Points clés
- La sécurité est structurellement absente de l'installation des IoT parce que ce ne sont pas les équipes IT qui les déploient : les services généraux, les équipes métiers, et les prestataires externes installent des équipements sans processus de sécurisation défini.
- Le concept de Secure-by-Default — équipements livrés avec des configurations sécurisées activées par défaut — progresse sous l'impulsion réglementaire (UK PSTI Act, Cyber Resilience Act européen) mais reste insuffisamment appliqué par les fabricants.
- La pression calendaire et le manque de formation transforment chaque déploiement IoT en prise de risque acceptée implicitement : mettre l'équipement en service vite prime sur le sécuriser correctement.
- L'absence de processus standardisé de mise en service sécurisée — checklist, responsable désigné, validation IT/RSSI — perpétue les vulnérabilités dès le déploiement initial.
Le problème de la responsabilité fragmentée
Dans la grande majorité des organisations, les objets connectés ne sont pas déployés par la DSI ou le RSSI. Les caméras de surveillance sont installées par le service sécurité physique ou un prestataire spécialisé. Les systèmes de contrôle d'accès sont gérés par les services généraux. Les capteurs industriels sont mis en service par les équipes de production avec le support du constructeur. Les systèmes de climatisation et de gestion technique des bâtiments sont sous la responsabilité du facility management. Chacun de ces acteurs a des objectifs fonctionnels précis — l'équipement doit fonctionner — mais aucun n'est naturellement responsable de la sécurité réseau de ce qu'il déploie. Cette fragmentation des responsabilités est la cause organisationnelle principale de l'absence de sécurité à l'installation.
La pression du calendrier contre la rigueur sécuritaire
Le déploiement d'équipements IoT s'inscrit souvent dans des projets avec des contraintes calendaires fortes : ouverture d'un nouveau site, mise en service d'une ligne de production, emménagement dans de nouveaux locaux. Dans ce contexte, la mise en service rapide de l'équipement est la priorité absolue. La configuration sécurisée — modification des credentials, désactivation des services non nécessaires, vérification des règles de firewall, documentation — représente un temps supplémentaire que les équipes pressées n'ont pas. La sécurité devient ainsi systématiquement la variable d'ajustement sacrifiée sur l'autel des délais. Seule l'existence d'un processus de mise en service standardisé — une checklist que tout prestataire doit compléter avant réception — permet de résister à cette pression.
Le manque de formation des équipes de déploiement
Les techniciens déployant des équipements IoT — installateurs de caméras, techniciens de maintenance industrielle, intégrateurs de systèmes domotiques — ont généralement une formation axée sur la fonctionnalité et l'installation physique, pas sur la sécurité réseau. Ils ne savent pas que les credentials par défaut représentent un risque. Ils n'ont pas été formés aux bonnes pratiques de configuration sécurisée. Ils ne savent pas quoi faire d'une CVE si on leur en soumet une. Cette lacune de formation est systémique et ne peut pas être corrigée par équipement à équipement : elle nécessite une formation standardisée pour tous les acteurs impliqués dans le déploiement IoT, couplée à des processus qui rendent incontournables les étapes de sécurisation.
Le Cyber Resilience Act et le Secure-by-Default
Le Cyber Resilience Act (CRA) européen, applicable progressivement depuis 2024, impose aux fabricants de produits connectés des exigences de sécurité précises, notamment la livraison de produits avec des configurations sécurisées activées par défaut (Secure-by-Default). Cette exigence réglementaire vise à déplacer la responsabilité de la sécurisation initiale du déployeur vers le fabricant : les équipements livrés sans credentials par défaut exploitables, avec les services non nécessaires désactivés, et avec un processus de mise à jour sécurisé, réduisent structurellement le risque lié aux déploiements réalisés sans expertise sécuritaire. À terme, cette réglementation devrait améliorer le niveau de sécurité de base des équipements IoT disponibles sur le marché européen.
Construire un processus de mise en service sécurisée
En attendant que le Secure-by-Default devienne la norme, les organisations doivent construire un processus de mise en service IoT sécurisée. Ce processus inclut une checklist de configuration obligatoire — modification des credentials, désactivation des services non utilisés, activation du chiffrement des communications, vérification de la version firmware et mise à jour si disponible, documentation de la configuration dans l'inventaire IT. Ce processus doit être imposé à tous les prestataires déployant des équipements IoT dans l'organisation, avec une validation DSI/RSSI avant la réception définitive de l'installation. L'intégration de cette checklist dans les contrats de déploiement est le mécanisme qui rend la sécurisation initiale incontournable.