La norme IEC 62443 est une série internationale de normes sur les "Réseaux de communication industriels - Sécurité informatique des réseaux et des systèmes". La norme est divisée en différentes sections et décrit à la fois les aspects techniques et les aspects liés aux processus de la sécurité informatique industrielle. Il divise l'industrie en différents rôles : l'opérateur, les intégrateurs (prestataires de services d'intégration et de maintenance) et les fabricants. Chacun des différents rôles suit une approche basée sur les risques pour prévenir et gérer les risques de sécurité dans son activité.
Histoire En tant que norme internationale, la norme IEC 62443 est le résultat du processus de création de normes CEI où tous les comités nationaux impliqués conviennent d'une norme commune. De multiples organisations et comités ont soumis des contributions aux groupes de travail de la CEI et ont contribué à façonner la norme IEC 62443.
À partir de 2002, le Comité de sécurité des systèmes d'automatisation et de contrôle industriels (ISA99) de la Société internationale d'automatisation (International Society of Automation - ISA), a développé une série de normes et de rapports techniques en plusieurs parties sur le sujet de la sécurité des systèmes d'automatisation et de contrôle industriels (Industrial Automation and Control System - IACS). Ces propositions ont été soumises à l'ISA pour approbation, puis publiés sous ANSI. Les documents initialement appelés normes ANSI/ISA-99 ou ISA99 ont été renumérotés pour devenir la série ANSI/ISA-62443 en 2010. Le contenu de cette série a été soumis et utilisé par les groupes de travail de la CEI.
De même, les associations d'ingénieurs allemandes VDI et VDE ont publié les directives VDI/VDE 2182 en 2011. Les directives décrivent comment gérer la sécurité de l'information dans les environnements d'automatisation industrielle et ont également été soumises et utilisées par les groupes de travail de la CEI.
Évolutions futures La première édition (1.0) a été publiée en 2010, avec une stabilité (pas de nouvelle révision) prévue par la CEI jusqu'en 2021.
En , une nouvelle version (2.0) est en cours de rédaction, et est prévue pour publication en . La rédaction est assurée par le comité technique TC 65 : "TC 65 - Industrial-process measurement, control and automation" (processus industriels de mesure, contrôle et automatisation) de la CEI.
Structure La série de normes IEC 62443 Réseaux de communication industriels - Sécurité des réseaux et des systèmes comprend les parties suivantes :
Partie 1-1 : Terminologie, concepts et modèles (Spécification technique, édition 1.0, )IEC 62443-1-1, Industrial communication networks – Network and system security – Part 1-1: Terminology, concepts and models Partie 2-1 : Établissement d'un programme de sécurité des systèmes d'automatisation et de contrôle industriels (Norme internationale, édition 2.0, ) Cette section de la norme s'adresse aux opérateurs de solutions d'automatisation et définit les exigences relatives à la manière dont la sécurité pendant l'exploitation des installations doit être considéré (voir ISO/IEC 27001)Security for industrial automation and control systems - Part 2-1: Security program requirements for IACS asset owners.
Partie 2-3 : Gestion des correctifs dans l'environnement IACS (Rapport technique, édition 1.0, )IEC 62443-2-3, Security for industrial automation and control systems – Part 2-3: Patch management in the IACS environment Partie 2-4 : Exigences du programme de sécurité pour les fournisseurs de services IACS (Rapport technique, édition 2.0, ) Cette partie définit les exigences (« capacités ») pour les intégrateurs. Ces exigences sont divisées en 12 sujets : assurance, architecture, sans fil, systèmes d'ingénierie de sécurité, gestion de la configuration, accès à distance, gestion et journalisation des événements, gestion des utilisateurs, protection contre les logiciels malveillants, gestion des correctifs, sauvegarde et restauration et dotation en personnel du projetIEC 62443-2-4, Security for industrial automation and control systems – Part 2-4: Security program requirements for IACS service providers.
Partie 3-1 : Technologies de sécurité pour les systèmes d'automatisation et de contrôle industriels (Rapport technique, édition 1.0, )IEC 62443-3-1, Industrial communication networks – Network and system security – Part 3-1: Security technologies for industrial automation and control systems Partie 3-2 : Évaluation des risques de sécurité pour la conception de systèmes (Norme internationale, édition 1.0, )IEC 62443-3-2, Security for industrial automation and control systems – Part 3-2: Security risk assessment for system design Partie 3-3 : Exigences de sécurité du système et niveaux de sécurité (Norme internationale, édition 1.0, ) Les exigences techniques pour les systèmes et les niveaux de sécurité sont décrites dans cette partieIEC 62443-3-3, Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels.
Partie 4-1 : Exigences relatives au cycle de vie du développement de produits sécurisés (Norme internationale, édition 1.0, ) La section 4-1 de la norme IEC 62443 définit à quoi devrait ressembler un processus de développement de produits sécurisés. Il est divisé en huit domaines (« Bonnes pratiques ») : gestion du développement, définition des exigences de sécurité, conception de solutions de sécurité, développement sécurisé, test des fonctionnalités de sécurité, traitement des vulnérabilités de sécurité, création et publication de mises à jour et documentation des fonctionnalités de sécuritéIEC 62443-4-1, Security for industrial automation and control systems – Part 4-1: Secure product development lifecycle requirements.
Partie 4-2 : Exigences techniques de sécurité pour les composants IACS (Norme internationale, édition 1.0, ) Cette section définit les exigences techniques pour les produits ou les composantsIEC 62443-4-2, Security for industrial automation and control systems – Part 4-2: Technical security requirements for IACS components. Comme les exigences pour les systèmes (section -3-3), les exigences sont divisées en 12 domaines et y font référence. En plus des exigences techniques, des contraintes de sécurité des composants communs (common component security constraints - CCSC) sont définies, qui doivent être respectées par les composants pour être conformes à la CEI 62443-4-2 : CCSC 1 décrit que les composants doivent tenir compte des caractéristiques générales de sécurité du système dans lequel ils sont utilisés. CCSC 2 spécifie que les exigences techniques auxquelles le composant ne peut pas satisfaire lui-même peuvent être satisfaites en compensant des contre-mesures au niveau du système (voir CEI 62443-3-3). À cet effet, les contre-mesures doivent être décrites dans la documentation du composant. CCSC 3 exige que le principe du « moindre privilège » soit appliqué dans le composant. CCSC 4 exige que le composant soit développé et pris en charge par des processus de développement conformes à la norme IEC 62443-4-1.
Maturité et niveau de sécurité La norme IEC 62443 décrit différents niveaux de maturité pour les processus et les exigences techniques. Les niveaux de maturité des processus sont basés sur les niveaux de maturité du framework CMMI.
Niveau de maturité Basée sur le modèle CMMI, la CEI 62443 décrit différents niveaux de maturité pour les processus à travers ce qu'on appelle des "niveaux de maturité". Pour atteindre un certain niveau de maturité, toutes les exigences liées au processus doivent toujours être mises en pratique lors du développement ou de l'intégration du produit, c'est-à-dire que la sélection de seuls critères individuels ("cherry picking") n'est pas conforme aux normes.
Les niveaux de maturité sont décrits comme suit :
Niveau de maturité 1 - Initial : Les fournisseurs de produits effectuent généralement le développement de produits ad hoc et souvent non documentés (ou pas entièrement documentés). Niveau de maturité 2 - Géré : Le fournisseur de produits est capable de gérer le développement d'un produit selon des directives écrites. Il doit être démontré que le personnel qui effectue le processus possède l'expertise appropriée, est formé et/ou suit des procédures écrites. Les processus sont reproductibles. Niveau de maturité 3 - défini (exécuté) : le processus est reproductible dans l'ensemble de l'organisation du fournisseur. Les processus ont été pratiqués et il est prouvé que cela a été fait. Niveau de maturité 4 - Amélioration : Les fournisseurs de produits utilisent des mesures de processus appropriées pour surveiller l'efficacité et la performance du processus et démontrer une amélioration continue dans ces domaines.
Niveau de sécurité Les exigences techniques pour les systèmes (IEC 62443-3-3) et les produits (IEC 62443-4-2) sont évaluées dans la norme par quatre niveaux de sécurité (Security Levels - SL). Les différents niveaux indiquent la résistance contre différentes classes d'attaquants. La norme souligne que les niveaux doivent être évalués par exigence technique (voir IEC 62443-1-1) et ne sont pas adaptés à la classification générale des produits.
Les niveaux sont :
Niveau de sécurité 0 : aucune exigence ou protection particulière requise. Niveau de sécurité 1 : Protection contre les abus involontaires ou accidentels. Niveau de sécurité 2 : Protection contre les abus intentionnels par des moyens simples avec peu de ressources, des compétences générales et une faible motivation. Niveau de sécurité 3 : protection contre les abus intentionnels par des moyens sophistiqués avec des ressources modérées, des connaissances spécifiques à l'IACS et une motivation modérée. Niveau de sécurité 4 : Protection contre les abus intentionnels à l'aide de moyens sophistiqués dotés de ressources étendues, de connaissances spécifiques à l'IACS et d'une forte motivation.
Concepts La norme explique divers principes de base qui doivent être pris en compte pour tous les rôles dans toutes les activités.
Défense en profondeur La défense en profondeur est un concept dans lequel plusieurs niveaux de sécurité (défense) sont répartis dans l'ensemble du système. L'objectif est de fournir une redondance en cas d'échec d'une mesure de sécurité ou d'exploitation d'une vulnérabilité.
Zones et conduits Les zones divisent un système en zones homogènes en regroupant les actifs (logiques ou physiques) avec des exigences de sécurité communes. Les exigences de sécurité sont définies par le niveau de sécurité (Security Levels - SL). Le niveau requis pour une zone est déterminé par l'analyse des risques.
Les zones ont des limites qui séparent les éléments à l'intérieur de la zone de ceux à l'extérieur. L'information se déplace à l'intérieur et entre les zones. Les zones peuvent être divisées en sous-zones qui définissent différents niveaux de sécurité (Security Level) et permettent ainsi une défense en profondeur.
Les conduits regroupent les éléments qui permettent la communication entre deux zones. Ils fournissent des fonctions de sécurité qui permettent une communication sécurisée et permettent la coexistence de zones avec différents niveaux de sécurité.
Systèmes de certification Les processus, systèmes et produits utilisés dans les environnements d'automatisation industrielle peuvent être certifiés conformément à la norme IEC 62443.
Les schémas accrédités ainsi que le schéma de certification international de l'IECEE sont entièrement conformes à la norme IEC 62443. Le schéma propriétaire "ISCI ISASecure" ne l'est pas.
Systèmes de certification accrédités