Incorporer la cybersécurité aux IHM industrielles
La cybersécurité fait désormais partie intégrante du développement des produits industriels.
Les IHM connectées, contrôleurs et autres composants électroniques échangent en effet de plus en plus de données avec les machines, les réseaux et les systèmes externes. Dans le même temps, la réglementation, et en particulier le règlement européen Cyber Resilience Act (CRA), introduisent de nouvelles exigences de cybersécurité pour les produits contenant des composantes numériques.
Pour un fabricant d’équipements, il convient que la cybersécurité soit prise en compte tout au long du cycle de vie des produits, depuis l’architecture et la conception jusqu’à la maintenance et à la gestion des vulnérabilités.
APEM est donc en train d’élaborer en conséquence ses processus et son expertise en cybersécurité pour accompagner les OEM et les intégrateurs systèmes au fil de l’évolution de ces exigences.
La cybersécurité tout au long du cycle de vie des produits
L’efficacité de la cybersécurité des produits exige cependant davantage que le simple ajout de fonctions de sécurité isolées.
Il est en effet nécessaire que les considérations de sécurité soient incorporées dans le processus d’ingénierie lui-même, qu’il s’agisse de l’identification des menaces potentielles, de la définition d’obligations de conception pertinentes, de la vérification de leur mise en œuvre, ou encore de la maintenance des produits après mise en service.
APEM structure actuellement son approche autour de ces principes, à savoir :
l’analyse des menaces et l’évaluation des risques de cybersécurité ;
le développement et la conception de produits sécurisés ;
la vérification et la documentation des preuves ;
la documentation technique ;
la gestion des vulnérabilités ;
les corrections de sécurité et les mises à jour logicielles ;
la préparation aux évaluations de conformité des produits.
Cette approche du cycle de vie s’avère tout particulièrement importante pour les produits embarquant un logiciel, qui restent exposés à de nouvelles vulnérabilités et de nouvelles exigences de sécurité bien après la phase de développement initiale.
APEM prévoit ainsi de maintenir la conformité des produits tout au long de la période de soutien déclarée en associant correctifs, patchs de sécurité et mises à niveau logicielles, dans le cadre de mécanismes de diffusion contrôlée déterminés d’un commun accord avec les clients.
Se préparer au Cyber Resilience Act
Le Règlement sur la cyberrésilience (CRA) prévu par l’UE introduit des obligations de cybersécurité pour les fabricants de produits comportant des composantes numériques. Les acteurs industriels devront être fin prêts le 11 décembre 2027, date à laquelle le CRA entrera intégralement en vigueur.
Du point de vue d’un fabricant de composants, cela signifie intégrer progressivement les exigences de sécurité au développement des produits, à la documentation, à la maintenance et à la gestion des vulnérabilités.
À l’heure actuelle, APEM accélère l’évaluation de son portefeuille de produits existant à l’aune des exigences du CRA et élabore parallèlement un cadre d’évaluation structuré pour ses futurs produits.
L’objectif n’est pas simplement de répondre à un règlement donné, mais d’établir également des processus de développement de produits sécurisés capables de satisfaire aux prochaines obligations européennes, à commencer par le CRA et le Règlement Machines.
Pour les OEM intégrant des IHM industrielles d’APEM à des systèmes plus larges, cette démarche a pour intérêt de contribuer à fournir les informations techniques et les preuves attendues au niveau du produit lors de la préparation des activités de conformité qui leur incombent.
Un processus de développement structuré articulé autour de la CEI 62443
Une étape majeure de cette stratégie est la mise en œuvre par APEM de la CEI 62443-4-1, norme internationale de cybersécurité applicable aux organisations développant des produits utilisés dans les automatismes industriels et les systèmes de contrôle.
Le texte définit des pratiques de cybersécurité couvrant l’ensemble du cycle de vie du développement sécurisé, des premières exigences et de la conception des produits à la vérification, la maintenance et la mise hors service finale.
APEM a reçu de Bureau Veritas LCIE la confirmation de la validation de son évaluation selon la norme IEC 62443-4-1, au niveau de maturité 2.
La prochaine étape consiste à élargir cette démarche à la cybersécurité au niveau du produit, en instaurant notamment un processus de certification de l’architecture de référence des produits embarqués d’APEM.
Gérer les vulnérabilités avec une PSIRT dédiée
Les responsabilités en matière de cybersécurité ne prennent pas fin au moment de la mise sur le marché d’un produit.
C’est la raison pour laquelle APEM a constitué une Équipe de réponse aux incidents de sécurité des produits (Product Security Incident Response Team ou PSIRT), à laquelle il revient de prendre en charge les vulnérabilités signalées.
La PSIRT obéit à un processus structuré comprenant :
la réception des rapports de vulnérabilité ;
l’évaluation de leur gravité et de leur impact potentiel ;
la coordination des actions correctives ;
la gestion de la communication concernant les vulnérabilités identifiées.
Cette organisation a pour avantage de créer un canal d’échange privilégié entre clients, spécialistes de la cybersécurité et équipes d’ingénierie d’APEM sitôt qu’un problème de sécurité potentiel est constaté.
Une expertise dédiée à la cybersécurité chez APEM
Soucieux d’accompagner ces évolutions, APEM a établi un centre de compétences en sécurité fonctionnelle et cybersécurité en France.
Le rôle de cette structure consiste à élaborer une expertise, des processus et des méthodes d’ingénierie réutilisables pouvant s’appliquer aux différentes activités d’APEM et d’IDEC.
Le centre de compétences contribue d’ores et déjà aux travaux de développement et de certification de produits sécurisés, notamment les joysticks, les solutions de panneau d’APEM et les solutions de mobilité d’IDEC, sachant que d’autres projets sont à l’ordre du jour.
L’objectif est également de renforcer la réutilisation des architectures, méthodologies et outils de sécurité à l’échelle du Groupe en lieu et place de l’élaboration d’approches isolées pour chaque produit. Une telle démarche permettrait d’améliorer la cohérence tout en favorisant l’efficacité des activités de conformité.
Ressources sur la cybersécurité
APEM vient de franchir un jalon majeur de son programme de cybersécurité produits : LCIE Bureau Veritas a validé l’évaluation du niveau de maturité 2 d’APEM de la CEI 62443-4-1.
La PSIRT, ou comment accompagner les OEM au-delà du composant
Si vous identifiez une vulnérabilité potentielle en rapport avec un produit APEM ou que vous êtes confronté à un incident de cybersécurité impliquant l’un de nos produits, veuillez le signaler au moyen de ce formulaire.
Obtenez rapidement l'aide et les ressources dont vous avez besoin avec APEM
Nous répondons à vos questions.
Nous sommes là pour vous aider et vous guider.
Trouvez rapidement ce dont vous avez beoin.