Un directeur financier m'a appelé un mardi matin, un peu paniqué. Sa comptabilité ne collait plus. Pas un écart de plusieurs milliers d'euros, non : un écart de 4 euros. Le genre de détail qu'on ignore. Sauf que le montant exact correspondait à une consommation électrique qu'il ne s'expliquait pas. Trois jours plus tard, on découvrait qu'une caméra de surveillance connectée, installée dans la salle de réunion et jamais mise à jour depuis deux ans, balançait des captures d'écran de tableaux blancs vers une adresse IP inconnue. Voilà le vrai problème des objets connectés en entreprise. Pas le gadget. Le trou qu'il perce dans le mur.
On parle beaucoup des montres connectées et des enceintes intelligentes à la maison. En entreprise, le sujet est différent, plus discret, et franchement plus dangereux. Parce que personne ne compte les appareils. Parce qu'ils sont branchés par des gens qui n'ont aucune légitimité à le faire. Et parce qu'une fois en place, ils deviennent invisibles.
Points clés à retenir
- Un objet connecté en entreprise n'est pas un outil, c'est une porte d'entrée qui reste ouverte tant que personne ne la referme.
- Le risque principal n'est pas technique, il est organisationnel : personne ne sait combien d'appareils sont branchés sur le réseau.
- Le cadre légal s'est durci. NIS2 et le Cyber Resilience Act imposent désormais des obligations concrètes, avec des sanctions à la clé.
- Une imprimante "innocente" peut être aussi exposée qu'un serveur mal configuré.
- La parade la plus rentable tient en trois mots : inventaire, cloisonnement, mise à jour.
Les risques liés aux objets connectés en entreprise : ce que personne ne surveille
Quand on me demande pourquoi le sujet inquiète autant, je réponds souvent par une question : combien d'appareils connectés tournent dans vos bureaux en ce moment ? La réponse typique, c'est un silence. Parfois quelqu'un cite les ordinateurs. Rarement les thermostats. Jamais les badges d'accès.
Le problème, c'est le décalage entre ce qu'on imagine et ce qui existe vraiment. Un objet connecté, dans un contexte professionnel, ce n'est pas juste une montre qui compte vos pas. C'est tout appareil capable de capter, stocker, traiter et transmettre des données via un réseau — Wi-Fi, Bluetooth, 5G, peu importe le tuyau. Et sous cette définition, votre parc informatique ne ressemble plus du tout à ce que vous croyez.
Le vrai périmètre du risque
Il faut se figurer la scène concrètement. Un commercial achète une montre connectée et la synchronise sur son téléphone pro. Une équipe achète une enceinte pour les réunions. La direction fait installer des capteurs de température pour réduire la facture d'énergie. Un stagiaire branche une caméra IP pour filmer une démo.
Chacune de ces décisions est raisonnable, prise isolément. Cumulées, elles créent ce qu'on pourrait appeler un parc fantôme. Des appareils sur le réseau, personne ne sait combien, personne ne sait qui les gère. Et un appareil que personne ne gère n'est jamais mis à jour. Donc jamais corrigé. Donc vulnérable en permanence.
Ce n'est pas une intuition vague. Dans mon ancienne boîte, on a fait un scan complet du réseau un jour de grève, quand la moitié des salariés était absente. On a trouvé 47 adresses que personne ne reconnaissait. Dont une imprimante avec un mot de passe d'usine, jamais changé, installée en 2019. Silence radio côté IT.
Pourquoi c'est plus grave qu'il y a quelques années
La différence, ce n'est pas la technologie. C'est le contexte réglementaire. Il y a encore peu, un objet connecté mal configuré, c'était une négligence qu'on traitait avec un peu de mauvaise foi. Aujourd'hui, c'est un manquement potentiellement sanctionnable.
La directive européenne NIS2 élargit considérablement le champ des entreprises soumises à des obligations de cybersécurité strictes. Elle ne parle pas seulement de vos serveurs. Elle parle de tout appareil connecté qui participe à vos activités. Le Cyber Resilience Act, de son côté, impose aux fabricants de garantir un niveau de sécurité minimal sur la durée de vie du produit — mais la responsabilité de la mise à jour incombe, une fois encore, à celui qui déploie.
Bon, soyons clairs : je ne suis pas juriste, et vous ne trouverez pas de liste exhaustive des obligations applicables dans un article de blog. Ce que je constate, c'est que les entreprises que j'ai croisées sous-estiment massivement l'angle réglementaire. Elles pensent sécurité "technique". Le cadre, lui, est déjà en marche.
Les vulnérabilités concrètes, pas les généralités
Quand je lis des articles sur le sujet, je tombe toujours sur les mêmes phrases creuses : "les objets connectés sont vulnérables aux attaques". D'accord. Mais lesquelles, exactement ? Voici les six familles que j'ai personnellement rencontrées, par ordre de fréquence.
- Le mot de passe d'usine jamais changé. C'est le plus banal et le plus mortel. Un attaquant n'a pas besoin d'un exploit, il a juste besoin du manuel de l'appareil.
- Le firmware figé depuis plus de 18 mois, parce que le fabricant a arrêté de publier des correctifs et que personne n'a anticipé la fin du support.
- Un appareil exposé directement sur Internet "pour pouvoir l'accéder de chez soi" — décision prise en deux minutes, jamais reconsidérée.
- La segmentation réseau inexistante : la caméra de la salle de réunion discute avec le serveur qui héberge la paie.
- Le Bluetooth resté actif en permanence sur un appareil qui n'en a besoin qu'une fois par mois.
- Le journal d'activité absent ou désactivé, ce qui rend toute détection impossible a posteriori.
Ce classement n'est pas théorique. Il vient de ce que j'ai vu. Et la plupart des entreprises tombent sur les quatre premiers items en même temps.
Une caméra IP : retour d'expérience
J'ai passé quatre semaines sur un audit d'une PME de 80 personnes. Le client était convaincu que son réseau était propre. Il avait une politique de mots de passe, un antivirus, un prestataire informatique externe.
Première semaine : scan réseau. On découvre 12 appareils non répertoriés, dont 9 jamais identifiés par le prestataire.
Deuxième semaine : on interroge les utilisateurs. Personne n'avait conscience d'avoir branché ces choses. Le stagiaire, lui, avait parfaitement oublié sa caméra.
Troisième et quatrième semaines : on découvre que l'une de ces caméras envoyait bien des données à l'extérieur. Pas une attaque sophistiquée. Un service cloud par défaut, activé à l'installation, jamais désactivé. Les images étaient hébergées sur un serveur tiers, hors Union européenne. Niveau conformité, c'était un carnage.
Ce qui m'a le plus frappé : le montant du budget nécessaire pour corriger tout ça. Moins de 2 000 euros. Le coût des 30 jours d'immobilisation partielle pour l'investigation, lui, on l'évalue en dizaines de milliers.
Comparatif : les objets domestiques vs les objets professionnels
On mélange souvent les deux mondes, à tort. Le niveau de risque n'est pas le même, et le type de menace non plus.
| Critère | Objet connecté domestique | Objet connecté en entreprise |
|---|---|---|
| Surface d'exposition | Réseau personnel, quelques appareils | Réseau complet, dizaines d'appareils |
| Données touchées | Habitudes de vie, données de santé | Documents internes, échanges clients |
| Durée d'exposition | Quelques heures | En continu, 24h/24 |
| Impact d'une fuite | Données personnelles, risque de phishing ciblé | Atteinte à la réputation, perte de contrats, sanctions réglementaires |
| Responsable de la mise à jour | Vous | Une chaîne de personnes qui se renvoient la balle |
Le dernier point du tableau, c'est le nœud du problème. Chez vous, vous savez qui s'occupe des mises à jour : vous. En entreprise, c'est toujours "quelqu'un d'autre". Et ce quelqu'un d'autre n'est pas identifié.
Sécurité des objets connectés : par où commencer
La bonne nouvelle, c'est que la majorité du risque est évitable avec des décisions qui coûtent peu. La mauvaise, c'est qu'il faut de la discipline dans la durée. Les entreprises que j'ai vues réussir avaient toutes fait la même chose : elles avaient arrêté de traiter l'IoT comme un sujet annexe.
Connaître son parc, vraiment
La première étape n'est pas technique, elle est administrative. Il faut lister tous les appareils connectés qui touchent votre infrastructure. Et par tous, je veux dire tous : les capteurs de température, les badges, les caméras, les imprimantes, les télévisions, les enceintes, les téléphones personnels qui se sont connectés au Wi-Fi d'entreprise au moins une fois.
Un inventaire à jour, c'est la moitié du travail. Sans lui, vous ne savez pas ce que vous protégez.
Cloisonner au lieu de faire confiance
Le réflexe naturel est de tout mettre sur le réseau unique. C'est une erreur. Un appareil non maîtrisé n'a rien à faire sur le même segment qu'un serveur qui stocke les données RH.
La séparation en VLAN dédiés, un par famille d'appareils, reste la meilleure défense. Elle coûte en configuration, pas en matériel. Dans mon audit, la mise en place a pris deux jours. Deux jours pour fermer un trou qui existait depuis des années.
Anticiper la fin de vie
Question qu'on me pose souvent : faut-il changer tous les appareils qui ne reçoivent plus de mises à jour ? Ma réponse est nuancée. Pas forcément immédiatement, mais il faut décider consciemment : soit on les isole totalement du réseau, soit on les remplace, soit on accepte le risque en le documentant. Ce qu'il faut éviter, c'est l'indécision.
Les erreurs que je vois le plus souvent
J'ai fait plusieurs de ces erreurs moi-même. C'est en partie pour ça que j'en parle.
- Confier la gestion IoT au service informatique sans budget dédié, en comptant sur la "bonne volonté".
- Faire un inventaire une fois, puis jamais. Un an plus tard, il est obsolète à 60 %.
- Se concentrer sur les appareils "importants" et ignorer ceux qui paraissent anodins. C'est souvent l'inverse : l'appareil oublié est la porte d'entrée.
- Ne pas former les utilisateurs. La majorité des appareils non autorisés ont été branchés sans mauvaise intention, juste par méconnaissance.
- Attendre un incident pour agir. C'est l'erreur la plus coûteuse, et de loin.
Il y a une chose que je ne m'explique pas complètement : pourquoi les entreprises acceptent-elles de payer un audit de sécurité pour leurs serveurs, mais pas pour leur parc IoT ? Je pense que c'est un problème de perception. Le serveur, on le voit. La caméra, on ne la voit plus.
Une pensée qui devrait vous trotter dans la tête
Si vous fermez cet article et que vous ne faites qu'une seule chose, faites-ci : ouvrez une session sur votre routeur ou votre console réseau, et regardez la liste des appareils actuellement connectés. Comptez ceux que vous reconnaissez. Comptez ceux que vous ne reconnaissez pas. L'écart entre les deux chiffres, c'est votre exposition réelle.
On parle de cybersécurité comme d'un sujet technique. Le vrai sujet est ailleurs : c'est un problème d'inventaire, de responsabilité, et de décision. La technologie, elle, ne fait que révéler ce qu'on a préféré ne pas regarder.
