CYBERSECURITY  
New Security Magazine 162 – juin 2022

Cybersécurité IoT : ne vous arrêtez pas aux gros titres!

Introduction

De nos jours, il est relativement facile de trouver des rapports sur la cybersécurité et les vulnérabilités d’appareils IoT (Internet of Things), comme les caméras de surveillance. Si vous ouvrez un journal – ou une application ‘actualités’ – vous trouverez sans doute assez d’articles traitant de la sécurisation des appareils IoT, allant des vulnérabilités logicielles aux violations de la vie privée et tout ce qu’il y a entre ces deux aspects.

Les caméras de sécurité sont des appareils IoT et les appareils IoT sont des ordinateurs qui utilisent des logiciels qui les rendent vulnérables. Le célèbre évangéliste en sécurité Mikko Hypponen l’a défini dans la loi d’Hypponen : ‘Si un objet est intelligent, alors il est vulnérable!’

Hypponen a raison. Chaque jour, de nouvelles vulnérabilités informatiques sont découvertes dans les logiciels, quelque soient les fabricants de ces logiciels. En 2021, plus de 17.000 vulnérabilités informatiques dans le monde ont été rendues publiques et signalées comme CVE (Common Vulnerability and Exposure) auprès de la NVD (National Vulnerability Database)1.

Les vulnérabilités sont un fait et elles sont difficiles à prévenir, on ne peut malheureusement pas faire grand-chose. Mais ce qui importe, c’est la manière dont l’organisation les gère et les résout.

La cybersécurité et la sensibilité aux vulnérabilités sont des points essentiels dans une infrastructure IT et la sécurisation d’équipements métier/IoT. Il faut savoir qu’une ‘vulnerability’ n’est pas la même chose qu’un ‘backdoor’ et que cela n’arrive pas qu’aux appareils IoT ‘bon marché’. Nous en reparlons plus loin.

Ce blog vise à étayer les connaissances publiques en matière de cybersécurité d’appareils IoT en général et de caméras de surveillance en particulier. Il détaille également la manière dont les fabricants responsables travaillent pour cybersécuriser leurs produits autant que possible.

‘Security-by-Design’

À l’instar d’autres appareils IoT, les caméras de sécurité sont vulnérables aux cyberattaques. Les fabricants peuvent minimiser le risque en déployant le concept “Security-by-Design” dans leurs processus de production.

Hikvision, le fabricant d’appareils IoT, prend très au sérieux la cybersécurité et la confidentialité et applique le concept ‘Security-by-Design’ à ses processus de production. Dénommé HSDLC (Hikvision Security Development Life Cycle), c’est une composante essentielle de son programme global de cybersécurité. ‘Security-by-Design’ est une approche qui permet d’implémenter la cybersécurité à chaque phase du processus de production. On peut citer en exemple l’application d’exigences de sécurité pendant la phase de conception et le test d’intrusion du code logiciel par une partie externe pendant la phase de vérification.

Cela signifie-t-il que tous les produits de Hikvision sont protégés contre les cyberattaques ? Hélas non, aucune entreprise ne peut avancer une telle garantie mais l’application du HSDLC démontre que Hikvision fait tout ce qu’elle peut pour fabriquer des appareils IoT les plus cybersécurisés possibles.

L’implémentation du concept ‘Security-by-Design’ nécessite le soutien du management (‘The Board of Directors’) ainsi que d’importants investissements en personnes et en ressources, ce qui peut conduire à des processus de production plus longs et des coûts plus élevés par appareil IoT. Les coûts plus élevés qu’implique cette approche poussent certains fabricants (qui pensent produire à moindre coût) à renoncer à ce concept.

Malgré des coûts de production plus élevés, Hikvision a implémenté le HSDLC car l’entreprise estime qu’il vaut mieux prévenir que guérir. Elle est consciente que le concept ‘Security-by-Design’ représente un investissement mais il s’amortit à long terme. Résoudre les problèmes de sécurité ultérieurement (quand le produit est prêt) exige plus de temps et d’efforts (et revient finalement plus cher). Outre l’aspect coût, il est plus facile de résoudre les problèmes, surtout en phase de développement, pendant le processus que lorsque le produit est prêt à être livré chez le client.

Gestion des vulnérabilités et Conformité

Outre l’implémentation du concept ‘Security-by-Design’, Hikvision est le premier fabricant de caméras de surveillance au monde à avoir créé en 2018 le laboratoire Source Code Transparency Center (SCTC) en Californie. Les collaborateurs des gouvernements américain, canadien et européen peuvent y découvrir et évaluer le code source des appareils IoT de Hikvision, comme les caméras IP et les enregistreurs vidéo réseau (NVR).

Malgré le fait que le programme HSDLC et le centre SCTC contribuent à optimiser la cybersécurité des produits, il est important de rappeler qu’aucun appareil IoT n’est sécurisé à 100%. Hikvision en est conscient et a mis en place un Vulnerability Management Program. À ce jour, toutes les vulnérabilités signalées à Hikvision ou découvertes par l’entreprise elle-même sont rendues publiques et résolues par le biais de correctifs (mises à jour logicielles), disponibles sur le site web de Hikvision. Il s’agit là d’une procédure standard de Hikvision qui est une Common Vulnerabilities & Exposures (CVE) Numbering Agency (CVE CNA). L’entreprise s’engage à collaborer avec des tiers, des pirates de White-Hat, des testeurs d’intrusion et des chercheurs pour détecter, solutionner et publier les vulnérabilités informatiques en temps opportun. Les publications sont rassemblées dans la National Vulnerability Database (NVD) et sont publiques.

Au cours de ces dernières années, Hikvision a obtenu plusieurs certifications internationales et l’entreprise est certifiée pour plusieurs normes. On peut citer les normes ETSI et le certificat FIPS 140-2 de l’US Department of Commerce’s National Institute of Standards and Technology (NIST). Hikvision possède également les certifications suivantes : ISO 27001, ISO 9001:2013, CMMI Level 5, AICPA SOC, ISO 28000:2007 et la certification ‘Common Criteria’ en matière de sécurité de l’information.

Confidentialité

La cybersécurité est essentielle, mais elle ne peut être séparée de la confidentialité. Hikvision respecte la vie privée et comprend parfaitement – en tant que fabricant mondial de caméras de surveillance – qu’il est normal de se conformer aux lois et aux réglementations en vigueur en matière de confidentialité.

Généralement, ce sont les utilisateurs d’appareils IoT (lisez : caméras) qui sont finalement responsables des aspects de la confidentialité car ce sont eux qui traitent les informations (personnelles). Ces utilisateurs sont donc définis en tant que ‘Data Processor’. Malgré le fait que Hikvision ne soit ‘qu’un’ fabricant d’appareils IoT et ne traite en principe aucunes données personnelles de ses appareils IoT, l’entreprise veut contribuer au respect de la confidentialité et s’engage dans le principe du ‘Privacy-by-Default’. Ce qui signifie que l’aspect ‘vie privée’ est inclus dans toutes les phases du processus de production (à l’instar du concept ‘Security-by-Design’).

En tant qu’entreprise, Hikvision doit aussi se conformer à la législation et à la réglementation (GDPR) lors du traitement des données (personnelles) administratives, de clients par exemple. L’aspect ‘confidentialité’ est inclus dans les phases de traitement des données et les informations (personnelles) sont traitées dans les systèmes avec le plus grand soin et de la manière la plus sûre possible.

Conclusion et recommandations

La cybersécurité d’appareils IoT est une question sérieuse qui doit être abordée en début de processus de production et appliquée à toutes les phases de la production. C’est ce qu’on appelle le ‘Security-by-Design’ qui demande un engagement total de la part du management, une équipe dédiée à la cybersécurité et des investissements importants. Hélas, tous les fabricants d’appareils IoT n’orientent pas leur organisation et leur production dans ce sens, ce qui génère une mauvaise publicité dans les médias à propos de la cybersécurité d’appareils IoT.

D’autres fabricants prennent heureusement cela au sérieux et mettent tout en œuvre pour ‘cybersécuriser’ leurs appareils IoT autant que possible. La cybersécurité ne dépend pas uniquement des fabricants, les utilisateurs jouent aussi un rôle important. Ils doivent notamment se tenir informés de la cybersécurité IoT, se poser des questions critiques et les poser aux fabricants IoT :

- Puis-je faire confiance au fabricant de cette caméra de surveillance qui ne coûte que quelques euros ?

- Ce fabricant dispose-t-il d’une organisation/équipe dédiée à la cybersécurité?

- Comment ce fabricant gère-t-il les vulnérabilités?

Comme indiqué plus haut, Hikvision prend très au sérieux la cybersécurité et la confidentialité. Le fabricant suit les meilleures pratiques en matière de cybersécurité et respecte la réglementation et la législation pour garantir des produits IoT cyber sûrs. La mise en place d’une organisation spécifique dédiée à la cybersécurité, l’implémentation du HSDLC, la création du SCTC, le statut CNA et les diverses normes de conformité et certifications sont quelques exemples qui démontrent à quel point Hikvision s’engage dans la cybersécurité et la confidentialité.

Si garantir une sécurité à 100% est hélas impossible, Hikvision met tout en œuvre pour fabriquer des produits IoT fonctionnels les plus sûrs possibles. Cependant, la collaboration avec les clients, les installateurs, les partenaires de distribution et autres parties prenantes est cruciale pour une cybersécurité ultime des appareils IoT.

Et donc….quand vous lirez des articles sur la cybersécurité, ne vous arrêtez pas aux gros titres et prenez conscience que certains fabricants d’appareils IoT ‘en ont sous le capot’.

Si vous envisagez d’acheter une caméra de surveillance ou un autre appareil IoT dans l’avenir, je vous conseille de poser les bonnes questions au fabricant puis d’argumenter votre choix avec des faits plutôt que des préjugés et/ou des gros titres de journaux !

Fred Streefland

Directeur en cybersécurité / CISO

EMEA

1 Source: MITRE corporation CVE website