Les technologies connectées à Internet peuvent améliorer les services, mais font face à des risques de cyberattaques

Les infrastructures essentielles de notre pays comprennent des secteurs qui fournissent des services essentiels, tels que l’électricité, les soins de santé et les transports. Ces secteurs s’appuient de plus en plus sur les technologies connectées à Internet pour soutenir leur mission et leur fonctionnement, comme l’Internet des objets. Cependant, cette utilisation de la technologie rend également les infrastructures critiques vulnérables aux cyberattaques.

Le gouvernement fédéral joue un rôle important dans la protection de cette infrastructure contre les cyberattaques. L’article WatchBlog d’aujourd’hui examine la cybersécurité des appareils connectés à Internet et notre récent rapport sur les efforts fédéraux pour sécuriser ces appareils.

Où sont les vulnérabilités potentielles ?

L’utilisation de l’Internet des objets (IoT) et de la technologie opérationnelle (OT) crée des points d’entrée qui peuvent rendre les infrastructures critiques vulnérables aux cyberattaques.

• Parmi les exemples d’IdO dans les infrastructures critiques, citons les contrôles d’accès aux bâtiments et les lecteurs de badges, la consommation de carburant ou la surveillance des itinéraires, ou des applications telles que celles qui informent les passagers de l’arrivée du prochain bus ou train. Dans le domaine de la santé, les appareils médicaux connectés, comme les stimulateurs cardiaques et les IRM, font également partie de l’IdO.
• OT peut être trouvé dans des environnements aussi variés que les centrales électriques et dans le cadre des réseaux énergétiques, sur les lignes de production des fabricants de dispositifs médicaux et pharmaceutiques, dans les grues de quai et dans les dispositifs de contrôle de la vitesse des trains.

Représentation des utilisations par le secteur des infrastructures essentielles des appareils connectés à Internet

Les appareils et systèmes IoT et OT qui prennent en charge les infrastructures critiques de notre pays sont intrinsèquement menacés. Les risques incluent des menaces croissantes et émergentes du monde entier, des attaques nouvelles et plus destructrices et des menaces internes provenant d’employés conscients ou involontaires.

Les cybermenaces pour l’IoT et l’OT peuvent inclure des attaques délibérées, des perturbations environnementales et des erreurs humaines/machines. Ces incidents peuvent porter atteinte aux intérêts nationaux et économiques des États-Unis en matière de sécurité.

Par exemple, en juillet 2022, les agences fédérales qui dirigent les efforts de cybersécurité, d’application de la loi et de sécurité intérieure ont averti les entités de soins de santé (comme les hôpitaux) de verrouiller les appareils qui utilisent l’IoT. C’était en réponse à la menace des cyber-attaquants nord-coréens qui cherchaient à utiliser l’IoT (entre autres points d’entrée) pour accéder aux systèmes informatiques médicaux et détenir des informations et des données médicales contre rançon.

Efforts fédéraux pour atténuer les risques de cybersécurité IoT et OT

L’agence CISA (Department of Homeland Securitys Cybersecurity and Infrastructure Security Agency) et le National Institute of Science and Technology (NIST) ont publié des directives et fourni des ressources pour aider les agences fédérales et les entités privées à gérer les cyber-risques associés aux appareils connectés à Internet. En outre, chaque secteur d’infrastructures critiques a une agence principale chargée d’aider et de protéger une ou plusieurs des 16 infrastructures critiques des nations, y compris le soutien des programmes de sécurité et de résilience et des activités associées de leur secteur désigné. Par exemple, les efforts de cybersécurité des secteurs de la santé sont dirigés par le ministère de la Santé et des Services sociaux.

Pour notre rapport de décembre, nous avons rencontré des organismes pour voir comment ils évaluent l’efficacité de leurs efforts. Nous avons constaté qu’ils n’avaient pas effectué d’évaluations des risques concernant leur utilisation de l’IoT et de l’OT. Sans procéder à des évaluations des risques à l’échelle du secteur, les organisations ne sauront pas quelles protections de sécurité supplémentaires pourraient être nécessaires pour faire face aux menaces croissantes et évolutives. Nous leur avons recommandé de mener des évaluations des risques qui incluent l’IoT et l’OT.

Les organismes chargés de fournir un leadership aux secteurs des infrastructures essentielles de nos nations nous ont dit que la relation entre le secteur privé et le gouvernement est volontaire. Selon eux, cela rend difficile la collecte d’informations et la mesure de leurs progrès vers les objectifs de cybersécurité. Mais nous pensons que ces agences pourraient faire plus et nous avons recommandé que ces agences comblent ces lacunes dans leur planification de la cybersécurité.

Pour en savoir plus sur notre travail sur les risques de cybersécurité dans l’IoT et l’OP, et sur les efforts fédéraux pour y faire face, consultez notre rapport complet.