Constats - 1

• La sécurité ça coûte cher et ça ne rapporte rien,
• C'est compliqué à mettre en place et pas répétable,
• Ce n'est pas demandé par les clients,
• Il n'y a pas de risque, c'est un protocole maison ...

Evaluation gratuite de votre niveau de sécurité.

Constats - 2

• La plupart du temps pas ou peu de tests de sécurité,
• La plupart du temps pas d'architecture ni de cible de sécurité,
• La plupart du temps, pas de démarche de sécurité,
• La plupart du temps, pas de ... culture de la sécurité.

Actualité cybersécurité

Constats - 3

• On ne peut pas faire juste de la sécurité "produit",
• L'approche doit concerner toute l'Entreprise,
• C'est une culture qu'il faut partager,
• Un processus de maturité dans l'entreprise,
• Une preuve de confiance pour les marchés.

Sûreté versus sécurité

• Aéronautique : DO 178,
• Industrielle : CEI 61508,
• Médicale : CEI 62304,
• Automobile : ISO 26262,
• ...

Impacts

• JEEP et Mitsubishi dans l'(h)ac(k)tualité,
• Contrôle de véhicules par la liaison télématique,
• Infrastructures nucléaires vulnérables/rapport Suisse,
• Noyaux Linux avec backdoor,
• Internet des objets en mode open bar ....

Exploits

• Hacking sans fil et (presque) sans les mains,
• Comment exploiter les failles des systèmes embarqués,
• Hack de caméra connectée,
• Kits d'exploitation des pirates.

Failles

• Une faille open SSL permet de déchiffrer le traffic https,
• Une sonde à 2 euros permet de connaître les clés des téléphones,
• Des failles métier, par exemple dans le contrôle de traffic aérien,
• La faille catastrophique de la glibc ...

Que faire ?

• Qu'est-ce que c'est la sécurité de l'information ?
• Six choses à faire en priorité,
• Documentation et livres blancs des autorités, et bonnes pratiques,
• Rester informé des dernières (h)ac(k)tualités,

S'informer

Embarqué, IoT

Utiliser des normes

• Famille ISO2700x : structuration des processus qualité pour la SSI,
• Critères communs : Agrément de 25 pays sur le niveau de sécurité d'un produit,
• CSPN : Valable en France, demandé pour les produits utilisés par les OIV,
• ISA Secure : et sa déclinée EDSA pour la certification des systèmes industriels.