Cyber Resilience Act : quels impacts pour la cybersécurité industrielle ?
Tess Novel : Bonjour à tous et bienvenue dans un nouvel épisode de notre podcast technologique par Bosch Rexroth. Je suis Tess et aujourd’hui, nous allons parler du Cyber Resilience Act et de la cybersécurité. Pour cela, j’ai 1 invité. Avant de commencer, pourrais-tu te présenter brièvement à nos auditeurs ?
Thibault Morin : Oui bien sûr. Je m’appelle Thibault Morin Morin, j’ai 44 ans et je suis Solution Architect en Factory Automation dans la division Automation & Electrification.
Ça fait un peu plus de 20 ans que je travaille dans l’industrie, donc j’ai eu la chance de voir évoluer les technologies, notamment avec la digitalisation et l’arrivée de l’IoT dans les usines.
Aujourd’hui, mon rôle consiste à accompagner les industriels pour intégrer ces nouvelles technologies dans leurs environnements de production, que ce soit sur des sujets d’automatisation, d’architecture ou de cybersécurité.
Et de manière plus personnelle, je suis quelqu’un de très curieux, passionné par les nouvelles technologies, j’adore apprendre en permanence… et en dehors du travail, je suis aussi un grand fan de sport, ça me permet de garder un bon équilibre
Tess Novel : La cybersécurité et la cyber-résilience sont des sujets majeurs dans l’industrie. Mais peux-tu nous expliquer concrètement ce que c’est et à quoi cela sert ?
Thibault Morin : Aujourd’hui, une cyberattaque peut arrêter une usine en quelques minutes… donc la cybersécurité n’est plus un sujet technique, c’est un enjeu industriel critique.
Pour le dire simplement, la cybersécurité, c’est tout ce qu’on met en place pour protéger les systèmes industriels contre les attaques ou les intrusions. Ça peut être des machines, des automates, des réseaux… tout ce qui fait tourner une usine.
Et la cyber résilience, c’est l’étape d’après : c’est la capacité d’un système à continuer à fonctionner, même s’il y a une attaque ou un incident. On ne cherche plus seulement à éviter les problèmes, mais aussi à être capable d’y résister et de redémarrer rapidement.
Concrètement, ça sert à quelque chose de très simple : éviter qu’une usine s’arrête..
Tess Novel : Comme nous le savons, les cyberattaques sont de plus en plus fréquentes dans l’industrie et les pertes sont souvent immenses. Cependant certains se font encore des fausses idées sur ce sujet. Quelles sont les réflexions les plus fréquentes quand vous parlez de cyber résilience avec un client ?
Thibault Morin : Oui, il y a effectivement pas mal d’idées reçues quand on parle de cyber résilience avec des industriels.
La première, très fréquente, c’est : “On n’est pas une cible.”
Beaucoup pensent que les cyberattaques concernent surtout les grandes entreprises ou des secteurs très exposés… alors qu’en réalité, aujourd’hui, les attaques sont souvent automatisées et opportunistes. Donc tout le monde est concerné.
Une autre idée que je rencontre souvent, c’est : “On est protégés, on a un antivirus ou un firewall.”
En réalité, ça ne suffit pas. La cyber résilience, ce n’est pas juste ajouter des briques techniques, c’est penser globalement : les accès, les mises à jour, les sauvegardes, l’organisation, la réaction en cas d’incident…
Et enfin, un point clé : beaucoup pensent que c’est un projet ponctuel… alors que c’est une démarche continue.
Le vrai enjeu, c’est vraiment de passer d’une logique de protection à une logique de résilience.
Tess Novel : Quels sont les plus grands obstacles pour vos clients ? Où ont-ils besoin d’aide ?
Thibault Morin : Le premier obstacle, très clairement, c’est la complexité du sujet.
La cybersécurité industrielle est à la croisée de l’IT et de l’OT, avec des contraintes très spécifiques… et beaucoup de clients ne savent pas vraiment par où commencer.
Il y a aussi un enjeu organisationnel important.
On a encore souvent une séparation entre les équipes IT et les équipes industrielles, alors que la cyber résilience nécessite justement de travailler ensemble.
Et puis il y a une nouveauté qui change complètement la donne : c’est le fait que la sécurité s’applique maintenant sur tout le cycle de vie de la machine.
Avant, une fois la machine livrée et en production, on considérait que le travail était terminé.
Aujourd’hui, ce n’est plus du tout le cas. Une vulnérabilité peut apparaître des années après la mise en service, et même si la machine fonctionne parfaitement, il faut être capable de faire des mises à jour pour corriger ces failles.
Et ça, c’est un vrai changement de culture pour les industriels.
Donc au final, là où ils ont besoin d’aide, c’est surtout pour structurer leur démarche : comprendre leurs risques, mettre en place une organisation adaptée, et intégrer cette logique de sécurité dans la durée.”
Tess Novel : le Cyber Resilience Act sera instauré en 2027. Tout le monde devra se conformer à cette réglementation. Mais est-ce que le Cyber Resilience Act est une base de référence, ou offrez-vous plus à vos clients en matière de cybersécurité ?
Thibault Morin : Le Cyber Resilience Act, c’est une avancée très importante. Mais il faut bien comprendre une chose : c’est une base, pas une finalité. Le CRA va imposer un certain nombre d’exigences en termes de cybersécurité sur les produits, notamment sur la gestion des vulnérabilités, les mises à jour, ou encore la transparence. Et ça, c’est essentiel pour structurer le marché.
De notre côté, lorsque nous avons commencé à développer ctrlX OS, le CRA n’existait pas. Il n’était donc pas dans notre esprit mais nous avions fait le choix de nous aligner sur des normes déjà existantes comme la norme IEC62443. Pour laquelle nous avons également certifié notre produit. Ce qui nous aide à remplir un bon nombre d’exigences.
Tess Novel : Quels sont les types de métiers qui pourraient être les plus susceptibles à utiliser le CRA et pourquoi ?
Thibault Morin : Le CRA concerne beaucoup plus de métiers qu’on pourrait le penser.
Le premier évidemment, ce sont les fabricants de machines et d’équipements industriels. Ce sont eux qui conçoivent les produits, donc ils doivent intégrer la cybersécurité dès le départ, et surtout garantir le suivi dans le temps, notamment sur les vulnérabilités et les mises à jour.
Ensuite, il y a les équipes de développement logiciel et d’ingénierie.
Elles sont directement concernées, parce que ça change la manière de concevoir : il faut penser “secure by design”, documenter, gérer les correctifs… ce qui n’était pas toujours le cas auparavant dans l’industrie.
Il y a aussi tout ce qui est IT et cybersécurité. Ces équipes vont devoir s’assurer que les produits déployés respectent les exigences, qu’ils sont maintenus à jour, et qu’ils s’intègrent correctement dans l’infrastructure globale.
Et enfin, un point souvent sous estimé : les équipes service et maintenance.
Parce que justement, avec cette logique de cycle de vie, ce sont elles qui vont être en première ligne pour appliquer les mises à jour, gérer les vulnérabilités, parfois plusieurs années après la mise en service des machines.
Donc au final, le CRA casse un peu les silos : il oblige à faire travailler ensemble des métiers qui, historiquement, étaient assez séparés. Et c’est justement là que se situe le principal enjeu.
Tess Novel : Tout à l’heure, nous parlions des problématiques de vos clients, mais concrètement, quels sont vos arguments pour les convaincre à utiliser votre solution ?
Thibault Morin : En réalité, on ne convainc jamais un client uniquement avec de la technologie. Ce qui fait la différence, ce sont les bénéfices concrets pour son activité. Le premier argument, c’est la continuité de production. Aujourd’hui, une cyberattaque peut arrêter une usine. Donc tout ce qui permet de réduire ce risque a un impact direct sur le business.
Le deuxième point, c’est la conformité réglementaire. Avec des réglementations comme le Cyber Resilience Act, les industriels vont devoir se mettre à niveau. Et nous, on les aide à anticiper plutôt qu’à subir.
Ensuite, il y a un argument très fort autour du cycle de vie. On ne propose pas juste une solution à un instant donné, mais une approche qui permet de gérer la sécurité dans la durée : mises à jour, gestion des vulnérabilités, maintenance… même plusieurs années après la mise en service. Il y a aussi un aspect important : la simplicité et l’intégration.
L’objectif, ce n’est pas d’ajouter de la complexité, mais au contraire d’intégrer la cybersécurité de manière cohérente dans l’existant, que ce soit côté IT ou OT.
Tess Novel : Et quand on parle du Cyber Resilience Act, il ne s’agit pas d’un produit, n’est-ce pas ? Il s’agit de la compétence pour construire des produits conformes à la réglementation.
Thibault Morin : Oui, exactement. Le Cyber Resilience Act, ce n’est pas un produit qu’on va acheter et installer. C’est avant tout une capacité à concevoir, développer et maintenir des produits sécurisés dans le temps.
Et c’est là que ça change complètement l’approche dans l’industrie. Aujourd’hui, il ne suffit plus de dire : “ma machine fonctionne”. Il faut pouvoir démontrer qu’elle est sécurisée dès sa conception, et qu’elle pourra le rester tout au long de son cycle de vie.
Donc concrètement, ça implique des compétences : des méthodes de développement sécurisées, une gestion des vulnérabilités, des capacités de mise à jour et une organisation capable de suivre le produit même après sa mise sur le marché.
Au final, le vrai enjeu du CRA, ce n’est pas d’être conforme à un instant donné… c’est d’être capable de le rester dans le temps.
Tess Novel : Parlons un peu des mises à jour et des correctifs à venir d’ici les prochaines années, quand vous devrez mettre à jour votre machine, quand vous devrez livrer des correctifs, comment ferez-vous ?
Thibault Morin : Aujourd’hui, on ne peut plus se dire : “la machine est livrée, elle fonctionne, on n’y touche plus.” Demain, il faudra être capable de maintenir ces machines dans le temps, notamment en appliquant des correctifs de sécurité. Donc concrètement, ça repose sur plusieurs éléments clés.
D’abord, il faut être capable d’identifier les vulnérabilités. Ça implique une veille, une capacité à analyser les risques, et à savoir si une machine est concernée ou pas. Ensuite, il faut pouvoir développer et valider les correctifs. Et en industrie, c’est un point très important : on ne peut pas déployer une mise à jour comme sur un PC. Il faut tester, valider, s’assurer qu’il n’y a aucun impact sur la production. Ensuite vient le déploiement. Il doit être maîtrisé, sécurisé, et souvent planifié avec les équipes de production, parce qu’on ne peut pas arrêter une ligne n’importe quand.
Et enfin, il y a tout l’aspect traçabilité et suivi, savoir quelles machines ont été mises à jour, lesquelles ne le sont pas encore, et maintenir cette information dans le temps.
Donc au final, ce n’est pas juste une question de patch ou de mise à jour. C’est toute une organisation à mettre en place, avec des outils, des procédures et des compétences adaptées.
Tess Novel : Avez-vous une deadline à respecter pour livrer vos clients ?
Thibault Morin : Avec le CRA, on ne peut plus laisser une vulnérabilité sans réponse pendant des mois. Il y a une attente forte sur la capacité à réagir rapidement : identifier la faille, analyser son impact, développer un correctif et le mettre à disposition dans des délais maîtrisés. Donc oui, il y a une forme de ‘deadline’, mais elle est liée à la criticité de la vulnérabilité. Plus le risque est élevé, plus la réaction doit être rapide. Et ça change beaucoup de choses, parce que ça implique d’avoir une organisation en place : des équipes capables de faire de la veille, des procédures pour gérer les incidents, et une capacité à livrer des mises à jour de manière fiable et sécurisée. Ce n’est plus une logique de livraison ponctuelle… c’est une logique de réactivité continue vis à vis des menaces
Tess Novel : Maintenant parlons de vos produits. Par exemple ctrlX OS. C’est un système d’exploitation basé sur Linux. Donc un système basé sur de l’open source. C’est aussi un enjeu de sécurité de s’appuyer sur un projet open source.
Thibault Morin : En réalité, ce n’est pas le fait d’être open source ou non qui fait la sécurité d’un système. Avec une base Linux, comme ctrlX OS, on s’appuie sur des technologies très largement utilisées et éprouvées, avec des communautés actives qui identifient et corrigent rapidement les vulnérabilités. Donc on pourrait dire que l’open source apporte même une forme de transparence : les failles sont visibles, partagées, et corrigées plus rapidement. Enfin, l’Open Source nous permet de nous baser sur des standards établis et sécurisés, On ne réinvente pas la roue à chaque fois.
Tess Novel : Par exemple, que proposeriez-vous aux entreprises de construction de machines avec un parc de machines existant en matière de cybersécurité ? Y a-t-il aussi des solutions pour elles ?
Thibault Morin : Oui, c’est un point important parce que beaucoup d’industriels ont un parc existant parfois ancien. Plutôt que de tout remplacer ; on peut déjà améliorer la cybersécurité de l’existant par exemple en proposant un ctrlX CORE pour en faire une passerelle de sécurité avec différentes apps disponibles au catalogue.
La mise en place du ctrlX CORE va permettre la segmentation des réseaux pour ne plus avoir un accès direct aux composants « brownfield » qui ne sont pas sécurisés.
L’application Firewall permet de protéger l’accès à ces derniers afin de contrôler les données qui y sont transmises.
On peut ajouter l’application VPN pour permettre une maintenance à distance sécurisé. Enfin, l’application « Security scanner » permet d’avoir une vue de tous les composants présents mais surtout une vue détaillée de l’état de la sécurité. Après chaque scan, un rapport très complet est généré. Celui-ci peut être interprété facilement sans avoir besoin d’être un expert dans le domaine de la cybersécurité.
Tess Novel : Vous citez ctrlX CORE ? C’est votre plateforme de contrôle. Quelle est la valeur ajoutée en termes de sécurité pour ctrlX CORE ?
Thibault Morin : D’abord, on est sur une plateforme industrielle robuste, conçue pour fonctionner dans des environnements exigeants, avec un haut niveau de fiabilité. Et la sécurité, ça commence aussi par la disponibilité du système.
Ensuite, il y a des mécanismes de sécurité au niveau matériel comme le secure boot. Qui permet de garantir que seul un logiciel authentifié et validé peut démarrer sur la plateforme. On a aussi des éléments liés à la gestion des identités et des clés, directement intégrés dans le matériel (puce TPM 2.0), pour sécuriser les accès et les communications.
Un autre point important, c’est la résilience. Le matériel est conçu pour supporter des mises à jour de manière fiable, avec des mécanismes qui permettent d’éviter de mettre la machine en défaut lors d’un update. Le ctrlX CORE a été conçu pour être maintenu dans le temps, ce qui est essentiel aujourd’hui avec les exigences du CRA…
Tess Novel : Pour finir, Thibault Morin, parlons de vos fonctionnalités de sécurité ou applications préférées en ce qui concerne ctrlX CORE.
Thibault Morin : Si je dois citer quelques fonctionnalités que je trouve particulièrement intéressantes sur ctrlX CORE côté sécurité, la première, c’est clairement tout ce qui tourne autour de la gestion des accès utilisateurs et des communications chiffrées.
Aujourd’hui, sécuriser les échanges, que ce soit en local ou à distance, c’est essentiel.
Ensuite, j’aime beaucoup la gestion des mises à jour. Il est très simple de déployer des correctifs de manière sécurisée et maitrisée sans mettre en risque la production.
Enfin il y a aussi l’application firewall simple à configurer mais tellement indispensable pour protéger l’accès aux composants d’un réseau machine. Sans oublier l’application security scanner idéal pour voir et comprendre les risques/
Pour conclure, je dirais qu’aujourd’hui, la cybersécurité n’est plus une option dans l’industrie… c’est une condition pour pouvoir produire, évoluer et rester compétitif dans le temps.
Tess Novel : Merci. C’est une bonne conclusion. Merci beaucoup, Thibault. Expliquer le Cyber Resilience Act, la cybersécurité et tout ce qui entoure ce vaste sujet dans l’automatisation industrielle. Merci beaucoup.
Thibault Morin : Merci à vous. C’était avec plaisir.
Tess Novel : Pour nos auditeurs qui souhaitent en savoir davantage sur la cybersécurité et le Cyber Resilience Act, vous pouvez directement télécharger gratuitement notre livre blanc !
