IEC 62443 expliquée simplement : zones, conduits et niveaux de sécurité

IEC 62443 (ou ISA/IEC 62443) est la famille de normes internationales consacrée à la cybersécurité des systèmes d’automatisation et de contrôle industriels. Elle est souvent citée comme le moyen reconnu de répondre, côté OT, aux attentes de la directive NIS2. Voici l’essentiel pour s’y repérer.

Une norme, trois publics

• L’exploitant du site (asset owner) : organiser la sécurité de ses installations, par exemple avec IEC 62443-2-1.
• L’intégrateur : concevoir et mettre en service un système sécurisé, avec IEC 62443-3-2 (analyse de risques) et 3-3 (exigences système).
• Le fabricant de composants : développer des produits sûrs, avec IEC 62443-4-1 (cycle de développement) et 4-2 (exigences des composants).

Les zones

Une zone regroupe des équipements qui partagent les mêmes exigences de sécurité : par exemple les automates d’une ligne, ou la supervision d’un atelier. Tout ce qui est dans une zone est traité de la même manière.

Les conduits

Un conduit est un canal de communication entre deux zones. C’est là que l’on place les contrôles : pare-feu, filtrage des protocoles, surveillance. Moins il y a de conduits, et mieux ils sont définis, plus l’architecture est maîtrisée.

Les niveaux de sécurité

La norme définit des niveaux de sécurité (SL 1 à SL 4), selon le type d’attaquant contre lequel une zone doit résister : de l’erreur involontaire jusqu’à un attaquant disposant de moyens importants. L’analyse de risques fixe un niveau cible par zone ; l’écart avec le niveau atteint donne la feuille de route.

Par où commencer ?

Pas besoin d’appliquer toute la norme d’un coup. La démarche la plus rentable consiste à cartographier le site, découper en zones et conduits, puis prioriser les écarts. C’est exactement le déroulé de notre diagnostic de cybersécurité OT. Pour une vue pratique, voir aussi nos 7 premières actions.