Why a secure software development life cycle is critical for manufacturers

La Cybersécurité des Fabricants par la Sécurisation du Développement Logiciel

Les attaques contre la chaîne d’approvisionnement logicielle représentent un risque majeur pour les fabricants, comme l’a illustré l’incident coûteux chez Jaguar Land Rover. Ces attaques exploitent souvent les outils et processus de développement de logiciels utilisés par les entreprises et leurs partenaires. Les attaquants ciblent des composants réutilisables via des dépôts de code comme NPM, ou compromettent les mises à jour logicielles et les vulnérabilités existantes.

Les évaluations des fournisseurs doivent aller au-delà des aspects financiers ou de l’infrastructure pour intégrer une analyse approfondie des pratiques de cycle de vie de développement logiciel sécurisé (SSDLC). L’absence de telles pratiques expose les fabricants à des interruptions opérationnelles, des pertes financières, des violations de conformité et des atteintes à leur réputation.

L’implémentation d’un SSDLC mature implique :

• Conception sécurisée : Définir les exigences de sécurité et modéliser les menaces avant le codage.
• Pratiques de codage sécurisé : Formation des développeurs, révision de code obligatoire et tests de sécurité automatisés.
• Gestion des dépendances : Vérification et suivi des composants tiers via les SBOM (Software Bill of Materials).
• Pipelines de publication sécurisés : Signature des mises à jour, vérification de l’intégrité et canaux de diffusion sécurisés.
• Gestion des vulnérabilités : Processus de divulgation coordonnée et délais de réponse définis.

La certification IEC 62443-4-1 est particulièrement pertinente pour les environnements industriels, fournissant une preuve indépendante de la mise en œuvre de pratiques de développement sécurisé adaptées aux contraintes du secteur manufacturier.

Pour intégrer le SSDLC dans les évaluations des partenaires, les fabricants devraient :

• Inclure des critères SSDLC dans les appels d’offres et les contrats.
• Exiger des preuves structurées comme les rapports d’audits, les SBOM et les résultats de tests.
• Prioriser les certifications pertinentes, notamment IEC 62443-4-1 pour les fournisseurs d’environnement industriel.
• Évaluer la maturité de la sécurité en continu, au-delà de simples questionnaires.

Il est crucial de reconnaître que les vulnérabilités trouvent leur origine dans le cycle de développement, et c’est à ce stade que les fabricants doivent s’assurer de leur prévention.

Source