Essais de pénétration de robots et machines agricoles connectés

Avant le service: Vous développez une IA connectée ou une solution robotique pour l'agriculture ou la production alimentaire, mais vous ne savez pas à quel point elle résisterait à une cyberattaque. Les clients, les investisseurs et les nouvelles réglementations de l'UE demandent de plus en plus comment le produit est protégé, et vous n'avez pas de résultats de test indépendants à montrer. Après le service: Vous recevez des conclusions documentées sur les vulnérabilités identifiées dans le cadre du test convenu, leur gravité et l'ordre dans lequel elles peuvent être corrigées. Un test d'intrusion ne peut pas montrer qu'un produit est exempt de vulnérabilités; elle montre ce qui a été trouvé dans les limites du champ d’application et du délai convenus. Vous disposez d'un rapport de test indépendant de RISE que vous pouvez utiliser dans votre travail de développement, dans votre évaluation des risques et dans les discussions avec les clients et les partenaires. En fonction des règles qui s’appliquent à votre produit, les résultats peuvent également être utiles lorsque vous vous préparez aux exigences de cybersécurité telles que celles de l’UE. le règlement (UE) 2023/1230 relatif aux machines, qui s’applique à partir du 20 janvier 2027, et le règlement (UE) 2024/2847 sur la cyberrésilience, dont les obligations de déclaration pour les constructeurs s’appliquent à partir du 11 septembre 2026 et dont les principales exigences s’appliquent à partir du 11 décembre 2027. Trouver et corriger les faiblesses tôt permet d'économiser de l'argent par rapport à la gestion d'un incident sur le terrain. Veuillez noter que le service ne certifie pas le produit ou ne confirme pas qu'il est conforme à toute réglementation; pour le soutien à la conformité, voir les services connexes ci-dessous.

Le test de pénétration est réalisé avec une méthode RISE basée sur la norme PTES (Pénétration Testing Execution Standard), en trois étapes: · Planification: Ensemble, nous convenons de ce qu'il faut tester, du type de test, des fenêtres de test, des précautions de sécurité et des informations et accès que vous fournirez. · Essais: RISE simule des attaques réalistes sur les parties convenues de votre produit, à l'aide d'outils automatisés et de tests manuels. · Rapports: Vous recevez un rapport écrit avec les résultats et les recommandations. Durée : La configuration initiale du projet, y compris la préparation de l'environnement de test, prend normalement un à deux jours. Les principales activités de test sont généralement terminées en quelques jours et d'éventuels tests de suivi par la suite. Une fois que toutes les activités de test ont été finalisées, le processus de rédaction et d'examen des rapports prend généralement environ deux semaines. Dans l'ensemble, le service prend généralement trois à cinq semaines entre le lancement du projet et la livraison du rapport final, en fonction de la complexité du produit et de la portée des tests. Lieu: Les tests sont effectués dans vos locaux ou à distance, le cas échéant, à condition que l’accès nécessaire soit disponible. Selon les préférences des clients, la taille du produit, la complexité et d'autres considérations pratiques, les tests peuvent également être effectués partiellement ou entièrement dans les laboratoires d'essai RISE. Le cas échéant, l’ensemble du système ou des parties spécifiques du système peuvent être évalués dans une installation d’essai RISE. Les clients qui peuvent recevoir le service au sein d'agrofoodTEF suivent les règles d'éligibilité du projet. Calendrier: Les tests des systèmes numériques ne sont généralement pas liés à la saison de croissance. Si l'évaluation nécessite des machines fonctionnant dans un environnement de terrain, le calendrier des essais est planifié avec vous en fonction de la disponibilité des machines et des exigences opérationnelles. Ce que vous fournissez: · Accès au produit à tester (la machine, le robot ou une configuration de test représentative), y compris ses interfaces réseau, ses applications et les services en nuage visés · Documentation technique, telle que l'architecture système, les interfaces, les versions logicielles et la configuration · Comptes de test et tous les identifiants nécessaires pour les tests convenus · Personne de contact qui coordonne les tests de votre côté · Autorisation des fournisseurs tiers dont les systèmes sont inclus dans le test, par exemple les services en nuage ou de télécommunications · Assistance à l'installation et à la configuration du système · Code source dans des cas spécifiques Ce que vous recevez: un rapport écrit comprenant: · La portée du test convenu, les versions du produit testées et les limites du test · Les vulnérabilités identifiées et leur gravité (par exemple évaluées avec CVSS) · Recommandations pratiques sur la façon de les corriger, par ordre de priorité · Aperçu de la façon dont le produit réagit aux attaques simulées Répétitions: après avoir corrigé les vulnérabilités, un nouveau test peut être convenu séparément pour confirmer que les correctifs fonctionnent.

Le service est adapté à votre produit et à vos besoins. Exemples d’options: Que tester · La machine elle-même: les unités de contrôle, les réseaux internes de machines (par exemple les réseaux CAN), les ports de service et de diagnostic et les micrologiciels. · Communication sans fil: Wi-Fi, Bluetooth, liaisons radio et télécommandes. Applications, portails Web et services cloud utilisés pour contrôler la machine ou pour gérer les données de la ferme, y compris leurs interfaces (API). · Capteurs connectés et appareils IoT faisant partie de la solution. Quelle profondeur pour tester · Analyse de vulnérabilité: un contrôle plus rapide des faiblesses connues. Même la numérisation peut affecter les systèmes de contrôle et la communication, de sorte que les effets possibles sur la machine sont évalués pendant la planification. · Test de pénétration complète: des scénarios d’attaque réalistes, y compris des tests manuels et des tentatives d’exploitation des faiblesses constatées. · Essais de boîte grise ou blanche: le testeur doit avoir une connaissance partielle ou complète du système, par exemple de la documentation et du code source avant le test. Combinaison avec d’autres services · Le test d’intrusion peut être combiné avec les services de RISE pour la conformité aux normes et réglementations en matière de cybersécurité (S00400), l’évaluation de la conformité des machines robotiques (S00009) et les tests des produits basés sur GPS/GNSS (S00372) et des équipements connectés 4G/5G (S00374). Limitations et ce que vous devez savoir à l'avance · La maturité du produit: le produit doit fonctionner, soit en fonctionnement, soit dans une configuration d'essai réaliste. Les prototypes peuvent être testés, mais les limites sont convenues à l'avance. · Sécurité: les essais susceptibles de faire bouger une machine ou de modifier son comportement ne sont effectués que sous réserve des précautions de sécurité convenues, par exemple dans une zone fermée sans personnes ni animaux à proximité. · Systèmes tiers: Les services cloud, télécoms et autres services tiers ne sont testés que dans la mesure où le fournisseur le permet. · Protocoles propriétaires: des systèmes hautement personnalisés ou des protocoles de communication propriétaires peuvent nécessiter plus de temps de préparation. · Contraintes opérationnelles: Parlez-nous tôt des restrictions telles que les fenêtres de test limitées ou les périodes où la machine ne doit pas être dérangée. · Non inclus: la correction des vulnérabilités, la certification ou la confirmation que le produit est conforme à une réglementation. Le rapport donne des recommandations sur la façon de réparer ce qui a été trouvé.