Que s'est-il passé ?
L'obligation de signalement du Cyber Resilience Act (CRA) de l'UE est entrée en vigueur. Dans ce contexte, Genetec, fournisseur de logiciels de sécurité physique, a publié un guide destiné à aider les responsables de la sécurité à évaluer les compétences en cybersécurité des fournisseurs de technologies. Ce guide formule cinq questions essentielles permettant aux entreprises d'évaluer la manière dont les fournisseurs développent, maintiennent et accompagnent leurs produits connectés tout au long de leur cycle de vie.
Les détails
Le CRA établit des exigences de cybersécurité pour les produits comportant des éléments numériques vendus dans l'Union européenne. Il met l'accent sur un développement sécurisé des produits, une gestion efficace des vulnérabilités, la transparence en matière de cybersécurité ainsi qu'un support continu des produits tout au long de leur cycle de vie. Bien que ce règlement s'adresse en premier lieu aux fabricants, il a également des répercussions sur les entreprises qui distribuent, installent, acquièrent et exploitent des appareils connectés – et donc également sur les exploitants de systèmes d'alarme, de vidéosurveillance ou de contrôle d'accès.
Genetec recommande aux responsables de la sécurité de poser les cinq questions suivantes aux fournisseurs de technologies potentiels :
- Pendant combien de temps le produit bénéficie-t-il de mises à jour de sécurité et d'un support ? Le CRA oblige les fabricants à fournir des mises à jour de sécurité pendant une période de support définie, qui doit en principe couvrir au moins cinq ans ou la durée de vie prévue du produit, si celle-ci est plus courte.
- La cybersécurité a-t-elle été intégrée dès le départ ? Les principes « Secured by Design » et « Secure by Default » sont au cœur du CRA. Les fournisseurs doivent être en mesure d'expliquer comment la cybersécurité a été intégrée dans la conception, le développement, les tests et l'ensemble du cycle de vie du produit.
- Comment le fournisseur identifie-t-il, communique-t-il et corrige-t-il les failles de sécurité ? Cela comprend des tests de sécurité réguliers, une procédure coordonnée de divulgation des vulnérabilités, leur correction rapide et basée sur les risques, la mise à disposition sécurisée des mises à jour ainsi que des informations claires sur les vulnérabilités corrigées.
- Le fournisseur fait-il preuve de transparence concernant ses propres pratiques de cybersécurité ? Les fournisseurs responsables communiquent sur la manière dont ils développent, testent et maintiennent leurs produits, et fournissent aux clients ainsi qu'aux intégrateurs de systèmes des directives claires pour un déploiement sécurisé.
- Comment le fournisseur soutient-il la cyber-résilience à long terme ? Cela inclut la manière dont la période de support est définie et communiquée, la gestion des failles de sécurité, la mise à disposition des mises à jour et l'organisation de la fin de vie du produit.
Mathieu Chevalier, architecte principal en sécurité chez Genetec Inc., met cette évolution en perspective : « Le Cyber Resilience Act renforce de nombreux principes de "sécurité dès la conception" et de gestion du cycle de vie que Genetec défend depuis des années. Les règles du CRA renforcent les exigences en matière de sécurité des produits et de transparence, offrant ainsi aux acheteurs une base claire pour évaluer les fournisseurs de technologies et optimiser à long terme leur cyber-résilience. »
Mise en perspective
Pour le secteur de la technologie de sécurité physique – de la vidéosurveillance au contrôle d'accès en passant par les systèmes d'alarme connectés – le CRA représente un changement notable. Les appareils qui étaient auparavant évalués principalement sous l'angle de la sécurité mécanique ou structurelle, comme les coffres-forts de dépôt ou les poteaux d'ancrage, sont aujourd'hui de plus en plus connectés et donc exposés à des risques cybernétiques potentiels. Quiconque acquiert, installe ou exploite des technologies connectées assume désormais une part de responsabilité quant à la conformité de ces systèmes aux exigences du CRA. Le règlement déplace ainsi l'accent d'une décision d'achat ponctuelle vers un partenariat continu entre fournisseur et exploitant.
Conseils pratiques
- Avant l'acquisition, clarifier la durée pendant laquelle le fabricant garantit les mises à jour de sécurité – selon le CRA, la référence est d'au moins cinq ans ou la durée de vie prévue.
- Demander si les principes « Secure by Design » et « Secure by Default » ont déjà été pris en compte dès la phase de développement.
- Vérifier les procédures du fournisseur en matière de gestion des vulnérabilités, en particulier les processus de divulgation et de correction des failles de sécurité.
- Exiger de la transparence : le fournisseur documente-t-il ses propres pratiques de sécurité et fournit-il des instructions pour le durcissement des systèmes ?
- Se renseigner dès le départ sur les stratégies de fin de support (End-of-Life) des produits, y compris pour les composants connectés tels qu'un Wardhub dans les systèmes de sécurité.
Perspectives
Avec l'entrée en vigueur de l'obligation de signalement du CRA, la cybersécurité devient un critère d'évaluation incontournable dans le choix des technologies de sécurité physique. Les entreprises exploitant des solutions de sécurité connectées devraient utiliser les cinq questions mentionnées comme base pour leurs discussions avec les fournisseurs et adapter leurs processus d'acquisition en conséquence. À long terme, selon Chevalier, une approche devrait s'imposer dans laquelle la cybersécurité n'est pas considérée comme une décision ponctuelle, mais comme un partenariat continu entre fabricants, intégrateurs de systèmes et exploitants.
