ISO/SAE 21434 et la sécurité par conception

R155 dit au constructeur ce qu'il doit démontrer. Il ne dit pas comment s'y prendre. La norme ISO/SAE 21434, publiée en 2021 sous le titre Road vehicles — Cybersecurity engineering, remplit ce rôle : c'est le mode d'emploi d'ingénierie du règlement.

Une norme, pas une loi

La distinction est importante et souvent brouillée dans les discussions de comptoir.

• Un règlement comme R155 est un texte contraignant : il conditionne l'homologation.
• Une norme comme ISO/SAE 21434 est un référentiel volontaire. Personne n'est légalement tenu de l'appliquer.

Mais dans les faits, un constructeur qui applique la norme dispose d'une démonstration reconnue face à l'autorité d'homologation. C'est pourquoi elle s'est imposée : elle est le chemin le plus court vers la conformité. La même logique lie ISO 24089 à R156 pour les mises à jour logicielles.

Ce que la norme organise

ISO/SAE 21434 ne fournit pas de recette technique : elle ne dit pas « utiliser telle longueur de clé ». Elle organise un processus, sur cinq axes.

1. La gouvernance. L'entreprise doit avoir une politique de cybersécurité, des rôles définis, des compétences identifiées, une culture de la sécurité. Ce n'est pas de l'affichage : c'est ce que l'audit du système de management vérifie.

2. L'analyse de risque. C'est le cœur de la norme, désigné par l'acronyme TARA — Threat Analysis and Risk Assessment. La démarche est méthodique : recenser les biens à protéger, envisager les scénarios de menace, estimer l'impact et la faisabilité, en déduire un niveau de risque, puis décider — réduire, transférer, accepter, éviter.

3. Le développement. Les décisions de l'analyse de risque deviennent des exigences de conception, vérifiées et validées comme les autres exigences du véhicule.

4. La production et l'exploitation. Provisionnement des secrets en usine, surveillance du parc, gestion des vulnérabilités découvertes après commercialisation, capacité à réagir.

5. La fin de vie. Le moment où le constructeur cesse de soutenir un modèle, avec les conséquences que cela emporte.

Le concept de sécurité par conception

L'expression est galvaudée ; ici elle a un sens précis. La sécurité n'est pas ajoutée à la fin, elle est décidée au début.

Concrètement, l'analyse de risque intervient avant que l'architecture ne soit figée. Si elle conclut qu'un chemin d'écriture non authentifié constitue un risque inacceptable, ce chemin n'existera pas dans le produit. On ne le referme pas après coup : il n'est jamais ouvert.

C'est exactement ce que constate un reprogrammateur sur les plateformes récentes. Un EDC17 a été conçu à une époque où la question ne se posait pas dans ces termes ; un calculateur à module de sécurité matériel a été conçu avec la réponse.

L'effet sur toute la chaîne de fourniture

ISO/SAE 21434 organise explicitement la relation entre le constructeur et ses fournisseurs, à travers un document d'interface qui répartit les responsabilités de cybersécurité entre les parties.

Deux conséquences très concrètes :

• Les exigences descendent en cascade. Le fondeur du microcontrôleur, l'équipementier, l'éditeur de logiciel embarqué sont tous tenus par le même niveau d'exigence.
• Les protections deviennent contractuelles. Un équipementier ne peut pas les assouplir pour rendre son produit plus commode : il est audité dessus.

C'est ce qui explique la remarquable homogénéité du durcissement observé sur le marché, tous constructeurs confondus, en quelques années.

Pourquoi les protections vont continuer de se durcir

Trois mécanismes intégrés à la norme rendent le mouvement irréversible.

• La surveillance après commercialisation. Toute faiblesse découverte sur un parc en circulation doit être traitée. Ce qui a fonctionné hier est signalé, analysé, corrigé — et ne fonctionne plus demain.
• L'amélioration continue. Une analyse de risque se met à jour. Ce qui était jugé acceptable il y a cinq ans ne l'est plus quand la connectivité augmente.
• L'extension du périmètre. Chaque nouvelle fonction connectée — conduite déléguée, recharge intelligente, services embarqués — ajoute des biens à protéger, donc des protections.

À cela s'ajoute une pression réglementaire distincte mais convergente : les exigences européennes de résistance à l'altération des paramètres liés aux émissions, qui existaient bien avant la cybersécurité. Voir les normes Euro.

La conclusion à tenir devant un client est donc sans ambiguïté : cette tendance ne s'inversera pas. Un professionnel qui bâtit son modèle sur l'idée que « ça finira bien par s'ouvrir » construit sur du sable.

Ce qu'un atelier peut en retirer pour lui-même

La norme s'adresse aux constructeurs, mais sa logique est transposable à petite échelle :

• identifier ce qui a de la valeur dans l'atelier : sauvegardes de fichiers originaux, données clients, licences d'outils ;
• envisager ce qui peut mal tourner : perte de sauvegarde, poste compromis, outil contrefait ;
• décider des mesures proportionnées : sauvegarde hors ligne, séparation des postes, outils authentiques. Voir les risques réels d'un outil contrefait ;
• tracer ce qui est fait, ce qui protège l'atelier autant que le client.

Voir aussi le règlement UN R155, le règlement UN R156 et ce que la cybersécurité change pour le reprogrammateur.

Sur ANP Engineering — file service de reprogrammation moteur pour professionnels : file service ECU, correction de checksum, calculateurs pris en charge, tarifs.