Audit de sécurité des produits IoT
Examiner le matériel, le firmware et les échanges pour situer les risques de votre produit.
Une prestation adaptée à votre produit
L’audit produit s’appuie sur la documentation disponible, des échanges avec les concepteurs et des vérifications techniques convenues. Il permet de comprendre les protections existantes, d’identifier les écarts et de préparer les actions de sécurisation. Il se distingue du pentest embarqué, centré sur la validation de scénarios d’exploitation.
Architecture et actifs
Identifier les composants, les secrets, les données et les relations de confiance entre le produit, ses applications et ses services distants.
Firmware et démarrage
Examiner les fonctions de sécurité, le stockage des clés, les interfaces de débogage et les mécanismes de démarrage et de mise à jour.
Communications et accès
Évaluer les mécanismes d’authentification et de protection des échanges, qu’ils soient filaires ou radio, selon les interfaces du produit.
Documentation et preuves
Confronter les choix techniques aux exigences retenues. Distinguer les protections documentées, vérifiées et restant à démontrer.
Comment se déroule la mission ?
Délimiter le produit
Définir la version, les variantes et les interfaces étudiées. Réunir la documentation, les accès et les exemplaires nécessaires.
Analyser les protections
Mener les entretiens et les vérifications. Examiner les mécanismes d’authentification, de communication et de mise à jour avec les équipes techniques.
Prioriser les écarts
Restituer les risques, les éléments de preuve et les corrections proposées. Définir, si nécessaire, une contre-visite ou un pentest complémentaire.
Ce que vous obtenez
- Cartographie du périmètre produit et des mécanismes examinés.
- Rapport d’audit avec écarts, risques et recommandations contextualisées.
- Plan d’actions et liste des vérifications complémentaires à prévoir.
Un équipement de gestion énergétique
Pour un fabricant d’équipements radio, nous avons examiné les mécanismes d’authentification, les communications et les mises à jour au regard d’EN 18031-1. La mission a relié les écarts documentaires aux preuves techniques, puis à des tests matériels et logiciels.
Des constats utilisables par vos équipes
Observation et preuves
Comprendre ce qui a été observé, les accès utilisés et les limites du contrôle.
Impact et priorité
Relier le constat à ses conséquences dans le contexte du système étudié.
Correction et vérification
Proposer une mesure adaptée et les conditions permettant d’en vérifier l’effet.
Vos questions sur cette prestation
L’audit couvre-t-il aussi le cloud du produit ?
Les services distants peuvent être inclus lorsqu’ils participent au fonctionnement du produit. Ils sont alors identifiés dans le périmètre, avec leurs accès et leurs responsabilités.
Peut-on commencer avec peu de documentation ?
Oui, mais la profondeur de l’analyse dépendra des éléments disponibles. Le cadrage précise les limites et les travaux de compréhension ou de rétroconception nécessaires.
Un audit EN 18031 est-il un pentest ?
L’analyse d’écarts examine les exigences et les preuves associées. Le pentest recherche des chemins d’attaque exploitables. Les deux travaux peuvent se compléter.
Les cadres de conformité à examiner
RED DA et EN 18031 concernent les équipements radio entrant dans leur champ. Le CRA porte plus largement sur les produits comportant des éléments numériques. Le rôle du fabricant et les caractéristiques du produit déterminent les travaux utiles.
RED DA · EN 18031
Équipements radio concernés : examiner les exigences de cybersécurité activées par le règlement délégué et les normes EN 18031 applicables.
Comprendre ce cadreCyber Resilience Act
Produits comportant des éléments numériques : déterminer le périmètre et les obligations du fabricant sur le cycle de vie.
Comprendre ce cadreLes autres prestations IoT
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre