IoT, Sécurité et Santé: un cocktail détonnant ?
8 j'aime1,788 vues
La conférence 'IoT, sécurité et santé: un cocktail détonnant ?', organisée par l'ISACA/AFIA sud-est, a abordé les risques et recommandations liés à l'usage des objets connectés dans le domaine de la santé. Les intervenants ont souligné l'importance de la sécurité et de la protection de la vie privée, tout en discutant des bénéfices potentiels pour la prévention et la gestion des données médicales. La nécessité d'incorporer des mesures de sécurité dès la conception des dispositifs connectés a été mise en avant.
IoT, Sécurité et Santé: un cocktail détonnant ?
- 1. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST La Délégation Sud-Est de L’ISACA/AFAI vous a invité à participer à une conférence : IoT, Sécurité et Santé: un cocktail détonnant ? Mardi 15 mars 2016, 18h30, Institut Supérieur des Sciences de Gestion, Aix-en-Provence Cette conférence animée par M. Frédéric VILANOVA, CISA, dirigeant d’EFFECTIVE YELLOW qui nous présente les recommandations de l'ISACA relatives aux IoTs (Internet of Things – Objets Connectés). M. Edmond CISSE, Security Risk Manager, URAEUS CONSULT, partage avec nous sa vision prospective des risques de sécurité liés à l'usage d’objets connectés dans le domaine de la santé. Mardi 15 mars 2015 18h30/20h - Aix-en-Provence - Faculté d’Economie et Gestion , 3 av. Robert Schuman M. Jean-Yves OBERLE, Délégué régional AFAI Sud-Est clôturera la conférence en présentant la dynamique de l’association et ses projets pour 2016. Un cocktail dinatoire vous sera ensuite proposé.
- 2. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-ESTSOMMAIRE 1. Objets connectés et recommandations de l’ISACA M. Frederic VILANOVA 20 minutes 2. Objets connectés, Sécurité et Santé M. Edmond CISSE 20 minutes Conclusion & Echanges
- 3. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST 1. Objets connectés et recommandations de l’ISACA 1.1 Définir l’objet connecté et sa proposition de valeur 1.2 Points à considérer en pratique 1. Objets connectés et recommandations de l’ISACA
- 4. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.1 Définir l’objet connecté et sa proposition de valeur Quid? « L’internet des objets est un réseau de réseaux qui permet, via des systèmes d’identification électronique normalisés et unifiés, et des dispositifs mobiles sans fil, d’identifier directement et sans ambiguïté des entités numériques et des objets physiques et ainsi de pouvoir récupérer, stocker, transférer et traiter, sans discontinuité entre les mondes physiques et virtuels, les données s’y rattachant. » source : L’Internet des objets de Pierre-Jean Benghozi, Sylvain Bureau et Françoise Massit-Folléa (Edition MSH) Types de Systèmes Identification (dont lecteurs) Capteurs Connexion Intégration Traitement des données Réseaux ENJEUX Reconnaitre chaque objet unique Recueillir les données du niveau objet Recueillir les informations présentes dans l’environnement pour enrichir les fonctionnalités du dispositif Connecter les systèmes entre eux Intégrer les systèmes pour que les données soient transmises d’une couche à l’autre Stocker et analyser les données pour lancer des actions ou pour aider à la prise de décisions. Transférer les données dans les mondes physiques et virtuels. OLD TECHNO Code barres, RFID basique… Thermomètre, hydromètre… Câbles… Middlewares Excel, ERP, CRM… Internet, Ethernet… NEW TECHNO RFID complexe, Surface Acoustic Waves, puces optiques, ADN empreinte génétique… Capteurs miniaturisés, Nanotechnologies … Bluetooth, Near Field Communi cation, Wifi, Lifi (Led)… Middlewares évolués Datawarehouse 3D (compatible puces RFID), Web sémantique (formatage via Resource Description Framework) Réseau ECP global…
- 5. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.1 Définir l’objet connecté et sa proposition de valeur IOT Fonctionnement Schématique Transmission Mbed Device Server Big Data Acquisition des données Capteurs (portables, non portables), informatique embarquée Embeded Operating System, Embeded Application (ARM) =« boite noire » applicative pré-chargée dans l’objet connecté. Transmission des données EnOcean, NFC Bluetooth, Wi-Fi, Weightless, GSM, 3G, 4G LTE, ANT, Dash7, Ethernet, GPRS, PLC / Powerline, QR Codes, EPC WiMax, X-10, 802.15.4, Z- Wave, Zigbee… Plateformes fédératives ETSI M2M… Standard ETSI M2M est une initiative européenne qui a pour objectif de normaliser les fonctions des objets connectés de façon à rendre les applications indépendantes des capteurs. Exemples : Plateforme Thingpark , LPWAN Low Power Wide Area Network: - Réseau SIGFOX http://makers.sigfox.com/ - Réseau LORA https://www.lora-alliance.org/What-Is-LoRa/Technology Analyse des données Logiciels, Applications, Middleware Frameworks, Plateformes, Infrastructures Exemple: Microsoft Azure IOT Platform Little Data mbed Os
- 6. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.1 Définir l’objet connecté et sa proposition de valeur IOT Fonctionnement Schématique (complément) Maintenance « live » et protocole M2M Il faut songer à l’interopérabilité M2M IOT (Machine to Machine) de façon industrielle… Par exemple mettre en place des protocoles d’interopérabilité permettant notamment un accusé de réception qui soit juridiquement valide et opérationnel en situation de crise. Exemple: OPC Unified Architecture (OPC UA) - développé par l’Open Platform Communication Foundation, plus de trois ans de specifications, premier en 2006, norme actuelle = 1.02 - Support de la redondance (équipements critiques dédoublés, le second servant en cas de panne du premier) - Battement de Coeur pour connections bidirectionnelles:IOT et server contrôle mutuellement le fait qu’ils soient “vivants”, ou interrompus - Mise en buffer de données et aquittement des données transmises: les connexions perdues ne conduisent plus à des données perdues, on retourne chercher les blocs perdus. Little Data mbed Os Transmission Mbed Device Server Big Data
- 7. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.1 Définir l’objet connecté et sa proposition de valeur Business value proposition 2013: 9 milliards d’objets connectés dans le monde; 2014: 15 milliards; 2020: 80 milliards Etude Idate, 2013/09 l’Internet des Objets représente un marché dont l’unité est le millier de milliards de dollars. Entre 3 et 6 objets connectés en moyenne par personne: prédiction pour 2020. Contribution à la valeur ajoutée en % des objets connectés par secteurs en 2020 Mbed Device Server Big Data EtudeIdate,2013/09
- 8. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.1 Définir l’objet connecté et sa proposition de valeur Business value proposition Benefits - Prévenir mieux et suffisamment tôt - Inclure des services à haute valeur ajoutée - Faire évoluer les frontières entre le professionnel, le privé voire l’intime (santé). - Gérer l’énergie - Interopérer: applications diverses, objets connectés divers, réseaux variés... - Miniaturiser pour rendre mobile voire implanter… - Intégrer: multi-capteurs - Induire: Big Data, BI, Data Analysis - Protéger et Sécuriser: Privacy, Gouvernance des Données, Décision de l’acteur Concerns
- 9. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST 1. Objets connectés et recommandations de l’ISACA 1.1 Définir l’objet connecté et sa proposition de valeur 1.2 Points à considérer en pratique 1. Objets connectés et recommandations de l’ISACA
- 10. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.2 Points à considérer en pratique Des dispositifs connectés utilisés de plus en plus et dans tous les domaines - Téléphone Mobile => Smartphone permettant d’accéder à des serveurs de données, GPS - Dispositifs médicaux (nous allons y revenir avec Edmond) - Dispositifs portables sportifs, intégrés aux vêtements ou non - Dispositifs intelligents destines à la maison et à la famille - Voitures intelligentes disposant d’un CAN (Controller Area Network), d’un CANbus et de capteurs variés Des constructeurs de dispositifs intelligents qui n’y incluent pas la sécurité - Start-Ups et PME font flores en IoT et la sécurité ou la confidentialité des données n’est ps leur premier soucis industriel et commercial - Recours à la Programmation Agile sans se plier aux bonnes pratiques de conception sécurisée et sans suffisament de rigueur lors des tests. - Souvent pas de sécurité intégrée à la construction (“built-security”) - Accès à distance aux IoTs via une plateforme logicielle sur internet… Emergence du NoAT (Network of All Things)
- 11. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.2 Points à considérer en pratique Rien de grave ne peut survenir avec les objects connectés en matière de sécurité ou de confidentialité - Faux, le plus souvent il existe des chemins d’accès bien autres que le point d’accès normal au dispositif. L’étude de tous les accès permet de comprendre les risques en sécurité, confidentialité et sureté Addresser la sécurité et la protection de la vie privée tue l’innovation - Faux, au contraire, le public souhaite être protégé dans l’usage des dispositifs innovants. La sécurité et la confidentialité doivent être des standards industriels. Faux arguments contre les contrôles de sécurité et de confidentialité La sécurité est trop chère pour être incorporée au dispositif - Faux, il s’agit d’un choix industriel et stratégique: à gros traits “soit on investit en sécurité, soit on investit en marketing”, selon le dosage choisi, le risqué peut être très fort… La protection de la vie privée ne peut pas être incorporée au dispositif - Faux, voir l’ISACA Privacy Principles and Program Management Guide Les consommateurs n’ont cure de la protection de la vie privée - Faux, les consommateurs souhaitent disposer de contrôles intégrés au dispositif connecté 7 catégories de notre vie privée Privacy of the person Privacy of behaviour and actions Privacy of communication Privacy of association Privacy of data and image (information) Privacy of thoughts and feelings Privacy of location and space (territorial)
- 12. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.2 Points à considérer en pratique - Les objets connectés se comportent comme des collecteurs de donnée, des agents de stockage, des agents de traitement, des agents serveurs, des chemin d’accès entre dispositifs… - Le risqué associé avec chaque dispositif pour chacun de ces types d’action doit être analysé, notamment en matière d’impact sur la vie privée, et mitigé. Les micropuces disposent de capacités de stockage croissantes Les IoTs, les dispositifs connectés, doivent intégrer sécurité et protection de la vie privée il faut les protéger et les effacer lorsque l’on n’en a plus besoin Les données collectées doivent se limiter au strict objectif d’usage du dispositif (ex: reconnaissance biométrique) Beaucoup de dispositifs connectés sont contrôlés par des Apps qui ont elle-mêmes beaucoup de vunérabilités en sécurité et en protection de la vie privée… Beaucoup de contrôles sont intégrés au dispositif sur la base d’anciens risques qui ne comprenaient par ceux issus des nouvelles interfaces d’utilisation. - Le recours à des contrôles en fonction du lieu peut être très pertinent pour sécuriser un dispositif connecté… - Il y a peu de lois qui portent sur la sécurité et de la protection de la vie privée en cas d’usage d’objets connectés => ceci empêche d’intégrer par défaut la sécurité et la confidentialité - Enquête ISACA IoT Risk and Value considerations (USA 2015): 49% des interrogés pensent les IoTs comme vecteurs de menace, 25% sont concernés par le risque de non protection de la vie privée
- 13. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.2 Points à considérer en pratique Points de vigilance - Donner à quelqu’un le rôle et la responsabilité de manager les développements IoTS - Suivre les standards émergeants IEEE Privacy and Security architecture for Consumer Wireless Devices WorkingGroup (Juillet 2015) https://standards.ieee.org/develop/wg/P1912_WG.html Open Web Application Security Project (OWASP) https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project NIST Engineering Laboratory CPS PWG (CyberPhysical Systems Public Working Group) http://www.nist.gov/cps/cps- pwg-workshop.cfm - Intégrer des contrôles de sécurité et de confidentialité dès la conception l’IoT et dans sa fabrication. Utiliser des concepts de sécurité valables longtemps et au-delà de l’Iot (SI) - Intégrer une authentification forte (pas une simple adresse Ip), obliger à changer le mot de passer pour le premier démarrage - Crypter les données transmises en Wifi / Lifi mais aussi celles qui sont stockées dans l’IoT - Log des accès à l’IoT - Intégrer un antivirus (antimalware) dans l’IoT - Protéger les points d’entrée (contre les scans de port et outils de penetration) - Maintenir l’IoT à jour (appliquer les patches) - Sécuriser le perimetre de l’IoT (Apps, Cloud…) - Observer les tierces parties (qui supportent l’IoT ou son écosystème, App, Cloud…) - Considérer les problèmes de vie privée et de sûreté - Etablir des règles spécifiques pour les dispositifs IoTs et leurs frontiètes (règles à intégrer à la construction de l’IoT)
- 14. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.2 Points à considérer en pratique Une passerelle est un dispositif qui se tient sur la frontière entre un domaine de contrôle et un autre, ou bien entre un réseau et un autre Durcir les passerelles (Gateway) http://www.isaca.org/cyber/cyber- security-articles/Pages/get-smart-the- internet-of-things-requires-an- evolution-of-network-gateways.aspx Documentation ISACA IOT Risk & Value Considerations - White Paper http://www.isaca.org/knowledge-center/research/researchdeliverables/pages/internet-of-things-risk-and-value-considerations.aspx
- 15. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA 1.2 Points à considérer en pratique La protection des donnés IoT est partiellement encadrée par le droit notamment pour transformer les données issues du quantified-self en données médicales. La concentration de larges volumes de données « métier » expose l’entreprise à toutes sortes d’indiscrétions et d’attaques. Les plates-formes IoT sont donc particulièrement sensibles en termes de sécurité: •La traçabilité des événements (fonctionnels et d’administration) et des traitements. •L’authentification des objets émetteurs / récepteurs d’événements, souvent par certificat (AWS IoT par exemple). •Le chiffrement des canaux de communication ou des payloads (de la charge utile, hors entête de routage, supportés par certains protocoles). •Le chiffrement des données stockées (au niveau métier ou infrastructure). •Le durcissement des accès aux API de requêtes (authentification forte, surveillance, audit). Étant donné que l’IoT est un système ouvert sur Internet, deux patterns majeurs soutiennent la sécurité de l’IoT : •La fédération d’identité (nécessité d’apprécier son ouverture et ses risques). •La PKI. Ces services peuvent être fournis, ou non, par la plate-forme applicative IOT. Durcir les plateformes applicatives
- 16. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST 2. Objets connectés, Sécurité et Santé 2.1 Etat de l’art de la santé connectée 2.2 Bénéfices des objets connectés en santé 2.3 Risques et parades 2. Objets connectés, Sécurité et Santé
- 17. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST2. Objets connectés, Sécurité et Santé 2.1 Etat de l’art en santé connectée ☞ La télémédecine étend la portée géographique des services de santé Etat de l’Art de la Santé Connectée ☞ Le dossier patient électronique améliore la continuité de soins du patient grâce à un accès distant aux données médicales ☞ Le système Santé a rejoint l’Internet des Objets. L’industrie de la Santé sera leader dans l’adoption d’IoT en 2020 avec près de 26 M d’objets. ☞ Le Bring-Your-Own-Device s’invite dans la Santé en autorisant les médecins et cliniciens d’accéder au fil de l’eau aux données des patients ☞ La chirurgie robotique améliore la qualité de soin et la sécurité du patient ☞ Les équipements médicaux connectés aux réseaux de l’hôpital et à Internet comptent les appareils contrôlés à distance
- 18. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST2. Objets connectés, Sécurité et Santé 2.1 Etat de l’art en santé connectée Objets Connectés dédies à la Santé… Moniteur défibrillateur Sensor-Enabled Pill Lecteur de glycémieScanner Physiologique Tweeting Bra Da Vinci Surgical System
- 19. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST 2. Objets connectés, Sécurité et Santé 2.1 Etat de l’art en santé connectée . 2.2 Bénéfices des Objets connectés en santé 2.3 Risques et parades 2. Objets connectés, Sécurité et Santé
- 20. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST2. Objets connectés, Sécurité et Santé 2.2 Bénéfice des Objets connectés en santé Bénéfices des Objets Connectés en Santé… ☞ permettre aux individus de gérer leur propre santé avec plus d’autonomie et une proactivité sur leur bien-être et pathologie baisse de 64% des réadmissions des patients dont les niveaux de pression artérielle et la saturation en oxygène ont été surveillés à distance ☞ améliorer la qualité de vie et la sécurité des patients grâce à une surveillance discrète continue et des évaluations à distance ☞ faciliter la gestion clinique des sujets atteints de maladies graves en permettant leur surveillance à distance et les interventions cliniques ☞ améliorer la prévention grâce un incroyable gisement de données et rendre le système de santé plus efficace tout en réduisant les coûts Optimisation de la prise en charge des patients à l’hôpital et diminution des ruptures de stock grâce au monitoring à distance et une gestion automatique de stock de matériel
- 21. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST 2. Objets connectés, Sécurité et Santé 2.1 Etat de l’art en santé connectée . 2.2 Objets connectés dédiés à la santé 2.3 Risques et parades 2. Objets connectés, Sécurité et Santé
- 22. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST2. Objets connectés, Sécurité et Santé 2.3 Risques et parades Risques associés aux loT dans la Santé… ☞ les informations recueillies par ces «objets» sont exposées aux cyber- attaques par des pirates à la recherche de ces précieuses données de santé. ☞ dispositifs non sécurisés vulnérables à toutes sortes de malwares ou attaques peuvent être exploités avec des risques de dommages physiques ☞ constituter autant de brèches dans le système de soins auquel ils sont intégrés et accroître le risque sécurité des appareils médicaux ☞ collecter, échanger, stocker, transmettre des données personnelles des consommateurs (habitudes, l'emplacement, les conditions physiques ...) pompe à insuline implantée piratée administrant des doses incorrectes Scénarios de cyberattaques stimulateurs et les défibrillateurs piratés délivrant des chocs mortels ☞ propagation de dispositifs médicaux bas de gamme contrevenant aux réglementations de protection et de sécurité des fonctionnalités de base dont dépends la vie des usagers
- 23. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST2. Objets connectés et domaine de la Santé 2.3 Risques et parades ☞ élaborer des politiques et des pratiques qui imposent des limites raisonnables à la collecte et la conservation des données de consommation (minimisation des données) ☞ rassurer les usagers du fait que leurs données de santé personnelles identifiables collectées ne seront pas utilisées à leur insu (avis et choix) Parades Réduire les risques de cybersécurité afin d’assurer l'intégrité, la disponibilité, la confidentialité et la traçabilité des données médicales personnelles. ☞ ENISA/HIPAA doivent protéger les données sensibles de la santé (diagnostic médical, noms des médicaments, conditions de santé…) recueillies par des applications de santé intégrées dans des appareils en vente libre. ☞ intégrer la sécurité dés la phase de conception avec un suivi des appareils tout au long de leur cycle de vie et, dans la mesure du possible, appliquer des patch dés qu’une vulnérabilité est découverte
- 24. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST CONCLUSION & ECHANGES CONCLUSION & ECHANGES ☞ La conformité ne garantit pas un niveau de sécurité adéquat ☞ La cybersécurité doit être prise plus au sérieux par les acteurs du domaine de la santé (centres de soins, assureurs, fabricants, législateur…) ☞ Les stratégies utilisées par la santé publique pour lutter contre les épidémies sont applicables à la lutte contre les cyberattaques ☞ Les fabricants des dispositifs médicaux doivent renforcer la sécurité de leurs produits
- 25. IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence DELEGATION ISACA AFAI SUD-EST1. Pratique et Continuité: la DSIO de l’Hôpital St Joseph Merci pour votre attention Nous sommes à votre écoute Echanges libres… Edmond CISSE Frederic VILANOVA [email protected]@uraeus-consult.com