Avant de commencer, pouvez-vous donner une brève introduction à la cybersécurité dans les systèmes industriels embarqués de l'edge au cloud ?
Jusqu'à récemment, la cybersécurité dans les systèmes industriels embarqués concernait principalement la protection de l'infrastructure informatique et le respect de pratiques de base. Seules quelques entreprises abordaient les préoccupations en matière de cybersécurité avec un processus structuré et une gestion du cycle de vie. Aujourd'hui, en raison de l'accélération de l'application des exigences en matière de cybersécurité, cela est devenu une exigence pour participer au jeu. Le défi n'est pas trivial, étant donné que les appareils embarqués fonctionnent généralement dans des environnements non protégés, se connectent à des services cloud et nécessitent un cycle de vie sécurisé à chaque étape - de la conception et de l'approvisionnement aux mises à jour et à la mise hors service.
Pourquoi la cybersécurité est-elle devenue un point central pour le secteur industriel embarqué ?
Les appareils industriels sont de plus en plus connectés. La connectivité offre la possibilité d'extraire des données, de gérer les appareils à distance et de réduire les coûts d'exploitation et de maintenance. Cependant, elle représente également un point d'entrée pour les cyberattaques. Les appareils embarqués pourraient potentiellement devenir un point de défaillance unique pour une ligne de production ou une infrastructure critique. Les récentes mesures d'application, telles que les extensions 18031 pour RED et le futur CRA, nécessitent une approche structurée.
Pouvez-vous expliquer, en termes pratiques, ce que signifient le Cyber Resilience Act (CRA) et la nouvelle directive sur les équipements radio (RED) pour les fabricants d'appareils edge ?
Je commencerai par RED, car c'est une exigence en Europe pour les appareils ayant une connectivité radio. Avec les actes délégués étendus, le 18031, il exige que les appareils connectés garantissent la protection du réseau, la sauvegarde des données des utilisateurs et suivent les meilleures pratiques pour maintenir un système sécurisé. Le CRA exige que les fabricants intègrent les exigences en matière de cybersécurité tout au long du cycle de vie du produit - des processus de développement sécurisés, de la gestion des vulnérabilités et des mises à jour logicielles à une documentation de sécurité claire. Cela se traduit par une nouvelle approche de la conception des produits : la sécurité est aujourd'hui une exigence du produit comme tout autre attribut de qualité.
Quelles sont les principales exigences qu'une entreprise doit respecter pour être conforme à ces directives ?
Des entreprises comme SECO sont désormais tenues de mettre à jour leurs produits logiciels non seulement en termes de livrables, mais aussi en termes de processus. Le processus de développement logiciel doit inclure la révision du code, la modélisation des menaces et les tests de vulnérabilité. Il est également essentiel de mettre en œuvre un mécanisme de mise à jour sécurisé pour garantir que le produit reste sécurisé après une mise à jour et que la mise à jour est légitime en termes d'origine. Le support logiciel à long terme est une autre exigence clé, ainsi que les activités de conformité qui fournissent des preuves et des documents prouvant que le processus de développement et le produit logiciel satisfont à toutes les exigences nécessaires. Un point clé est de considérer la gestion de la cybersécurité comme faisant partie du parcours de l'équipe de développement - et d'automatiser autant que possible les processus de détection, d'intégration et de divulgation.
Comment la conception matérielle et logicielle change-t-elle pour un produit industriel embarqué afin de se conformer au CRA et au RED ?
L'intégration d'éléments sécurisés, comme l'élément sécurisé NXP ou le TPM pour le stockage sécurisé des clés, ainsi que les meilleures pratiques comme le démarrage sécurisé et la racine de confiance matérielle, sont des fonctionnalités obligatoires à considérer lors de la sélection du silicium pour concevoir un nouveau matériel.
Quelles sont les principales menaces de sécurité que nous voyons aujourd'hui dans les environnements edge-to-cloud ?
L'accès non autorisé à l'appareil ou à l'infrastructure cloud est aujourd'hui un aspect critique. La manipulation physique de l'appareil, en particulier sur les marchés traitant des informations sensibles ou des infrastructures critiques, en est une autre. Il est également crucial d'assurer la résilience aux attaques par déni de service et de limiter les attaques de type homme du milieu en protégeant tous les canaux de communication.
Qu'entend-on par sécurité basée sur le matériel et comment peut-elle être mise en œuvre dans les appareils industriels ?
En commençant par le matériel, le TPM ou l'élément sécurisé sont essentiels, ainsi que la possession d'une racine de confiance matérielle pour un démarrage sécurisé jusqu'au niveau de l'application. Des fonctionnalités comme le démarrage mesuré et le chiffrement des disques sont aujourd'hui des exigences très courantes pour les applications industrielles.
Comment fonctionne l'approvisionnement sécurisé des clés et pourquoi est-ce un aspect critique pour la protection des appareils ?
C'est une phase clé qui doit être effectuée dans un environnement protégé. Elle est critique car elle garantit l'identité de l'appareil pour la communication avec la plateforme IoT.
Quelles mesures peuvent être prises pour garantir l'intégrité de la chaîne d'approvisionnement logicielle ?
Tout commence par le SBOM - cela fournit une vue complète des composants, de leurs dépendances et de toute vulnérabilité connue. Il est important d'utiliser des builds signés et automatisés, en sécurisant le pipeline CI/CD pour la signature des artefacts.
Quels outils ou pratiques recommandez-vous pour mettre en œuvre des défenses opérationnelles efficaces (surveillance, correctifs, mises à jour) ?
Pour mettre en œuvre des défenses opérationnelles efficaces - y compris la surveillance, les correctifs et les mises à jour - il est important d'adopter un outil centralisé pour gérer les vulnérabilités du cycle de vie et de s'appuyer sur un mécanisme de mise à jour OTA robuste et standardisé. Des évaluations régulières de la cybersécurité et des tests de pénétration doivent également être effectués, soutenus par une politique de cybersécurité structurée qui inclut la possibilité de revenir à un état connu en cas de problèmes de correctifs.
Comment garantir une sécurité de bout en bout, de l'appareil edge au cloud, dans une architecture industrielle ?
Notre Clea Framework garantit une authentification mutuelle entre les appareils et la plateforme, ainsi que des canaux de communication sécurisés et chiffrés. Une gestion appropriée des identités et des accès, ainsi que des évaluations régulières des vulnérabilités, sont également essentielles.
Quelles sont les meilleures pratiques pour sécuriser les appareils qui se trouvent dans des environnements industriels physiquement non protégés ?
Pour les environnements industriels non protégés, je recommande de mettre en œuvre des mécanismes de détection de falsification qui peuvent ramener le système à un état connu en cas de détection de falsification, ainsi qu'un mécanisme de démarrage sécurisé nécessitant une authentification dès la première étape du processus de démarrage. Il est également important de désactiver les ports et interfaces inutilisés et de chiffrer le disque pour se protéger contre le vol d'appareil. Tous ces aspects sont gérés par notre Clea Framework, qui offre une solution de bout en bout depuis le système d'exploitation edge - Clea OS - jusqu'à la plateforme IoT.
Pouvez-vous nous dire comment SECO soutient ses clients pour se conformer aux directives CRA et à la certification RED pour leurs produits edge ?
RED avec les extensions 18031 ne peut pas être appliqué aux logiciels, mais uniquement au niveau du système. Nous avons effectué une évaluation complète pour 18031-1 par un organisme notifié, garantissant que tout client travaillant avec notre pile logicielle peut minimiser le temps de mise sur le marché et le risque, en s'appuyant sur nos solutions logicielles et matérielles. Nous sommes également en cours de certification pour IEC 62443 4-1 ML3 et 4-2 SL2. Cela s'applique à l'échelle mondiale et est une réglementation de référence clé pour le marché industriel et de l'automatisation. Nous pensons qu'aligner nos processus et produits avec 18031 pour RED et 62443 en termes de processus et de produits fournit une base solide pour le futur CRA. En travaillant avec le Clea Framework, nous garantissons que nos clients peuvent répondre aux exigences actuelles et futures en matière de cybersécurité.
Quels défis avez-vous rencontrés lors de la mise en œuvre de ces mesures ?
Expliquer aux clients les nouvelles réglementations, leur impact et ce qu'elles signifient en termes de processus. Espérons qu'ils trouvent une grande valeur dans notre offre de cybersécurité et dans notre Clea Framework, qui les aide à gérer cette complexité.
Y a-t-il des erreurs courantes que vous voyez souvent se répéter dans le secteur en matière de sécurité embarquée ?
Oui, bien sûr. Certaines entreprises disent : "Ok, nous gérerons cela plus tard." Éviter l'utilisation d'une plateforme pour gérer les mises à jour à distance - en s'appuyant encore sur des clés USB et une présence physique - retarde le processus de mise à jour et l'évaluation des risques qui devrait être effectuée pour prendre la meilleure décision éclairée.
Pour conclure, comment voyez-vous l'évolution de la sécurité dans les systèmes industriels embarqués au cours des 3 à 5 prochaines années ?
La sécurité sera une exigence standard. Construire des appareils sécurisés avec la sécurité à l'esprit réduira les coûts par rapport à la sécurisation des appareils hérités plus tard. De plus, en termes de processus, chaque entreprise sera capable d'évaluer les risques et de prendre les bonnes décisions. Je m'attends également à ce que l'IA ait un impact sur cela, à la fois au niveau de l'edge et dans le cadre de l'évaluation des risques.
Quel message clé aimeriez-vous laisser à ceux qui développent ou intègrent des systèmes embarqués edge-to-cloud aujourd'hui ?
Peu importe la géographie, le marché ou les réglementations actuelles - nous devons considérer la sécurité comme la base de toutes les nouvelles conceptions, ainsi que la base de chaque solution de bout en bout, edge-to-cloud. Cela deviendra une exigence de facto - simplement pour jouer. Avec le Clea Framework, nous pensons offrir une solution simple, multiplateforme, de bout en bout pour se conformer aux exigences actuelles et futures en matière de cybersécurité qui pourraient potentiellement impacter nos clients.
Cette interview reflète l'engagement continu de SECO envers la cybersécurité et l'innovation edge-to-cloud. Découvrez-en plus sur la façon dont le Clea Framework de SECO permet des solutions sécurisées, évolutives et conformes dans les écosystèmes IoT industriels. Contactez-nous pour en savoir plus sur la façon dont SECO peut soutenir votre prochain projet edge sécurisé.