IoT, Sécurité et Santé: un cocktail détonnant ?

IoT, Sécurité et Santé: un cocktail détonnant ? 2016/03/15 – Aix-en-Provence

DELEGATION ISACA AFAI SUD-EST

La Délégation Sud-Est de L’ISACA/AFAI vous a invité à participer à une conférence :

IoT, Sécurité et Santé: un cocktail détonnant ?Mardi 15 mars 2016, 18h30, Institut Supérieur des Sciences de Gestion, Aix-en-Provence

Cette conférence animée par M. Frédéric VILANOVA, CISA, dirigeant d’EFFECTIVE YELLOW qui nous présente lesrecommandations de l'ISACA relatives aux IoTs (Internet of Things –Objets Connectés).

M. Edmond CISSE, Security Risk Manager, URAEUS CONSULT, partage avec nous sa vision prospective des risques de sécurité liés à l'usage d’objets connectés dans le domaine de la santé.

Mardi 15 mars 2015 18h30/20h - Aix-en-Provence - Faculté d’Economie et Gestion , 3 av. Robert Schuman

M. Jean-Yves OBERLE, Délégué régional AFAI Sud-Est clôturera la conférence

en présentant la dynamique de l’association et ses projets pour 2016.Un cocktail dinatoire vous sera ensuite proposé.


DELEGATION ISACA AFAI SUD-ESTSOMMAIRE

1. Objets connectés et recommandations de l’ISACA

M. Frederic VILANOVA

20 minutes

2. Objets connectés, Sécurité et Santé

M. Edmond CISSE

20 minutes

Conclusion & Echanges




1.1 Définir l’objet connecté et sa proposition de valeur

1.2 Points à considérer en pratique



DELEGATION ISACA AFAI SUD-EST1. Objets connectés et recommandations de l’ISACA


Quid? « L’internet des objets est un réseau de réseaux qui permet, via des systèmes d’identification électronique normalisés et unifiés, et des dispositifs mobiles sans fil, d’identifier directement et sans ambiguïté des entités numériques et des objets physiques et ainsi de pouvoir récupérer, stocker, transférer et traiter, sans discontinuité entre les mondes physiques et virtuels, les données s’y rattachant. »

source : L’Internet des objets de Pierre-Jean Benghozi, Sylvain Bureau

et Françoise Massit-Folléa (Edition MSH)

Types de Systèmes

Identification(dont lecteurs)

Capteurs Connexion Intégration Traitement des données

Réseaux

ENJEUX Reconnaitre chaque objet unique Recueillir les données du niveau objet

Recueillir les informations présentes dans l’environnement pour enrichir les fonctionnalités du dispositif

Connecter les systèmes entre eux

Intégrer lessystèmes pour que les données soient transmises d’une couche à l’autre

Stocker et analyser les données pour lancer des actions ou pour aider à la prise de décisions.

Transférer les données dans les mondes physiques et virtuels.

OLD TECHNO

Code barres, RFID basique…

Thermomètre, hydromètre…

Câbles… Middlewares Excel, ERP, CRM…

Internet, Ethernet…

NEWTECHNO

RFID complexe, Surface AcousticWaves, puces optiques, ADN empreinte génétique…

Capteurs miniaturisés,Nanotechnologies…

Bluetooth, Near Field Communication, Wifi, Lifi(Led)…

Middlewaresévolués

Datawarehouse3D (compatible puces RFID), Web sémantique (formatage via Resource Description

Framework)

Réseau ECP global…

http://books.openedition.org/editionsmsh/84




IOT Fonctionnement Schématique

Tran

smis

sio

n

Mbed DeviceServer

Big Data

Acquisition des donnéesCapteurs (portables, non portables), informatique embarquéeEmbeded Operating System, Embeded Application (ARM) =« boite noire » applicative pré-chargée dans l’objet connecté.

Transmission des donnéesEnOcean, NFC Bluetooth, Wi-Fi, Weightless, GSM, 3G, 4G LTE, ANT, Dash7, Ethernet, GPRS, PLC / Powerline, QR Codes, EPC WiMax, X-10, 802.15.4, Z-Wave, Zigbee… Plateformes fédératives ETSI M2M…

Standard ETSI M2M est une initiative européenne qui a pour objectif de normaliser les fonctions des objets connectés de façon à rendre les applications indépendantes des capteurs.

Exemples :Plateforme Thingpark , LPWAN Low Power Wide Area Network: - Réseau SIGFOX http://makers.sigfox.com/- Réseau LORA https://www.lora-alliance.org/What-Is-LoRa/Technology

Analyse des donnéesLogiciels, Applications, Middleware Frameworks, Plateformes, InfrastructuresExemple: Microsoft Azure IOT Platform

LittleDatambed

Os

http://www.thingpark.com/fr/transformez-votre-objet-en-objet-connecte

http://makers.sigfox.com/

https://www.lora-alliance.org/What-Is-LoRa/Technology

http://download.microsoft.com/download/F/B/0/FB093814-BECE-4B54-A898-F7B66CCAF8AF/Get_started_with_the_Internet_of_Things.pdf




IOT Fonctionnement Schématique (complément)

Maintenance « live » et protocole M2M

Il faut songer à l’interopérabilité M2M IOT (Machine to Machine) de façon industrielle… Par exemple mettre en place des protocoles d’interopérabilité permettant notamment un accusé de réception qui soit juridiquement valide et opérationnel en situation de crise.

Exemple: OPC Unified Architecture (OPC UA) - développé par l’Open Platform Communication Foundation, plus

de trois ans de specifications, premier en 2006, norme actuelle = 1.02

- Support de la redondance (équipements critiques dédoublés, le second servant en cas de panne du premier)

- Battement de Coeur pour connections bidirectionnelles:IOT et server contrôle mutuellement le fait qu’ils soient “vivants”, ouinterrompus

- Mise en buffer de données et aquittement des donnéestransmises: les connexions perdues ne conduisent plus à des données perdues, on retourne chercher les blocs perdus.

LittleDatambed

Os

Tran

smis

sio

n

Mbed DeviceServer

Big Data

https://en.wikipedia.org/wiki/OPC_Unified_Architecture

https://en.wikipedia.org/wiki/OPC_Foundation




Business value proposition

2013: 9 milliards d’objets connectés dans le monde; 2014: 15 milliards; 2020: 80 milliards Etude Idate, 2013/09 l’Internet des Objets représente un marché dont l’unité est le millier de milliards de dollars.

Entre 3 et 6 objets connectés en moyenne par personne: prédiction pour 2020.

Contribution à la valeur ajoutée en % des objets connectés par secteurs en 2020

Mbed DeviceServer

Big DataEtu

de

Idat

e, 2

01

3/0

9




Business value proposition

Benefits- Prévenir mieux et suffisamment tôt- Inclure des services à haute valeur ajoutée- Faire évoluer les frontières entre le professionnel, le privé voire l’intime

(santé).

- Gérer l’énergie- Interopérer: applications diverses, objets connectés divers, réseaux variés...- Miniaturiser pour rendre mobile voire implanter…- Intégrer: multi-capteurs- Induire: Big Data, BI, Data Analysis- Protéger et Sécuriser: Privacy, Gouvernance des Données, Décision de

l’acteur

Concerns










Des dispositifs connectés utilisés de plus en plus et dans tous les domaines

- Téléphone Mobile => Smartphone permettant d’accéder à des serveurs de données, GPS

- Dispositifs médicaux (nous allons y revenir avec Edmond)

- Dispositifs portables sportifs, intégrés aux vêtements ou non

- Dispositifs intelligents destines à la maison et à la famille

- Voitures intelligentes disposant d’un CAN (Controller Area Network), d’un CANbus et de capteurs variés

Des constructeurs de dispositifs intelligents qui n’y incluent pas la sécurité

- Start-Ups et PME font flores en IoT et la sécurité ou la confidentialité des données n’est ps leur premier

soucis industriel et commercial

- Recours à la Programmation Agile sans se plier aux bonnes pratiques de conception sécurisée et sans

suffisament de rigueur lors des tests.

- Souvent pas de sécurité intégrée à la construction (“built-security”)

- Accès à distance aux IoTs via une plateforme logicielle sur internet…

Emergence du NoAT (Network of All Things)




Rien de grave ne peut survenir avec les objects

connectés en matière de sécurité ou de

confidentialité

- Faux, le plus souvent il existe des chemins

d’accès bien autres que le point d’accès

normal au dispositif. L’étude de tous les accès

permet de comprendre les risques en sécurité,

confidentialité et sureté

Addresser la sécurité et la protection de la vie

privée tue l’innovation

- Faux, au contraire, le public souhaite être

protégé dans l’usage des dispositifs innovants.

La sécurité et la confidentialité doivent être des

standards industriels.

Faux arguments contre les contrôles de sécurité et de confidentialité

La sécurité est trop chère pour être incorporée au

dispositif

- Faux, il s’agit d’un choix industriel et

stratégique: à gros traits “soit on investit en

sécurité, soit on investit en marketing”, selon le

dosage choisi, le risqué peut être très fort…

La protection de la vie privée ne peut pas être

incorporée au dispositif

- Faux, voir l’ISACA Privacy Principles and

Program Management Guide

Les consommateurs n’ont cure de la protection de

la vie privée

- Faux, les consommateurs souhaitent disposer

de contrôles intégrés au dispositif connecté

7 catégories de notre vie privée

Privacy of the person Privacy of behaviour and actions Privacy of communication

Privacy of association Privacy of data and image (information) Privacy of thoughts and feelings

Privacy of location and space (territorial)




- Les objets connectés se comportent comme des collecteurs de donnée, des agents de stockage, des

agents de traitement, des agents serveurs, des chemin d’accès entre dispositifs…

- Le risqué associé avec chaque dispositif pour chacun de ces types d’action doit être analysé, notamment

en matière d’impact sur la vie privée, et mitigé.

Les micropuces disposent de capacités de stockage croissantes

Les IoTs, les dispositifs connectés, doivent intégrer sécurité et protection de la vie privée

il faut les protéger et les effacer lorsque l’on n’en a plus besoin

Les données collectées doivent se limiter au strict objectif d’usage du dispositif (ex: reconnaissance

biométrique)

Beaucoup de dispositifs connectés sont contrôlés par des Apps qui ont elle-mêmes beaucoup de vunérabilités

en sécurité et en protection de la vie privée…

Beaucoup de contrôles sont intégrés au dispositif sur la base d’anciens risques qui ne comprenaient par ceux

issus des nouvelles interfaces d’utilisation.

- Le recours à des contrôles en fonction du lieu peut être très pertinent pour sécuriser un dispositif connecté…

- Il y a peu de lois qui portent sur la sécurité et de la protection de la vie privée en cas d’usage d’objets

connectés => ceci empêche d’intégrer par défaut la sécurité et la confidentialité

- Enquête ISACA IoT Risk and Value considerations (USA 2015): 49% des interrogés pensent les IoTs comme

vecteurs de menace, 25% sont concernés par le risque de non protection de la vie privée




Points de vigilance

- Donner à quelqu’un le rôle et la responsabilité de

manager les développements IoTS

- Suivre les standards émergeants

IEEE Privacy and Security architecture for Consumer Wireless Devices WorkingGroup (Juillet 2015) https://standards.ieee.org/develop/wg/P1912_WG.html

Open Web Application Security Project (OWASP) https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

NIST Engineering Laboratory CPS PWG (CyberPhysicalSystems Public Working Group) http://www.nist.gov/cps/cps-pwg-workshop.cfm

- Intégrer des contrôles de sécurité et de

confidentialité dès la conception l’IoT et dans sa

fabrication. Utiliser des concepts de sécurité

valables longtemps et au-delà de l’Iot (SI)

- Intégrer une authentification forte (pas une simple

adresse Ip), obliger à changer le mot de passer

pour le premier démarrage

- Crypter les données transmises en Wifi / Lifi mais

aussi celles qui sont stockées dans l’IoT

- Log des accès à l’IoT

- Intégrer un antivirus (antimalware) dans l’IoT

- Protéger les points d’entrée (contre les scans de

port et outils de penetration)

- Maintenir l’IoT à jour (appliquer les patches)

- Sécuriser le perimetre de l’IoT (Apps, Cloud…)

- Observer les tierces parties (qui supportent l’IoT ou

son écosystème, App, Cloud…)

- Considérer les problèmes de vie privée et de

sûreté

- Etablir des règles spécifiques pour les dispositifs

IoTs et leurs frontiètes (règles à intégrer à la

construction de l’IoT)

https://standards.ieee.org/develop/wg/P1912_WG.html

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

http://www.nist.gov/cps/cps-pwg-workshop.cfm




Unepasserelleest un dispositif qui se tient sur la frontière

entre un domaine de contrôle et un autre,

ou bienentre un réseau et un autre

Durcir les passerelles (Gateway)

http://www.isaca.org/cyber/cyber-security-articles/Pages/get-smart-the-internet-of-things-requires-an-evolution-of-network-gateways.aspx

Documentation ISACA IOT Risk & Value Considerations - White Paperhttp://www.isaca.org/knowledge-center/research/researchdeliverables/pages/internet-of-things-risk-and-value-considerations.aspx

http://www.isaca.org/cyber/cyber-security-articles/Pages/get-smart-the-internet-of-things-requires-an-evolution-of-network-gateways.aspx

http://www.isaca.org/knowledge-center/research/researchdeliverables/pages/internet-of-things-risk-and-value-considerations.aspx

http://www.isaca.org/knowledge-center/research/researchdeliverables/pages/internet-of-things-risk-and-value-considerations.aspx




La protection des donnés IoT est partiellement encadrée par le droit notamment pour transformer

les données issues du quantified-self en données médicales.

La concentration de larges volumes de données « métier » expose l’entreprise à toutes sortes

d’indiscrétions et d’attaques.

Les plates-formes IoT sont donc particulièrement sensibles en termes de sécurité:

•La traçabilité des événements (fonctionnels et d’administration) et des traitements.

•L’authentification des objets émetteurs / récepteurs d’événements, souvent par

certificat (AWS IoT par exemple).

•Le chiffrement des canaux de communication ou des payloads (de la charge utile,

hors entête de routage, supportés par certains protocoles).

•Le chiffrement des données stockées (au niveau métier ou infrastructure).

•Le durcissement des accès aux API de requêtes (authentification forte, surveillance,

audit).

Étant donné que l’IoT est un système ouvert sur Internet, deux patterns majeurs soutiennent la

sécurité de l’IoT :

•La fédération d’identité (nécessité d’apprécier son ouverture et ses risques).

•La PKI.

Ces services peuvent être fournis, ou non, par la plate-forme applicative IOT.

Durcir les plateformes applicatives




2.1 Etat de l’art de la santé connectée

2.2 Bénéfices des objets connectés en santé

2.3 Risques et parades



DELEGATION ISACA AFAI SUD-EST2. Objets connectés, Sécurité et Santé

2.1 Etat de l’art en santé connectée

☞ La télémédecine étend la portée géographique des services de santé

Etat de l’Art de la Santé Connectée

☞ Le dossier patient électronique améliore la continuité de soins du patientgrâce à un accès distant aux données médicales

☞ Le système Santé a rejoint l’Internet des Objets. L’industrie de la Santé seraleader dans l’adoption d’IoT en 2020 avec près de 26 M d’objets.

☞ Le Bring-Your-Own-Device s’invite dans la Santé en autorisant lesmédecins et cliniciens d’accéder au fil de l’eau aux données des patients

☞ La chirurgie robotique améliore la qualité de soin et la sécurité du patient

☞ Les équipements médicaux connectés aux réseaux de l’hôpital et àInternet comptent les appareils contrôlés à distance




Objets Connectés dédies à la Santé…

Moniteur défibrillateur

Sensor-Enabled Pill

Lecteur de glycémieScanner Physiologique

Tweeting Bra

Da Vinci Surgical System





.

2.2 Bénéfices des Objets connectés en santé





2.2 Bénéfice des Objets connectés en santé

Bénéfices des Objets Connectés en Santé…

☞ permettre aux individus de gérer leur propre santé avec plus d’autonomieet une proactivité sur leur bien-être et pathologie

baisse de 64% des réadmissions des patients dont les niveaux de pression

artérielle et la saturation en oxygène ont été surveillés à distance

☞ améliorer la qualité de vie et la sécurité des patients grâce à unesurveillance discrète continue et des évaluations à distance

☞ faciliter la gestion clinique des sujets atteints de maladies graves enpermettant leur surveillance à distance et les interventions cliniques

☞ améliorer la prévention grâce un incroyable gisement de données etrendre le système de santé plus efficace tout en réduisant les coûts

Optimisation de la prise en charge des patients à l’hôpital et diminution

des ruptures de stock grâce au monitoring à distance et une gestion automatiquede stock de matériel





.

2.2 Objets connectés dédiés à la santé






Risques associés aux loT dans la Santé…

☞ les informations recueillies par ces «objets» sont exposées aux cyber-attaques par des pirates à la recherche de ces précieuses données de santé.

☞ dispositifs non sécurisés vulnérables à toutes sortes de malwares ouattaques peuvent être exploités avec des risques de dommages physiques

☞ constituter autant de brèches dans le système de soins auquel ils sont

intégrés et accroître le risque sécurité des appareils médicaux

☞ collecter, échanger, stocker, transmettre des données personnelles desconsommateurs (habitudes, l'emplacement, les conditions physiques ...)

pompe à insuline implantée piratée administrant des doses incorrectes

Scénarios de cyberattaques

stimulateurs et les défibrillateurs piratés délivrant des chocs mortels

☞ propagation de dispositifs médicaux bas de gamme contrevenant auxréglementations de protection et de sécurité des fonctionnalités de base dontdépends la vie des usagers


DELEGATION ISACA AFAI SUD-EST2. Objets connectés et domaine de la Santé


☞ élaborer des politiques et des pratiques qui imposent des limites

raisonnables à la collecte et la conservation des données de consommation(minimisation des données)

☞ rassurer les usagers du fait que leurs données de santé personnelles

identifiables collectées ne seront pas utilisées à leur insu (avis et choix)

Parades

Réduire les risques de cybersécurité afin d’assurer l'intégrité, la disponibilité, la confidentialité et la traçabilité des données médicales personnelles.

☞ ENISA/HIPAA doivent protéger les données sensibles de la santé

(diagnostic médical, noms des médicaments, conditions de santé…) recueillies pardes applications de santé intégrées dans des appareils en vente libre.

☞ intégrer la sécurité dés la phase de conception avec un suivi des appareilstout au long de leur cycle de vie et, dans la mesure du possible, appliquer des patchdés qu’une vulnérabilité est découverte



CONCLUSION & ECHANGES

CONCLUSION & ECHANGES

☞ La conformité ne garantit pas un niveau de sécurité adéquat

☞ La cybersécurité doit être prise plus au sérieux par les acteurs du domaine de la santé (centres de soins, assureurs, fabricants, législateur…)

☞ Les stratégies utilisées par la santé publique pour lutter contre les épidémies sont applicables à la lutte contre les cyberattaques

☞ Les fabricants des dispositifs médicaux doivent renforcer la sécurité de leurs produits


DELEGATION ISACA AFAI SUD-EST1. Pratique et Continuité: la DSIO de l’Hôpital St Joseph

Merci pour votre attentionNous sommes à votre écoute

Echanges libres…

Edmond CISSE Frederic VILANOVA

[email protected]@uraeus-consult.com