La Federal Trade Commission (« FTC ») des États-Unis vient de publier un rappel saisonnier (plutôt effrayant) sur les dangers des jouets connectés à Internet pour enfants : il se peut que ces jouets enregistrent la voix des enfants et partagent des renseignements sur leur emplacement pendant qu’ils jouent[1]. La FTC encourage donc les adultes qui achètent des jouets intelligents à se renseigner afin de savoir quel genre d’information ces jouets peuvent stocker, comment et où les données sont stockées et partagées, et si les parents ont la possibilité de voir et supprimer les données recueillies par le jouet. Le rappel souligne également les exigences légales américaines auxquelles les fabricants de jouets sont tenus de se conformer en matière de protection de la vie privée, particulièrement en ce qui a trait au consentement et à la divulgation (à noter que le Canada impose aussi des exigences semblables relativement à la protection de la vie privée).
La mise en garde arrive à point nommé pour les Canadiens aussi, et pas seulement parce qu’on se trouve en pleine saison d’achat de cadeaux. Les jouets intelligents représentent une part croissante de l’Internet des objets (« IdO »), cet univers constitué d’appareils connectés à la Toile. Téléphones intelligents, voitures connectées, stimulateurs cardiaques et lumières de Noël sont autant d’objets faisant partie de l’IdO. S’ils contribuent à faciliter la vie quotidienne, ces appareils sont néanmoins rarement munis d’une protection adéquate contre les cyberattaques. L’entreprise informatique Cisco estime que l’IdO « comprendra plus de 30 milliards d’appareils connectés » d’ici 2020[2]. [TRADUCTION]
En ce qui concerne l’utilisation de biens de consommation de ce genre, un aspect clé de la cybersécurité est de s’assurer que les consommateurs comprennent les risques qui y sont associés en matière de cybersécurité et de protection de la vie privée. Par ailleurs, les gouvernements (quoiqu’ils aient tardé à prendre des mesures en ce sens) sont de plus en plus conscients de la nécessité de mettre en œuvre des mesures de sécurité à l’étape de la fabrication afin que les utilisateurs obtiennent une protection efficace contre les cyberattaques et les intrusions inopinées.
Le Sénat canadien a formulé des préoccupations semblables à la FTC quant à la prolifération de l’IdO. En effet, dans un récent rapport sur l’augmentation des risques en matière de cybersécurité au Canada, le Comité sénatorial permanent des banques et du commerce souligne que « plus de la moitié des ménages canadiens possèdent au moins quatre appareils connectés à Internet, et chacun de ces appareils peut devenir une cible pour les cybercriminels », et recommande que « [l]e gouvernement fédéral élabore des normes pour protéger les consommateurs, les entreprises et les gouvernements contre les menaces liées aux appareils qui pénètrent dans l’univers de l’Internet[3]. »
Le Canada ne serait pas le premier pays à envisager d’imposer des normes de cybersecurité aux fabricants d’appareils connectés.
À titre d’exemple, voilà déjà un moment que le Japon a mis en œuvre sa stratégie en matière d’IdO. En 2016, l’organisme japonais responsable de la cybersécurité, soit le National Center for Incident Readiness and Strategy for Cybersecurity (« NISC ») a publié une ébauche de cadre général pour la sécurisation des systèmes de l’IdO (General Framework for Secured IoT Systems[4]). Cette publication s’inscrivait dans le cadre d’une stratégie nationale[5] dont l’élaboration avait notamment été motivée par les exigences de sécurité découlant de la tenue des Jeux Olympiques de 2020 au Japon[6]. Le cadre général adopte le principe de la privacy by design (protection de la vie privée dès l’étape de la conception) et souligne la nécessité de développer des normes applicables à l’IdO, « y compris des exigences liées à la pratique courante et des exigences prévues par la loi[7]. » [TRADUCTION]
Le Japon a effectué une mise à jour de sa stratégie en juillet 2018[8], et y a souligné la nécessité de créer des lignes directrices à l'intention de l'industrie et de promouvoir « des initiatives visant la normalisation internationale des éléments de base requis en matière de cybersecurité pour la réalisation de systèmes d’IdO sécurisés, en vue d’élaborer des systèmes de création de valeur pour les systèmes d’IdO et de déployer ces normes à l’échelle mondiale tout en mettant à profit les forces du Japon en matière de sécurité, afin de contribuer au développement de l’économie mondiale grâce à l’utilisation croissante de tels systèmes d’IdO[9]. » [TRADUCTION]
De toute évidence, le Japon est conscient de sa force de levier en tant que carrefour de la technologie pouvant exercer une influence considérable quant à l’établissement de normes mondiales, et cherche activement à renforcer la cybersecurité par le truchement de politiques.
À l’instar du Japon, d’autres pays et territoires ont à leur tour reconnu l’importance d’établir des normes dans ce domaine. Aux termes d’une nouvelle loi de la Californie[10] qui entrera en vigueur en 2020, on définit « appareils connectés » (connected devices) en termes généraux, comme signifiant « tout appareil, ou autre objet physique capable de se connecter à l’Internet, directement ou indirectement, et auquel est assignée une adresse de protocole Internet ou une adresse Bluetooth[11]. » [TRADUCTION] En vertu de cette nouvelle loi, les obligations suivantes incomberont au fabricant de tout « appareil connecté » (connected device) :
Munir l’appareil d’un ou plusieurs dispositif(s) de sécurité raisonnable(s) rassemblant tous les critères suivants :
(1) Être adapté(s) compte tenu de la nature et de la fonction de l’appareil.
(2) Être adapté(s) compte tenu de l’information que l’appareil pourrait recueillir, contenir, ou transmettre.
(3) Être conçu(s) pour protéger l’appareil et toute information qu’il contient de sorte que l’on ne puisse pas y accéder, les détruire, les utiliser, les modifier ou les divulguer sans autorisation[12]. [TRADUCTION]
Entre-temps, le Sénat américain a publié un projet de loi[13] qui n’a pas encore été adopté, mais a reçu l’appui de plusieurs experts en matière de cybersecurité. Aux termes de celui-ci, les appareils de l’IdO doivent être en mesure d’être rustinés, ne contenir aucune vulnérabilité connue, s’appuyer sur des protocoles normalisés, et ne pas utiliser de mots de passe codés en dur[14].
Une chose est certaine, les pays et territoires influents ont pris conscience des risques que constituent la croissance rapide de l’IdO et l’absence d’un cadre réglementaire y afférent. L’éventuelle approche qu’adopterait le Canada quant à la réglementation de l’IdO soulève des questions intéressantes : s’agirait-il d’une réglementation de compétence fédérale ou provinciale (probablement les deux)? Quels organismes de réglementation (actuels ou nouveaux) assumeraient la compétence dans ce domaine? Quelles modifications faudrait-il apporter aux lois sur la protection de la vie privée et à d’autres lois actuelles en vue de mettre en œuvre un cadre réglementaire et des normes efficaces?
Permettant d’une part aux utilisateurs de bien comprendre leurs droits et d’autre part aux fabricants d’appareils connectés de comprendre leurs responsabilités, l’établissement d’un cadre technique et législatif à la fois rigoureux et clair est essentiel. Les pays et territoires qui agissent les premiers et prennent les mesures les plus approfondies à cet égard contribueront largement à façonner l’approche que prendront les autres pays et territoires. Il reste à voir quel rôle le Canada adoptera quant à ce genre d’initiatives : celui de chef de file ou celui de suiveur.
Entre-temps nous souhaitons à tous un Joyeux temps des Fêtes, sous le signe de la (cyber)sécurité!