Le Cyber Resilience Act (CRA) est un nouveau règlement européen visant à renforcer la sécurité des objets connectés. Bien que la date d’entrée en vigueur ne soit pas encore connue, les fabricants et fournisseurs IoT doivent commencer à l’anticiper pour développer des produits hardwares sûrs. Le CRA favorise la sécurité par défaut (by design) en intégrant des pratiques de chiffrement et d’authentification, ainsi que des clés de sécurité. Les nouveaux objets connectés doivent également être conçus de manière à garantir leur sécurité dès le départ.
Toutefois, pour les objets connectés déjà déployés sur le terrain, leur sécurisation va passer par une mise à jour logicielle. Les fabricants et fournisseurs IoT encouragent donc leurs clients à avoir une bonne visibilité des parcs d’objets déjà en place et de leur environnement pour évaluer leur niveau de sécurité. Les mises à jour logicielles sont un moyen de garantir la sécurité des objets connectés déployés sur le terrain, mais cela peut entraîner des coûts et des changements de philosophie pour les acteurs de l’IoT.
La sécurité des objets connectés doit également être expliquée aux utilisateurs finaux, afin de garantir une bonne compréhension des pratiques de sécurité. Selon Alexandre Chaverot, PDG d’Avidsen, fabricant français d’objets connectés, la pédagogie est essentielle pour assurer la sécurité des objets connectés. En effet, si la sécurité est intégrée by design, elle sera transparente. Si, en revanche, la sécurité est perçue comme une contrainte, elle ne sera pas acceptée. La pédagogie est donc le deuxième pilier du CRA.
A lire sur le site de lemonfe.fr : Avec le Cyber Resilience Act, l’Union européenne veut serrer la vis sur la cybersécurité
L’avantage de cette sécurisation tient dans « l’augmentation de la durée de vie des équipements par leur maintenance », se réjouit Stéphane Henry, business line general manager chez le groupe Lacroix. Chez Avidsen, la sécurité est devenue un argument commercial pour s’imposer sur le marché. Pour beaucoup, le CRA est l’occasion de rappeler que toute entreprise est concernée par la cybersécurité et doit assumer sa vulnérabilité.
Le CRA élargit le périmètre de la sécurité de l’IoT, mais les normes spécifiques pour les objets industriels et du grand public existent déjà. Les produits industriels font déjà l’objet de normes spécifiques en matière de sécurité, et la norme EN 303 645 s’applique aux objets connectés destinés au grand public. Pour les acteurs de l’IoT, le CRA représente donc un rappel des pratiques à mettre en œuvre.
Le conseil phare des acteurs interrogés est de veiller à la pédagogie des utilisateurs finaux. Il est également essentiel de prendre en compte la sécurité dès la conception des objets connectés pour garantir une sécurité by design. Les projets de cybersécurité doivent être lancés dès à présent, avant même l’application des textes, car la sécurité est un cycle long. En effet, selon Michele Sartori, ingénieur chez Quarkslab, un projet de cybersécurité requiert au moins « entre six mois et un an de travaux ».
En somme, le CRA est un nouveau règlement européen visant à renforcer la sécurité des objets connectés. Il favorise la sécurité par défaut (by design) en intégrant des pratiques de chiffrement et d’authentification, ainsi que des clés de sécurité. Pour les fabricants et fournisseurs IoT, il va devenir incontournable, bien que son entrée en vigueur ne soit pas immédiate. Les acteurs de l’IoT encouragent leurs clients à avoir une bonne visibilité des parcs d’objets déjà en place et de leur environnement pour évaluer leur niveau de sécurité. La pédagogie est essentielle pour assurer la sécurité des objets connectés, et les projets de cybersécurité doivent être lancés dès à présent, avant même l’application des textes.
En définitive, le CRA élargit le périmètre de la sécurité de l’IoT et offre aux acteurs de l’IoT l’opportunité de se positionner sur le marché avec un argument commercial de sécurité. Pour les entreprises, la sécurisation des objets connectés offre l’avantage d’augmenter la durée de vie des équipements par leur maintenance. Le CRA est un rappel des pratiques à mettre en œuvre pour garantir la sécurité des objets connectés, et toute entreprise est concernée par la cybersécurité. La mise en place des pratiques de sécurité dès la conception des objets connectés est donc essentielle pour garantir leur sécurité by design.
