Conformité
IEC 62443
Aussi appeléISA/IEC 62443Sécurité OTZones et conduits
En résumé
Série de normes internationales de cybersécurité des systèmes d’automatisation et de contrôle industriels. Elle couvre le programme de sécurité de l’exploitant, l’analyse de risque, le découpage du réseau en zones et conduits, les niveaux de sécurité, et le développement sécurisé des produits par les fabricants.
IEC 62443, en détail
La série se répartit en quatre familles : généralités (62443-1), politiques et procédures de l’exploitant (62443-2), exigences sur le système (62443-3) et exigences sur les composants (62443-4). Dans la famille 3, la partie 3-2 décrit l’évaluation du risque et le découpage en zones et conduits, et la partie 3-3 fixe les exigences techniques par niveau de sécurité, de 1 à 4. La partie 4-1 s’adresse aux fabricants, avec un cycle de développement sécurisé : définition. La série distingue trois rôles : l’exploitant, l’intégrateur et le fabricant.
Une zone est un groupe d’actifs qui partagent les mêmes exigences de sécurité ; un conduit est le canal de communication entre deux zones, où l’on place le filtrage et les contrôles. On compare le niveau de sécurité visé pour chaque zone au niveau atteint, puis on traite l’écart. Appliquer la norme ne revient pas à être certifié : la certification se prépare auprès d’un organisme accrédité, et se rapporte à un produit, un processus ou un système précis.
Qu’est-ce que cela change pour vous ?
Dans un atelier, une panne est un arrêt de production et parfois un risque pour les personnes. La norme donne un vocabulaire commun entre les automaticiens, les informaticiens et la direction, et une méthode pour prioriser les chantiers sans arrêter l’outil de travail.
Exemple illustratif (fictif)
Prenons un site de production qui découpe son réseau en trois zones : supervision, cellules de fabrication, système de sûreté. Les flux entre elles passent par des conduits filtrés, et la télémaintenance d’un intégrateur est ramenée à un seul accès contrôlé et journalisé.
La confusion fréquente
Confondre la sûreté de fonctionnement et la cybersécurité, ou croire qu’un réseau industriel est protégé parce qu’il est « isolé ». Les liens de télémaintenance, les clés USB et les postes d’ingénierie le relient presque toujours à l’extérieur.
Qui peut vous accompagner ?
- Sécurité OT industrielle : la prestationProtéger la production sans l’arrêter, avec des méthodes pensées pour les automates.
Aller plus loin
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- ArticleCombien coûte un test d’intrusion, et ce qui fait varier le prixCe qui fait varier le prix d’un test d’intrusion (périmètre, rôles, environnement, niveau de preuve) et les prix d’entrée publiés avec ce qu’ils couvrent.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
Termes liés
- DéfenseSegmentation réseau : définitionLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites.
- DéfenseDéfense en profondeur : définitionUne stratégie qui superpose plusieurs mesures de sécurité indépendantes, de sorte que la défaillance ou le contournement de l’une ne suffise pas à compromettre le système.
- DéfenseZero trust : définitionUn modèle d’architecture selon lequel aucune connexion n’est présumée fiable du seul fait de sa provenance, y compris depuis le réseau interne.
- ConformitéNIS 2 : définitionLa directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début