L’arrivée massive des objets connectés en entreprise : la bombe à retardement invisible
Derrière chaque bureau, dans chaque salle de réunion, dans chaque coin technique, des objets connectés se sont installés discrètement. Ils ne font pas de bruit, ne clignotent pas toujours, mais ils sont là. Une imprimante réseau qui se déclenche d’un étage à l’autre, une télévision connectée pour les présentations, une caméra de sécurité qui veille en permanence, une borne de recharge pour véhicules électriques, un capteur discret qui mesure la qualité de l’air…
Tous ces appareils ont en commun de faciliter notre quotidien professionnel, et pourtant, ils partagent aussi une autre caractéristique, moins avouable : ils peuvent représenter une porte d’entrée pour des intrusions invisibles.
Souvent, ils ne sont pas arrivés dans l’entreprise par la grande porte de l’IT. Ils ont été achetés par un service marketing, installés par une équipe de maintenance, livrés avec un nouvel aménagement de bureau. Et, presque toujours, ils sont connectés au réseau de l’entreprise sans qu’une réflexion de sécurité approfondie n’ait précédé leur branchement. Nous accueillons ces technologies avec enthousiasme, mais rarement avec prudence.
Le problème, c’est que beaucoup de ces objets ont été pensés pour être faciles à utiliser, pas pour être inviolables. Les mises à jour sont parfois rares, parfois impossibles. Les mots de passe par défaut restent en place, faute de vigilance. Certains utilisent encore des protocoles ouverts que l’on croyait oubliés. Et surtout, ils échappent souvent aux radars des protections traditionnelles : pare-feu, antivirus, supervision… Ils se fondent dans le paysage numérique, comme s’ils n’existaient pas.
Les cybercriminels, eux, savent très bien qu’ils existent. Une caméra IP vulnérable peut devenir un relais discret pour exfiltrer des données. Une imprimante mal sécurisée peut servir de point d’entrée vers tout le réseau interne. Des millions d’objets connectés ont déjà été enrôlés dans des attaques massives, comme l’a montré le tristement célèbre botnet Mirai. Ces scénarios ne relèvent pas de la science-fiction, mais de faits documentés, parfois coûteux, parfois désastreux.
Face à cela, il existe des moyens d’agir avec pragmatisme. Un système de contrôle d’accès au réseau, ou NAC, ne supprime pas la présence de ces objets, mais il les rend visibles, traçables, gérables. Il dresse en temps réel la carte des appareils qui se connectent, identifie leur nature, observe leur comportement, et isole ceux qui se comportent de manière suspecte. Il ne promet pas l’invincibilité, mais il offre la maîtrise, ce qui, en cybersécurité, est déjà un pas immense.
Adopter une telle démarche, c’est aussi accepter que la sécurité n’est pas un état figé mais un effort continu. Cela demande de tenir un inventaire, de séparer certains équipements du cœur du réseau, de définir des règles adaptées, et surtout, d’impliquer l’ensemble des équipes, pas seulement l’informatique.
Les objets connectés ne sont pas nos ennemis. Ils nous font gagner du temps, améliorent notre confort, optimisent nos espaces de travail. Mais comme toute technologie, ils méritent qu’on leur accorde de l’attention et du respect. Sans cela, ils peuvent devenir, malgré eux, la bombe à retardement de notre réseau.
Nous savons que personne n’a une infrastructure parfaite. Nous savons aussi qu’il vaut mieux voir venir un problème que le découvrir après coup. C’est pourquoi nous proposons d’aider les entreprises à identifier ce qui est déjà là, parfois bien caché, et à mettre en place des moyens simples pour reprendre la main. Car la sécurité, avant d’être une affaire de technologie, est surtout une affaire de lucidité.
