La loi européenne sur la cybersécurité (CRA) définit les exigences en matière de cybersécurité pour les produits comportant des éléments numériques commercialisés dans l'Union européenne. Elle met davantage l'accent sur le développement sécurisé des produits, la gestion des vulnérabilités, la transparence en matière de cybersécurité et un support continu tout au long du cycle de vie du produit. Bien que la législation s'applique principalement aux fabricants, la réglementation concerne également les organismes qui distribuent, installent, acquièrent et gèrent les appareils connectés.
« La loi sur la cyber-résilience renforce plusieurs principes de sécurité intégrée et de gestion du cycle de vie que Genetec défend depuis des années », a déclaré Mathieu Chevalier, architecte principal en sécurité chez Genetec. « En rehaussant les exigences en matière de sécurité et de transparence des produits, la réglementation de la loi sur la cyber-résilience offre aux acheteurs une base claire pour évaluer les fournisseurs de technologies et la cyber-résilience à long terme de leurs produits. ».
Pendant combien de temps le produit bénéficiera-t-il de mises à jour de sécurité et d'un support technique ?
La CRA souligne l'importance de maintenir la sécurité du produit tout au long de son cycle de vie. Les professionnels de la sécurité doivent savoir pendant combien de temps le fournisseur assurera les mises à jour, comment il corrigera les vulnérabilités et quel support il offrira lorsque les produits arriveront en fin de vie. La réglementation de la CRA exige des fabricants qu'ils fournissent des mises à jour de sécurité et une gestion des vulnérabilités pendant au moins cinq ans, ce qui fait du support à long terme un facteur important à prendre en compte lors de l'évaluation des produits.
La cybersécurité a-t-elle été intégrée au produit dès sa conception ?
Les principes de « Sécurité dès la conception » et de « Sécurité par défaut » sont fondamentaux pour l’analyse des risques cybernétiques. Il est conseillé de demander au fournisseur d’expliquer comment il intègre la cybersécurité à la conception, au développement, aux tests et au cycle de vie du produit.
Comment le fournisseur identifie-t-il, divulgue-t-il et corrige-t-il les vulnérabilités ?
Aucun logiciel n’est à l’abri des vulnérabilités. La réaction d’un fournisseur est un indicateur clair de son engagement en matière de cybersécurité. Privilégiez un programme de gestion des vulnérabilités robuste comprenant des tests de sécurité réguliers, une politique de divulgation des vulnérabilités coordonnée, une correction basée sur les risques sans délai excessif, une distribution sécurisée des mises à jour de sécurité et des notifications claires concernant les vulnérabilités corrigées.
Le fournisseur fait-il preuve de transparence quant à ses pratiques en matière de cybersécurité ?
La cybersécurité est une responsabilité partagée. Les fournisseurs responsables expliquent comment ils développent, testent et maintiennent leurs produits, et fournissent aux clients et aux intégrateurs des instructions claires pour une mise en œuvre sécurisée. Il est conseillé de se renseigner sur la manière dont le fournisseur contrôle et évalue régulièrement la sécurité de ses produits, communique les vulnérabilités et les mises à jour de sécurité, et fournit des recommandations pour renforcer la sécurité des systèmes.
« Les organisations les mieux préparées à gérer les futures cybermenaces considèrent la cybersécurité comme une collaboration continue, et non comme une décision d'acquisition ponctuelle », a conclu Chevalier. « Le CRA contribue à renforcer cette approche en établissant des attentes communes en matière de transparence, de gestion rigoureuse des vulnérabilités et de support technique à long terme pour les produits, ce qui profite aux fabricants, aux intégrateurs et aux organisations qui dépendent de systèmes de sécurité physique connectés. ».
