Les gouvernements du monde entier renforcent les réglementations en matière de cybersécurité et la question se pose de plus en plus de savoir ce que cela signifie pour les développeurs et les utilisateurs de systèmes embarqués.
Les systèmes embarqués sont-ils particulièrement vulnérables aux attaques de cybersécurité ? Existe-t-il une législation en matière de cybersécurité qui couvre spécifiquement la sécurité des systèmes embarqués ? Et, si ce n'est pas le cas, l'évolution de la législation en matière de cybersécurité s'applique-t-elle aux systèmes embarqués ?
Dans cet article, nous examinerons les points problématiques les plus courants en matière de sécurité des systèmes embarqués, nous étudierons les lois et réglementations américaines et internationales sur la cybersécurité qui tentent de répondre à ces points problématiques et nous décrirons brièvement ce que les développeurs et les utilisateurs de systèmes embarqués peuvent faire pour se conformer aux réglementations sur la conformité en matière de cybersécurité.
Le paysage de la sécurité des systèmes embarqués
Les développeurs embarqués travaillent dans un vaste paysage de systèmes embarqués, d'outils et de méthodologies dans le but de produire des produits connectés. Ils sont issus de nombreuses disciplines différentes, y compris l'ingénierie logicielle et matérielle, et apportent leur expertise dans une série de domaines de connaissances complémentaires tels que les protocoles de communication, les essais et la certification, etc. Aujourd'hui, la sécurité des systèmes embarqués est l'une des disciplines qui connaît la croissance la plus rapide.
Qu'est-ce qu'un système embarqué ?
Un système embarqué est un système informatique spécialisé et autonome conçu pour effectuer un ensemble spécifique de tâches au sein d'un système ou d'un dispositif plus large. Les systèmes intégrés existent dans des applications telles que l'électronique grand public, les systèmes automobiles, les appareils médicaux et les systèmes de contrôle industriels.
Dans l'industrie, les systèmes embarqués sont couramment utilisés pour des tâches telles que le contrôle et l'automatisation, la surveillance des processus, la gestion des équipements, la collecte et l'analyse des données. Par exemple, dans l'agriculture, les systèmes embarqués dans les systèmes d'irrigation contrôlent le moment de l'arrosage, souvent sur la base de capteurs d'humidité. Dans les applications de fabrication et de chaîne d'approvisionnement, les systèmes intégrés contrôlent la robotique, les assemblages automatisés et les machines de prélèvement et d'emballage. Les technologies grand public s'appuient également sur les systèmes intégrés pour l'automatisation et le contrôle ; pensez aux appareils domestiques intelligents, à la technologie portable, aux appareils électroménagers, etc.
Il convient de noter que la plupart des dispositifs IoT contiennent un système intégré, bien que tous les systèmes intégrés ne soient pas des dispositifs IoT . La connectivité IoT signifie que le système intégré peut désormais être surveillé et géré de n'importe où - mais aussi attaqué de n'importe où.
Stay up-to-date on medical device cybersecurity legislation
Téléchargez notre livre blanc
Télécharger le PDF
Les risques de cybersécurité s'amplifient à mesure que les systèmes embarqués se connectent à l'internet
Comme tout type de technologie, les systèmes embarqués sont vulnérables à un sous-ensemble unique de vecteurs d'attaque de cybersécurité, qui comprend des failles de sécurité matérielles et une vulnérabilité à des stratégies d'attaque telles que les dépassements de mémoire tampon, l'homme du milieu et le déni de service.
Ces risques ne sont évidemment pas nouveaux. Toutefois, un aspect essentiel a changé, rendant les systèmes embarqués beaucoup plus vulnérables qu'ils ne l'étaient auparavant.
Dans le passé, les systèmes intégrés avaient tendance à fonctionner de manière relativement isolée, au sein d'un appareil ou d'un groupe d'appareils reliés à un réseau interne, mais pas au monde extérieur. Aujourd'hui, les appareils qui utilisent des systèmes intégrés sont de plus en plus souvent connectés à l'internet.
Connecter un appareil à l'internet en le transformant en appareil IoT amplifie considérablement les risques de cybersécurité :
- Augmentation de la surface d'attaque: Connectés à l'internet, les systèmes embarqués font partie d'un domaine numérique plus vaste, ce qui les rend plus vulnérables aux attaques.
- Absence de protocoles de sécurité: Les protocoles de sécurité minces conçus pour des dispositifs isolés ne sont pas suffisamment robustes lorsque le système est exposé à l'internet.
- Mises à jour et correctifs limités: Les mises à jour et les correctifs pour les systèmes embarqués suivent rarement l'évolution rapide des menaces en ligne.
- Intégration avec d'autres systèmes: Les systèmes embarqués connectés à l'internet s'intègrent généralement à d'autres systèmes connectés, tels que les applications mobiles et en nuage, ce qui élargit encore la surface d'attaque.
Avant la révolution du site IoT , les pirates devaient être des initiés ou s'introduire physiquement dans les locaux pour lancer une attaque. Aujourd'hui, les systèmes intégrés - avec toutes leurs failles - sont exposés à une communauté mondiale de pirates informatiques.
Facile à atteindre pour les pirates - difficile à mettre à jour pour les utilisateurs
Les systèmes embarqués présentent des vulnérabilités uniques en matière de sécurité, mais ils sont également plus difficiles à sécuriser que d'autres technologies, et ce pour trois raisons essentielles :
- Le cycle de vie du produit: Contrairement à de nombreuses autres technologies, les systèmes intégrés ont une durée de vie de plusieurs dizaines d'années - pensez aux avions, aux systèmes de défense, aux centrales électriques, etc. Les développeurs doivent relever le défi de contrer des risques de cybersécurité inconnus et imprévisibles pendant toute une vie, et ce dès la phase de conception.
- Difficulté de mise à jour: les systèmes intégrés peuvent être physiquement difficiles à atteindre - pensez aux stations de surveillance dispersées dans un grand pays, par exemple, ou au système de contrôle intégré au plus profond d'une mine. En outre, il convient de garder à l'esprit que les dispositifs alimentés par batterie ne sont pas toujours sous tension et accessibles pour déployer des mises à jour.
- Manque de flexibilité: La nature monolithique du système d'exploitation de certains systèmes et les capacités limitées de mémoire et de traitement du matériel embarqué limitent également le type de défenses de sécurité que les développeurs peuvent ajouter après la mise sur le marché.
Cela dit, la difficulté de mettre à jour les systèmes intégrés varie : les téléviseurs intelligents ou les smartphones peuvent être fréquemment mis à jour sans grand inconvénient pour l'utilisateur final, alors que les systèmes de contrôle industriels sont plus difficiles à mettre à jour.
Comment la réglementation en matière de cybersécurité répond aux menaces
La difficulté de mettre à jour les dispositifs intégrés rend parfois les fabricants réticents ou incapables de répondre aux menaces. Les meilleurs fabricants feront toujours le nécessaire pour garantir une cybersécurité rigoureuse, mais les autres feront le minimum. En d'autres termes, c'est un travail pour les régulateurs.
Réglementation sur la cybersécurité des systèmes embarqués
Il n'existe pas de réglementation spécifique aux systèmes embarqués. Néanmoins, les systèmes embarqués sont couverts par les règles de conformité en matière de cybersécurité en raison de la nature et des applications de l'appareil qui contient le système embarqué.
Par exemple, un dispositif médical tel qu'un appareil à rayons X contenant un contrôleur intégré pourrait être couvert par la réglementation sur la cybersécurité des dispositifs médicaux. De même, la technologie embarquée à l'intérieur d'un dispositif IoT - un thermomètre connecté par exemple - pourrait être couverte par la réglementation sur la cybersécurité IoT .
Il n'est pas possible de couvrir de manière exhaustive toutes les lois sur la cybersécurité qui s'appliquent aux systèmes embarqués, mais cette section donne un aperçu de l'étendue (et de la nouveauté) d'une grande partie de cette réglementation.
Nouvelle réglementation en matière de cybersécurité aux États-Unis
Aux États-Unis, de nombreux efforts sont déployés pour améliorer la cybersécurité, dont certains s'appliquent aux dispositifs utilisant des systèmes intégrés. Il s'agit notamment de lois qui couvrent les exigences de sécurité sur le site IoT et de réglementations sectorielles qui concernent, par exemple, les soins de santé et les services financiers.
Prenons l'exemple des dispositifs médicaux connectés. En 2022, la loi sur la FDA a été modifiée par l'ajout d'une exigence pour les dispositifs médicaux connectés - y compris la nécessité de surveiller les dispositifs pendant qu'ils sont sur le marché, une nomenclature logicielle (SBOM), et des fenêtres temporelles pour les correctifs.
La nouvelle législation a des implications pour les systèmes embarqués intégrés dans les dispositifs médicaux connectés. De même, dans les services financiers, les exigences relatives à la norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS) s'appliqueraient aux systèmes intégrés dans les appareils qui traitent les données des cartes de paiement.
En ce qui concerne la réglementation californienne en matière de cybersécurité, la Californie a adopté la loi SB -327 qui couvre la cybersécurité et la protection de la vie privée dans le secteur IoT et exige notamment que les fabricants attribuent des mots de passe préprogrammés uniques à chaque appareil. La loi californienne IoT (SB-327) exige également des fabricants qu'ils prennent des mesures de sécurité raisonnables.
En ce qui concerne les réglementations fédérales en matière de cybersécurité, la loiIoT Cybersecurity Improvement Act of 2020 se concentre sur les dispositifs IoT utilisés par les agences fédérales, mais a néanmoins un impact indirect sur les produits de consommation. Là encore, comme les dispositifs IoT ont tendance à contenir des systèmes embarqués, cela signifie que la loi a des implications pour la cybersécurité des technologies embarquées.
Réglementation mondiale en matière de cybersécurité
La réglementation de l'UE a une portée considérable car les fabricants internationaux doivent s'assurer que leur dispositif est conforme simplement pour vendre sur le marché de l'UE - ce qui signifie qu'en fait, la législation de l'UE s'applique au niveau mondial. Dans l'UE, les lois susceptibles d'affecter la cybersécurité des systèmes embarqués sont les suivantes :
- Directive relative aux équipements hertziens (RED): Applique des exigences de cybersécurité aux dispositifs qui contiennent des composants d'équipement radio, tels que des modules Bluetooth ou Wi-Fi, que ces dispositifs soient finalement interconnectés ou non, ce qui, là encore, va généralement de pair avec un système intégré à l'intérieur des dispositifs.
- Règlement relatif aux dispositifs médicaux (MDR) et dispositifs médicaux de diagnostic in vitro (DMDIV): Ces règlements décrivent les exigences en matière de cybersécurité pour les dispositifs médicaux dans l'UE, y compris la surveillance après la mise sur le marché, la déclaration des incidents, la traçabilité et les tests.
- Directive NIS2: S'applique aux secteurs hautement critiques, qui déploient couramment des systèmes embarqués, en mettant l'accent sur la sécurité des réseaux et des systèmes d'information.
D'autres lois, telles que le règlement général sur la protection des données (RGPD) et la loi européenne sur la cybersécurité, auront également des répercussions sur la technologie embarquée, tandis que la loi sur la cyberrésilience (CRA) couvrira de nombreuses applications dans lesquelles les systèmes embarqués sont monnaie courante.
Les pays appliquent également leurs propres lois. Par exemple, en 2020, le ministère japonais de l'économie, du commerce et de l'industrie (METI) a annoncé son cadre de sécurité et de sûretéIoT (IoT-SSF ). Ce cadre évalue les mesures de sécurité pour les appareils et les systèmes IoT , ainsi que les nouveaux risques introduits par l'intégration du cyberespace et des espaces physiques.
IoT Les normes de cybersécurité à l'origine de la législation
Il convient de noter que certaines des réglementations et lignes directrices résumées dans cette section sont basées sur des normes de cybersécurité existantes ( IoT ), telles que la norme EN 303 645 et la norme CEI 62443-4-2.
Il est donc conseillé de prendre en compte les normes de sécurité plus larges de IoT lors de l'évaluation de la conception des systèmes embarqués connectés.
En particulier pour les produits qui seront expédiés en Europe à partir de 2024, les fabricants doivent s'assurer que leurs produits répondent à ces normes ou obtenir une certification par une tierce partie si nécessaire.
Aux États-Unis, il existe également le programme NIST Cybersecurity for IoT , NISTIR 8259A: Core Device Cybersecurity Capability Baseline (29 mai 2020), qui devrait être pris en compte par les fabricants de dispositifs IoT .
Exigences de sécurité pour les dispositifs IoT
Nous avons expliqué pourquoi la cybersécurité des systèmes embarqués devient si importante : les appareils dotés d'une technologie embarquée sont désormais couramment des appareils IoT , tout simplement parce que nous vivons dans un monde de plus en plus connecté.
Exigences fondamentales en matière de sécurité des systèmes embarqués IoT
Pour sécuriser les appareils IoT et les systèmes embarqués qu'ils contiennent, il faut commencer par appliquer les bonnes pratiques en matière de sécurité des systèmes embarqués. Cela inclut des techniques établies telles que
- Racine de confiance qui fournit des fonctions essentielles pour permettre le démarrage, la cryptographie, l'attestation et le stockage sécurisé. La racine de confiance est utilisée pour garder les clés cryptographiques privées (données cryptées) confidentielles et inaltérées, protégées par des mécanismes matériels.
- Démarrage sécurisé qui exploite la signature fournie par une ancre de confiance de l'appareil pour garantir que le logiciel exécuté sur un appareil est authentique et n'a pas été altéré.
- Protection de l'espace exécutable qui marque des régions spécifiques de la mémoire comme non exécutables de sorte qu'une tentative d'exécution du code machine dans ces régions provoque une exception.
- Des canaris de pile pour permettre au système d'exploitation de détecter un débordement de la mémoire tampon de la pile avant d'exécuter un code malveillant.
Les fabricants d'appareils doivent également s'assurer qu'ils peuvent s'adapter à l'évolution des menaces du monde en ligne tout au long du cycle de vie d'un produit, ainsi qu'à la conformité et aux réglementations en matière de cybersécurité.
Exigences de sécurité dans l'architecture IoT
La rapidité avec laquelle les risques de cybersécurité évoluent signifie que les capacités de sécurité des dispositifs doivent être gérées une fois qu'ils sont déjà sur le marché. Les stratégies permettant de répondre aux exigences actuelles en matière de sécurité dans l'architecture IoT sont les suivantes :
- Gestion du cycle de vie des produits: Utilisez des services de surveillance et de mise à jour basés sur le cloud pour garantir la conformité avec la législation en matière de cybersécurité à chaque étape du cycle de vie d'un appareil, de l'approbation à la fin de vie.
- Transparence et conformité: Maintenir une analyse complète pour construire un SBOM personnalisé, tout en surveillant les vulnérabilités tout au long de la vie de l'appareil - permettant aux fabricants de remplir leurs obligations de transparence en identifiant les vulnérabilités critiques au fur et à mesure qu'elles apparaissent.
- Réponse aux menaces: Maintenir la capacité de diffuser rapidement des mises à jour critiques pour remédier aux vulnérabilités émergentes pendant que le système embarqué fonctionne dans l'environnement de l'utilisateur.
Faire ces suggestions est la partie la plus facile, bien sûr. Les mettre en œuvre dans le contexte des systèmes embarqués est une autre question. C'est une question d'outils.
Solutions Digi pour la sécurité des systèmes embarqués
Les développeurs, les intégrateurs de systèmes et les fabricants ont besoin d'un système de sécurité intégré IoT qui leur permette de gérer la sécurité d'une flotte d'appareils IoT tout au long du cycle de vie du produit : de la mise sur le marché à la fin de vie.
Digi prend en charge l'ensemble du cycle de vie du développement, des tests, de l'intégration de la sécurité et de la gestion continue avec une suite complète de modules de développement - y compris la familleDigi ConnectCore de systèmes sur modules hautement intégrés - et d'outils pour la conception rapide de produits, l'intégration sans fil, la sécurité intégrée et la gestion continue du cycle de vie.
Cela inclut l'utilisation de notre cadre de sécurité IoT Digi TrustFence® qui permet aux fabricants d'intégrer facilement la sécurité des appareils, l'identité des appareils et les capacités de confidentialité des données dans la conception de leurs produits. En combinaison avec l'utilisation de services tels que Digi ConnectCore® Security Services qui surveillent les menaces une fois que l'appareil est en service, et qui permettent aux fabricants d'intégrer des correctifs pour les vulnérabilités identifiées, et Digi ConnectCore Cloud Services pour publier et déployer en toute sécurité les mises à jour de l'appareil afin de contrer les nouvelles menaces.
En concevant la sécurité dès le départ et en assurant une gestion active de la sécurité tout au long du cycle de vie du produit, les équipementiers qui construisent des systèmes embarqués peuvent se conformer au volume croissant de réglementations en matière de cybersécurité embarquée spécifiques à IoT et à l'industrie. Les suites de SOM et les outils et services de développement de Digi peuvent vous aider à atteindre ces objectifs. Et si vous avez besoin d'une assistance technique pour faire passer votre système connecté par le cycle de développement du produit pour une mise sur le marché rapide et pour répondre à toutes les exigences actuelles, les services de conception sans fil de Dig i peuvent vous aider.
Vous pouvez en savoir plus sur la façon dont la gamme de solutions de gestion et de sécurité Digi pour les systèmes embarqués peut aider votre organisation à se conformer à la cybersécurité en visitant la page Digi ConnectCore Embedded Solutions ici.
Prochaines étapes