TLDR : Aikido vous aide à vous conformer à la Cyber Resilience Act. Nous vous aidons également à automatiser les politiques de sécurité et les contrôles de conformité pour SOC2, ISO27001, CIS et NIS2.
Nous expliquons ici l'importance de la Cyber Resilience Act comment Aikido vous Aikido à vous y conformer.
Qu'est-ce que la Cyber Resilience Act pourquoi est-elle importante pour la sécurité des logiciels ?
Cyber Resilience Act CRA) est une réglementation de l'Union européenne (UE) qui entrera en vigueur en décembre 2024 et qui établit des exigences de base en matière de cybersécurité et de conformité pour tous les produits comportant des éléments numériques, y compris leurs composants (matériel et logiciels), vendus dans l'UE. Cela inclut les produits SaaS (Software-as-a-Service) qui sont considérés comme des solutions de traitement de données à distance. Elle concerne tous les fabricants qui vendent leurs produits dans l'Union européenne, et pas seulement les entreprises basées dans l'UE.
Cela place la responsabilité de la prévention des failles de cybersécurité sur les fabricants, avec des sanctions importantes en cas de non-conformité pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. Les produits doivent donc être conçus dès le départ dans un souci de sécurité.
La réglementation vise à fournir des directives claires aux personnes concernées, mais si elle était claire, vous ne seriez pas en train de lire cette page. Nous allons donc vous l'expliquer en détail.
Pourquoi la Cyber Resilience Act a-t-elle été Cyber Resilience Act ?
La Commission européenne a conçu le CRA afin de protéger les consommateurs et les entreprises qui achètent des produits comportant des éléments numériques, car, très franchement, de nombreux produits connectés à Internet (également appelés « Internet des objets ») ne sont pas mis à jour et ne sont donc pas sécurisés. En effet, l'une des plus importantes attaques DDoS jamais enregistrées a été celle du botnet Mirai (attaque Dyn), qui a transformé des appareils IoT non sécurisés en une armée de machines d'attaque. Un autre problème que l'UE devait résoudre était la difficulté croissante pour les consommateurs et les entreprises de savoir quels produits étaient sûrs lorsqu'ils effectuaient un achat.
La CRA veille à ce que les logiciels et les appareils connectés soient mis à jour, sécurisés et résistants aux cyberattaques. De nombreux produits ont historiquement été commercialisés avec des vulnérabilités connues, alimentant attaques de la chaîne d’approvisionnement à grande échelle attaques de la chaîne d’approvisionnement. La CRA vise à changer cela.
Comment la conformité CRA affecte les développeurs et les équipes de sécurité
Si vous faites partie d'une équipe d'ingénieurs ou de sécurité, cela a un impact considérable, car cela modifie la manière dont vous concevez, développez, testez et livrez vos logiciels. De gestion des vulnérabilités la réponse aux incidents, la conformité implique d'intégrer la sécurité dès la conception dans votre cycle de développement.
Comment Aikido simplifie les exigences de conformité de l'ARC
La CRA impose des exigences strictes aux fabricants, allant de l'analyse des vulnérabilités et SBOM à la résilience contre les attaques DoS. Aikido vous Aikido répondre à ces exigences grâce à une analyse de sécurité automatisée, protection en temps d’exécution et des rapports de conformité dans un système centralisé.
Voici un aperçu plus détaillé de la manière dont Aikido vous Aikido à vous conformer à des exigences spécifiques :
Les produits doivent offrir un niveau de cybersécurité approprié en fonction des risques
Aikido en surveillant en permanence votre code, cloud votre runtime contre les risques connus. Cela vous offre une bonne vue d'ensemble de votre posture de sécurité.
Les produits doivent être livrés sans aucune vulnérabilité exploitable connue
C'est là que Aikido essentiel ; Aikido un certain nombre de scanners qui recherchent les vulnérabilités. Ceux-ci comprennent SAST - analyse de votre code source à la recherche de vulnérabilités de sécurité, analyse de la composition logicielle SCA) - analyse des vulnérabilités des dépendances open source, analyse des machines virtuelles (instances AWS EC2), DAST, gestion de la posturecloud (CSPM) - vérification cloud , analyse des API, analyse des secrets, analyse des conteneurs, analyse de l'infrastructure en tant que code (IaC), analyse des logiciels malveillants et analyse des licences open source.
Et avant de livrer tout produit, Aikido Zen, qui est une autoprotection des applications en temps d’exécution, qui protège une application en fournissant un pare-feu intégré à l’application. Cela détecte les menaces pendant que votre application s'exécute, arrête les attaques comme les zero-days en temps réel et bloque automatiquement les attaques par injection critiques. En installant Zen, vous n'avez pas à vous soucier des nouvelles vulnérabilités.
Les produits doivent protéger la disponibilité des fonctions essentielles, notamment la résilience contre les attaques par déni de service et leur atténuation.
AikidoZen peut filtrer le trafic malveillant à la périphérie et appliquer limitation de débit, contribuant ainsi à atténuer les attaques DoS/DDoS. Il réduit la portée des attaques volumétriques ou d'épuisement des ressources avant qu'elles n'atteignent la logique applicative.
Les produits doivent minimiser l'impact négatif sur la disponibilité des services fournis par d'autres appareils ou réseaux.
Aikido peut garantir que les services compromis ne propagent pas de trafic abusif vers l'extérieur.
Les produits doivent être conçus, développés et fabriqués de manière à limiter les surfaces d'attaque, y compris les interfaces externes.
En identifiant les services exposés, les codes non sécurisés et les dépendances vulnérables, Aikido réduire les surfaces d'attaque. Les tests de pénétration autonomes sondent les interfaces et les points d'extrémité de manière dynamique, ce qui permet d'identifier les expositions inattendues.
Produits conçus, développés et fabriqués pour réduire l'impact d'un incident à l'aide de mécanismes et de techniques appropriés d'atténuation des exploits.
En détectant rapidement les bibliothèques vulnérables ou les pratiques de codage non sécurisées grâce à la qualité Aikido , Aikido réduit Aikido l'exploitabilité. Nos tests de pénétration autonomes permettent de vérifier si les mesures d'atténuation (par exemple, les règles WAF, le sandboxing, la désérialisation sécurisée) empêchent réellement les exploits dans le monde réel. Parallèlement, DAST vérifier si les défenses d'exécution fonctionnent réellement et, essentiellement, de déterminer si le contrôle est (ou n'est pas) efficace en cas d'attaque. En simulant des tentatives d'exploitation, il vérifie que même si une vulnérabilité existe, des contrôles compensatoires peuvent limiter les dommages.
Les vulnérabilités peuvent être corrigées grâce à des mises à jour de sécurité, y compris, le cas échéant, par le biais de mises à jour automatiques et de notifications aux utilisateurs concernant les mises à jour disponibles.
Aikido surveille Aikido les nouvelles vulnérabilités dans vos dépendances et vous alerte, vous aidant ainsi à vous assurer que les mises à jour sont appliquées rapidement.
Les fabricants doivent identifier et documenter les vulnérabilités et les composants contenus dans le produit, notamment en dressant une liste de matériaux logiciels SBOM) dans un format couramment utilisé et lisible par machine, couvrant au minimum les dépendances de haut niveau du produit.
Vous pouvez utiliser Aikido exporter une liste de matériaux logiciels complète liste de matériaux logiciels SBOM) dans CycloneDX ou SPDX en un seul clic. Cela fournit un inventaire complet de tous les paquets et de leurs licences à des fins d'audit et de transparence.
En ce qui concerne les risques posés aux produits comportant des éléments numériques, traitez et corrigez les vulnérabilités sans délai, notamment en fournissant des mises à jour de sécurité.
Aikido la meilleure option pour réduire le temps nécessaire à la correction, car nos analyses réduisent le bruit (faux positifs) de 95 %. De plus, notre outil Tests de sécurité des applications statiques SAST) peut exclure la possibilité d'exploitation, et lorsque cela n'est pas possible, il trie automatiquement les alertes pour que vous puissiez les classer par ordre de priorité.
De plus, nous pouvons corriger automatiquement un certain nombre de problèmes en un seul clic grâce à notre fonctionnalité AutoFix. D'après nos propres recherches menées auprès de développeurs, AppSec et de RSSI en Europe et aux États-Unis, nous savons que 79 % des organisations utilisent déjà correction automatique par IA pour les vulnérabilités, et que 18 % supplémentaires sont intéressées par cette solution.
Les résultats de notre nouvelle solution autonome de tests d'intrusion peuvent également être intégrés dans les pipelines de correction, ce qui facilite la validation de l'efficacité des corrections.
Appliquez des tests et des examens efficaces et réguliers de la sécurité du produit avec des éléments numériques.
Aikido bientôt des tests de pénétration autonomes plus approfondis et plus efficaces que les alternatives manuelles, permettant aux organisations d'effectuer des tests automatisés à la demande ou de manière continue. (Cela transforme les tests de pénétration qui duraient plusieurs semaines en évaluations qui prennent moins d'une heure). Par ailleurs, Aikido automatise Aikido les tests de sécurité à chaque modification ou compilation de code, garantissant ainsi des examens continus.
Au-delà des normes ISO 27001, NIS2 et DORA : ce que la CRA ajoute
De nombreuses organisations se conforment déjà à des cadres tels que ISO27001, NIS2 ou DORA. Ceux-ci se concentrent principalement sur la manière dont votre entreprise gère la sécurité au niveau organisationnel (politiques, gestion des risques, réponse aux incidents et rapports). Aikido fournitAikido des rapports de conformité au sein de sa plateforme pour :
- Conformité à la norme ISO 27001:2022
- Conformité SOC2
- Top 10 OWASP
- Conformité CIS
- conformité NIS2
- Conformité à la norme NIST 800-53
- Conformité PCI
- Conformité HIPAA
- Conformité DORA
- Conformité HITRUST LVL3
- Conformité ENS
- RGPD
Cyber Resilience Act CRA) est différente. Elle introduit des obligations de sécurité au niveau des produits, ce qui signifie que la réglementation s'applique directement aux produits numériques que vous fabriquez et vendez. La conformité ne consiste pas seulement à prouver que vous avez mis en place les processus appropriés, mais aussi à prouver que votre produit lui-même est sûr :
- Il doit être livré sans vulnérabilités connues.
- Il doit inclure un SBOM
- Il doit être résistant aux attaques (par exemple, DoS/DDoS).
- Il doit recevoir des mises à jour de sécurité régulières.
- Il doit être testé régulièrement pour détecter les failles exploitables.
Il s'agit d'exigences relatives au produit lui-même, et non uniquement au système de gestion de la sécurité de votre entreprise.
Autres outils de sécurité dont vous pourriez avoir besoin pour vous conformer pleinement aux exigences de l'ARC
Alors Aikido la sécurité du code, cloud et du runtime dans un système centralisé, le CRA aborde également la gestion des identités, le chiffrement, la protection des données et la sécurité réseau. En fonction de votre environnement, vous pouvez avoir besoin d'outils complémentaires tels que l'IAM, des contrôles cryptographiques ou des solutions de reprise après sinistre en plus Aikido.
FAQ
Conclusion
Cyber Resilience Act une nouvelle norme en matière de logiciels sécurisés en Europe. La conformité n'est plus facultative. Pour les équipes d'ingénierie et de sécurité, cela signifie qu'elles doivent mettre la sécurité au cœur de leurs activités et prouver que leurs produits répondent aux exigences de la CRA.
Aikido simplifie cette tâche. Du code au cloud le runtime, Aikido vous Aikido des fonctionnalités automatisées de scan, de qualité du code, SBOM , de tests d'intrusion et protection en temps d’exécution une seule et même plateforme. Plus besoin de jongler entre plusieurs outils. Plus de bruit supplémentaire. Juste des chemins plus rapides vers la conformité et des produits plus sûrs.
Prêt à découvrir comment Aikido vous Aikido cocher les exigences de la CRA ?
Réservez une démonstration et commencez à créer des logiciels sécurisés sans ralentir votre équipe.
Sécurisez votre logiciel dès maintenant.
.avif)
