TLDR : Aikido Security vous aide à vous conformer au Cyber Resilience Act. Nous vous aidons également à automatiser les politiques de sécurité et les contrôles de conformité pour SOC2, ISO27001, CIS & NIS2.
Nous expliquons ici l'importance du Cyber Resilience Act et comment Aikido vous aide à vous y conformer.
Qu'est-ce que le Cyber Resilience Act et pourquoi est-il important pour la sécurité logicielle ?
Le Cyber Resilience Act (CRA) est un règlement de l'Union européenne (UE), applicable à partir de décembre 2024, qui établit des exigences de base en matière de cybersécurité et de conformité pour tous les produits comportant des éléments numériques – y compris leurs composants (matériels et logiciels) – vendus dans l'UE. Cela inclut les produits Software-as-a-Service (SaaS) qui sont considérés comme des solutions de traitement de données à distance. Il impacte tous les fabricants vendant dans l'Union européenne, et pas seulement les entreprises basées dans l'UE.
Cela fait peser la responsabilité de la prévention des défaillances de cybersécurité sur les fabricants, avec des sanctions importantes en cas de non-conformité – pouvant aller jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. Les produits doivent donc être conçus dès le départ en tenant compte de la sécurité.
Le règlement vise à fournir des lignes directrices claires aux personnes concernées – mais si c'était clair, vous ne seriez pas en train de lire cette page, alors décortiquons-le pour vous.
Pourquoi le Cyber Resilience Act a-t-il été introduit ?
La Commission européenne a conçu le CRA pour protéger les consommateurs et les entreprises achetant des produits comportant des éléments numériques car – très franchement – de nombreux produits connectés à Internet (également appelés Internet des Objets) ne sont pas mis à jour et ne sont donc pas sécurisés. En fait, l'une des plus grandes attaques DDoS enregistrées a été le botnet Mirai (attaque Dyn), qui a transformé des appareils IoT non sécurisés en une armée de machines d'attaque. Un autre problème que l'UE devait résoudre était la difficulté croissante pour les consommateurs et les entreprises de savoir quels produits sont sécurisés lors d'un achat.
Le CRA garantit que les logiciels et les appareils connectés sont mis à jour, sécurisés et résilients aux cyberattaques. De nombreux produits ont historiquement été livrés avec des vulnérabilités connues, alimentant des attaques de la chaîne d’approvisionnement à grande échelle ; le CRA vise à changer cela.
Comment la conformité au CRA affecte les développeurs et les équipes de sécurité
Si vous faites partie d'une équipe d'ingénierie ou de sécurité, cela a un impact majeur, car cela modifie la façon dont vous concevez, construisez, testez et livrez des logiciels. De la gestion des vulnérabilités à la réponse aux incidents, la conformité signifie intégrer la sécurité dès la conception dans votre cycle de développement.
Comment Aikido Security simplifie les exigences de conformité au CRA
Le CRA énumère des exigences strictes pour les fabricants, de l'analyse des vulnérabilités et de la génération de SBOM à la résilience face aux attaques DoS. Aikido vous aide à répondre à ces exigences grâce à l'analyse de sécurité automatisée, la protection en temps d’exécution et le reporting de conformité dans un système centralisé.
Voici un aperçu plus détaillé de la manière dont Aikido vous aide à vous conformer à des exigences spécifiques:
Les produits doivent offrir un niveau de cybersécurité approprié basé sur les risques
Aikido vous aide en surveillant en permanence votre code, votre cloud et votre runtime contre les risques connus. Cela vous offre une bonne vue d'ensemble de votre posture de sécurité.
Les produits doivent être livrés sans aucune vulnérabilité exploitable connue
C'est là qu'Aikido est essentiel ; Aikido propose un certain nombre de scanners qui recherchent les vulnérabilités. Ceux-ci incluent le SAST – qui analyse votre code source à la recherche de vulnérabilités de sécurité, l'analyse de la composition logicielle (SCA) – l'analyse des vulnérabilités des dépendances open source, l' analyse des machines virtuelles (instances AWS EC2), le DAST, la gestion de la posture de sécurité du cloud (CSPM) – les vérifications des mauvaises configurations du cloud, l' analyse d'API, l' analyse des secrets, l' analyse de conteneurs, l' analyse d'Infrastructure-as-Code (IaC), l' analyse de malwares, et l' analyse de licences open source.
Et avant de livrer tout produit, Aikido propose Zen, une solution d'autoprotection des applications en temps d'exécution (RASP), qui protège une application en fournissant un pare-feu intégré à l'application. Ceci détecte les menaces pendant l'exécution de votre application, arrête les attaques comme les zero-days en temps réel et bloque automatiquement les attaques par injection critiques. En installant Zen, vous n'avez plus à vous soucier des nouvelles vulnérabilités.
Les produits doivent protéger la disponibilité des fonctions essentielles, y compris la résilience et l'atténuation des attaques par déni de service.
Zen d'Aikido peut filtrer le trafic malveillant en périphérie et appliquer la limitation de débit, aidant ainsi à atténuer les attaques DoS/DDoS. Il réduit le rayon d'impact des attaques volumétriques ou par épuisement de ressources avant qu'elles n'atteignent la logique applicative.
Les produits doivent minimiser l'impact négatif sur la disponibilité des services fournis par d'autres appareils ou réseaux.
Aikido Zen peut garantir que les services compromis ne propagent pas de trafic abusif vers l'extérieur.
Les produits doivent être conçus, développés et produits pour limiter les surfaces d'attaque, y compris les interfaces externes.
En identifiant les services exposés, le code non sécurisé et les dépendances vulnérables, Aikido contribue à réduire les surfaces d'attaque. Les tests d'intrusion autonomes sondent dynamiquement les interfaces et les points d'extrémité, aidant à identifier les expositions inattendues.
Les produits conçus, développés et produits pour réduire l'impact d'un incident en utilisant des mécanismes et techniques d'atténuation d'exploitation appropriés.
En détectant les bibliothèques vulnérables ou les pratiques de codage non sécurisées tôt grâce à la qualité de code d'Aikido, Aikido réduit activement l'exploitabilité. Nos tests d'intrusion autonomes valident si les mesures d'atténuation (par ex. règles WAF, sandboxing, désérialisation sécurisée) arrêtent réellement les exploits du monde réel. Pendant ce temps, le DAST peut valider si les défenses en temps d'exécution fonctionnent réellement, et vous dire si la vérification est (ou n'est pas) efficace en cas d'attaque. En simulant des tentatives d'exploitation, il vérifie que même si une vulnérabilité existe, les contrôles compensatoires peuvent limiter les dégâts.
Les vulnérabilités peuvent être traitées par des mises à jour de sécurité, y compris, le cas échéant, par des mises à jour automatiques et la notification des mises à jour disponibles aux utilisateurs.
Aikido surveille en permanence les nouvelles vulnérabilités dans vos dépendances et vous alerte, vous aidant ainsi à garantir que les mises à jour sont appliquées rapidement.
Les fabricants devraient identifier et documenter les vulnérabilités et les composants contenus dans le produit, y compris en établissant une Software Bill of Materials (SBOM) dans un format couramment utilisé et lisible par machine, couvrant au minimum les dépendances de premier niveau du produit.
Vous pouvez utiliser Aikido pour exporter une Software Bill of Materials (SBOM) complète au format CycloneDX ou SPDX en un seul clic. Cela fournit un inventaire complet de tous les packages et de leurs licences pour les audits et la transparence.
En ce qui concerne les risques posés aux produits comportant des éléments numériques, traiter et corriger les vulnérabilités sans délai, y compris en fournissant des mises à jour de sécurité.
Aikido est la meilleure option pour réduire le temps de remédiation, car nos analyses réduisent le bruit (faux positifs) de 95 %. De plus, notre outil de Tests de sécurité des applications statiques (SAST) peut exclure la possibilité d'exploitabilité, et lorsque cela ne peut être exclu, il trie automatiquement les alertes pour que vous puissiez les prioriser.
De plus, nous pouvons corriger un certain nombre de problèmes automatiquement en un clic grâce à notre fonctionnalité AutoFix. Nous savons, d'après nos propres recherches auprès de développeurs, d'ingénieurs AppSec et de CISOs en Europe et aux États-Unis, que 79 % des organisations utilisent déjà des outils de correction automatique par IA pour les vulnérabilités, et 18 % supplémentaires sont intéressées à le faire.
Les résultats de notre nouvelle solution de tests d'intrusion autonomes peuvent également être intégrés dans les pipelines de remédiation, ce qui facilite la validation de l'efficacité des correctifs.
Appliquer des tests et des examens efficaces et réguliers de la sécurité du produit avec des éléments numériques.
Aikido proposera bientôt des tests d'intrusion autonomes plus approfondis et efficaces que les alternatives manuelles, permettant aux organisations d'effectuer des tests automatisés à la demande ou de manière continue. (Cela transforme des tests d'intrusion de plusieurs semaines en évaluations qui prennent moins d'une heure). Séparément, Aikido automatise également les tests de sécurité à chaque modification de code ou build, garantissant des examens continus.
Au-delà d'ISO27001, NIS2 et DORA : Ce qu'apporte le Cyber Resilience Act
De nombreuses organisations sont déjà conformes à des cadres tels qu'ISO27001, NIS2 ou DORA. Ceux-ci se concentrent principalement sur la manière dont votre entreprise gère la sécurité au niveau organisationnel (politiques, gestion des risques, réponse aux incidents et reporting). Aikido fournit déjà des rapports de conformité au sein de sa plateforme pour :
- Conformité ISO 27001:2022
- Conformité SOC2
- Conformité au Top 10 OWASP
- Conformité CIS
- conformité NIS2
- Conformité NIST 800-53
- Conformité PCI
- Conformité HIPAA
- Conformité DORA
- Conformité HITRUST LVL3
- Conformité ENS
- RGPD
Le Cyber Resilience Act (CRA) est différent. Il introduit des obligations de sécurité au niveau des produits, ce qui signifie que la réglementation s'applique directement aux produits numériques que vous développez et vendez. La conformité ne consiste pas seulement à prouver que vous avez mis en place les bons processus, mais aussi à prouver que votre produit lui-même est sécurisé :
- Il doit être livré sans vulnérabilités connues
- Il doit inclure une SBOM
- Il doit être résilient aux attaques (par ex. DoS/DDoS)
- Il doit recevoir des mises à jour de sécurité continues
- Il doit être testé régulièrement pour détecter les failles exploitables
Ce sont des exigences sur le produit lui-même, et pas seulement sur le système de gestion de la sécurité de votre entreprise.
Autres outils de sécurité dont vous pourriez avoir besoin pour une conformité CRA complète
Alors qu'Aikido couvre la sécurité du code, du cloud et de l'exécution dans un système centralisé, le CRA aborde également la gestion des identités, le chiffrement, la protection des données et la sécurité réseau. Selon votre environnement, vous pourriez avoir besoin d'outils complémentaires tels que l'IAM, des contrôles cryptographiques ou des solutions de reprise après sinistre, en plus d'Aikido.
FAQ
Conclusion
Le Cyber Resilience Act établit une nouvelle norme pour les logiciels sécurisés en Europe. La conformité n'est plus facultative. Pour les équipes d'ingénierie et de sécurité, cela signifie construire avec la sécurité au cœur et prouver que vos produits répondent aux exigences du CRA.
Aikido Security simplifie cela. Du code au cloud, jusqu'à la protection en temps d’exécution, Aikido vous offre une analyse automatisée, la qualité du code, la génération de SBOM, les tests d'intrusion et la protection en temps d’exécution sur une seule plateforme. Plus besoin de jongler avec plusieurs outils. Pas de bruit supplémentaire. Juste des chemins plus rapides vers la conformité et des produits plus sûrs.
Prêt à découvrir comment Aikido vous aide à satisfaire les exigences du CRA ?
Planifiez une démo et commencez à développer des logiciels sécurisés sans ralentir votre équipe.
