Dans cet exemple, nous supposerons que vous êtes un fabricant de machine à café. Votre projet actuel est de développer une machine à café connectée pour vos entreprises clientes. Vous avez identifié plusieurs cas d’utilisation pour cette machine IoT. Par exemple, elle permet de commander automatiquement de nouvelles capsules de café lorsque le stock atteint un certain seuil. Un deuxième cas consiste à ce qu’elle envoie des alertes automatiques à vos serveurs lorsque des actions de maintenance telle que le nettoyage et les réparations sont nécessaires. Enfin, elle offre également des fonctionnalités de suivi des consommations.

Comment choisir le réseau qui répond le mieux à vos besoins ? Quelles questions devriez-vous vous poser ? Comment faire le bon choix tout en considérant la sécurité globale de votre système ?

Première étape – Définir les besoins de votre entreprise et effectuer une analyse des risques

Tout d’abord, vous devez identifier les exigences de votre réseau IoT, qui sont doubles : les exigences fonctionnelles et de sécurité. Nous caractérisons ces exigences par des niveaux de 0 à 3, 0 étant le niveau le plus bas et 3 le plus élevé.

En ce qui concerne les exigences fonctionnelles, vous devez répondre à des questions telles que :

1. Quelle distance le signal de l’objet doit-il atteindre ?
2. De quelle largeur de bande avez-vous besoin ?
3. Quelle est l’autonomie de votre objet ?

Dans notre exemple, nous supposons que vos machines à café connectées seront distribuées à des entreprises clientes opérant sur une vaste zone géographique (c’est-à-dire dans un rayon de plus de 100 km). Par conséquent, vous aurez besoin d’une large couverture pour permettre aux différentes machines répandues de vos clients de communiquer avec votre système d’information.

Deux cas de figure sont présentés ici. Si votre client accepte de connecter votre machine à son réseau local existant, vous n’aurez alors qu’à utiliser un réseau sans fil à courte portée entre la machine et la passerelle internet. S’il refuse de le faire, vous devrez alors mettre en place un réseau longue portée car vous déploierez votre service et vos machines sur une vaste zone.

En ce qui concerne la bande passante, une petite quantité sera nécessaire, car il suffit de pouvoir envoyer de petits paquets de données quelques fois par jour au maximum (commandes de capsules, alertes, état général, …).

En ce qui concerne la consommation d’énergie, une machine à café est traditionnellement connectée à une prise électrique pour accomplir ses tâches ; ainsi, la machine IoT est constamment alimentée en électricité, et par conséquent l’autonomie de l’objet n’est donc pas une contrainte. En résumé, il n’y a pas d’exigence de consommation d’énergie en soi car elle est déjà couverte par le raccordement de la machine à café au réseau électrique.

Nous résumons les niveaux des exigences fonctionnelles comme suit :

• Portée (P) = 3 ou 1
• Bande passante (B) = 1
• Consommation énergétique (E) = 0

Après la définition des exigences fonctionnelles, une analyse des risques doit être effectuée pour formuler les exigences de sécurité de votre projet en termes de disponibilité, d’intégrité, de confidentialité et de traçabilité.

Une perte de disponibilité se produirait en cas de dysfonctionnement de la machine à café connectée, qui la rendrait inutilisable pour un client. Une perte d’accès au réseau ou l’indisponibilité des serveurs backend ne doit jamais entraîner l’indisponibilité de la machine : elle doit continuer à fonctionner hors réseau. Toutefois, si un dysfonctionnement de la machine se produit, il faudrait qu’il soit signalé le plus rapidement possible par le réseau afin que des actions de maintenance soient déclenchées.

En combien de temps cela devrait-il être fait ? La réponse est plusieurs heures plutôt que plusieurs jours, car nous ne voudrions pas priver les employés de leur pause-café ! Par conséquent, 4 à 24 heures est une fenêtre d’indisponibilité acceptable qui correspond à un niveau d’exigence de disponibilité égal à 2.

Une perte d’intégrité entraînerait une corruption des données. Par exemple, un excès potentiel dans une commande de capsules de café peut se produire en modifiant les messages envoyés par la machine à café ou en rejouant plusieurs fois la même commande. Dans les deux cas, cela entraînerait une perte financière pour votre client. En effet, ces données doivent être communiquées par le réseau de manière rigoureuse et exacte. Nous pouvons donc conclure qu’il s’agit d’une exigence d’intégrité de niveau 3.

Une perte de confidentialité entraînerait la divulgation des données ; les quantités des commandes sont des données plutôt sensibles qui ne devraient pas être partagées avec des tiers. Il faut s’assurer que les données soient communiquées de manière sécurisée sur le réseau et qu’elles ne sont pas accessibles par des parties externes.  Par conséquent, nous concluons que la confidentialité a un niveau d’exigence de 2.

Concernant la traçabilité, pour des raisons de simplification, nous choisissons de laisser cet aspect de côté en considérant qu’il est déjà pris en compte par l’étude des 3 premiers critères.

En résumé, l’analyse de risque conclut aux exigences de sécurité suivantes :

• Disponibilité (D) = 2
• Intégrité (I) = 3
• Confidentialité (C) = 2

Pour plus de détails sur la méthodologie d’analyse de risque pour les objets intelligents, nous vous invitons à consulter cet article.

A la fin de cette analyse, vous obtenez pour vos deux cas d’usage un diagramme radar représentant les niveaux de vos exigences opérationnelles, comprenant les exigences fonctionnelles et de sécurité.

Cas n°1 : votre client connecte la machine à café à son réseau local

Cas n° 2 : votre client ne connecte pas la machine à café à son réseau local

Bien qu’ils ne soient pas abordés dans cet article, les aspects financiers sont également importants et dépendent de divers facteurs tels que le modèle de tarification des opérateurs de réseau. Il en va de même pour les contraintes géographiques, car certains réseaux IoT peuvent ne pas être disponibles dans certaines régions.

Enfin, la facilité de configuration du réseau peut être incluse dans vos exigences fonctionnelles, surtout si votre objet connecté vise un public B2C.

Deuxième étape – Choisir votre réseau IoT

Sur la base des exigences fonctionnelles et de sécurité, nous avons élaboré une méthodologie qui permet de choisir le réseau optimal afin de répondre à vos besoins fonctionnels et de sécurité : portée, bande passante, consommation d’énergie, disponibilité, intégrité, confidentialité.

Les trois exigences fonctionnelles sont obligatoires, c’est-à-dire que le réseau que vous choisissez doit absolument les satisfaire, autrement, il sera écarté.

Pour les exigences de sécurité, l’évaluation nécessite une analyse préemptive. Entre deux réseaux qui couvrent les mêmes exigences fonctionnelles, vous devez choisir celui qui offre le meilleur niveau de sécurité avec le coût minimum.

Si un réseau ne répond pas à l’une des exigences de sécurité, vous devrez mettre en place un dispositif de sécurité supplémentaire dans le cadre de votre projet, ce qui augmentera vos coûts.

Vous devez également veiller à ce que la mise en œuvre supplémentaire n’affecte pas les performances du système. Par exemple, si vous mettez en œuvre le chiffrement des données au niveau de la couche applicative, l’augmentation des temps de traitement aurait un impact négatif sur votre débit de données maximum ou pourrait être limitée par les capacités matérielles du dispositif, avec un impact financier potentiel en cas de mise à niveau du matériel. Par conséquent, l’une de vos exigences fonctionnelles pourrait ne plus être satisfaite.

Si une haute disponibilité est requise (A=3), vous devriez choisir un réseau robuste de par sa conception qui répondra à vos besoins de temps réel.

En effet, les protocoles à spectre étalé (comme Bluetooth ou ZigBee) ou modulés par saut de fréquence (comme Sigfox ou Bluetooth) sont plus résistants au brouillage radioélectrique ou aux interférences radio.

Ces types de réseaux sont particulièrement recommandés lorsque la disponibilité est une exigence importante, comme sur une chaîne de production industrielle.

En outre, les protocoles maillés sont connus pour être plus fiables et plus évolutifs que les protocoles point à point. Toutefois, pour qu’ils soient efficaces, ils doivent être utilisés dans un contexte où plusieurs dispositifs connectés sont reliés entre eux. Les protocoles maillés comme WirelessHART peuvent également garantir des communications en temps réel. Leur utilisation est particulièrement adaptée à un contexte industriel.

Une méthodologie simple pour choisir le bon réseau consiste à confronter les exigences opérationnelles de votre entreprise aux caractéristiques fonctionnelles et de sécurité du réseau.

Dans les diagrammes radar suivants, nous présentons différents types de réseaux IoT offrant différents niveaux fonctionnels et de sécurité, et nous comparons chacun d’entre eux à vos exigences opérationnelles.

Cas n°1 : votre client connecte la machine à café à son réseau local

Cas n° 2 : votre client ne connecte pas la machine à café à son réseau local

Appliquons la méthodologie évoquée précédemment dans les 2 cas de figure. Tout d’abord, nous utilisons les diagrammes radar ci-dessus pour voir quels réseaux sont conformes à vos exigences fonctionnelles.

Cas n°1 : votre client connecte la machine à café à son réseau local

Dans ce cas, Bluetooth et Wi-Fi sont deux options viables à courte portée si votre client connecte la machine à son réseau local. D’une part, Bluetooth répond à toutes les exigences de sécurité, mais il est moins simple à mettre en œuvre que le Wi-Fi. D’autre part, le Wi-Fi répond à toutes les exigences, à l’exception de la disponibilité, mais nous pouvons y remédier grâce à des accords de niveau de service (SLA).

Cas n°2 : votre client ne connecte pas la machine à café à son réseau local

Dans ce cas, Zigbee, BLE et Wi-Fi sont clairement hors de l’équation car ils ne répondent pas aux exigences de portée. Cependant, LoRa, LTE-M et Sigfox sont des candidats potentiels.

Nous utilisons à nouveau les diagrammes radar, cette fois pour évaluer la conformité de ces trois candidats aux exigences de sécurité.

Sigfox ne répond pas à l’une de vos exigences de sécurité (confidentialité) alors que LoRa répond à toutes les exigences de sécurité. LTE-M est la meilleure offre car elle répond à toutes vos exigences, mais c’est aussi la plus chère. Nous en concluons que la LoRa est un candidat relativement bon.

En conclusion, vous disposez d’une part une option adéquate qui est LoRa et qui nécessitera le déploiement d’un nouveau réseau, et d’autre part d’une option alternative utilisant un réseau Wi-Fi préexistant. Il est à noter que votre client peut refuser de connecter la machine à café à son réseau Wi-Fi pour des raisons de sécurité.

Nous allons envisager un nouveau scénario dans un prochain article : une entreprise cliente achète la machine et discute de quelle option utiliser LoRa ou Wi-Fi.

Cet article Brancher sa cafetière connectée: oui, mais comment? est apparu en premier sur RiskInsight.

QU’EST-CE QU’UNE ANALYSE DE RISQUE CYBER?

Vous êtes-vous déjà demandé ce qui se passerait si un appareil que votre entreprise a mis au point et qu’elle vend divulguait les données qu’elle recueille ? Ou si ces données étaient corrompues ou soudainement rendues indisponibles ? Qu’est-ce qui serait le plus préjudiciable ? Et si votre solution était vulnérable à une cyberattaque ? Les conséquences pourraient-elles être une prise de contrôle d’un ou de plusieurs appareils qui entraînerait un risque pour la sécurité, comme un bâtiment qui prendrait feu ou même une victime humaine ? Ou peut-être s’agirait-il « seulement » d’une attaque pivot sur le réseau de votre client qui entraînerait une incapacité totale de fonctionnement de votre entreprise et de celle de votre client.

Si vous êtes en train de développer une solution IoT et que vous ne faites pas de dépression nerveuse en envisageant de telles possibilités, vous vous demandez probablement pourquoi votre RSSI (Responsable de la Sécurité des Systèmes d’Information) n’en fait pas une.

C’est probablement parce que votre RSSI a une méthode : il considère chaque risque d’un point de vue impartial et de manière comparable. La première étape importante consiste à s’assurer que chaque risque est correctement évalué (c’est-à-dire qu’il n’est ni surestimé, ni sous-estimé) et à partager les résultats de cette évaluation avec toutes les parties prenantes du projet. Une fois que toutes les parties prenantes se sont mises d’accord sur chaque risque, votre entreprise dispose d’une base adéquate pour décider des mesures de contrôle à implémenter.

Cette approche ne signifie pas que vous devez traiter tous les risques au point que votre solution soit pratiquement impossible à mettre en œuvre. D’ailleurs, c’est techniquement impossible, et votre budget disparaîtrait bien avant d’avoir atteint une solution dite de risque zéro. Chaque mesure de contrôle doit être hiérarchisée et proportionnelle à la probabilité et à la gravité du risque.

Ce que nous avons décrit ci-dessus est connu sous le nom de méthodologie d’analyse des risques. Les professionnels de la cybersécurité utilisent cette méthodologie comme base de référence pour les initiatives de leur entreprise en matière de cybersécurité. Les professionnels évaluent les scénarios de risque (souvent liés à la disponibilité des services, à l’intégrité des données, à la confidentialité et/ou à la traçabilité des actions) et les impacts sur l’image de marque de leur entreprise, les responsabilités légales, les conséquences sur la sécurité et bien sûr les résultats financiers. Plus le risque est évalué, plus la priorité est accordée à la réduction de la probabilité que le risque se produise (par exemple, ajouter des barrières à une attaque, réduire la surface d’attaque, etc.) ou à la gravité des résultats si le risque se produit (par exemple, appliquer une segmentation pour réduire la propagation d’une attaque).

Si vous voulez en savoir plus sur les méthodes d’analyse des risques existantes, vous devriez commencer par la norme ISO27005, qui a un large champ d’application et de compréhension dans divers secteurs.

Soyez rassuré sur le fait que parler des risques n’augmentera pas la probabilité que le problème se produise (si jamais vous le craigniez), mais ne pas en parler fait courir un grand risque au projet.

EN QUOI L’ANALYSE DES RISQUES D’UN PROJET IOT EST-ELLE DIFFÉRENTE ?

Nous espérons vous avoir convaincu de l’importance de l’analyse des risques de votre projet ; nous verrons comment vous pouvez vous y prendre rapidement dans le prochain chapitre. Avant d’en arriver là, nous allons détailler ce qui rend l’exercice spécifique à un projet IoT: quelles sont les caractéristiques de tels projets et qu’est-ce qui rend l’analyse des risques plus difficile ou plus simple ?

Commençons par les caractéristiques communes qui doivent être prises en compte pour une analyse des risques. Tout d’abord, une initiative IoT repose souvent sur un réseau de matériel très décentralisé (capteurs, passerelles, serveurs, etc.). Ces dispositifs peuvent être répartis sur une vaste zone géographique, parfois dans le monde entier, et sont destinés à rester longtemps sur le terrain avec peu ou pas de maintenance sur place. Il est courant de voir des dispositifs IoT B2B dont la durée de vie dépasse 10 ans (par exemple, un projet de mesure de l’eau pour les entreprises de services publics). Les dispositifs B2C peuvent également viser de telles durées de vie – pensez par exemple aux véhicules connectés. Il convient également de noter que les dispositifs IoT ont généralement des interfaces utilisateur limitées, telles qu’un écran et un clavier. Malgré cela, les boutons, les LED et les applications mobiles permettent les interactions ou les personnalisations nécessaires à l’appareil IoT pour que vous puissiez collecter des données sur le terrain. N’oubliez pas que les données collectées à partir des appareils connectés sont en fait là où réside toute la valeur de tels objets. Ainsi, le fait que ces données soient ou non critiques est essentiel dans l’évaluation des risques. Enfin, nous devons nous rappeler qu’un projet IoT est toujours un projet informatique. Si les dispositifs ne sont pas des ordinateurs portables typiques, les serveurs d’application et le stockage restent centraux dans la plupart des cas. C’est là qu’une grande partie du risque demeure, mais heureusement, il existe de nombreuses bonnes pratiques pour cette partie de la solution également.

Du point de vue de la cybersécurité, ces caractéristiques peuvent rendre les projets IoT plus risqués. Par exemple :

• La sécurité physique d’un réseau décentralisé est très difficile à implémenter. Où sont situés les appareils ? Sont-ils accessibles au public ? Quelqu’un peut-il facilement les voler, les endommager ou les altérer ? Par exemple, un tracker installé sur une palette se déplace à l’extérieur des locaux de confiance et peut être endommagé ou retiré – intentionnellement ou non. Bien entendu, ce risque est amplifié par une empreinte géographique plus large.
• Étant donné les interactions limitées des utilisateurs et la durée de vie plus longue des appareils, leur maintenance peut devenir très coûteuse et longue, surtout si vous devez dépêcher physiquement des techniciens. Une intervention manuelle peut être tout simplement irréaliste, mais même les mises à jour de microprogrammes ont un taux d’échec. Pour toutes ces raisons, les contrôles doivent être pertinents à long terme
• Dans tout projet IoT, la sensibilité des données est un facteur qui doit être pris en compte. Est-ce un facteur critique pour votre entreprise ? Pour les projets de consommation, la sensibilité des données peut être perçue comme très élevée car les appareils collectent des données du monde « réel ».
• Les solutions IoT sont constituées de nombreuses technologies et de nombreux fournisseurs différents. Cela constitue un réel défi : quelles sont les pratiques de sécurité suivies par chacun de ces fournisseurs et ces pratiques couvrent-elles suffisamment les risques identifiés ?
• Enfin, les contrôles de sécurité qui peuvent être appliqués dépendent des capacités des appareils et des logiciels. Par exemple, de nombreux capteurs fonctionnent sur des MCU 8 bits et ne peuvent donc pas exécuter des algorithmes de chiffrement compliqués.

ALORS MAINTENANT, COMMENT PUIS-JE COMMENCER ?

Prenez une grande respiration et impliquez votre RSSI.

Le RSSI doit identifier et évaluer les réglementations applicables, décider du niveau de risque acceptable, fournir des politiques à suivre et des outils pour mettre en œuvre les mesures de sécurité. Peut-être devriez-vous nommer un responsable de la sécurité des produits pour s’occuper spécifiquement de la sécurité de l’IoT dans votre entreprise ou même de la sécurité d’un produit IoT spécifique si les enjeux l’exigent.

Pour atteindre un niveau de sécurité acceptable, il faudra disposer d’une expertise dans les différents domaines de l’IoT. Si vous êtes cet expert, vous devriez probablement être prêt à vous impliquer. Cela amènera toute l’équipe à envisager:

• La sécurité de bout en bout sur la pile technologique : du matériel au cloud, y compris les logiciels intégrés, la connectivité réseau, les applications mobiles, etc.
• La sécurité de bout en bout du point de vue du cycle de vie des appareils. Lorsque vous concevez votre appareil, pensez à toutes les phases : de la fabrication à la distribution ; de la première utilisation à l’utilisation normale ; revente, remise à neuf, recyclage ou mise à la poubelle.
• L’implication des partenaires : veillez à ne pas les oublier et évaluez leur maturité. Vous devrez peut-être prendre des mesures pour les soutenir ou les perfectionner (conseil : demandez à votre RSSI ou à votre responsable de la sécurité des produits).
• L’audit de votre appareil et de toute la pile technologique. Faites-le régulièrement car il se peut que votre logiciel n’ait pas changé mais que les menaces et les vulnérabilités connues aient évolué.
• Les mises à jour et la maintenance de la sécurité à long terme : définissez pendant combien de temps vous allez mettre à jour et déployer vos appareils.
• L’organisation de la réponse aux incidents : définissez comment vous pouvez être informé des vulnérabilités ou des brèches et comment vous pouvez prévoir d’y répondre (d’un point de vue technique et de communication).

La cybersécurité de l’IoT n’est pas impossible. Elle fournit en fait des méthodologies et des outils pour aider à créer un environnement sûr.

Les acteurs du projet et les clients recherchent des produits sûrs et font pression pour qu’ils le soient. La réglementation visant à faire respecter la sécurité est imminente et les cadres de référence permettant d’aider chaque acteur à s’aligner sur ses devoirs continueront d’être appliqués. Il est temps d’aller de l’avant dès maintenant si vous cherchez à faire de la cybersécurité un atout pour votre produit sur votre marché !

Cet article Analyse des risques et IoT: un mariage d’amour ou de raison ? est apparu en premier sur RiskInsight.

Capitaliser sur leurs forces et leur légitimité pour proposer des offres à forte valeur ajoutée

 Pour gagner leur place dans ce marché en construction et convaincre les consommateurs, les assureurs doivent proposer de nouveaux produits offrant une proposition de valeur forte et différenciante, fondés sur une tarification personnalisée, un univers de services proposant un accompagnement complet et une nouvelle expérience client. Ils y parviendront en capitalisant sur leur légitimité, en automobile et en MRH d’abord.

Dans le domaine plus complexe de la santé, ils doivent saisir l’opportunité offerte de jouer un rôle central dans la prévention, les parcours de soin et le maintien à domicile des personnes dépendantes. Leur légitimité sur le sujet reste cependant à construire. Elle s’imposera via de nouveaux partenariats (avec les pouvoirs publics, les professionnels de santé, des partenaires technologiques innovants) et, là encore, en capitalisant sur leurs offres existantes (programmes de prévention, téléassistance…).

Gagner la confiance des consommateurs

« Connecté, donc plus de vie privée… » : un exemple de réaction qui traduit le sentiment général vis à vis des objets connectés. Les inquiétudes suscitées auprès du grand public par l’usage des données personnelles collectées par les objets connectés constituent un des freins majeurs à leur développement. Comment convaincre les clients de passer outre cette méfiance, de s’équiper d’objets connectés et, surtout, de confier ces données à leur assureur ? En les rassurant sur leurs usages : les données sont utilisées dans leur intérêt (améliorer leur qualité de vie, leur proposer des tarifs plus avantageux…) et en toute sécurité (données anonymisées, chiffrées, supprimées rapidement…). Autrement dit, pour lever ces inquiétudes, les assureurs devront proposer à leurs clients un véritable contrat de confiance. Il définira clairement l’usage qui sera fait des données collectées, les modalités d’accès et le droit à leur effacement, tout en garantissant leur sécurité.

En définitive, quatre axes doivent être privilégiés par les assureurs dans ce domaine : construire une offre transparente, prendre en compte le respect de la vie privée dès l’élaboration de l’offre, se mettre en conformité avec la législation et notamment la loi Informatique et Libertés, et enfin sensibiliser les utilisateurs aux mesures de sécurité indispensables à la protection de leurs données.

Créer ou s’inscrire dans de nouveaux écosystèmes

Si l’assureur est légitime sur son marché et qu’il a une proposition de valeur forte, une intégration de la chaîne de valeur peut être légitime. Cette stratégie lui permettra de garder la maîtrise de son offre et des gains qu’elle génère. En revanche, si la légitimité de l’assureur reste à asseoir et si sa proposition de valeur repose essentiellement sur des services venant compléter ceux déjà portés par un objet connecté, alors l’assureur choisira la stratégie inverse : mettre en avant l’objet, capitaliser sur la marque de son fabriquant, quitte à moins maîtriser la chaîne de valeur.

Quoi qu’il en soit, sur ce marché encore en construction, les assureurs devront multiplier les initiatives et les partenariats avant que des standards technologiques et commerciaux n’émergent. Créer ou s’intégrer à de nouveaux écosystèmes, avec des acteurs différents des partenaires habituels des assureurs (start-ups innovantes, industriels, collectivités locales, spécialistes de la relation client…) et reposant sur de nouveaux types de partenariats, constituera une des clés du succès.

Adapter leurs méthodes de travail et leurs systèmes d’information

La révolution des objets connectés sera aussi une révolution interne aux organisations. Elle implique notamment de modifier les méthodes de création et de lancement d’offres, via des équipes plus agiles, associant experts marketing, juridiques, techniques et de la sécurité ; changer les techniques actuarielles pour prendre en compte de nouvelles données, plus nombreuses, moins structurées ; adapter les circuits de distribution pour pouvoir proposer des objets physiques et toucher de nouveaux publics ; adapter les systèmes d’information pour pouvoir collecter, stocker et traiter les données issues des objets connectés et en garantir la sécurité. Autant de challenges à relever pour ne pas se laisser distancer et prendre une place de choix sur ce marché.

Pour approfondir le sujet, découvrez notre synthèse Solucom : « Assurance : comment négocier le virage des objets connectés ? »

Cet article Assurance : 4 clés pour relever le défi des objets connectés est apparu en premier sur RiskInsight.

Pour les assureurs, les objets connectés sont bien plus qu’une mode, ils constituent un gisement de croissance à exploiter. Car ces objets se développent sur trois de leurs marchés clés : celui des transports et de la mobilité (sécurité, contrôle et suivi de la conduite…), celui de l’habitation (équipements, énergie, sécurité, confort…) et celui de la Santé et des Wearables (sport, suivi physiologique…).

Objets connectés : de nombreuses opportunités…

Tout d’abord, améliorer l’image de marque. En développant de nouvelles offres en phase avec les innovations digitales, les assureurs vont indéniablement moderniser leur image aux yeux du grand public. Ceux qui proposeront des objets connectés seront aussi perçus comme étant plus attentifs à leurs clients. En effet, les objets connectés permettent de proposer aux assurés de véritables services. L’exemple des lentilles intelligentes développées par Google et Novartis est révélateur : en mesurant la présence de glucose dans le liquide lacrymal, ces lentilles permettront aux diabétiques de mesurer en temps réel leur taux de glycémie. Dans le domaine de l’assurance santé, c’est donc l’occasion pour eux de sortir d’un simple rôle d’indemnisation (auquel les récentes évolutions de la règlementation pourraient les cantonner), sans véritable levier de différenciation, pour proposer de nouveaux services et accompagner leurs assurés tout au long du parcours de soins. Ils développeront ainsi la relation de confiance qu’ils entretiennent avec ces derniers. De quoi vaincre certaines réticences, côté client, dans l’utilisation des objets connectés ?

Ensuite, attirer de nouveaux clients. Les assureurs peuvent aussi exploiter les objets connectés pour stimuler la consommation en renouvelant leurs offres sur des marchés matures (automobile, habitation, etc.). C’est d’ailleurs ce qu’a choisi de faire Allianz, en lançant avec TomTom son système Pay how you drive, qui permet à l’assuré de payer en fonction de son contexte de conduite (routes empruntées, conditions de trafic…).

Mais aussi, développer la connaissance client. L’une des grandes opportunités offertes aux assureurs par les objets connectés est de mieux connaître les comportements et habitudes de leurs clients, en collectant une immense quantité de données (Big Data). Le Health Patch de la société Vital Connect fournit par exemple à l’usager un grand nombre d’indicateurs physiologiques, comme le rythme cardiaque ou encore le niveau de stress. Mais l’intérêt des objets connectés ne réside pas seulement dans l’immense quantité de données qu’ils collectent. Ils en facilitent également l’exploitation grâce à des capteurs dédiés qui enregistrent des informations spécifiques. En recourant à ces technologies, les assureurs pourraient segmenter plus finement leurs portefeuilles et donc proposer des offres commerciales mieux ciblées.

Enfin, optimiser la gestion des risques. Les objets connectés peuvent également permettre aux assureurs de réduire leurs coûts en axant davantage leurs offres sur la prévention des risques et également grâce à une intervention plus rapide et plus efficace des services d’assistance. Des éléments qui auront pour impact évident de réduire le nombre de sinistres et de limiter les dommages et leur coût en cas de sinistre. On peut citer en exemple la caméra de vidéosurveillance développée par la société française Kiwatch qui permet un accès direct aux vidéos depuis un terminal connecté à internet : les utilisateurs peuvent donc savoir en temps réel si leur domicile ne subit pas d’effraction… même s’ils sont à l’autre bout de la planète. Autrement dit : prévenir plutôt que guérir.

Des opportunités sources de défis considérables

Développer des offres reposant sur le marché des objets connectés remet en cause le métier traditionnel des assureurs, historiquement centré sur une offre de services, à savoir l’indemnisation des sinistres. L’adaptation au « tout connecté » implique une modification profonde du business model classique des assureurs.

Quelles propositions de valeur pour les assureurs ? Comment gagner en légitimité ? Quels rôles pour les assureurs, quelles stratégies de partenariats, quels écosystèmes construire et comment les animer ? Quel marketing en rupture pour ces nouvelles offres ? Comment relever les défis technologiques, passer du gadget à un service industriel ? Par ailleurs, la collecte massive de données à caractère personnel génère des inquiétudes légitimes. Surtout lorsqu’il s’agit de données de santé ! Les réseaux permettant la collecte des données sont-ils vraiment sécurisés ? La législation actuelle garantit-elle le respect des principes éthiques dans l’exploitation des données ? Les assureurs doivent s’interroger : comment créer un climat de confiance avec leurs clients ?

Autant de questions qui laissent penser que si les opportunités économiques sont immenses, les défis qu’elles impliquent le sont tout autant. Face à un marché en pleine construction, les assureurs devront faire preuve d’audace mais aussi de prudence.

En dépit des risques, il est évident que les assureurs doivent prendre position sur ce nouveau marché s’ils ne veulent pas se retrouver progressivement marginalisés et cantonnés au rôle de « payeur / indemnisateur ». D’autres acteurs, dotés de moyens parfois considérables se positionnent déjà sur ce marché. Le prochain article proposera quelques clés pour bien appréhender le virage que représentent les objets connectés dans le monde de l’assurance.

Cet article Objets connectés : vers une révolution du métier de l’assurance ? est apparu en premier sur RiskInsight.

Les objets connectés au service de la santé de leurs propriétaires

De la balance aux lentilles de contact, de nombreux dispositifs connectés fleurissent afin d’analyser nos données physiologiques au jour le jour.

Withings, pionnier français des objets connectés a lancé début 2014 son Smart body analyser. Cette balance connectée vous permet d’analyser l’évolution de votre poids, votre fréquence cardiaque, votre pression artérielle ou la qualité de l’air de votre domicile. D’autres dispositifs surfent également sur le « Quantified Self ». Ce mouvement regroupe l’ensemble des systèmes de captation et d’analyse de données biométriques personnelles. Parmi eux, on peut citer les lentilles de contact connectées, projet de Google pour aider les diabétiques en analysant leur taux de glucose directement dans les yeux. De nombreux acteurs (Fitbit, Jawbone, Nike et maintenant Samsung) se sont lancés dans le marché des bracelets ou montres connectés ou autres « wearable devices » pour permettre à leurs utilisateurs de tracer leur activité physique quotidienne et d’analyser leur mode de vie. Leurs points communs ? Tous ces dispositifs sont connectés à une application pour smartphone ou tablette afin d’accéder facilement à l’analyse de ses données physiologiques.

En France, la moitié des propriétaires d’objets connectés en font usage afin de surveiller ou d’améliorer leur santé. Les applications de ces dispositifs semblent infinies : la santé 2.0 arrive à grands pas dans nos modes de vies.

Quels usages pour l’assurance de personnes ?

Une meilleure gestion et prévention des risques est un enjeu stratégique des assureurs pour les années à venir.  Cela s’explique par le contexte de crise qui intensifie la concurrence et oblige à optimiser de plus en plus les centres de coûts et la rentabilité. Prévenir plutôt que guérir devient le nouveau leitmotiv. Tous les acteurs du monde de la santé mènent des campagnes de prévention afin de réduire leurs risques donc le nombre de prestations. Les objets connectés, par leur simplicité d’utilisation, leur précision et leur côté ludique sont un formidable outil de sensibilisation auprès de leurs utilisateurs. Un mode de vie plus sain est synonyme d’un risque moindre pour l’assureur. Une fois « connecté », chaque assuré peut faire l’objet d’un suivi personnalisé. Dans l’exemple de la balance Withings, on pourrait imaginer un système d’alertes et de recommandations en cas de comportements qui dégraderaient l’état de santé de l’assuré ou même un diagnostic plus rapide à partir des données physiologiques déjà récoltées.

À cela s’ajoute la possibilité pour l’assureur, en communiquant sur ces nouveaux usages, de promouvoir son image : à la fois moderne et soucieuse de ses clients. Par ailleurs, cibler une population technophile, c’est aussi statistiquement cibler une population plus jeune et donc présentant moins de risques de santé.

Le gigantesque volume de données généré par ces trackers pourrait permettre d’améliorer les systèmes de Business Intelligence existants, en fournissant davantage d’informations sur les assurés. Les technologies émergentes « Big data » permettent  en effet le traitement en temps réel de ces volumes et de les corréler avec des données internes (contrats, suivi des prestations) aussi bien qu’avec des données externes non structurées (réseaux sociaux).  Ce potentiel d’analyse  ouvre le champ des possibles pour les fonctions actuarielles ainsi que pour la gestion de la relation client. Verra-t-on s’imposer une assurance de personnes proche du « Usage-Based Insurance », déjà mis en œuvre dans l’assurance auto ? Ce concept permet de payer son assurance auto en fonction de l’utilisation qu’il fait de son véhicule. Peut-on mettre en place une tarification qui dépend de la sanité du mode de vie de chaque assuré ?

Malgré  l’existence de nombreux freins…

Ces pistes soulèvent néanmoins un certain nombre de défis de taille.

Du point de vue de l’assureur, la mise en place d’un suivi personnalisé pour chaque assuré présente d’abord des contraintes techniques pour l’analyse massive et l’hébergement des données, mais aussi organisationnelles pour l’intégration de ces données dans les processus et le mode de fonctionnement de l’assureur.

Pour l’assuré, deux dérives potentielles sont à mettre sous contrôle. La première est liée au respect de la vie privée. La mise en place de systèmes de monitoring de l’état de santé des assurés n’est pas sans embuches. D’une part, la CNIL encadre et contrôle fortement la communication de données de ce type aux assureurs. D’autre part, les clients peuvent être réticents à partager ces données avec un représentant du corps médical : aujourd’hui 61% des Français possédant un objet connecté se disent prêts à échanger ces données selon l’Atelier BNP Paribas. Enfin, ce changement d’usage constituerait une véritable révolution dans la relation entre le médecin et son patient. Sur son terrain, le corps médical pourrait représenter un frein à l’évolution des usages.

La seconde dérive est d’ordre éthique et économique. Comment garantir l’égalité de l’accès aux soins quand les données vont dans le sens d’une tarification  différenciée, voire de services différenciés ? Qui des mutuelles, assurances maladie ou acteurs privés ou des assurés financera le déploiement massif de ces équipements ? De même, dans quelle mesure pourra-ton considérer un objet connecté comme un « dispositif médical » ? Toutes ces questions viennent mettre en évidence une évolution nécessaire du modèle de santé actuel.

 … de premières expérimentations autour des objets connectés et de l’assurance de personne voient le jour

Malgré ces obstacles, des premières expérimentations ont démarré. Prenons l’exemple d’Axa qui a lancé en juin dernier un jeu concours auprès de 1000 clients de de sa complémentaire santé Modulango. L’assureur va offrir à  ces derniers le tracker d’activité Pulse de Withing.  50 euros de « chèque de médecine douce » seront offerts aux clients dépassant la  moyenne de 7 000 pas par jour, et deux chèques à ceux qui dépassent les 10 000 pas par jour. Ce pilote va ainsi permettre à l’assureur de tester l’appétence de ces clients quant à l’utilisation d’objets connectés et au partage de ses données personnelles. Mais avant de pouvoir déployer ce concept à grande échelle, les objets connectés et leurs offres associées devront être préalablement perçus comme apportant un réel service à l’assuré : le bénéfice retiré doit supérieur aux inconvénients éventuels, comme les craintes liées à la sécurité et à la confidentialité. Il y a là un véritable enjeu de communication et d’accompagnement du grand public pour les assureurs, qui doivent rassurer sur les objectifs d’utilisation des données collectées.

Ainsi, l’enjeu autour des objets connectés est double pour les assureurs : réduire les risques et les coûts de prise en charge des assurés, mais aussi  renforcer la relation assureur/assuré. A l’instar d’AXA, les acteurs de l’assurance ne devront pas rater le coche de l’internet des objets et adapter leurs offres et relation client à cette nouvelle tendance.

Pour plus d’articles sur l’assurance, consultez Insurance speaker, le blog assurance des consultants Solucom.

Cet article Objets connectés : quels enjeux pour l’assurance de personnes ? est apparu en premier sur RiskInsight.

Cette association recouvre aussi une réalité industrielle, où les géants de l’informatique créent les conditions de marché favorables (standards, adoption des technologies, solutions globales) tandis qu’une multitude de startups essayent d’apporter des réponses créatives aux potentiels ainsi générés.

De grands acteurs mobilisés pour un marché prometteur

Les objets connectés ont dépassé le nombre d’humains depuis 2008 et atteignent d’ores et déjà plus de 50 milliards d’unités, qui produisent une masse de données doublant tous les 2 ans environ.

La première phase indispensable de l’Internet of Things, à savoir l’équipement en matériels (capteurs et connexions), est donc lancée. Dans les entreprises, il faudra l’accompagner d’une mise en place de processus et d’une conduite du changement  pour lier de manière utile hommes et données, pour transformer celles-ci en informations.

Chacun des acteurs du secteur tente de se positionner sur la chaîne de valeur qui se met progressivement en place et qui génerera selon Gartner plus de 1 900 milliards de $ d’ici 2020.

Deux initiatives concrètes conduites par GE (Industrial Internet) et Cisco (FOG) se positionnent sur ce marché.

Industrial Internet est un consortium regroupant GE, AT&T,Cisco et Intel visant à la digitalisation de tous les métiers de l’Industrie. GE se l’applique d’abord à elle-même avec par exemple une éolienne connectée permettant de mieux gérer la variabilité de fonctionnement inhérente à cette énergie et donc d’augmenter son efficacité de 25%. Mais elle propose aussi à tous la plateforme Predix, qui propose d’analyser les données collectées.

Le FOG computing est quant à lui une évolution du Cloud proposée par Cisco, où l’intelligence se veut mieux répartie, près des sources de données, afin d’améliorer la QoS et accélérer le traitement. L’apport de ce positionnement qui multiplie les équipements devrait être surtout palpable pour des besoins temps réel, où être en bordure du Cloud, voire en local, sera nécessaire.

Un foisonnement de startups à fort potentiel

Cette concrétisation à grande échelle est basée sur des composants miniaturisés qui communiquent entre eux (convergence vers le Bluetooth) et qui sont de plus en plus économes. Il reste néanmoins de grands progrès de standards à faire (matériel, logiciel, transmission) et des cas d’usages à affiner.

La question de l’énergie est particulièrement ciblée, que ce soit au niveau de la production ou de la consommation. La tendance cleantech, qui regroupe obligations légales, besoins marketing et conscience écologique, aiguillonne en effet des acteurs en recherche d’économies et d’optimisation. On pourra par exemple citer quelques quelques jeunes pousses françaises qui se sont lancé sur ce marché à trois dimensions : ville,  bâtiments et  utilisateurs.

• Pour la ville : AgoraEnergy cherche à convaincre les mairies d’introduire des capteurs de remplissage pour les citernes de gaz et les bennes de déchets, ce qui permet d’optimiser les tournées. De son côté, Incitât met en place la facturation individuelle des déchets via des poubelles intelligentes, ce qui améliore les taux de tri par une incitation économique. Dans un autre domaine, G2 Mobility déploie des bornes de recharge pour véhicules électriques pilotées à distance.
• Pour les bâtiments : Avob, Ubiant ou Intent démarchent les constructeurs et gestionnaires de bâtiments avec un packagesystème d’exploitation, applications, box et capteurs permettant de mettre en place un réseau de suivi de consommation d’énergie et d’interagir avec les appareils.
• Pour les utilisateurs : Alfileo propose des éléments similaires mais avec un focus sur les clients industriels d’énergie consommateurs de froid tandis que WattGo se positionne sur les particuliers avec box et algorithmes pour permettre de déstructurer la courbe de consommation.

La diversité et l’ampleur des exemples cités illustrent un écosystème Cleantech tangible avec un potentiel qui se concrétise grâce au déploiement d’objets connectés. Les premières alliances, investissements et retours d’expérience enrichissent la vision business des objets connectés. Cet axe pionnier et prometteur d’efficacité écologique doit inviter les entreprises susceptibles d’être impactées par la généralisation des objets connectés (c’est-à-dire toutes !) à réfléchir dès à présent au rôle que ceux-ci peuvent jouer dans leurs métiers.

Cet article Les objets connectés, leviers clés des Cleantech est apparu en premier sur RiskInsight.