Quelle cybersécurité pour les véhicules connectés ?

L’automobile, un secteur précurseur et très réglementé

À la fois précurseur en matière de connectivité et soumis à des impératifs réglementaires de sécurité stricts, le secteur automobile se trouve naturellement à l’avant-garde sur ces questions et son expérience est observée de près par d’autres, comme le ferroviaire, ou le matériel médical, qui pourraient rapidement avoir à faire face aux mêmes exigences. Depuis juillet 2022, en vertu de la réglementation UN R155, les constructeurs et les équipementiers automobiles européens, japonais et coréens ont l’obligation de mettre en place un système de gestion de la cybersécurité (Cyber Security Management System, CSMS) certifié pour tous leurs nouveaux modèles. Pour sa mise en œuvre, ils doivent se conformer à la norme ISO/SAE 21434, spécifiquement dédiée à la cybersécurité automobile. Ce cadre réglementaire, qui va sans aucun doute accélérer la montée en maturité sur le sujet des acteurs de l’écosystème automobile, constituera certainement un exemple riche d’enseignements pour d’autres secteurs.

Les spécificités du « SOC automobile »

Un CSMS gère la cybersécurité du système sur l’ensemble de son cycle de vie. Il couvre donc le processus de développement des logiciels embarqués, l’étape clé de leur chargement dans le véhicule, puis leur surveillance durant leur utilisation, et enfin la destruction des données en fin de vie. La phase d’utilisation est à la fois la plus nouvelle, la plus sensible et la plus ouverte à l’innovation. À première vue, on pourrait l’assimiler à la mise en œuvre d’un SOC pour un système d’information, mais un « SOC automobile » diffère en réalité considérablement d’un SOC IT, tant sur les aspects de détection que de remédiation.

En ce qui concerne la détection, le spectre de la surveillance ne peut se limiter aux seuls assets IT. Il est en effet indispensable de disposer également d’indicateurs de fonctionnement opérationnels pour savoir ce qu’il se passe vraiment. Une fonctionnalité pourrait ne manifester aucune anomalie d’un point de vue informatique mais avoir un comportement aberrant, révélateur d’un piratage et dangereux pour le conducteur et ses passagers. Tout en fonctionnant normalement, elle pourrait aussi avoir été activée frauduleusement, un cas de figure susceptible de se multiplier avec l’essor de services et de fonctions optionnels sur abonnement. La détection des incidents de cybersécurité affectant les appareils connectés ne peut donc procéder que d’une analyse croisée des données IT et des données de fonctionnement, qu’il faut par conséquent pouvoir suivre en parallèle et rapprocher.

Il en va de même pour la remédiation. Dans le domaine IT, lorsqu’on suspecte un incident, si on décide par précaution de bloquer une transaction ou d’isoler une machine, les conséquences restent plus limitées. Dans un véhicule lancé à pleine vitesse, les choses sont évidemment très différentes. On ne peut prendre aucune décision sans avoir une connaissance exacte de la situation, ce qui nécessite, là encore, de disposer de données de fonctionnement pour agir au mieux en fonction du contexte.

Dans tous les cas, la sûreté de fonctionnement prime par-dessus tout, ce qui ne va pas d’ailleurs sans poser de questions en ce qui concerne les mises à jour de sécurité. Dans de nombreux secteurs, les homologations sont très exigeantes et difficiles à obtenir, et l’on y regardera donc à deux fois avant de modifier les logiciels, même pour renforcer leur sécurité. Dans l’automobile, la mise à jour des logiciels embarqués est également encadrée par un règlement spécifique (UN R 156), qui impose la mise en place d’un système de gestion (Software Update Management System, SUMS). Par ailleurs, une norme (ISO 24089) vient d’être publiée pour encadrer les mises à jour à distance, à l’image de ce que pratique déjà Tesla.

La cybersécurité des produits connectés, une discipline spécifique

Contraintes prépondérantes de sûreté, besoin de collecter et de croiser données IT et de fonctionnement, limitations inhérentes aux systèmes embarqués (capacités de calcul et de stockage, consommation énergétique, encombrement…), incertitudes sur la qualité des connexions : pour toutes ces raisons, la cybersécurité des véhicules – et, plus largement, des produits – connectés est une discipline très spécifique. La conception et la mise en œuvre des architectures logicielles et matérielles embarquées, des procédures et des systèmes de contrôle du CSMS nécessitent d’ajouter aux compétences en cybersécurité traditionnelle une forte expertise sectorielle pour trouver des solutions conciliant sûreté, sécurité, conformité, fiabilité, coût et qualité de l’expérience client.

“La cybersécurité ne sera plus un sujet à part, mais une pratique qui devra s’intégrer au cœur de métier.”

Cette proximité de la cybersécurité avec les autres enjeux métier souligne à quel point elle doit être traitée en étroite collaboration avec l’ensemble des acteurs, notamment le bureau d’étude, l’IT et le service après-vente. Elle peut même être source d’innovation car elle disposera sur le véhicule et son fonctionnement d’informations qui pourraient être valorisées dans d’autres applications. Bref, la cybersécurité ne sera plus un sujet à part, mais une pratique qui devra s’intégrer au cœur de métier. Pour tous les fabricants de produits connectés, ce ne sera pas la moindre des révolutions.