L’identité, au cœur de l’Internet des objets

L’identité, un point clé pour réduire le risque

Pour Mount, l’identité est essentielle afin de gérer le risque de millions d’objets connectés capables d’accéder à trop d’information : « l’identité est une chose qui reste sous le contrôle des organisations et des individus et qui peut aider à trouver un équilibre entre les besoins des utilisateurs et ceux des gestionnaires du risque ».

Les attaques sont inévitables. Dès lors, il est nécessaire de travailler à limiter leurs effets. Et la clé se trouve dans la gestion des identités et des accès, selon Mount : « nous devons limiter les droits d’accès des individus et des objets au minimum afin de s’assurer qu’ils sont appropriés. Puis, nous devons appliquer un contrôle d’accès et surveiller l’activité des utilisateurs afin de garantir qu’elle est appropriée et normale ».

Mais pour Mount, la réponse ne tient pas à plus de données car il existe déjà trop d’outils générant trop de données : « dans l’incident Target, les signes étaient là, mais il était difficile de comprendre et de pointer ce que se passait précisément en raison du seul volume de données. Lorsqu’il y a trop de bruit, il n’y a pas assez d’information ».

Le contexte, essentiel pour la sécurité

Dès lors, selon lui, la sécurité a besoin de contexte. Ce qui signifie que sécurité et identité ne peuvent plus être traités en silos dans les organisations : « la clé pour apporter un contexte est l’identité. Il s’agit de vérifier que les acteurs sont bien ceux qu’ils prétendent être, d’observer comment ils utilisent leurs droits, et d’évaluer si ces usages sont normaux et appropriés ».

Et d’ajouter qu’en construisant l’Internet des objets, il est essentiel d’adopter une réflexion centrée sur l’identité pour assurer un niveau de contrôle pertinent : « avec l’Internet du tout, nous avons besoin d’une identité du tout pour être capables de modéliser le comportement des objets, de le suivre, et enfin de décider s’il est normal ou pas ».

Ansin, pour Moint, ce n’est qu’en établissant une identité de tout qu’il sera possible de gérer la manière dont les individus et les objets interagissent : « et cela deviendra de plus en plus important à mesure que l’on passera de trois ou quatre objets chacun à 20 ou 30 objets qui veulent se connecter et échanger des données ».

Pour les professionnels de la sécurité, cela se traduit par le besoin de comprendre les identités stockées au sein de leurs organisations et d’examiner comment ces informations sont actuellement utilisées : « ils devraient chercher des moyens d’intégrer le contexte de l’identité afin de pouvoir commencer à comprendre le comportement des choses au sein de leur organisation et comment elles vont interagir ».

Pour Mount, les RSSI devraient également construire un framework capable de gérer des informations sur les identités plus sophistiquées, et surtout de supporter des échelles très importantes : « nous avons besoin d’un framework des identités extensible capable de prendre en compte les personnes, les produits, et les appareils pour accompagner l’Internet des objets ».

Adapté de l’anglais.