IEC 62443-3-2

L’IEC 62443-3-2 est la norme qui définit comment réaliser une analyse de risque d’un IACS.

La norme est élaborée par le même comité technique de l’IEC qui développe les normes de sécurité fonctionnelle IEC 61508 et la série IEC 61511 (IEC TC 65). Cela signifie qu’elle est davantage adaptée aux risques des grandes installations chimiques qu’aux risques liés à une machine telle qu’une machine de transfert ou un laminoir.

Dans tous les cas, il n’existe pas de recette simple pour sécuriser un système d’automatisation et de contrôle industriel (IACS), et cela pour de bonnes raisons. La sécurité est une question de gestion des risques. Chaque IACS présente un risque différent pour l’organisation en fonction des menaces auxquelles il est exposé, de la probabilité que ces menaces surviennent, des vulnérabilités inhérentes au système et des conséquences en cas de compromission. En outre, chaque organisation qui possède et exploite un IACS a une tolérance au risque différente.

La norme définit un ensemble de mesures d’ingénierie destinées à guider une organisation dans le processus d’évaluation des risques d’un IACS particulier et dans l’identification et l’application de contre-mesures de sécurité afin de réduire ces risques à des niveaux tolérables.

[IEC 62443-3-3: 2009]  3 Termes, définitions, termes abrégés, acronymes et conventions

3.1.6 Contre-mesure. Action, dispositif, procédure ou technique qui réduit une menace, une vulnérabilité ou les conséquences d’une attaque en l’éliminant ou en la prévenant, en minimisant les dommages qu’elle peut causer, ou en la détectant et en la signalant afin que des actions correctives puissent être prises.

Cette partie de l’IEC 62443 établit des exigences pour :

• • définir un système considéré (SUC) pour un système d’automatisation et de contrôle industriel (IACS) ;
  • partitionner le SUC en zones et conduits ;
  • évaluer le risque pour chaque zone et conduit ;
  • établir le niveau de sécurité cible (SL-T) pour chaque zone et conduit ;
  • documenter les exigences de sécurité.

[IEC 62443-3-3: 2009] 3 Termes, définitions, termes abrégés, acronymes et conventions

3.1.1 Canal. Lien de communication logique ou physique spécifique entre des actifs.

3.1.3 Conduit. Regroupement logique de canaux de communication partageant des exigences de sécurité communes et reliant deux ou plusieurs zones.

3.1.25 Zone. Regroupement d’actifs logiques ou physiques basé sur le risque ou d’autres critères, tels que la criticité des actifs, la fonction opérationnelle, l’emplacement physique ou logique, les accès requis (par exemple, principe du moindre privilège) ou l’organisation responsable.

Note 1 à l’entrée : Collection d’actifs logiques ou physiques représentant le partitionnement d’un système considéré sur la base de leurs exigences de sécurité communes, de leur criticité (par exemple, impact financier, sanitaire, sécuritaire ou environnemental élevé), de leur fonctionnalité et de leurs relations logiques et physiques (y compris leur localisation).

L’objectif de l’évaluation initiale des risques en cybersécurité est d’obtenir une première compréhension du risque maximal que le SUC représente pour l’organisation en cas de compromission. Celui-ci est généralement évalué en termes d’impacts sur la santé, la sécurité, l’environnement, l’interruption d’activité, la perte de production, la qualité des produits, les aspects financiers, juridiques, réglementaires, la réputation, etc. Cette évaluation aide à prioriser les analyses de risques détaillées et facilite le regroupement des actifs en zones et conduits au sein du SUC.

L’évaluation initiale des risques permet un meilleur regroupement des actifs en zones et conduits. Cela est nécessaire pour identifier les actifs partageant des exigences de sécurité communes et pour permettre l’identification de mesures de sécurité communes requises pour atténuer les risques. L’affectation des actifs IACS aux zones et conduits peut être ajustée en fonction des résultats de l’analyse de risques détaillée.

L’objectif principal de l’évaluation détaillée des risques selon l’IEC 62443-3-2 est de :

• • Identifier les menaces de cybersécurité pesant sur l’IACS
  • Évaluer l’impact potentiel des incidents cybernétiques sur la sécurité, les opérations et l’activité
  • Déterminer les niveaux de sécurité cibles appropriés (SL-T) pour chaque partie du système
  • Fournir des éléments traçables pour définir les exigences de sécurité du système

L’évaluation est fondée sur le risque, ce qui signifie que les mesures de sécurité sont proportionnelles aux conséquences et à la probabilité des menaces cybernétiques.

Quelques exemples de descriptions de menaces sont:

• • Un employé non malveillant accède physiquement à la zone de contrôle du procédé et branche une clé USB sur l’un des ordinateurs ;
  • Une personne de support autorisée accède logiquement à la zone de contrôle du procédé à l’aide d’un ordinateur portable infecté ;
  • Un employé non malveillant ouvre un courriel d’hameçonnage compromettant ses identifiants d’accès.

L’objectif est de déterminer le niveau de sécurité requis pour chaque zone et conduit. Il n’existe pas de système de contrôle sécurisé à 100 %, tout comme il n’existe pas de système de contrôle sûr à 100 %. La série IEC 62443 définit quatre niveaux de sécurité.