IEC 62443-4-2 : exigences applicables aux composants
Sytance · Mis à jour
IEC 62443-4-2:2019 est la partie consacrée aux exigences applicables aux composants. Elle définit les exigences techniques pour les composants IACS et les niveaux de capacité de sécurité des composants au regard des sept exigences fondamentales.
Définir le composant
Un composant ne constitue pas l’ensemble de l’IACS. L’évaluation devrait préciser le type de composant, la version du produit, l’utilisation prévue dans l’IACS, les interfaces, les hypothèses, les fonctions exclues et le niveau SL-C (composant) revendiqué. Ces éléments déterminent les utilisations et configurations couvertes par la capacité évaluée.
Les dispositifs embarqués comprennent les contrôleurs, les automates programmables industriels, les variateurs, les passerelles et les dispositifs industriels dédiés fournis pour être utilisés dans un IACS. Le périmètre du composant devrait préciser la version du produit, ses interfaces et sa capacité de sécurité prévue.
Les dispositifs réseau comprennent les commutateurs industriels, les routeurs, les pare-feu, les passerelles et les produits similaires qui transportent ou restreignent les communications IACS. Les éléments de preuve relatifs au composant ne remplacent pas la conception des conduits.
Les dispositifs hôtes comprennent les serveurs, les postes de travail, les ordinateurs industriels et les plateformes similaires utilisés pour exécuter ou prendre en charge des fonctions IACS. La frontière entre l’hôte, les logiciels installés et le système configuré est souvent la plus difficile à établir.
Les applications logicielles comprennent les outils d’ingénierie, les logiciels IHM, les historiens, les applications de commande et les logiciels auxiliaires fournis pour un usage dans un IACS. Le fournisseur du produit doit toujours relier les éléments de preuve de la partie 4-2 au cycle de vie de développement sécurisé de la version concernée.
Exigences fondamentales
Les documents publics de l’IEC répertorient sept exigences fondamentales utilisées par l’IEC 62443-4-2. Ces familles structurent les exigences applicables aux composants et les niveaux de capacité ; chacune a une portée technique précise.
- maîtrise de l’identification et de l’authentification (IAC) ;
- maîtrise de l’utilisation (UC) ;
- intégrité du système (SI) ;
- confidentialité des données (DC) ;
- restriction des flux de données (RDF) ;
- réponse rapide aux événements (TRE) ;
- disponibilité des ressources (RA).
IAC est la famille d’exigences fondamentales portant sur la reconnaissance des utilisateurs, des processus logiciels, des dispositifs et des autres sujets avant d’accorder l’accès.
UC porte sur les utilisations autorisées une fois l’identité connue. Elle se distingue de l’identification : la question est de savoir ce qu’un sujet authentifié est autorisé à faire.
SI porte sur la protection contre les modifications non autorisées, les codes malveillants et la perte d’intégrité du composant ou des fonctions du système de commande.
DC porte sur la protection des informations contre toute divulgation non autorisée. Cela ne signifie pas que toutes les données IACS présentent le même niveau de confidentialité.
RDF porte sur la limitation des flux de données et des voies de communication. Au niveau du système, cela correspond généralement aux zones, aux conduits et à la segmentation du réseau.
TRE porte sur la capacité à détecter les événements, à les signaler et à y répondre. Il convient de l’examiner en lien avec les fonctions réelles de surveillance et de journalisation du composant.
RA porte sur la préservation des ressources nécessaires au composant ou au système pour remplir ses fonctions prévues de sécurité et de commande.
Limites du niveau de capacité
L’IEC précise que l’IEC 62443-4-2 concerne le niveau SL-C (composant), et non SL-T ou SL-A. Cette distinction est importante. Un niveau de capacité peut être revendiqué pour un composant, mais un système déployé nécessite toujours un système à l’étude, des zones, des conduits, une évaluation des risques, des procédures opérationnelles et la validation de la configuration réelle.
Développement sécurisé selon l’IEC 62443-4-1
Les éléments de preuve relatifs au composant sont plus probants lorsque le fournisseur peut également démontrer que le produit a été développé et maintenu selon un cycle de vie conforme à l’IEC 62443-4-1.
Intégration au système
Le concepteur du système détermine toujours la zone dans laquelle le composant est placé, les conduits qu’il utilise et les mesures qui l’entourent.
Les documents du webinaire CEN-CENELEC du 9 septembre 2025 décrivent les travaux d’alignement avec le CRA portant sur la norme EN IEC 62443-4-2:2019/A11:2026, notamment les critères d’applicabilité et les artefacts d’évaluation. Ces travaux européens prévus ne doivent pas être assimilés à une affirmation selon laquelle tout certificat 4-2 existant constitue un résultat au titre d’une norme harmonisée du CRA.