Pourquoi la cybersécurité industrielle est critique
Les systèmes de contrôle industriel (ICS), les automates programmables (PLC), les SCADA et les BMS sont de plus en plus connectés à Internet et aux réseaux d’entreprise. Cette connectivité crée des vulnérabilités exploitées par des attaquants : arrêt de production, sabotage d’équipements, vol de données. Les attaques contre des infrastructures critiques (énergie, eau, transport) ont augmenté de 300 % entre 2020 et 2025 selon le CISA. La norme IEC 62443 fournit le cadre de référence mondial pour sécuriser ces systèmes.
Structure de la norme IEC 62443
IEC 62443 est une série de normes organisée en 4 séries : Série 1 (General) : terminologie et concepts. Série 2 (Policies & Procedures) : exigences pour les opérateurs et les intégrateurs de systèmes. Série 3 (System) : exigences pour les systèmes de contrôle (IACS). Série 4 (Component) : exigences pour les composants logiciels et matériels. Les parties les plus utilisées sont IEC 62443-2-1 (gestion de la sécurité IACS), IEC 62443-3-2 (analyse de risques et niveaux de sécurité) et IEC 62443-3-3 (exigences système).
Niveaux de sécurité (SL) et zones
La norme définit 4 niveaux de sécurité (Security Level) : SL1 (protection contre les attaques accidentelles ou opportunistes), SL2 (protection contre des attaques intentionnelles avec moyens limités), SL3 (protection contre des attaques sophistiquées avec ressources importantes), SL4 (protection contre des attaques d’État). L’architecture de sécurité repose sur des zones (groupes de composants avec mêmes exigences de sécurité) reliées par des conduits (voies de communication entre zones). Chaque zone/conduit est caractérisé par son niveau de sécurité cible.
Démarche de conformité pour l’intégrateur
L’intégrateur d’un système ICS/BMS soumis à IEC 62443 doit : réaliser une évaluation des risques (identification des actifs, menaces, vulnérabilités et impacts), définir les zones et conduits avec leurs niveaux de sécurité, sélectionner des composants certifiés IEC 62443-4-2, implémenter les contre-mesures techniques (segmentation réseau, authentification forte, chiffrement des communications, journalisation), et rédiger la documentation de sécurité remise à l’opérateur. La directive NIS2 (transposée en droit français fin 2024) impose ces exigences aux opérateurs d’infrastructures essentielles.
Certifications et ressources
Les certifications ISA/IEC 62443 Cybersecurity Certificate Program (ISAGCA) sont les plus reconnues : ISA/IEC 62443 Fundamentals Specialist, Cybersecurity Risk Assessment Specialist, Design Specialist, Maintenance Specialist. Les organismes de formation incluent ISA France et des centres AFNOR. Pour les composants BMS/GTB, des fabricants comme Siemens, Schneider et Honeywell proposent des produits certifiés IEC 62443-4-2, ce qui simplifie la démonstration de conformité du système intégré.
