Enjeu majeur pour les collectivités, la cybersécurité pose de nouveaux défis avec l’arrivée de l’Internet des objets (IoT). La multiplication des capteurs et équipements connectés sur le terrain (eau, éclairage, bâtiments…) crée de nouvelles vulnérabilités souvent sous-estimées. Comment intégrer ces nouveaux usages dans la feuille de route cyber du territoire ? Piloté par l’Avicca et InfraNum, le groupe de travail Territoires Connectés et Durables du CSF IN publie une fiche identifiant les bonnes pratiques face aux risques émergents.
Cette fiche est issue d’un travail commun et d’entretiens approfondis auprès del’ensemble de l’écosystème (collectivités, opérateurs, intégrateurs, fabricants). Elle meten lumière les spécificités de l’IoT, dont les vulnérabilités ne sont pas uniquementlogicielles, mais aussi physiques, organisationnelles et humaines.
Ces projets posent des risques spécifiques : la surface d’exposition aux attaques s’étenddans l’espace public, la diversité des acteurs impliqués nécessite une définition claire desresponsabilités, la réglementation évolue vite (CRA, NIS 2…). Le facteur humain n’est pasà négliger : les pratiques de faible authentification et de négligence de sécurité sont unenjeu de sensibilisation fort.
Néanmoins, des recommandations et des normes existent, répertoriées dans la synthèse. Surtout, chaque acteur de la chaîne de valeur a un rôle à jouer. Certains fournisseurs de solutions proposent des offres dédiées : accompagnement sur l’hébergement des données, prestation de sécurité en continu, qualification du matériel… L’écosystème européen et français collabore fortement pour auditer, tester et paramétrer les équipements. Les structures de mutualisation (syndicats du numérique…) peuvent également proposer un catalogue de services « clé en main ». L’essentiel est d’anticiper le sujet dès le cahier des charges, d’impliquer la DSI et le RSSI, et de formuler une politique cyber qui engage toute la chaîne de valeur.
Enfin, s’il ne faut pas sous-estimer le coût de la cybersécurité (5 à 15 % du budget d’un projet), l’anticipation évite des surcoûts a posteriori et permet une approche proportionnée du risque. Des données erronées proviennent plus généralement de défauts de paramétrage, de malfaçons ou d’un manque d’interaction avec les métiers pour définir le comportement normal d’un capteur. Une politique cyber justement calibrée, des exigences clairement définies, des tests réguliers et une sensibilisation accrue permettent de répondre à la majorité des incidents.
