Norme CEI 62443 (Cybersécurité industrielle)
La norme CEI 62443 est la norme relative à la sécurisation des systèmes d’automatisation et de contrôle industriels — les automates programmables (PLC), les systèmes SCADA, les interfaces homme-machine (IHM) et les systèmes instrumentés de sécurité qui font fonctionner les usines, les services publics et les infrastructures critiques. Elle a été créée car les pratiques de sécurité informatique ne s’appliquent pas telles quelles à l’OT. On ne peut pas simplement appliquer un correctif à un contrôleur qui gère un processus de traitement de l’eau en mode autonome depuis onze ans ; on ne peut pas effectuer un scan de vulnérabilités agressif sur des équipements où un paquet inattendu pourrait déclencher un système de sécurité. La norme CEI 62443 a été conçue pour répondre à cette réalité, avec des concepts tels que les zones et les conduits permettant de segmenter un réseau de contrôle en fonction du niveau de confiance et de la gravité des conséquences, ainsi que des niveaux de sécurité qui adaptent la protection à la menace réelle à laquelle un actif est confronté, au lieu d’appliquer partout une politique unique de type informatique.
La norme couvre tous les aspects, depuis la manière dont un fournisseur développe des produits sécurisés et dont un intégrateur de systèmes conçoit une installation, jusqu’à la façon dont le propriétaire de l’actif l’exploite et l’entretient au quotidien. La majeure partie de mon travail se situe dans ce dernier volet — l’aspect opérationnel et architectural dont les propriétaires d’actifs sont effectivement responsables.
À qui s'adresse ce document ?
Fabricants, services publics, réseaux d’eau et d’assainissement, secteur pétrolier et gazier, ainsi que tout opérateur pour lequel un cyberincident ne se résume pas à une simple violation de données, mais entraîne l’arrêt d’un processus physique, voire, pire encore, une situation de danger. Si votre environnement dispose d’un réseau de contrôle qui a été progressivement connecté au réseau d’entreprise pour des raisons pratiques, ou qui était autrefois isolé physiquement (air-gapped) et ne l’est plus, cette norme vous indique comment mettre en place correctement la segmentation et le contrôle d’accès sans perturber le processus qu’elle protège.
Comment j’aborderais la question
Je commence par comprendre le processus avant de toucher au réseau : ce que fait réellement chaque système, ce qui se passe s’il tombe en panne ou est manipulé, et quelles en sont les conséquences réelles, car c’est cela qui doit déterminer vos objectifs en matière de niveau de sécurité, et non une liste de contrôle générique. À partir de là, il s’agit de cartographier les zones et les voies de communication qui reflètent de véritables limites de confiance, d’évaluer où les frontières entre l’informatique (IT) et les technologies opérationnelles (OT) se sont estompées sans que personne n’en ait pleinement décidé, et d’élaborer une stratégie de remédiation qui respecte les contraintes de disponibilité et de sécurité au lieu de les contrarier. Je travaille avec vos équipes d’exploitation et d’ingénierie, et non en marge de celles-ci — dans le domaine OT, ce sont les personnes qui connaissent les processus qui empêchent qu’un changement ne se transforme en panne.
Si vous cherchez à déterminer où en est réellement votre environnement de contrôle par rapport à la norme CEI 62443, ou si vous avez besoin d’une évaluation externe fiable avant qu’un organisme de réglementation, un assureur ou un client ne vous le demande, n’hésitez pas à nous contacter.