Points clés
- L'intégration de l'IoT dans la cartographie des risques de l'organisation exige une adaptation des référentiels classiques (ISO 27005, EBIOS RM) qui ne capturent pas les spécificités des objets connectés : cycle de vie long, impossibilité de patch, dépendances constructeurs, surface d'attaque physique.
- La cartographie des risques IoT doit couvrir trois niveaux : l'équipement individuel (firmware, accès), l'infrastructure (réseau, segmentation, monitoring), et l'écosystème (constructeurs, mainteneurs, plateformes cloud).
- La criticité d'un équipement IoT dans la cartographie des risques se mesure en termes d'impact en cas de compromission sur les opérations, pas seulement en termes de valeur de l'équipement lui-même.
- La cartographie des risques IoT est dynamique : elle doit être mise à jour à chaque acquisition, à chaque nouvelle CVE majeure, et lors des revues périodiques de l'inventaire.
Les limites des référentiels de risque classiques pour l'IoT
Les méthodes d'analyse des risques informatiques — ISO 27005, EBIOS Risk Manager, MEHARI — sont conçues pour des actifs IT gérés par des équipes IT selon des processus IT. Les objets connectés ne rentrent pas dans ce moule. Ils ont un cycle de vie de 10 à 20 ans (contre 3 à 5 ans pour les équipements IT), pendant lequel les mises à jour de sécurité peuvent cesser bien avant la fin de vie opérationnelle. Ils ne peuvent souvent pas être isolés ou éteints sans impact opérationnel immédiat. Leur surface d'attaque inclut une composante physique — accès direct à l'équipement, connexion physique aux ports de maintenance. Leur gestion est répartie entre plusieurs équipes sans responsabilité unique. Ces spécificités nécessitent une adaptation des méthodes d'analyse de risque, pas leur application telle quelle.
Les trois niveaux d'analyse du risque IoT
Une cartographie des risques IoT complète opère à trois niveaux. Au niveau de l'équipement individuel : évaluer les vulnérabilités du firmware (CVE connues), la qualité de la configuration sécuritaire (credentials, services actifs, chiffrement), la surface d'accès physique, et les dépendances fonctionnelles. Au niveau de l'infrastructure : évaluer la qualité de la segmentation réseau, la couverture du monitoring comportemental, la gestion des accès tiers, et la capacité de détection et de réponse aux incidents IoT. Au niveau de l'écosystème : évaluer la maturité sécuritaire des constructeurs (programme CVD, durée de support, historique des incidents), les risques liés aux plateformes cloud de gestion, et la robustesse des contrats de maintenance. Ces trois niveaux forment une vision complète du risque IoT qui dépasse l'analyse équipement par équipement.
Évaluer la criticité opérationnelle des équipements IoT
La criticité d'un équipement IoT dans la cartographie des risques ne se mesure pas à sa valeur d'achat ou à sa sophistication technologique, mais à l'impact de sa compromission ou de sa défaillance sur les opérations. Un capteur IoT à 50 euros contrôlant la température d'une chambre froide alimentaire critique est plus prioritaire qu'une caméra de surveillance à 500 euros dans un couloir administratif. La criticité est évaluée selon plusieurs dimensions : impact sur la continuité des opérations si défaillant, impact d'une compromission sur la sécurité des personnes ou la confidentialité des données, potentiel de pivot vers des systèmes à plus haute valeur en cas de compromission. Cette évaluation multicritère permet une priorisation des mesures de protection cohérente avec les enjeux opérationnels réels.
Maintenir la cartographie des risques IoT dynamiquement
Une cartographie des risques IoT est obsolète dès qu'un équipement est ajouté ou retiré du parc, dès qu'une nouvelle CVE est publiée sur un équipement inventorié, ou dès qu'un constructeur annonce la fin de support d'une gamme. La maintenir à jour requiert des déclencheurs automatiques : tout mouvement dans l'inventaire (nouveau déploiement, décommission) déclenche une mise à jour de la cartographie des risques pour les équipements concernés. Chaque alerte CVE de criticité majeure ou critique sur un équipement inventorié déclenche une réévaluation du profil de risque de cet équipement et de sa priorité de correction. Des revues périodiques trimestrielles valident la cohérence globale de la cartographie. Cette dynamique transforme la cartographie d'un exercice ponctuel en processus vivant.
Intégrer la cartographie IoT dans la gouvernance globale des risques
La cartographie des risques IoT ne doit pas être un document isolé mais une composante de la cartographie des risques globale de l'organisation. Les risques IoT significatifs — un parc important d'équipements sans segmentation réseau, un constructeur majeur annonçant la fin de support de sa gamme, une CVE critique touchant des centaines d'équipements — doivent remonter dans le tableau de bord de gestion des risques présenté à la direction. Cette remontée permet les arbitrages d'investissement et les décisions stratégiques (remplacer ou maintenir un parc en fin de support, investir dans des outils de segmentation réseau) à un niveau de gouvernance approprié, avec une vision complète du risque global de l'organisation.