Manitou, un industriel face aux enjeux de la conformité CRA
Bien connu pour ses équipements de manutention, Manitou fait partie des industriels français qui sont soumis au CRA européen. Cette mise en conformité s’inscrit dans une stratégie de qualité logicielle de longue date, mais l’oblige à revoir ses relations avec de nombreux partenaires.
Basé à Ancenis en Loire-Atlantique, le groupe Manitou conçoit, fabrique et commercialise des machines de manutention dans 140 pays auprès des professionnels de la construction, des agriculteurs et des industries. Ses machines sont de plus en plus connectées et dotées d’interfaces informatiques. De ce fait, l’industriel tombe sous la coupe du CRA (Cyber Resilience Act).
Tristan Guiheux, dans ses attributions de responsable de la sécurité des systèmes d'information de Manitou Group, porte aussi la charge de piloter la mise en conformité CRA du groupe : « ma mission est d'assurer un niveau de sécurité le plus pertinent possible pour Manitou, tant pour la partie IT qu’OT et IoT. Le CRA porte essentiellement sur les machines que nous commercialisons. Celles-ci sont de plus en plus numérisées et donc soumises au CRA. Nous devons en conséquence nous assurer d’assurer du plus haut niveau de sécurité possible, comme c’est déjà le cas sur leur sécurité physique, afin d’apporter à nos clients un service optimal ».
Une dimension cyber est ainsi venue s’ajouter aux développements qui sont intégrés aux machines de la marque et dans la gestion du parc de machines à l'échelle mondiale.
Le rôle clé du SBOM
Les développements des logiciels embarqués dans les machines Manitou et Gehl sont menés en interne et faisaient déjà l’objet d’une démarche qualité : « le CRA nous impose d’apporter un support de la sécurité des logiciels sur la durée, tant sur les développements que nous menons en interne que sur les briques logicielles externes que nous intégrons. Nous nous devons de couvrir toute la partie vulnérabilités informatiques sur notre chaîne logistique logicielle et ce que nous produisons nous-mêmes ».
L’industriel doit assurer la gestion des vulnérabilités de son code, mais aussi à l’échelle de tous ses fournisseurs, et s’assurer que ceux-ci, par rebond, seront capables de lui remonter leurs vulnérabilités pour que le groupe français puisse remonter les alertes auprès de l’Anssi dans les contraintes de délais définies par le règlement européen : « en termes d’outillage, cela passe, entre autres, par le SBOM (Software Bill of Materials). Il faut disposer d’une liste complète des composants de l’ensemble de nos logiciels, leurs dépendances et leurs origines. Cela permet d’évaluer l’impact d’une vulnérabilité sur nos machines et quelles sont celles qui doivent être corrigées selon les analyses de risques menées en amont. C’est une solution dont nous disposions déjà, mais avec le CRA, elle est devenue absolument nécessaire ».
Si Manitou Group a l’habitude de gérer la conformité de ses produits et solutions, le CRA nécessite donc de renforcer cette gestion de la conformité sur le plan logiciel. Celle-ci est assurée par un travail commun du RSSI en lien étroit avec les équipes R&D car ce sont elles qui développent les logiciels embarqués dans les produits Manitou/Gehl et qui sont à la manœuvre.
« Nous travaillons en équipe : la partie gouvernance et respect du texte de mon côté, et les aspects techniques et opérationnels côté R&D. Cela assure une belle complémentarité », explique Tristan Guiheux.
Un volet contractuel indispensable pour couvrir la Supply Chain logicielle
Le RSSI rappelle ainsi que « la mise en conformité avec le CRA passe par un volet gouvernance, un volet contractuel et des processus. Nous sommes en train de revoir tous les contrats noués avec nos fournisseurs afin de veiller à leur conformité vis-à-vis du CRA, avec notamment l’intégration de clauses de remontée de vulnérabilités lorsque c'est pertinent ».
Ce volet contractuel est complété par un processus interne pour qu'en cas de découverte de vulnérabilité dans tel ou tel composant logiciel, l’information soit bien remontée vers l’équipe de cybersécurité afin que celle-ci puisse faire une déclaration auprès de l’Anssi et des clients concernés. Ce processus doit être complètement opérationnel d’ici la fin de l'année.
Si Tristan Guiheux estime qu’il n’y aura pas nécessairement de création de nouveaux postes à court terme, il faudra adapter certaines fonctions pour répondre aux exigences du texte européen : « nous étions déjà dans une approche DevSecOps, mais il est indéniable que cela va pousser certains industriels à accélérer leur mutation vers ce modèle ».
Pour mener à bien cette mise en conformité, Tristan Guiheux estime qu’il est nécessaire de se faire aider par des experts : « il est relativement simple de se faire aider par des prestataires qui ont bien compris les problématiques soulevées par le CRA. Il est aussi important de capitaliser sur cette connaissance en interne afin de monter en compétence sur le long terme et s’approprier le CRA de la manière la plus complète possible ».
Pour lui, la complexité de ce projet vient de certains acteurs de l’industrie qui ne sont généralement pas habitués à des temps de réaction aussi courts. De même, mettre à jour des équipements qui ne sont pas connectés en permanence ou seulement via des réseaux IoT présente une spécificité dont il faut tenir compte : « si demain on devait avoir une vulnérabilité sévère sur l'ensemble de la flotte de machines, la question s’orientera sur la manière de gérer leur mise à jour à distance. Celles-ci sont réparties dans le monde entier, et ne sont pas nécessairement connectées à Internet en permanence. Cela vient rajouter une part de risque qu’il faut intégrer ».
