La Commission électrotechnique internationale (CEI) a été créée il y a plus de 100 ans pour répondre à un besoin de normalisation des mesures électriques et de la terminologie. Les marchés technologiques avaient du mal à se manifester et à prospérer parce que les scientifiques des différentes parties du monde ne pouvaient pas collaborer. En 1906, des scientifiques représentant une douzaine de pays du monde entier se sont réunis à Londres et ont créé la CEI.
Au début du 21e siècle, la CEI est devenue l'autorité mondiale en matière d'électricité et d'électronique. À ce jour, l'organisation a publié plus de 10 000 documents normatifs, allant de la symbologie aux moteurs à combustion.
Lorsque les professionnels de l'automatisation et de la cybersécurité du monde entier ont cherché à faire face aux risques croissants dans les environnements industriels, ils se sont appuyés sur le processus de création de normes de la CEI.
Il en est résulté la CEI 62443, une série de normes qui offre des conseils sur la mise en œuvre des pratiques de sécurité dans l'ensemble du cycle de vie de l'IACS, de la conception à la mise hors service du système. Ces normes uniformes et accessibles ont permis aux organisations du monde entier d'adopter des pratiques sécurisées en matière d'IACS.
En 2021, la CEI a approuvé la série 62443 en tant que normes horizontalesce qui signifie qu'elles doivent être considérées comme fondamentales par les experts en la matière lorsqu'ils rédigent des normes sectorielles pour sécuriser les IACS.
La norme IEC 62443 a été conçue pour s'appliquer à différents secteurs industriels. Qu'il s'agisse de fabrication, d'énergie, d'eau ou de transport, la norme IEC 62443 peut être adaptée pour répondre aux besoins de sécurité spécifiques de toute organisation, malgré leurs exigences opérationnelles et leurs profils de risque uniques.
Pourquoi la norme IEC 62443 est-elle importante ?
La protection de l'IACS va au-delà de la fabrication. Certains environnements IACS fournissent des services qui font partie intégrante de la sécurité nationale et économique. Certains pourraient mettre des vies humaines en danger s'ils étaient compromis. La CEI 62443 contribue à assurer la résilience de la cybersécurité, en donnant des lignes directrices concrètes pour sécuriser les IACS dans n'importe quel environnement, quelle que soit sa criticité.
La norme CEI 62443 commence par se concentrer sur les processus industriels, en établissant des normes de continuité et des normes pour l'ensemble des opérations industrielles. Les directives accordent la priorité à la disponibilité des IACS - le fonctionnement ininterrompu des systèmes vitaux - et à la sécurité du personnel et du public.
Les normes offrent également un cadre de cybersécurité qui aide les organisations à se défendre contre les attaques externes et à réduire la surface d'attaque globale de leurs opérations. Les organisations doivent se concentrer sur la protection des données et la mise en œuvre de contrôles qui favorisent le principe du moindre privilège, tel qu'un accès minimal et simplifié au réseau.
La CEI 62443 aide également les organisations à constituer une base de référence en matière de cybersécurité, ce qui leur permet de répondre à de nombreuses autres exigences réglementaires et légales. Ces normes s'alignent étroitement sur les mandats géographiques, tels que la North American Electric Reliability Corporation (NERC) pour l'énergie et les services publics basés aux États-Unis. En établissant une base solide en matière de cybersécurité, les organisations peuvent mieux éviter les sanctions juridiques et financières potentielles en cas de non-conformité.
Comprendre les zones et les conduits dans la norme IEC 62443
Le concept de zones et de conduits est crucial pour l'interprétation des normes CEI 62443, car il joue un rôle essentiel dans la structuration de l'architecture du réseau et la segmentation de la sécurité dans l'IACS. Au sein du SIGC, les zones sont des secteurs distincts ayant des exigences de sécurité spécifiques en fonction de leur niveau de risque et de leurs fonctions opérationnelles. Elles sont reliées par des conduits, qui sont les voies de communication entre ces zones.
La mise en œuvre efficace de zones et de conduits nécessite une approche stratégique adaptée à chaque environnement industriel :
- Évaluation des risques et segmentation du réseau: L'évaluation des risques permet d'identifier les actifs critiques, la sensibilité des données, l'exposition aux menaces et les vulnérabilités, ce qui donne aux architectes de la sécurité la visibilité nécessaire pour segmenter le réseau en zones et établir des conduits sécurisés.
- Définir les zones et les conduits: L'organisation peut clairement définir des zones et établir une communication sécurisée et contrôlée entre elles, créant ainsi une voie d'accès limitée et contrôlable.
- Mesures de sécurité à plusieurs niveaux: Une fois les zones établies, l'organisation peut mettre en œuvre des contrôles de sécurité par couches pour atténuer les risques. Il s'agit notamment de déployer des pare-feu, des systèmes de détection des intrusions et des mesures de contrôle d'accès pour renforcer chaque zone et ses conduits.
- Révision et mise à jour régulières: Chaque configuration de zone et de conduit doit être régulièrement révisée et mise à jour pour garantir une défense efficace contre les menaces. Ce processus s'inscrit dans un cycle de vie de la sécurité et tient compte des changements apportés à l'infrastructure.
- Formation et sensibilisation: La formation et la sensibilisation du personnel aux structures des zones et des conduits contribuent au maintien de la sécurité. Cela permet aux employés de comprendre l'importance de ces concepts et leur rôle dans le respect des protocoles de sécurité.
- Tirer parti des technologies avancées: Utiliser des technologies avancées telles que l'IA et l'apprentissage automatique pour améliorer la détection des menaces et la réponse. Il peut s'agir de systèmes de détection des anomalies et de mécanismes de réponse automatisés.
- Conformité et alignement des normes: Enfin, il faut s'assurer que la mise en œuvre des zones et des conduits est conforme aux normes IEC 62443 et aux autres réglementations pertinentes.
