CYBERSECURITY
New Security Magazine 156 – novembre 2020

Cybersécurité IoT; ne vous arrêtez pas aux gros titres!

De nos jours, il est relativement facile de trouver de l’information sur les vulnérabilités et la cybersécurité des appareils IoT (Internet of Things), comme les caméras de sécurité. Si vous ouvrez un journal – ou une ‘news-app’ – vous trouverez sans doute des articles sur la sécurisation des appareils IoT, allant des vulnérabilités logicielles aux problèmes de confidentialité et tout ce qu’il y a entre les deux éléments.

Les caméras de sécurité sont des appareils IoT et les appareils IoT sont des ordinateurs qui utilisent des logiciels, ce qui les rend vulnérables. Le célèbre évangéliste en cybersécurité Mikko Hyponnen le définit dans son ‘Hypponen’s Lauw : « If a device is smart, it’s vulnerable! »

Hypponen a raison: chaque jour, de nouvelles vulnérabilités informatiques sont détectées dans les logiciels, quel que soit le fabricant. En 2019, plus de 12.000 vulnérabilités informatiques mondiales ont été rendues publiques et officiellement rapportées en tant que CVE (Common Vulnerability and Exposure) dans la NVD (National Vulnerability Database) .

Les vulnérabilités sont une donnée qu’il est difficile d’éviter, on ne peut malheureusement pas changer grand-chose. Ce qui importe, c’est la manière dont une organisation les traite et les résout.

Une conscientisation aux vulnérabilités en cybersécurité est essentielle pour l’infrastructure IT et la sécurisation de l’activité/des appareils IoT. Il est important de comprendre qu’une ‘vulnérabilité’ n’est pas une ‘porte dérobée’ et que l’on ne la retrouve pas exclusivement dans les appareils IoT ‘bon marché’, comme nous verrons plus loin.

Ce blog a pour but de compléter les connaissances du public sur la cybersécurité des appareils IoT en général, et les caméras de sécurité en particulier. Nous expliquons aussi comment des fabricants responsables d’appareils IoT essaient de rendre leurs produits aussi cybersûrs que possible.

‘Security-by-Design’

A l’instar d’autres appareils IoT, les caméras de sécurité sont vulnérables aux cyberattaques. Cependant, les fabricants d’appareils IoT peuvent minimiser le risque en déployant le concept ‘Security-by-design’ dès le processus de production.

Hikvision, le fabricant d’appareils IoT, prend la cybersécurité et la confidentialité très au sérieux. Il applique le concept ‘Security-by-Design’ dans tous ses processus de production. Le HSDLC (Hikvision Security Development Life Cycle) est un élément essentiel du programme de cybersécurité global de Hikvision. La cybersécurité est implémentée à chaque phase du processus de production. On peut citer l’application d’exigences de sécurité à la phase de conception et le ‘test de pénétration’ du code logiciel par une partie externe pendant la phase de vérification, comme exemples.

Cela signifie-t-il que les produits Hikvision sont immunisés contre les cyberattaques ? Non, aucune entreprise ne peut donner cette garantie, mais le HSDLC ‘témoigne’ que Hikvision met tout en œuvre pour produire des appareils IoT les plus cybersûrs possible.

L’implémentation du concept Security-by-Design’ nécessite un support du management (‘The Board of Directors’) et un investissement conséquent en personnel et en ressources, ce qui peut conduire à un processus de production plus long et des coûts supérieurs par appareil IoT. Ce sont surtout les surcoûts qui freinent divers fabricants (qui pensent être moins chers).

Malgré ces coûts de production plus élevés, le management de Hikvision a décidé d’implémenter le HSDLC parce que prévenir vaut mieux que guérir. Il est conscient que cet investissement s’amortira à long terme. Résoudre des problèmes de sécurité ultérieurement (quand le produit est prêt) demande finalement plus de temps et d’efforts (ce qui le rend plus coûteux). Outre ce coût, il est plus facile de résoudre des problèmes pendant le processus, dans la phase de développement, qu’au moment où le produit est prêt et livré au client.

Vulnerability Management & Compliance

Outre l’implémentation du concept Security-by-Design’, Hikvision a ouvert en 2018 – en tant que premier fabricant de caméras de sécurité au monde – le laboratoire Source Code Transparency Center (SCTC) en Californie. Des collaborateurs de gouvernements américains, canadiens et européens se rendent dans ce centre pour examiner et évaluer le code source des appareils IoT de Hikvision, comme les caméras IP et les enregistreurs vidéo sur réseau (NVR).

Malgré le programme HSDLC et le laboratoire SCTC qui contribuent à la cybersécurité des produits, aucun appareil IoT n’est cybersûr à 100%. Hikvision en est conscient et a mis en place un Vulnerability Management Program. Jusqu’à ce jour, toutes les vulnérabilités signalées à Hikvision ou détectées par Hikvision sont rendues publiques et colmatées à l’aide de patches (des mises à jour logicielles) disponibles sur le site web de Hikvision. Il s’agit d’une procédure standard chez Hikvision, qui est une Common Vulnerabilities & Exposures (CVE) Numbering Agency (CVE CNA). La société s’engage à collaborer avec des pirates aux chapeaux blancs tiers, des testeurs de pénétration et des chercheurs pour détecter à temps des vulnérabilités informatiques, les solutionner et les publier. Les publications sont rassemblées dans le National Vulnerability Database (NVD).

Ces dernières années, Hikvision a obtenu plusieurs certifications internationales et est approuvé selon diverses normes. On peut citer plusieurs normes ETSI et le certificat FIPS 140-2 de l’U.S. Department of Commerce’s National Institute of Standards and Technology (NIST). Hikvision possède aussi les certifications ISO 27001, ISO 9001:2013, CMMI Level 5, AICPA SOC, ISO 28000:2007 et la certification ‘Common Criteria’ inhérente à la sécurité informatique.

Confidentialité

La cybersécurité est essentielle et ne peut être distinguée de la vie privée. Hikvision respecte la confidentialité et comprend comme nul autre – en tant que fabricant mondial de caméras de sécurité – qu’il est normal de se conformer aux lois et aux réglementations en vigueur en matière de confidentialité.

Généralement, ce sont les utilisateurs d’appareils IoT (lisez : les caméras) qui sont responsables des aspects de la confidentialité parce qu’ils traitent des données (personnelles). Ils sont définis comme un ‘Data Processor’. Malgré le fait que Hikvision ne soit ‘qu’un’ fabricant d’appareils IoT et ne traite en principe pas de données personnelles dans ses appareils IoT, il est néanmoins d’avis qu’il peut contribuer à la confidentialité en s’engageant suivant le principe de la ‘Privacy-by-Default’, l’aspect ‘confidentiel’ étant inclus dans les phases du processus de production (comparable au ‘Security-by-Design’).

Bien entendu, Hikvision, en tant que société, doit également se conformer à la loi et aux réglementations en vigueur (RDPD) lors du traitement des données (personnelles) administratives de clients, notamment. L’aspect ‘confidentiel’ est inclus dans les étapes du traitement des données, et les données (personnelles) sont traitées le plus soigneusement et le plus sûrement possible dans les systèmes.

Conclusion et recommandations

La cybersécurité des appareils IoT est une question sérieuse qui doit être abordée au début du processus de production et appliquée aux étapes de la production. Le concept ‘Security-by-Design’ nécessite un engagement total du management, une équipe dédiée à la cybersécurité et un investissement conséquent. Hélas, tous les fabricants IoT n’ont pas planifié leur organisation et leur production de la sorte, ce qui génère de la publicité négative sur la cybersécurité d’appareils IoT.

Certains fabricants IoT prennent heureusement cela au sérieux et mettent tout en œuvre pour rendre les appareils IoT les plus cybersûrs possible. Si la cybersécurité dépend des fabricants IoT, les utilisateurs ont aussi un rôle à jouer en s’informant sur la cybersécurité IoT, en menant une réflexion et en posant les questions pertinentes aux fabricants IoT.

Dois-je faire confiance au fabricant d’une caméra de sécurité bon marché?
Ce fabricant dispose-t-il d’une équipe/organisation dédiée à la cybersécurité ?
Comment ce fabricant gère-t-il les vulnérabilités?

Comme indiqué plus haut, Hikvision est un fabricant IoT qui prend la cybersécurité et la confidentialité au sérieux. La société suit les meilleures pratiques dans ce domaine et respecte la loi et les réglementations en vigueur pour garantir des produits sûrs. La mise en place d’une organisation spéciale dédiée à la cybersécurité, l’implémentation de la HSDLC, l’ouverture du SCTC, le statut CNA, les diverses normes de conformité et les certifications sont autant d’exemples qui montrent à quel point Hikvision s’implique dans la cybersécurité et la confidentialité.

Malheureusement, il est impossible de garantir une sécurité à 100%, même si Hikvision s’investit pour fabriquer des produits IoT les plus sûrs possibles, et fonctionnellement sûrs. Mais comme déjà dit, la collaboration avec les clients, les installateurs, les partenaires de distribution et autres parties prenantes est cruciale pour la cybersécurité finale des appareils IoT.

Et donc…, la prochaine fois que vous lirez un article sur la cybersécurité, j’espère que vous passerez les gros titres et que vous prendrez conscience qu’il se passe énormément de choses ‘sous le capot’ des appareils IoT de certains fabricants.

Si vous planifiez d’acquérir une caméra de sécurité ou un autre appareil IoT, je vous recommande de poser les questions pertinentes au fabricant et puis d’argumenter votre choix avec des faits et non des préjugés et/ou des titres de journaux !

Fred Streefland, Director Cybersecurity / CISO EMEA