De plus en plus de systèmes connectés sont utilisés pour fournir les éléments essentiels de notre vie quotidienne. De l'eau et de l'électricité qui entrent dans nos maisons aux traitements médicaux que nous recevons, l'"Internet étendu des objets" (XIoT) est impliqué.Un nouveau rapport sur l'état de la sécurité du XIoT, rédigé par les chercheurs de l'équipe Claroty82, montre que les vulnérabilités de ces systèmes cyber-physiques divulguées au cours du second semestre 2022 ont diminué de 14 % depuis le pic atteint en 2021. Dans le même temps, les vulnérabilités découvertes par les équipes internes de recherche et de sécurité des produits ont augmenté de 80 % sur la même période, ce qui indique que les fournisseurs prennent le risque au sérieux.
"Une grande majorité des fournisseurs ont maintenant un processus formel de divulgation des vulnérabilités", explique Nadav Erez, VP des données chez Claroty. "C'est vraiment excitant de voir une entreprise qui n'a pas de processus de divulgation passer à travers cela et comprendre l'importance de ce processus et le construire et le formaliser également."
La recherche montre que 62 % des vulnérabilités des technologies opérationnelles (OT) publiées affectent les dispositifs de niveau 3 du modèle Purdue pour les ICS. Ces appareils gèrent les flux de production et peuvent constituer des points de passage essentiels entre les réseaux informatiques et les réseaux OT, ce qui les rend très attrayants pour les acteurs de la menace qui cherchent à perturber les opérations industrielles.
Selon le rapport, 71 % des vulnérabilités ont reçu un score CVSS v3 "critique" ou "élevé", et 63 % des vulnérabilités sont exploitables à distance sur le réseau, ce qui signifie qu'un acteur de la menace n'a pas besoin d'un accès local, adjacent ou physique au dispositif concerné pour exploiter la vulnérabilité.
En ce qui concerne les risques, le principal impact potentiel est l'exécution non autorisée de codes ou de commandes à distance (54 % des vulnérabilités), suivie par les dénis de service (plantage, sortie ou redémarrage) (43 %).
"Nous constatons une augmentation des réglementations gouvernementales dans le domaine des soins de santé et des infrastructures critiques", ajoute M. Erez. "Cette pression réglementaire se répercute jusqu'aux fournisseurs. Nous constatons également que les clients commencent à prendre en compte la sécurité lorsqu'ils choisissent un fournisseur. Si vous perdez un contrat parce que vous n'êtes pas en mesure de fournir une nomenclature logicielle, cela vous incitera à le faire pour le prochain contrat."
Source : Claroty
Et vous ?
Que pensez-vous de cette étude de Claroty ? Trouvez-vous qu'elle est pertinente, voire utile ? Selon vous, outre la dimension sécurité, quels autres critères retenez-vous pour le choix de votre fournisseur ?Voir aussi :
Le nombre de vulnérabilités ICS signalées a bondi de 110 % au cours des quatre dernières années, dont 34 % concernent les appareils IoT, informatiques et médicaux, d'après un rapport de Claroty Près de la moitié des projets IoT ne testent pas la sécurité des logiciels, malgré que 73,6 % des personnes interrogées considèrent la sécurité comme importante, d'après GrammaTech 80% des entreprises déclarent avoir été attaquées, et plus de 60% d'entre elles ont payé une rançon, selon l'enquête de Claroty sur l'état mondial de la cybersécurité industrielle en 2021