L'industrie automobile
Au cours des dernières années seulement, la technologie embarquée dans nos voitures et nos camions s'est considérablement améliorée. Des fonctionnalités telles que l'alerte de collision avant et le freinage d'urgence automatique, rendues possibles grâce aux progrès réalisés dans le domaine des capteurs et de l'analyse des données en temps réel, ont renforcé la sécurité de nos véhicules et la nôtre.
Les véhicules autonomes, déjà en service dans certaines villes, sont susceptibles d'améliorer encore la sécurité des conducteurs, en réduisant le risque d'erreur humaine. Mais ces nouvelles technologies s'accompagnent de nouveaux risques, dont nous devons veiller à ce qu'ils soient pris en compte et réduits au minimum lors de la fabrication des véhicules.
Recommandations en matière de cybersécurité pour les véhicules
Récemment, le ministère américain des Transports (DOT) a franchi une première étape importante dans la lutte contre ces nouveaux risques en publiant un projet de lignes directrices en matière de cybersécurité (s'ouvre dans un nouvel onglet) pour les véhicules. Elles comprennent un certain nombre de bonnes pratiques, telles que la limitation de la possibilité de modifier le micrologiciel des véhicules et la segmentation des systèmes de commande, qui devraient devenir la norme pour les constructeurs automobiles. Cependant, bien que ces recommandations constituent une base solide, comme elles sont facultatives, les consommateurs n'ont toujours aucun moyen de savoir dans quelle mesure un fabricant les a respectées, voire s'il les a respectées.
Le gouvernement devrait garantir cette transparence aux consommateurs, tout comme il a exigé des constructeurs automobiles qu'ils communiquent publiquement d'autres informations relatives à la sécurité, telles que les résultats des essais de collision. Des vies humaines étant en jeu, la cybersécurité ne peut être considérée indépendamment de la sécurité physique.
Le DOT pourrait remédier à ce problème en créant une étiquette de sécurité pour les véhicules — à l'instar des cotes de consommation (MPG) exigées par l'EPA — qui présenterait les résultats d'une évaluation de sécurité exhaustive. Les recommandations préconisent un test similaire, mais, là encore, comme la publication des résultats n'est pas obligatoire, les consommateurs n'ont aucun moyen de savoir dans quelle mesure leur véhicule est réellement sûr – ou non. Ces évaluations devraient être obligatoires et menées par un organisme tiers agréé par les pouvoirs publics ; elles devraient porter sur l'architecture globale du véhicule, les composants critiques du code sous-jacent, les protocoles de communication spécifiques, ainsi que la capacité du véhicule à réagir à des attaques actives ou passives visant ses capteurs.
Définition de critères spécifiques pour les évaluations
Afin de définir les critères spécifiques de ces évaluations, le ministère des Transports devrait constituer un groupe de travail composé de constructeurs automobiles et d'experts en cybersécurité. Ce groupe peut décider qui est habilité à certifier les prestataires comme étant qualifiés pour réaliser ces évaluations, à quel moment et quelles informations seront les plus utiles pour les consommateurs.
Ayant aidé de nombreux clients à se conformer aux réglementations en matière de cybersécurité, notamment de grands constructeurs automobiles américains, je suis particulièrement conscient du poids que représentent ces réglementations et je sais qu’une réglementation trop lourde ou inadaptée peut nuire à la sécurité au lieu de la renforcer. Exiger une évaluation de sécurité ne constitue pas une charge excessive. Elle n'impose pas aux constructeurs la méthodologie à suivre pour sécuriser leurs véhicules et ne leur impose pas d'exigences coûteuses ; elle offre en revanche aux consommateurs la transparence à laquelle ils ont droit pour comprendre dans quelle mesure leur véhicule est sûr.
Le DOT a publié pour la première fois les normes fédérales de sécurité des véhicules à moteur en 1967 afin de garantir que « le public soit protégé contre tout risque déraisonnable d’accident résultant de la conception, de la construction ou des performances des véhicules à moteur, ainsi que contre tout risque déraisonnable de décès ou de blessure en cas d’accident ».
Conclusion
La cybersécurité devrait, à terme, s'inscrire dans ce même cadre, au même titre que les ceintures de sécurité et les airbags. Mais pour l'instant, le gouvernement devrait prendre cette mesure intermédiaire à court terme consistant à fournir aux consommateurs les informations précises et vérifiées dont ils ont besoin pour prendre des décisions en toute connaissance de cause. C'est l'une des mesures les plus efficaces qu'ils puissent prendre pour améliorer la sécurité des véhicules de manière générale, tout en ayant un impact relativement minime sur les résultats financiers des constructeurs.
À propos de l'auteur : En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyseforensique, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.