Cybersécurité de l'automatisation industrielle (IEC 62443) — certification

L'IEC 62443 est une famille de normes de cybersécurité pour les systèmes d'automatisation et de contrôle industriels (IACS). Son ordre de priorité est différent de celui de la sécurité informatique — dans la technologie opérationnelle, la disponibilité et la sécurité des processus passent avant la confidentialité. La norme répartit les responsabilités entre trois rôles — propriétaire d'actifs, intégrateur de systèmes et fournisseur de produits, avec des parties distinctes pour chaque rôle. Au centre se trouvent le modèle de zone/conduit et le concept de niveau de sécurité (SL 1-4).

• Fabricants de systèmes de contrôle industriels (PLC, DCS, SCADA)
• Intégrateurs de systèmes d'automatisation
• Opérateurs d'installations énergétiques, d'eau, chimiques et manufacturières
• Opérateurs d’infrastructures critiques
• Fournisseurs de solutions industrielles d’IoT et de surveillance à distance

La norme elle-même n’est généralement pas obligatoire. Cependant, les réglementations sur les infrastructures critiques et la sécurité des réseaux (par exemple NIS2 dans l'UE) imposent des obligations de sécurité aux opérateurs, et la norme IEC 62443 est référencée pour répondre à ces obligations. La certification est basée sur les rôles : l'évaluation est effectuée selon la norme IEC 62443-4-1/4-2 pour un produit, 62443-2-4 pour un intégrateur et 62443-2-1 pour un propriétaire d'actifs.

• 62443-2-1 — Propriétaire de l'actif : le programme de sécurité et le système de gestion du SIGC
• 62443-2-4 — Prestataire de services : exigences du programme de sécurité pour les intégrateurs
• 62443-3-2 — Conception du système : évaluation des risques, modélisation de zones/conduits, détermination du niveau de sécurité cible
• 62443-3-3 — Exigences de sécurité du système : les sept exigences fondamentales (FR) et niveaux de sécurité
• 62443-4-1 — Cycle de vie de développement de produits sécurisé : modélisation des menaces, conception et codage sécurisés, tests de vulnérabilité, gestion des correctifs, fin de support
• 62443-4-2 — Exigences de sécurité des composants : exigences techniques pour les appareils embarqués, les appareils hôtes, les appareils et applications réseau
• Exigences fondamentales (FR) : contrôle d'identification et d'authentification, contrôle d'utilisation, intégrité du système, confidentialité des données, flux de données restreint, réponse rapide aux événements, disponibilité des ressources
• Niveaux de sécurité : SL 1 (occasionnel/coïncident) — SL 4 (un attaquant ciblé et doté de ressources importantes)

1. 1Application et description du produitLa famille de produits, la liste des modèles, les spécifications techniques et le marché cible sont déterminés. La norme applicable et le parcours de certification deviennent clairs à cette étape.
2. 2Examen du dossier techniqueLes documents de conception, la nomenclature, les certificats de composants critiques et les instructions d'utilisation sont examinés.
3. 3Tests de produitsLes tests exigés par la norme concernée sont effectués. Le rapport d'essai constitue la base fondamentale de la décision de certification.
4. 4Audit d'usineSi le schéma l'exige, la continuité de la fabrication et le contrôle de production en usine (CFP) sont vérifiés sur place.
5. 5Délivrance du certificat et marquageUne fois la conformité vérifiée, le certificat est délivré ; les règles de marquage du produit et de l'emballage sont appliquées.
6. 6Vérifications de suiviSelon le programme, des audits périodiques des usines et/ou des tests de suivi sur des échantillons prélevés sur le marché sont effectués.

La période de validité varie selon le système : certains certificats de produits sont indéfinis et reposent sur des audits périodiques en usine, tandis que certains systèmes (par exemple, les marques de marché nationales) nécessitent un renouvellement annuel ou par expédition. Chaque modification de conception du produit nécessite une révision du certificat.

• La liste des modèles et variantes de produits
• Dessins techniques, schémas et nomenclature
• Certificats pour les composants critiques
• Le mode d'emploi et un exemple d'étiquette
• Rapports de tests existants, le cas échéant
• Détails du site de production

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

• Le nombre de modèles et de variantes dans la famille de produits
• La portée du test exigée par la norme applicable
• Si un audit d'usine est requis
• Le nombre de marchés cibles et si chacun nécessite des tests séparés
• Si les rapports de test existants peuvent être acceptés

La certification des produits est effectuée selon la norme ISO/IEC 17065 ; Les tests qui constituent la base de la certification sont effectués dans des laboratoires accrédités ISO/IEC 17025. Les deux périmètres sont distincts. La reconnaissance entre les organismes d'accréditation est assurée par le biais des accords IAF et ILAC.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

• Common CriteriaCritères communs
• Cybersecurity AssessmentÉvaluation de la cybersécurité
• ISO/IEC 27001Gestion de la sécurité de l'information
• ISO/IEC 27017Sécurité du cloud
• ISO/IEC 27018Données personnelles dans le cloud
• ISO/IEC 27701Gestion des informations confidentielles
• ISO/IEC 42001Système de gestion de l'intelligence artificielle
• SOC 1Contrôles des rapports financiers