L’origine de ce référentiel de cybersécurité industrielle
Si le milieu industriel a longtemps été épargné par les hackers, ce n’est plus le cas. Suite au développement de la connectivité au sein des installations industrielles, ces dernières se trouvent exposées à différents risques d’attaques et d’incidents de sécurité sur un système de contrôle ou un automate, portant atteinte à leur bon fonctionnement.
Dès 2010, pour répondre aux besoins de sécurisation des systèmes informatiques industriels et des infrastructures industrielles, le comité de l’ISA (International Society of Automation) a élaboré la norme IEC 62443, sous l’égide de la CEI.
Les objectifs de la norme IEC 62443
La norme IEC 62443 vise à assurer la confidentialité, la sécurité et l’intégrité des systèmes de contrôle industriel. Elle fournit un cadre de cyberdéfense complet et normalisé pour l’évaluation des failles des systèmes et la mise en œuvre de mesures de sécurité appropriées.
Cette norme aborde :
- Les menaces et attaques potentielles auxquelles les systèmes IACS sont confrontés : cyberattaques (comme une tentative de vol de données sensibles via un malware, logiciel malveillant), erreurs humaines et pannes matérielles.
- Les moyens de sécurisation des systèmes critiques.
Bon à savoir :
IEC 62443 complète la norme ISO 27000, référentiel dédié à la sécurité des systèmes d’information (SSI) et les standards de l’ANSSI. Un ensemble de recommandations pour une bonne gestion des risques.
Le standard IEC 62443 est largement adopté par tous types d’industries afin de sécuriser les systèmes IACS de manière efficace. La mise en conformité avec cette norme permet aux organisations de réduire les risques de tous types d’attaques menées par des cybercriminels, de perturbations opérationnelles et de dommages aux infrastructures critiques.
Les principaux points de sécurité abordés
La norme IEC 62443 se compose de plusieurs parties, chacune traitant d’aspects spécifiques de la sécurité des systèmes IACS. Voici les principales sections de ce référentiel :
- IEC 62443-1-1 : Définitions et modèles de référence. Cette partie établit les définitions clés et fournit un modèle d’architecture de référence pour comprendre les concepts de base de la sécurité des systèmes IACS.
- IEC 62443-2-1 : Exigences de sécurité des systèmes IACS. Cette section spécifie les exigences de sécurité générales pour les systèmes IACS : gestion des accès, gestion des identités, gestion des incidents et gestion de la configuration.
- IEC 62443-3-3 : Systèmes d’automatisation de sécurité. Cette partie se concentre sur les exigences spécifiques de sécurité pour les systèmes d’automatisation utilisés dans des applications de sécurité critiques (systèmes de contrôle de chaque infrastructure industrielle critique).
- IEC 62443-4-1 : Évaluation de la sécurité des produits logiciels pour les systèmes IACS. Cette partie définit le processus de développement de produits sécurisés. Il est divisé en huit domaines (« Bonnes pratiques ») : gestion du développement, définition des exigences de sécurité, conception de solutions de sécurité, développement sécurisé, test des fonctionnalités de sécurité, traitement des vulnérabilités de sécurité, création et publication de mises à jour et documentation des fonctionnalités de sécurité.
- IEC 62443-4-2 : Exigences techniques pour les produits ou les composants IACS. Cette section définit les exigences pour les systèmes qui sont divisées en 12 domaines. En plus des exigences techniques, des contraintes de sécurité des composants communs sont définies et doivent être respectées.
