« Chez Schneider Electric, la cybersécurité est un sujet primordial et transversal : il concerne tous nos produits, des capteurs aux disjoncteurs moyenne tension, en passant par nos passerelles EcoStruxure »,
souligne Nathalie Feyt, VP Product Security de la branche Energy Management de Schneider Electric.
« Il s'agit en premier lieu de garantir l'intégrité et l'authenticité des logiciels embarqués dans nos produits, souvent utilisés dans des environnements critiques. De plus, nous accordons une importance capitale à la résilience cyber : en cas d'attaque sur un produit, il ne doit pas y avoir d'incidence sur la sécurité des personnes, ni sur la continuité des activités de nos clients. »
Pour renforcer la sécurité de ses composants matériels et systèmes embarqués, Schneider Electric a choisi de s'appuyer sur des partenariats de haut niveau. Depuis 2019, le leader industriel collabore avec le CEA-Leti, reconnu pour son expertise dans ce domaine, notamment depuis 25 ans à travers son Centre d'Évaluation de la Sécurité des Technologies de l'Information (CESTI) agréé par l'ANSSI. Une compétence qui vient compléter l'expérience de Schneider Electric en matière de codage sécurisé et d'évaluation de la sécurité des produits embarqués.
Cybersécurité tout au long du cycle de vie
Après de premiers travaux conjoints, les deux partenaires ont rapidement souhaité structurer et pérenniser leur collaboration. Dès 2020, ils se sont ainsi réunis sous la forme d'un laboratoire commun dédié à la cybersécurité des équipements industriels.
« Notre objectif est de couvrir toute la durée de vie des produits », détaille Marion Andrillat, responsable des partenariats industriels en cybersécurité au CEA-Leti. « Il convient premièrement, dans une approche "secure by design", de définir des mesures de protection dès la phase de conception, conformément aux exigences réglementaires et aux standards, selon les besoins des cas d'usage. La robustesse des mesures de sécurité intégrées est ensuite testée et qualifiée. Par ailleurs, l'enjeu consiste à détecter et à contrer des attaques lors de l'utilisation du produit et à mettre en œuvre des mécanismes de résilience cyber. »
Le laboratoire commun, déjà renouvelé une première fois en 2022 pour trois ans, a permis de développer des outils de pointe, tels qu'un banc de test dédié aux vulnérabilités des protocoles de communication sans fil. Les partenaires ont également étudié les mécanismes de détection d'attaques pour les systèmes embarqués, reposant sur l'IA. Son principe : puisqu'il est difficile de prédire les caractéristiques des attaques de demain, il convient plutôt de détecter tout comportement anormal du système. Un modèle d'IA peut ainsi apprendre le mode de fonctionnement nominal d'un système et émettre une alerte en cas d'écart, qui peut correspondre à une attaque.
Une nouvelle prolongation pour explorer les nouveaux enjeux de la cybersécurité
Cette riche collaboration n'est pas près de s'achever, puisque Schneider Electric et le CEA ont décidé, à la fin de l'année 2025, de prolonger leur laboratoire commun pour une durée supplémentaire de trois ans.
« Il y a encore tant à développer en matière de cybersécurité », note Nathalie Feyt. « Tout d'abord, nous souhaitons poursuivre nos précédents travaux conjoints et les faire passer à l'échelle, en les intégrant davantage dans nos pratiques de conception. Et nous voulons continuer d'explorer des sujets tels que la cryptographie post-quantique ou la sécurisation des communications des objets communicants dans l'industrie (OT). »
« Nous devons également prendre en compte les évolutions réglementaires, à l'image du Cyber Resilience Act, qui entrera en application en décembre 2027 »,
ajoute Marion Andrillat.
« Celui-ci oblige notamment les fabricants à prendre en compte les vulnérabilités connues des produits comportant des éléments numériques. Le laboratoire commun aidera donc Schneider Electric à se préparer au mieux à cette nouvelle exigence de conformité. »
Cryptographie post-quantique, nouvelles réglementations, mais aussi sécurité de l'IA embarquée, ou encore optimisation de la gestion des vulnérabilités : autant de sujets qui mobiliseront les deux partenaires durant, au moins, les trois prochaines années.