La cyber assurance apporte-t’elle une réponse au développement des objets connectés (IoT) ?
Avec le nombre croissant d'appareils intelligents connectés, le monde de l’internet connecté est de plus en plus exposé aux cyber-attaques. Ces objets représentent un risque cyber potentiel dû à la technologie de l’IoT, avec des conséquences dans le monde de la cyber assurance et des potentiels assurés.
Ceci s’explique notamment en raison de la faiblesse ou de l'absence de cybersécurité sur ces objets ou de la difficulté de mettre à jour ces systèmes.
Il existe de nombreuses industries qui utilisent des produits ou des dispositifs IoT pour améliorer les performances, la qualité et faciliter l’automatisation des process. Il s'agit notamment d'appareils domestiques intelligents que vous pouvez retrouver à votre domicile, des voitures autonomes, d’appareils équipant le réseau électrique, le transport ferroviaire, les villes…. Chaque jour apporte son lot d’innovation et de nouvelles applications.
Pourquoi les appareils connectés (IoT) sont-ils directement concernés par les cyber-risques ?
Il est fort probable qu’à l’avenir, avec l’utilisation de la technologie IoT, le monde attirera davantage de cyberattaques et de fraudes potentielles qu’aujourd’hui.
Voici quelques-unes des raisons qui rendent les dispositifs IoT vulnérables au cyber-risque.
Plus d’objet en ligne
Avec la technologie IoT, il y aura de plus en plus d'objets actuellement hors ligne (par exemple les maisons, les transports, les unités de fabrication, etc.) qui seront à leur tour connectés, en ligne et par conséquent concernés par les cyber-risques.
En raison de la nature en réseau de l'IoT
Dans son fonctionnement intrinsèque, chaque objet connecté utilise des données provenant d'autres objets connectés. En cas de défaillance et d’atteinte malveillante à un objet, il existe également le risque pour qu’un dysfonctionnement sur un objet entraîne une défaillance catastrophique de l’ensemble du réseau.
En raison de leur conception et de la priorité donnée à la mise en marché rapide.
Les solutions IoT sont souvent mises en œuvre par certaines entreprises du secteur des technologies, des médias et des télécommunications qui viennent rajouter une couche technologique sur un système existant, ou qui s’appuie sur des partenaires pour leur développement. La priorité est souvent donnée au bénéfice client sans se soucier des contraintes de sécurité et sans de réels contrôles approfondis. Ces systèmes autonomes qui n'étaient pas connectés auparavant deviennent à leur tour des cibles vulnérables pour le piratage informatique.
Des mises à jour difficiles
Lorsqu’un IOT est installé, de nombreuses organisations ne se préoccupent pas suffisamment des mises à jour logiciel proposées par les fabricants de ces IOT. Bien que dans sa conception l’objet connecté ait été pensé « Security by Design », le manque d’hygiène informatique / la non prise de conscience que ces objets nécessitent une mise à jour, fait peser sur l’organisation un nouveau risque.
Plus grave encore, certains périphériques IoT n'ont pas la possibilité de recevoir des correctifs pour mettre à jour les paramètres de sécurité. Enfin, la plupart des plates-formes IoT sont livrées avec un ID et un mot de passe par défaut, qui bien souvent ne sont pas changés lors de leur installation.
Iot : le paysage de la cybermenace
Il peut y avoir de multiples applications de la technologie IoT dans différentes industries, créant ainsi de nouvelles vulnérabilités face à une cybercriminalité de plus en plus menaçante.
Iot & transport maritime
Il y a de multiples utilisations de la technologie IoT dans le transport maritime car les compagnies maritimes ont équipé leurs flottes d'une variété de capteurs pour surveiller les systèmes critiques des navires, les conditions météorologiques et maritimes, ainsi que les cargaisons. Les conséquences possibles sont l'interruption de l'activité, les dommages aux données, le vol de biens par alternance des contacts maritimes, les dommages corporels et matériels, etc.
Objets connectés et Aviation
Il existe plusieurs utilisations de l'IoT dans l'aviation commerciale et militaire.
L’apport d’objets connectés dans le monde de l'aviation permet d'accéder à des données en temps réel afin d'amélioration les performances du moteur, d’avoir un suivi en temps réel des prévisions météorologiques plus précises, de faire de la surveillance des pilotes, etc.
Dans le domaine de l’aviation militaire, un des risques le plus important est celui d’une cyber attaque qui permettrait aux cybercriminels d’accéder au système de contrôle et à l'armement d'un avion, comme dans le cas d'un drone.
Smart City
Une Smart City peut être équipée d'une plate-forme IoT à usage multiple comme le stationnement intelligent, la sécurité publique, l'équilibrage du trafic, l’affichage urbain etc.
Les réseaux électriques intelligents (« Smart Grid » en anglais) est l'un des exemples mis en œuvre dans une « Smart City » permettant de réaliser de grandes économies et un dépannage efficace. S'il n'y a pas de cybersécurité efficace, le pirate pourrait accéder à une telle infrastructure publique à partir de son ordinateur et couper l'alimentation électrique d'une ville entière.
Infrastructures critiques
En raison de la nature en réseau de l'IoT - c'est-à-dire que chaque objet connecté utilise des données provenant d'autres objets connectés - le risque existe qu'un dysfonctionnement puisse entraîner une défaillance catastrophique du système. Les infrastructures critiques comme les barrages ou les ponts sont munis de censeurs afin de surveiller leur intégrité structurelle sont également vulnérables aux cybermenaces. Le mauvais fonctionnement de ces capteurs peut entraîner un risque de catastrophe si ces objets tombent en panne et entraîner des dommages matériels massifs, voire des pertes humaines.
Quels facteurs de cyber-risque représentent les IoT et quels sont les défis pour les assureurs ?
Les nouveaux risques de sécurité que la technologie de l'IoT génère, a pour conséquence immédiate d’augmenter le besoin en cyberassurance, créant ainsi de nouvelles opportunités pour les compagnies d’assurance. La croissance de l'IoT posera de nouveaux défis en matière de sécurité ; les clients chercheront des assureurs experts, capables de définir et d’analyser les risques auxquels ils sont confrontés.
Opportunité pour les assureurs
Comme l'IoT joue un rôle de plus en plus important dans tous les secteurs d'activité et constituent un facteur d’aggravation, les assureurs auront l’opportunité de proposer des offres afin de garantir les organisations contre le vol de données, couvrant les pertes d'exploitation et autres conséquences des cyber-attaques.
Défis pour les assureurs
Les assureurs pourraient avoir besoin d'innover dans l’offre et services proposés, afin de faciliter la protection contre les cyber-risques à un plus grand nombre d’entreprises. Il pourrait s’agir notamment de mettre en place une norme commune de quantification des risques, le partage et la mise en commun des données sur les sinistres, ainsi qu'un recours accru à des analyses techniques afin d’améliorer la détection des menaces et l'évaluation des risques.
Avec la dynamique apportée par l’IoT, apparait un monde de systèmes d’information ouverts, puisqu’il est possible d’avoir plusieurs appareils connectés entre eux. En cas de cyber sinistre, il sera alors difficile pour les assureurs de déterminer la responsabilité dans l’éventualité où le sinistre lié à un IoT ; Cette complexité imposera de vérifier dans les garanties des contrats de cyber-assurance l'étendue de la couverture à des cyber-attaques spécifiques IoT.
Stratégie de gestion des risques pour les assureurs
Il convient aux assureurs d’élaborer des modèles de menaces qui identifient les liens entre les objectifs opérationnels et les opérations de cybersécurité. Ces modèles peuvent aider à classer par ordre de priorité les menaces potentielles pour la sécurité que représentent les Iot et à découvrir les risques résiduels que les approches traditionnelles basées sur les contrôles ne sont pas en mesure de couvrir. Les compagnies d'assurance au travers de leur courtier à l’image de CYBER COVER qui offre un large réseau de cyber-partenaires, peuvent s'associer à des entreprises de cybersécurité pour tirer parti de leur expertise en matière d'évaluation des risques, accompagner les clients dans une démarche de cybersécurité, transférer une partie du risque financier de leurs clients en cas d'attaque majeure. Mieux sécurisée, l’exposition au risque est plus faible, ce qui permet d’en tenir compte dans leur souscription et leur tarification.
