Approfondissement du développement de la cybersécurité des produits pour les équipementiers

Au cours des derniers mois, j'ai eu plus de conversations que jamais avec des équipes de produits, des ingénieurs et des responsables de la sécurité qui sont tous confrontés à la même pression : comment suivre le rythme de l'évolution de la sécurité de IoT sans ralentir l'innovation nécessaire au lancement de nouveaux produits.

From new IoT regulations and rising consumer security expectations to increasingly sophisticated cyberattacks on smart devices, the challenges are real, and they’re growing. That’s exactly why we updated our 10 Steps to IoT Security eBook. Not just to refresh the content, but to give OEMs actionable guidance, grounded in today’s reality. 

🔍 Nouveautés

This recently updated edition is your guide for building secure, compliant, and future-ready products. The updated edition:

• Reflects new threat models: Firmware, software supply chains, and device identities are now prime targets.
• Covers evolving standards and expectations: What was acceptable 3 years ago isn’t today.
• Addresses engineering challenges: From crypto-agility to OTA updates in resource-constrained environments.
• Adds deeper guidance on scaling securely: Because what works for 10 devices won’t cut it for 10,000.
  
  

C'est pourquoi j'ai rassemblé cinq priorités fondamentales sur lesquelles tous les équipementiers devraient se concentrer pour commencer à intégrer la sécurité dès la conception - dès aujourd'hui. Entrons dans le vif du sujet.

🛠️ Security by Design

1. Construire une architecture de confiance zéro avec l'PKI pour l'IoT

La confiance numérique repose sur l'infrastructure à clé publiquePKI, et il est essentiel d'établir votre racine de confiance (RoT) dès le début du processus de développement. Il y a quelques éléments à prendre en compte, tels que l'infrastructure de confiance hardware, software ou hybride, ainsi que des éléments de conception, y compris les types de clés et d'algorithmes, par exemple.

En résumé, il est essentiel de réfléchir dès le départ aux choix de conception, car c'est le point de départ de l'établissement d'une plateforme de sécurité des produits pour les appareils que vous développez aujourd'hui et à l'avenir.

2. Mise en œuvre d'un approvisionnement sécurisé et d'une gestion du cycle de vie

Une fois que la RdT a été établie, un processus initial sécurisé d'approvisionnement des appareils peut être mis en place. En général, un certificat de naissance est délivré à chaque appareil périphérique, sous la forme d'un certificat X.509 qui constitue l'identité immuable de l'appareil. Ce certificat est valable pendant toute la durée de vie de l'appareil pour en prouver l'origine et l'authenticité.

Operational certificates can also be issued to devices that are used by an end customer to ensure runtime trust and establish secure TLS connections over time.  It’s also critical to have a robust certificate lifecycle management process in place to manage identities over time.

3. Protéger les microprogrammes et les mises à jour OTA

Firmware over the air updates are common, but it’s essential to make sure that you have implemented a process for secure code development, including initial signing, auditing, and remote updatings. This prevents malware from being installed on the devices you have sold to customers, and ensures that you have a proper record of all signing operations in the case of an audit.

4. Intégrer la crypto-agilité et la protection du futur

NIST has announced that RSA and ECC algorithms will be deprecated by the year 2030, and therefore product OEMs need to think about how to update cryptography that is inside field devices, especially if the devices are still under warranty, or will need to be operational past this impending deadline.

There is an opportunity for connected products to also adopt quantum-safe algorithms. Although integration depends on hardware and software constraints, it’s crucial – especially in certain industries – to factor this into the development of current product lines to ensure long-term security and resilience.

5. Attribuer la propriété de la sécurité tout au long du cycle de vie du produit

La sécurité des produits ne relève pas de la responsabilité d'une seule personne ou d'une seule entreprise. Il s'agit d'une combinaison de plusieurs parties prenantes qui s'unissent dans le cadre d'un plan cohérent, depuis le fabricant de composants jusqu'à l'opérateur ou le client final, en passant par l'intégrateur de produits ou de solutions.

Garantir une sécurité solide des appareils IoT tout au long du cycle de vie du produit nécessite une responsabilité claire à chaque étape. Les régulateurs industriels ou régionaux jouent également un rôle en fournissant des orientations pour aider à élever la norme pour les appareils connectés, en particulier ceux qui protègent nos infrastructures critiques et notre qualité de vie.

La sécurité de lIoT évolue rapidement - ne vous laissez pas distancer

La sécurité dès la conception n'est plus seulement une meilleure pratique - elle est fondamentale pour une sécurité solide des appareils IoT . Commencez par ces cinq priorités et utilisez l'eBook mis à jour comme un guide pratique pour renforcer votre posture de sécurité à travers les produits connectés.

👉 Download the newly revised 10 Steps to IoT Security eBook and take your first step toward building more secure, resilient devices.