielles renforcent la sécurité des ordinateurs professionnels
Appareils IoT « fantômes » : le premier risque dans un réseau d’entreprise
Avez-vous déjà vérifié combien d’objets connectés utilisent réellement le réseau Wi-Fi de vos locaux ? Dans la plupart des entreprises, la réponse surprend. Entre la cafetière connectée ramenée par un collaborateur, l’enceinte intelligente posée en salle de pause et le routeur personnel branché sous un bureau, les appareils non validés par l’IT constituent une porte d’entrée directe vers le réseau interne.
On parle d’appareils « rogue », c’est-à-dire installés sans autorisation ni contrôle. Ils se connectent au même réseau que les postes de travail, les serveurs de fichiers et les outils métier. Un attaquant qui compromet l’un de ces objets peut ensuite se déplacer latéralement vers des ressources bien plus sensibles.
A voir aussi : Les audits de sécurité informatique s'imposent dans les stratégies des PME
L’enjeu n’est plus seulement de sécuriser les équipements connus. Il est d’abord de dresser un inventaire exhaustif de tout ce qui se connecte, puis de maintenir cet inventaire à jour. Sans cette visibilité, toute politique de cybersécurité IoT repose sur des angles morts.
Segmentation réseau IoT : isoler les objets connectés du système d’information
Pourquoi un thermostat connecté devrait-il avoir accès au serveur comptable ? La question paraît évidente, mais dans beaucoup de bureaux, tous les appareils partagent le même réseau plat, sans cloisonnement.
La segmentation réseau dédiée aux IoT est aujourd’hui une exigence opérationnelle, pas une simple bonne pratique. Le principe est direct : créer un VLAN (un réseau virtuel séparé) réservé aux objets connectés, avec un SSID Wi-Fi distinct et des règles de filtrage qui empêchent toute communication vers les ressources métier.
Ce que la segmentation change concrètement
Quand un capteur de température ou une caméra IP fonctionne sur un réseau isolé, un attaquant qui en prend le contrôle reste confiné dans ce segment. Il ne peut pas atteindre les postes utilisateurs ni les bases de données. Le dommage potentiel passe d’une compromission complète du système d’information à un incident circonscrit.
Mettre en place cette séparation demande trois actions concrètes :
- Configurer un VLAN dédié aux appareils IoT sur les équipements réseau existants, avec des règles de pare-feu qui bloquent le trafic vers les sous-réseaux métier.
- Créer un SSID Wi-Fi séparé pour les objets connectés, distinct de celui utilisé par les collaborateurs et de celui réservé aux visiteurs.
- Mettre en place une surveillance du trafic sur ce segment, pour détecter un comportement anormal (volume de données inhabituel, tentatives de connexion vers des adresses internes).
Mises à jour et fin de support : la menace silencieuse des vulnérabilités IoT
Un ordinateur qui n’est plus mis à jour, tout le monde comprend le risque. Pour un détecteur de fumée connecté ou un système de visioconférence, la prise de conscience est plus lente. Un appareil IoT sans mise à jour logicielle accumule des vulnérabilités connues que n’importe quel script automatisé peut exploiter.
Le problème se complique avec la durée de vie de ces objets. Un PC portable se remplace en moyenne tous les quatre ou cinq ans. Un capteur ou une caméra peut rester en service bien plus longtemps, parfois au-delà de la période pendant laquelle le fabricant publie des correctifs de sécurité.
Que faire quand un appareil n’est plus supporté
Deux options réalistes existent. La première : isoler l’appareil en fin de support sur un segment réseau encore plus restreint, avec des règles de filtrage qui limitent ses communications au strict minimum. La seconde : le remplacer. Le coût d’un nouvel appareil est souvent inférieur à celui d’une compromission qui expose des données sensibles de l’entreprise.
Vérifier la politique de mises à jour avant d’acheter un objet connecté professionnel devrait faire partie du cahier des charges, au même titre que ses fonctionnalités.
Télétravail et IoT domestique : quand le bureau s’étend au domicile
Les risques liés aux objets connectés ne s’arrêtent pas à la porte des locaux. Quand un collaborateur travaille depuis chez lui, son ordinateur professionnel partage le même réseau Wi-Fi que son enceinte connectée, sa caméra de surveillance ou son aspirateur robot.
Un objet connecté domestique peu sécurisé peut servir de point de rebond vers le réseau de l’entreprise. Si l’attaquant compromet un appareil sur le réseau domestique, il peut tenter d’intercepter le trafic du poste professionnel ou exploiter des failles dans la connexion VPN.
Ce scénario reste absent de beaucoup de politiques de sécurité, qui se concentrent sur le périmètre physique des bureaux. Les entreprises qui intègrent le travail hybride dans leur stratégie de cybersécurité IoT ajoutent généralement deux mesures :
- Former les utilisateurs à segmenter leur réseau domestique (beaucoup de box internet grand public permettent de créer un réseau invité séparé pour les objets connectés).
- Imposer l’usage d’un VPN avec authentification renforcée pour toute connexion au système d’information depuis l’extérieur, afin de limiter l’exposition même si le réseau local est compromis.
- Fournir une checklist simple de vérification : mots de passe par défaut modifiés, firmware à jour, désactivation des services inutiles sur les appareils domestiques.
La frontière entre réseau personnel et réseau professionnel s’est estompée avec le télétravail. Sécuriser les données de l’entreprise suppose désormais de considérer l’environnement numérique du domicile comme une extension du périmètre à protéger.
Les objets connectés dans les bureaux ne vont pas disparaître. Leur nombre va continuer d’augmenter, avec des usages de plus en plus variés. La différence entre une entreprise exposée et une entreprise préparée tient à trois actions : connaître précisément ce qui se connecte au réseau, cloisonner les appareils IoT du reste du système d’information, et traiter la maintenance logicielle de ces objets avec la même rigueur que celle des postes de travail.
