Fortinet a été l’une des premières entreprises à signer le Secure by Design Pledge de CISA en 2024. Depuis lors, nous avons publié des mises à jour régulières qui vont bien au-delà de la simple reformulation de notre soutien à l’engagement. Chaque mise à jour a mis en évidence ce qui a changé dans nos produits et pratiques de développement, les effets de ces changements et les domaines dans lesquels notre travail est toujours en cours.
Cette distinction est importante. La sécurité dès la conception n’est pas une certification ponctuelle. Il s’agit d’une pratique d’ingénierie continue, et sa fiabilité dépend de preuves.
Au cours de l’année écoulée, nous avons renforcé nos protections d’authentification, augmenté les mises à jour automatiques, réduit les micrologiciels non pris en charge sur les appareils, renforcé l’isolation et l’intégrité dans FortiOS, et fourni plus d’informations de sécurité aux clients. Nous continuons également à découvrir et à signaler les vulnérabilités de nos produits de la manière la plus transparente possible, en gardant une longueur d’avance sur les meilleures pratiques du secteur.
Les deux premiers objectifs d’engagement de la CISA traitent de l’authentification multifacteur (AMF) et des mots de passe par défaut. Fortinet a éliminé les mots de passe par défaut dans toutes ses gammes de produits grâce à notre Politique de cycle de vie du développement sécurisé. Les clients sont désormais tenus de créer des informations d'identification uniques pendant l'installation plutôt que d'hériter d'une information d'identification prédéfinie qui ne peut jamais être modifiée.
Nous avons également continué à étendre la couverture MFA à l’ensemble de notre portefeuille avec MFA dans nos services en ligne, FortiCare et FortiCloud, soit 97,1 %. Nous avons atteint et dépassé nos objectifs d’adoption, et nous amenons désormais nos clients à passer à des méthodes plus récentes et plus modernes, à réduire les méthodes moins sécurisées telles que les SMS et les e-mails, et à passer à notre solution de jetons mobiles.
Notre objectif n’est pas simplement de rendre la MFA disponible. Il s’agit de réduire les frictions qui peuvent survenir avec certaines méthodes MFA existantes et d’augmenter l’adoption de méthodes plus récentes et plus sécurisées.
Les mises à jour de sécurité offrent peu de protection jusqu’à leur installation. C’est pourquoi l’un des changements les plus importants que nous avons apportés dans le cadre de l’engagement est l’introduction de mises à jour automatiques pour les appareils FortiGate éligibles. Depuis le début de l’engagement en mai 2024, cette capacité a mis à jour plus de 1,8 million d’appareils FortiGate sans exiger des administrateurs qu’ils initient chaque mise à jour manuellement. Nous prévoyons de franchir la barre des 2 millions avant la fin de l’année, ce qui sera une étape importante.
Cependant, les mises à jour automatiques ne traitent qu’une partie du problème. De nombreux appareils restent en service même après la fin de la prise en charge de leur firmware ou de leur matériel. Les fournisseurs ont la responsabilité de rendre ce risque visible et d’aider les clients à passer aux versions et plateformes prises en charge. Grâce à la surveillance des appareils, aux notifications aux clients, à la collaboration avec les équipes régionales d’intervention d’urgence informatique (CERT) et à un programme d’échange, Fortinet a réduit de 13 % le nombre d’appareils exécutant un micrologiciel en fin de support au cours des trois derniers mois.
Il s’agit d’un modèle de responsabilité partagée. Alors que les fournisseurs doivent fournir des correctifs en temps opportun, des conseils clairs et des voies de mise à niveau pratiques, les clients doivent maintenir les inventaires actuels, surveiller les alertes des fournisseurs (parfois des bannières rouges clignotantes dans l’interface utilisateur) et agir en fonction de ces conseils. Plus nous automatisons efficacement les mises à jour de routine et identifions les infrastructures non prises en charge, moins les attaquants auront d’opportunités d’exploiter les vulnérabilités connues (N-Day) pour lesquelles un recours existe déjà.
Bien que la correction des vulnérabilités individuelles reste essentielle, le développement sécurisé doit également traiter les modèles qui permettent aux mêmes défauts de se reproduire. Au cours de l’année écoulée, Fortinet s’est concentré sur la réduction du nombre de classes de vulnérabilité définies, avec une attention particulière portée à l’injection SQL. Il s’agit de faiblesses bien comprises avec des méthodes de prévention établies, de sorte que la récurrence doit susciter un examen non seulement du code affecté, mais également des contrôles de développement destinés à les prévenir.
Notre réponse a inclus un audit de code étendu, des tests de régression et une responsabilité de la direction liée à la qualité du code. Nous avons également désigné des fonctions dont l’utilisation abusive peut généralement entraîner des problèmes impliquant l’exécution des commandes, la sécurité de la mémoire ou la gestion des entrées, et nous avons interdit leur utilisation, sauf en cas d’exceptions contrôlées. Dans la base de code FortiOS applicable, l’utilisation de ces fonctions a diminué de 95 % au cours des 6 derniers mois. L’impact de cette réduction devrait devenir apparent dans les mois à venir, car la surface d’attaque réduite entraîne moins de vulnérabilités.
Notre travail dans ce domaine est en cours et s’étend à de nouveaux domaines (y compris l’intégration de l’IA Frontier dans notre politique de cycle de vie de développement sécurisé de produits). L’approche correcte n’est pas de revendiquer la victoire une fois qu’un contrôle est mis en œuvre, mais d’évaluer s’il modifie efficacement les résultats, d’examiner chaque récurrence et d’améliorer le processus de développement si nécessaire.
Bien que l’élimination des défauts soit notre objectif principal, aucun système logiciel de grande taille ne peut garantir que chaque défaut sera découvert avant sa sortie. Par conséquent, nous continuons à renforcer FortiOS pour rendre les vulnérabilités plus difficiles à exploiter et réduire l’impact d’un processus compromis sur l’ensemble du système.
Nous comprenons que tous les clients ne disposent pas des ressources nécessaires pour configurer correctement et suivre la gestion de leurs solutions. Fortinet propose donc un service de pare-feu géré pour prendre en charge la configuration et le renforcement de leurs appareils et SOC-as-a-Service pour aider les organisations qui ont des difficultés à embaucher et à retenir des professionnels expérimentés pour des opérations de sécurité critiques et continues.
Chacun de ces contrôles a un objectif différent. Le durcissement réduit la fiabilité de l’exploitation. La segmentation limite la portée du système. L’application du domaine de sécurité limite ce que les processus peuvent faire. La surveillance hors bande offre une méthode alternative pour détecter les interférences avec les fichiers critiques. Collectivement, ces mesures visent à empêcher tout défaut unique ou service compromis d’obtenir un contrôle illimité du dispositif.
Les clients ont besoin de plus que des contrôles préventifs. Lorsqu’une activité suspecte se produit, ils ont besoin de preuves pour déterminer si un appareil a été modifié et quelles mesures prendre.
FortiOS 7.4.4 a amélioré les contrôles d'intégrité du système de fichiers en temps réel en hachant les fichiers binaires exécutables et les bibliothèques partagées, en détectant les modifications non autorisées et en enregistrant les modifications. Les versions ultérieures ont encore étendu ces fonctionnalités en les déplaçant vers le matériel (FortiSentry).
La transparence n’est bénéfique que si les clients peuvent agir sur la base des informations fournies. Fortinet continue de publier une politique de sécurité lisible par machine via security.txt et d’inclure les données Common Weakness Enumeration (CWE) et Common Platform Enumeration (CPE) dans les avis PSIRT.
En 2025, 60 % des vulnérabilités divulguées par Fortinet ont été découvertes en interne. La découverte interne des vulnérabilités indique des tests de sécurité, des audits de code et des examens de produits robustes pour identifier les problèmes avant qu’ils ne soient exploités sur le terrain. Nous avons ajouté la source de découverte à notre interface de conseil, permettant aux clients et aux chercheurs de différencier les vulnérabilités identifiées en interne de celles signalées par les chercheurs externes et authentifiées par rapport à celles non authentifiées, permettant ainsi aux clients d’accélérer les décisions de correction basées sur les risques.
Dans un esprit de transparence et en préparation de la loi européenne sur la cyber-résilience, qui entre en vigueur fin 2027, nous avons également mis en œuvre la livraison de la nomenclature logicielle directement depuis l’interface utilisateur FortiGate. Les clients peuvent désormais consulter les données de logiciels tiers directement dans l’interface FortiGate, améliorant ainsi la visibilité des composants et licences inclus, un autre exemple de la manière dont nous fonctionnons de manière transparente et collaborative au profit de nos clients.
Le travail de l’année passée nous donne des progrès mesurables. Les prochaines priorités de Fortinet comprennent l’accent continu sur nos initiatives sécurisées par défaut, l’expansion de la couverture de mise à jour automatique à davantage de produits, et le soutien des meilleures pratiques d’hygiène des clients avec une formation et des conseils ; cela peut parfois inclure la suppression des protocoles hérités bien-aimés mais non sécurisés. En 2026, Telnet en est un excellent exemple.
Fortinet s’engage à fournir aux cyber-intervenants une base plus solide pour détecter les altérations et enquêter sur les violations potentielles de la sécurité en s’alignant sur l’initiative du Centre national de cybersécurité du Royaume-Uni visant à établir l’observabilité médico-légale en tant que fonctionnalité standard des appareils réseau. Notre prochaine étape consiste à améliorer les preuves disponibles pour les administrateurs et les intervenants en cas d’incident et à simplifier le processus de collecte et d’analyse.
Nous devons également continuer à étendre les efforts de renforcement décrits précédemment. Les contrôles de sécurité sont plus efficaces lorsqu’ils sont appliqués de manière cohérente sur les versions de produits, testés par rapport aux chemins d’attaque réels et mesurés par les résultats plutôt que par la mise en œuvre seule.
Nous avons investi massivement dans le développement de la cryptographie post-quantum (PQC) et prenons en charge les algorithmes PQC dans les pare-feu, le SD-WAN, le SASE, la gestion et l’infrastructure. Les fonctionnalités qui soutiennent les clients avec une visibilité cryptographique et encouragent les migrations sont une priorité pour favoriser l’acceptation.
Sécuriser par la conception est un engagement continu, pas seulement un engagement ponctuel. Son objectif est de réduire systématiquement les risques évitables, de simplifier les opérations sécurisées pour les clients et de fournir des preuves transparentes de nos progrès. Nous continuerons à démontrer et à rendre compte de ces initiatives, y compris des tâches en cours, et nous invitons les clients, les chercheurs et les partenaires gouvernementaux à nous tenir, nous et les autres acteurs du secteur, responsables de cette norme.
