A PROPOS DE CYBERSÉCURITÉ DANS LES VÉHICULES CONNECTÉS (1ère partie)

Philippe Chrétien, expert « sécurité des usagers de la route » au pôle de compétitivité Mov’eo et délégué général du Centre européen d’études de sécurité et d’analyse des risques appelait de ses voeux, dès 2016, à l'homologation des voitures autonomes. 

C'est chose faite, ou presque, en ce qui concerne la cybersécurité des voitures autonomes.

UNE HARMONISATION MONDIALE EN COURS

Aux fins d’assurer la sécurité du cœur de ces véhicules, qui se rapprochent dorénavant plus d’ordinateurs sur roues que de voitures telles que nous l’entendions il y a encore 15 ans, l’ONU a émise une proposition de nouveau Règlement énonçant des prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne la cybersécurité et le système de gestion de la cybersécurité.

Ce document est la suite du document cadre sur les véhicules automatisés/autonomes publié en juin 2019.

QUI EST CONCERNÉ ?

Entre autres, les véhicules de transport de passagers et de transport de marchandises.

Notons néanmoins que les véhicules « traditionnels » sont également visés par ces recommandations puisqu’ils contiennent déjà des ordinateurs même si l’impact de ce règlement est évidemment moins prégnant qu’il ne le sera pour les véhicules autonomes.

QUELLES EXIGENCES ?

Aux fins d’obtenir le précieux label, synonyme d’autorisation de commercialisation et de circulation, il appartient au constructeur de véhicule connecté ou autonome, de démontrer qu’il a pris les mesures utiles pour gérer les aspects de la cybersécurité, et notamment ceux qui sont énoncés dans l’annexe 5.

Les informations adressées à l’autorité de certification doivent être « suffisantes » pour permettre à celle-ci d’évaluer la cybersécurité du type de véhicule concerné. 

 

1°/ Une documentation complète et étayée 

La demande d’homologation est appuyée par un document démontrant que le constructeur a pris des mesures pour :

- suivre la gestion du risque chez ses propres fournisseurs

- tracer ses propres interventions et intégrer la gestion des risques cyber dès la conception («  by design »)

- assurer effectivement les mesures de cybersécurité dès la conception

- détecter les menaces cyber

- documenter, traiter et analyser les cyberattaques

2°/ des tests et des exigences complémentaires : la cybersécurité «  by design »

Une fois ces documents fournis, le véhicule passe sur le grill et sera soumis à une batterie de tests pour vérifier si les mesures utiles décrites préalablement ont bien été prises et, en particulier, si les risques élevés sont traités.

L’autorité d’homologation a également pour objectif de vérifier que le constructeur du véhicule dispose d’un système de gestion de la cybersécurité qui traite ces exigences tout au long du cycle de vie du projet, de façon réelle, sérieuse, avec diligence et en tenant spécifiquement compte des relations avec ses sous-traitants et fournisseurs.

Un certain nombre de processus liés à la cybersécurité doivent être mis spécifiquement mis en place, avec l’accent mis sur l’identification, la qualification et le traitement des risques ainsi que leurs mises à jour continues.

 

Fin de la première partie. La suite est ici.