Formation en sécurité informatique pour les entreprises à Rennes

Notre intervention auprès d'une PME innovante du secteur agroalimentaire, située non loin de la technopole Rennes Atalante, a été particulièrement stimulante. Cette entreprise a développé des capteurs connectés (IoT - Internet of Things) pour optimiser l'irrigation et le suivi des cultures en temps réel. Leur infrastructure était un mélange complexe de hardware (les capteurs sur le terrain), de réseaux de communication basse consommation et d'une plateforme cloud qui collectait et analysait des téraoctets de données. Leur principale préoccupation était la sécurité de cette chaîne: un piratage des capteurs pourrait fausser toutes les données, voire saboter des récoltes, et une attaque sur leur plateforme cloud pourrait exposer les données de dizaines d'exploitants agricoles. 🚜

Le challenge était de former une équipe d'ingénieurs agronomes et de techniciens, pas forcément experts en cybersécurité pure. Nous avons donc conçu un programme sur mesure, 100% à distance. La première phase fut une session de "threat modeling" (modélisation de la menace) appliquée à l'IoT: qui pourrait vouloir les attaquer et comment? (vandalisme, concurrence, hacktivisme...). Nous avons ensuite plongé dans la technique, mais toujours avec des analogies simples. On a parlé du "hardening" des appareils, c'est-à-dire comment les "durcir" en changeant les mots de passe par défaut et en désactivant les services inutiles. On a décortiqué la sécurité des protocoles de communication comme LoRaWAN ou NB-IoT, en insistant sur le chiffrement de bout en bout. Un module complet a été dédié à la sécurité de leur plateforme cloud (AWS en l'occurrence), avec un focus sur la gestion des identités et des accès (IAM) pour s'assurer que chaque utilisateur n'ait que les droits strictement nécessaires (le principe du moindre privilège). La formation s'est conclue par l'ébauche d'un plan de réponse à incident spécifique à l'IoT. Le directeur de l'innovation a été ravi; son équipe peut désormais intégrer la sécurité dès la conception ("security by design") de leurs nouveaux produits, un argument de poids face à leurs clients.