Alors que les institutions françaises continuent d’être la proie de cyberattaques, l’Union européenne poursuit son travail sur le Cyber Resilience Act (CRA). Derrière ce nom se cache un ensemble de textes visant à renforcer la cybersécurité des logiciels et produits connectés utilisés en Europe. Le CRA imposera un cadre commun, constitué de normes à respecter pour prétendre à une commercialisation sur le Vieux Continent.
Exemple avec les VPN. Pour savoir s’ils sont fiables, vous ne pouvez vous fier qu’à leurs déclarations ou celles d’évaluations indépendantes. Bientôt, tous ceux opérant en Europe devront répondre à une série d’exigences partagées, telles que définies par l’Institut européen des normes de télécommunications (ETSI) via la norme EN 304 620. Gardez en tête que le document est encore à l’état d’ébauche. Il est donc amené à évoluer.
Vous vouliez un ordinateur portable d’exception ? Les PC équipés de Snapdragon tiennent leurs promesses.
La standardisation envisagée concerne les clients, les serveurs et les passerelles VPN. Elle impacte la manière dont sont gérées l’authentification au service, la confidentialité des données et la sécurisation des clés de chiffrement. Les mesures ont été pensées en association avec plusieurs entreprises du secteur, dont Google, Cisco, Airbus, NordVPN ou encore Surfshark.
De nouvelles normes européennes pour améliorer la sécurité des VPN
Miguel Fornés, responsable de la sécurité de l’information chez Surfshark, résume le processus par une analogie : « Ce changement est comparable à l’instauration des règles de sécurité pour les voitures. Avant les essais de collision et la législation sur le port de la ceinture de sécurité, les conducteurs ne pouvaient qu’espérer que leur voiture soit sûre. Une fois les normes de sécurité officielles mises en place, chaque voiture devait s’y conformer. »
Parmi les exigences, on trouve par exemple l’obligation pour un VPN d’installer automatiquement toutes les mises à jour de sécurité à la première ouverture du programme. Ils devront aussi tenir les mots de passe à l’écart des journaux système et prévenir l’utilisateur avant l’export de paramètres contenant des informations sensibles, comme des identifiants de connexion. Cela devrait fortement réduire le risque de fuite de données accidentelle.
Pour l’utilisateur, l’intérêt de la norme EN 304 620 est simple : chaque VPN aura à terme un niveau de protection minimum plus élevé qu’actuellement. Il sera également plus facile de le vérifier, puisque chacun devra se baser sur un référentiel commun et accessible à tous. Ne pas le respecter peut aboutir dans le pire des cas à un retrait du marché européen.
Rappelons que le Cyber Resilience Act, dans lequel s’inscrit la norme, vise à établir ce genre de standards pour un ensemble plus vaste de produits : antivirus, gestionnaires de mots de passe, appareils portables, jouets connectés ou encore assistants domotiques (Google Home, Amazon Alexa, Apple HomeKit…) devront également s’y conformer. Une liste de 17 normes est d’ailleurs entrée dans le processus d’approbation, qui comprend entre autres des consultations publiques.
Le calendrier, lui, est déjà connu. Les 17 normes restent en enquête publique jusqu’à une échéance comprise entre mi-septembre et mi-novembre 2026, variable selon les catégories de produits. Le Cyber Resilience Act deviendra pleinement contraignant le 11 décembre 2027, date à laquelle les fabricants devront démontrer leur conformité pour continuer à vendre en Europe, sous peine d’amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.