Cybersécurité des systèmes embarqués : concevoir des produits connectés sécurisés

Objectifs

Les objectifs de la formation Cybersécurité des systèmes embarqués : concevoir des produits connectés sécurisés :

- Comprendre les principales menaces visant les systèmes embarqués
- Identifier les vulnérabilités spécifiques aux équipements connectés
- Intégrer la cybersécurité dès la phase de conception (Secure by Design)
- Appliquer les bonnes pratiques de développement sécurisé
- Sécuriser le cycle de vie des produits
- Comprendre les exigences du Cyber Resilience Act applicables aux produits numériques

Programme

1/ Comprendre les enjeux de la cybersécurité des systèmes embarqués
Définition et caractéristiques des systèmes embarqués
Panorama des architectures embarquées (microcontrôleurs, microprocesseurs, RTOS, firmware, bootloader)
Les produits connectés et l'Internet des Objets (IoT/IIoT)
Évolution des cybermenaces ciblant les systèmes embarqués
Impacts sur la sécurité, la disponibilité et la continuité d'activité
2/ Identifier les vulnérabilités des systèmes embarqués
Les principales surfaces d'attaque
- Interfaces physiques (JTAG, SWD, UART, USB, etc.)
- Interfaces réseau et protocoles de communication
- Accès distants et maintenance
Les vulnérabilités logicielles : erreurs de programmation
- Buffer overflow, authentification insuffisante, mots de passe par défaut, secrets embarqués
Sécurisation du firmware et protection contre l'extraction ou la modification
Gestion des dépendances logicielles et de la chaîne d'approvisionnement (SBOM)
3/ Concevoir des systèmes embarqués sécurisés (Secure by Design)
Les principes de conception sécurisée
- Secure by Design
- Secure by Default
- Défense en profondeur
- Principe du moindre privilège
Mise en œuvre d'une architecture sécurisée
Sécurisation du démarrage (Secure Boot, Root of Trust)
Gestion des identités, des certificats et des clés cryptographiques
Protection des données embarquées
Journalisation et traçabilité des événements de sécurité
4/ Développer et maintenir un produit sécurisé - Intégrer la cybersécurité dans le cycle de développement (Secure Development Lifecycle)
Revue de code et bonnes pratiques de développement sécurisé
Tests de sécurité : analyse statique, analyse dynamique, fuzzing, tests d'intrusion
Gestion des vulnérabilités et des correctifs
Sécurisation des mises à jour logicielles (OTA)
Gestion de la fin de vie du produit
5/ Répondre aux exigences réglementaires et normatives
Les exigences du Cyber Resilience Act (CRA)
Les principales exigences de l'IEC 62443-4-1 et de l'IEC 62443-4-2
Articulation avec le Règlement Machines, la directive RED et les autres référentiels applicables
Intégrer la cybersécurité dans la documentation technique et le processus de conformité