Phoenix Contact sécurise les appareils IoT avec la plate-forme moderne PKI

Phoenix Contact est un leader mondial dans le domaine des technologies d'automatisation. Depuis plus de 100 ans, l'entreprise développe des solutions innovantes dans les domaines de la connectique, de l'électronique et de l'automatisation. Basée en Allemagne, l'entreprise dessert divers secteurs, notamment la production industrielle, les énergies renouvelables et les infrastructures.

La conformité dans le domaine de la fabrication automatisée est difficile, en particulier lorsqu'il s'agit de sécuriser les dispositifs IoT . Les réglementations changent constamment. Mais Phoenix Contact a vu une opportunité là où d'autres voyaient un défi. En repensant son approche de l'infrastructure à clé publique (PKI), elle a transformé l'ensemble de ses activités.

"La cybersécurité est une chose très difficile à faire et, jusqu'à récemment, personne ne prêtait vraiment attention à la cybersécurité des appareils dans l'atelier. Aujourd'hui, les choses changent grâce à l'augmentation des menaces et aux nouvelles réglementations européennes", explique Lutz Jänicke, responsable de la sécurité des produits et des solutions chez Phoenix Contact. C'était l'occasion de renforcer leur posture de sécurité et de protéger leurs clients.

Deux réglementations récentes, en particulier, ont imposé un nouveau niveau d'examen de la cybersécurité aux entreprises européennes telles que Phoenix Contact. La première, NIS 2, vise les opérateurs en introduisant des normes de sécurité au sein des entreprises et dans les ateliers eux-mêmes, tandis que la seconde, CRA, se concentre sur les produits de consommation et industriels et sur le niveau de protection qu'ils offrent.

En réponse, Phoenix Contact renforce la gestion de la cybersécurité pour ses opérations et met en place des processus sécurisés pour les identités des appareils dans le cadre du développement de produits sur le site IoT . Nombre de ces processus existent déjà dans différents secteurs de l'entreprise, mais ils doivent maintenant être étendus de bout en bout à l'ensemble de l'entreprise et du portefeuille de produits.

"L'une des choses les plus importantes est l'intégrité de nos produits. Nous devons donc nous assurer que tous nos software et micrologiciels sont correctement signés, ce qui nécessite un programme PKI solide pour gérer ces signatures et ces certificats. En même temps, nous voulons permettre à nos clients de vérifier s'ils achètent des produits Phoenix Contact authentiques. Cela signifie que nous devons également prendre en charge les identités sécurisées des appareils", ajoute M. Jänicke.

Plus précisément, M. Jänicke cite la norme IEC 62443, une norme pour l'automatisation industrielle qui exige l'utilisation de signatures numériques sécurisées et d'identités numériques sécurisées. Il note que l'équipe de sécurité de Phoenix Contact travaille actuellement à s'assurer qu'elle peut respecter pleinement cette norme dans l'ensemble de ses processus. Le respect de cette norme a constitué une étape importante sur la voie de l'excellence de Phoenix Contact en matière de conformité.

L'équipe de Phoenix Contact savait qu'elle aurait besoin d'une solution PKI pour l'aider à atteindre ses objectifs de conformité d'une manière standardisée et rationalisée. Une étude de marché sur les solutions potentielles a conduit Jänicke à Keyfactor EJBCA .

"J'ai tout de suite apprécié le fait que Keyfactor propose une édition communautaire qui nous a permis de l'évaluer sans trop de discussions et de constater par nous-mêmes la qualité de l'offre. Après avoir utilisé ce produit et l'avoir comparé à d'autres offres, nous avons choisi de travailler avec Keyfactor à long terme", explique-t-il.

M. Jänicke note que l'un des principaux arguments de vente de Keyfactor était la flexibilité qu'il offrait, avec des options pour PKI en tant que service et plus encore. Avec Keyfactor, Phoenix Contact a trouvé un partenaire qui pouvait l'aider à réduire la complexité et à prendre le contrôle de son PKI.

En outre, Keyfactor répondait à toutes les exigences de Phoenix Contact, y compris un processus entièrement automatisé pour l'émission d'identités d'appareils et la prise en charge de signatures numériques sécurisées dans toute une série de cas d'utilisation.

En revanche, M. Jänicke précise que la plupart des autres offres évaluées par l'équipe n'étaient pas aussi robustes que Keyfactor et nécessitaient des processus plus manuels, ce qui a rendu difficile la vérification de la qualité de ces solutions dans l'ensemble.

Après plus de quatre ans de travail avec Keyfactor, Phoenix Contact a réussi à normaliser et à rationaliser la cybersécurité dans l'ensemble de l'organisation. Plus précisément, M. Jänicke cite trois domaines clés d'impact depuis qu'il a travaillé à l'introduction de Keyfactor EJBCA :

Phoenix Contact a une grande variété de cas d'utilisation, ce qui oblige l'équipe de sécurité à prendre en charge de nombreux types de signatures. Bien que Jänicke ait constaté que Keyfactor ne prenait pas nativement en charge tous ces cas d'utilisation, il a pu travailler avec l'équipe de Keyfactor pour développer des formats de signature supplémentaires en fonction des besoins. Cette flexibilité et cette réactivité se sont avérées précieuses pour garantir que Keyfactor puisse répondre à tous les besoins de l'entreprise.

Sur cette base, M. Jänicke note qu'il continue à trouver de nouvelles façons d'utiliser Keyfactor pour répondre aux différents besoins de PKI . Il explique : "Nous évaluons actuellement la manière dont nous pouvons étendre notre utilisation de Keyfactor pour la gestion de l'identité des appareils, car l'approche que nous adoptons pour sécuriser nos produits évolue constamment. En outre, nous étudions comment nous pouvons utiliser un produit comme Keyfactor Command pour améliorer la gestion du cycle de vie de nos certificats."