Le distributeur Mouser Electronics publie en partenariat avec le fournisseur de semi-conducteurs Microchip un e-book intitulé “Designing for the Cyber Resilience Act: Securing Connected Devices from First Schematic to Final Decommissioning” i.e "Conception conforme à la loi sur la cyber-résilience : sécuriser les dispositifs connectés du premier schéma à la mise hors service finale".
Mouser et Microchip expliquent qu’au fur et à mesure que les produits connectés se généralisent dans les applications industrielles, grand public, d’infrastructure et de l’IoT, la cybersécurité doit être prise en compte tout au long du cycle de vie du produit.
Or, à partir de décembre 2027, les produits dotés d’éléments numériques - notamment du matériel ou des logiciels présentant des connexions directes ou indirectes avec d’autres appareils ou réseaux - devront satisfaire aux exigences essentielles en matière de cybersécurité prévues par la loi sur la cyber-résilience (CRA, Cyber Resilience Act) de l’Union européenne avant de pouvoir porter le marquage CE et d’être mis sur le marché de l’UE.
La réglementation fait ainsi de la cybersécurité un critère d’accès au marché, au même titre que les exigences établies pour les produits.
Au sein de cet e-book en anglais consacré à ce sujet, on suit un produit connecté tout au long de son cycle de vie du point de vue de la sécurité. En s’appuyant sur les analyses de Tim Scherer, ingénieur principal en solutions embarquées pour la cyber-résilience chez Microchip Technology, l’ouvrage examine le champ d’application, les délais et les normes de la CRA ; les choix de conception qui définissent une architecture de sécurité ; la validation des prototypes ; le déploiement à l’échelle de la production ; ainsi que la gestion des identités, des identifiants et des mises à jour des dispositifs tout au long de leur cycle de vie, depuis leur mise en service jusqu’à leur mise hors service sécurisée.
Les principaux thèmes abordés inclut comment déterminer si un produit relève du champ d’application de la CRA, comment réaliser une évaluation des risques en fonction de son utilisation prévue, des données qu’il traite et de ses connexions et comment appliquer les principes de "sécurité dès la conception" (Secure By Design) et de "sécurité par défaut".
Dans l’e-book, la mise en place des éléments fondamentaux de la sécurité des appareils est abordée. A savoir comment mettre en place une chaîne de démarrage fiable, gérer l’intégrité du micrologiciel, la protection des clés et, le cas échéant, le chiffrement des données sensibles Il abord également la démarche à suivre pour sélectionner une racine de confiance matérielle, notamment des éléments sécurisés qui génèrent et protègent des clés privées et permettent d’effectuer des opérations de chiffrement.
L’e-book montre aussi comment réaliser des prototypes à l’aide de dispositifs préconfigurées, puis planifier la fourniture de clés et de certificats sécurisés à l’échelle de la production.
Enfin, cet ouvrage en ligne explore également les choix pratiques liés à la mise en œuvre de ces fonctionnalités, notamment l’utilisation de l’élément sécurisé ATECC608C de Microchip, de la carte de développement DM320118 CryptoAuth Trust Platform, de la plateforme EV89U05A CryptoAuth Pro Trust, et de manière générale de la Trust Platform Design Suite, service de provisionnement géré TrustMANAGER et le framework de connectivité keySTREAM de Microchip.
In fine, cet e-book a pour ambition d’établir un lien entre les obligations en matière de sécurité des systèmes d’information (CRA) et les mécanismes techniques mis en œuvre pour y répondre, en explicitant un cadre pratique permettant d’intégrer dès le départ la cybersécurité dans le développement des produits connectés.
L’e-book est téléchargeable gratuitement ici.
