L’industrie automobile
Au cours des dernières années, la technologie de nos voitures et camions s’est considérablement améliorée. Des fonctionnalités telles que l’avertissement de collision avant et le freinage d’urgence automatique, rendues possibles par les avancées en matière de capteurs et d’analyse de données en temps réel, ont rendu nos véhicules et nous-mêmes plus sûrs.
Les véhicules autonomes, déjà utilisés dans certaines villes, ont le potentiel d’améliorer davantage la sécurité des conducteurs, en réduisant le risque d’erreur humaine. Mais avec ces nouvelles technologies, de nouveaux risques apparaissent : nous devons nous assurer que les véhicules sont pris en compte et minimisés au fur et à mesure de leur fabrication.
Directives de cybersécurité pour les véhicules
Récemment, le ministère américain des Transports (DOT) a fait un premier pas significatif vers la résolution de ces nouveaux risques en publiant des directives de cybersécurité provisoires pour les véhicules. Elles comprennent un certain nombre de pratiques recommandées, comme la limitation de la capacité à modifier le firmware du véhicule et les systèmes de contrôle de segmentation, qui devraient devenir la norme pour les constructeurs automobiles. Mais bien que ces directives fournissent une base solide, puisqu’elles sont volontaires, les consommateurs n’ont toujours aucun moyen de savoir à quel point un fabricant a respecté les directives, le cas échéant.
Le gouvernement devrait fournir aux consommateurs cette transparence, tout comme ils ont exigé des constructeurs automobiles qu’ils affichent publiquement d’autres fonctionnalités de sécurité, telles que les notations des tests de collision. Avec des vies humaines en jeu, la cybersécurité ne peut pas être considérée comme distincte de la sécurité physique.
Le DOT peut résoudre le problème en créant une étiquette de sécurité pour les véhicules, comme les notations MPG requises par l’EPA, qui afficherait les résultats d’une évaluation de sécurité complète. Les directives recommandent un test similaire, mais, encore une fois, sans exiger la divulgation de ses résultats, les consommateurs n’ont aucun moyen de savoir à quel point leur véhicule est sûr ou non. Ces évaluations doivent être obligatoires et doivent être menées par un tiers certifié par le gouvernement, examinant l’architecture globale du véhicule, les composants critiques dans le code sous-jacent, les protocoles de communication personnalisés et la manière dont le véhicule réagit aux attaques actives ou passives sur les sensors.
Établir des critères spécifiques pour les évaluations
Pour établir les critères spécifiques pour ces évaluations, le DOT doit réunir un groupe de travail de fabricants automobiles et d’experts en cybersécurité. Ce groupe peut décider qui doit certifier les fournisseurs comme qualifiés pour effectuer ces évaluations, quand et quelles informations seront les plus utiles pour les consommateurs.
Ayant aidé de nombreux clients à se conformer aux réglementations en matière de cybersécurité, y compris les grands constructeurs automobiles américains, je suis particulièrement conscient du fardeau réglementaire et je sais qu’un type de réglementation trop élevé ou incorrect peut distraire la sécurité, plutôt que d’améliorer la sécurité. La nécessité d’une évaluation de sécurité n’est pas trop lourde. Il ne dicte pas la méthodologie que les fabricants utilisent pour sécuriser leurs véhicules et n’impose pas d’exigences coûteuses ; il donne aux consommateurs la transparence qu’ils méritent pour comprendre à quel point leur véhicule est sûr.
Le DOT a publié pour la première fois les normes fédérales de sécurité des véhicules à moteur en 1967 pour s’assurer que « le public est protégé contre le risque déraisonnable d’accidents survenant à la suite de la conception, de la construction ou de la performance des véhicules à moteur et est également protégé contre le risque déraisonnable de décès ou de blessures en cas d’accidents. »
Conclusion
La cybersécurité devrait finalement s’intégrer dans ce même champ d’application, sur un pied d’égalité avec les ceintures de sécurité et les airbags. Mais pour l’instant, le gouvernement devrait prendre cette étape intermédiaire à court terme pour fournir aux consommateurs les informations exactes et vérifiées dont ils ont besoin pour prendre des décisions éclairées. C’est l’une des mesures les plus efficaces qu’ils puissent prendre pour améliorer la sécurité des véhicules à tous les niveaux tout en ayant un impact relativement minime sur les résultats des fabricants.
À propos de l’auteur : en tant que directeur de la sécurité, David Damato fournit une orientation stratégique des produits sur le développement de modules pour la Tanium Platform et gère le programme de sécurité interne de l’entreprise. David apporte une expertise approfondie en matière de sécurité à Tanium, couvrant la réponse aux incidents et l’informatique légale, les évaluations des vulnérabilités, le développement de programmes de sécurité, l’exploitation de la sécurité et l’architecture réseau et sécurité. Avant Tanium, David a récemment occupé le poste de directeur général chez Mandiant, une société FireEye, où son équipe a dirigé les efforts de réponse aux incidents et de remédiation post-violation dans plus de 100 entreprises du Fortune 500 . Chez Mandiant, David a également joué un rôle essentiel dans le développement de nouvelles capacités de services de réponse aux incidents et dans l’établissement de bureaux de conseil à la fois au niveau national et international. Avant Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC dans le cadre de son cabinet fédéral de Washington et a occupé des postes informatiques chez Raytheon axés sur la gestion des réseaux internes et gouvernementaux. David partage fréquemment son expertise et ses connaissances lors d’événements du secteur et avec les médias.
