Audits de sécurité
Une revue de votre architecture et de votre implémentation face aux attaques radio et embarquées, y compris les exigences de sécurité du Cyber Resilience Act (CRA) et de NIS2, avec des corrections que votre équipe peut intégrer à la version déjà prévue.
- Un produit approche de sa mise sur le marché ou de sa certification
- Vous devez répondre au Cyber Resilience Act (CRA) ou à NIS2
- Vous voulez trouver les problèmes avant vos clients
- Il vous faut des corrections que vous pouvez planifier
- Un certificateur vous demandera des preuves
Comment cela se déroule
Nous vous tenons informé pendant le travail. Les constats graves sont signalés le jour même, sans attendre le rapport.
Cadrage
Ce qui est construit, ce qu'il doit passer, et les parties incluses. Nous convenons de ce dont nous avons besoin de votre côté.
Revue
L'architecture et le modèle de menace d'abord, puis l'implémentation : firmware, chaîne de démarrage, provisionnement radio et matériel.
Constats
Chaque problème avec son impact, la norme à laquelle il se rapporte, et une correction que votre équipe peut inclure dans la version prévue.
Contre-vérification
Une vérification de suivi une fois les corrections faites, avec des preuves qu'un certificateur acceptera.
Livrables
Un rapport sur lequel vos ingénieurs peuvent agir, une synthèse lisible par votre direction, et tout ce qu'il faut pour reproduire chaque constat.
- Rapport d'audit
- Les constats rattachés à la surface d'attaque et aux normes concernées
- Plan de remédiation
- Priorisé, avec des estimations d'effort que votre équipe peut planifier
- Preuves pour le certificateur
- Une documentation préparée pour l'organisme de certification
- Recommandations de conception
- Ce qu'il faut changer à la prochaine révision
- Rapport de contre-vérification
- La confirmation de ce qui a été corrigé
Ce que nous testons
Dites-nous lesquels vous concernent et nous estimerons le nombre de jours nécessaires pour chacun.
Toutes les prestations| Cible | Ce que cela implique |
|---|---|
| Architecture radio | Protocoles, frontières de confiance, gestion des clés, provisionnement et chemins de mise à jour |
| Firmware et chaîne de démarrage | Démarrage sécurisé, signature, protection contre le retour arrière, secrets stockés |
| Matériel | Ports de débogage, interfaces externes, résistance à l'effraction et à l'injection de fautes |
| Provisionnement | Comment les appareils reçoivent leurs identités et leurs clés, en usine et sur le terrain |
| CRA | Exigences de sécurité des produits comportant des éléments numériques : surface d'attaque, mises à jour sécurisées, gestion des vulnérabilités |
| NIS2 | Mesures techniques de sécurité et leurs tests, pour les entités essentielles et importantes |
| Autres exigences | Normes de sécurité radio et sectorielles |
Questions fréquentes
Pouvez-vous nous aider pour NIS2 ou le CRA ?
Oui. Penthertz évalue vos produits et vos systèmes au regard des exigences de sécurité de NIS2 et du Cyber Resilience Act, puis vous remet les preuves techniques et un plan de remédiation priorisé. Nous nous concentrons sur ce que d'autres laissent de côté, les liaisons radio et l'électronique de vos appareils, et nous les testons comme le ferait un évaluateur ou un attaquant. Nous travaillons aux côtés de votre équipe conformité ou juridique, qui garde la correspondance réglementaire, tandis que nous apportons les tests pratiques et les preuves. Vous obtenez des éléments à montrer aux auditeurs, pas une simple liste de contrôle remplie. Le résultat est quelque chose que vous pouvez montrer aux auditeurs, pas une simple liste de contrôle remplie.
Certifiez-vous les produits ?
Non. Penthertz n'est pas un organisme de certification, et nous veillons à ne pas le laisser croire, car une même organisation ne peut pas, de façon crédible, à la fois tester et certifier. Ce que nous faisons, c'est produire les preuves et les corrections qu'un certificateur ou un organisme notifié attendra : une évaluation claire de la sécurité radio et matérielle de votre produit, des constats reproductibles et une remédiation concrète. Vous, ou votre organisme de certification, utilisez ensuite ce travail dans l'évaluation formelle. Garder les rôles séparés garantit aussi que nos tests restent réellement indépendants du résultat de la certification.
À quel stade du projet pouvez-vous intervenir ?
Dès que vous avez un schéma d'architecture. Penthertz préfère examiner une conception plutôt qu'attendre un produit fini, car plus une faille est trouvée tôt, moins elle coûte à corriger, et une modification sur le papier coûte bien moins qu'un rappel. Nous pouvons revoir une architecture, puis tester les prototypes, puis le matériel final, pour que la sécurité soit vérifiée à chaque étape plutôt qu'ajoutée à la fin. Si vous êtes déjà en production, nous partons de là où vous en êtes et remontons à partir de là.
Parlons de votre projet
Nous cadrons le travail lors d'un premier échange, puis vous envoyons une proposition à prix ferme. Nous pouvons signer un accord de confidentialité réciproque avant d'entrer dans les détails.