IEC 62443-4-1 : développement sécurisé des produits
Sytance · Mis à jour
La norme IEC 62443-4-1:2018 est la partie destinée aux fournisseurs de produits concernant le développement sécurisé. Elle porte sur le processus du cycle de vie utilisé pour développer, maintenir et mettre hors service des produits dans des environnements IACS.
Cycle de vie du développement sécurisé
La CEI indique que la norme IEC 62443-4-1 définit des exigences de cycle de vie du développement sécurisé pour les produits destinés à être utilisés dans les systèmes d’automatisation et de commande industriels. Elle s’applique aux processus nouveaux ou existants de développement, de maintenance et de mise hors service de matériel, de logiciels ou de micrologiciels. Elle concerne le développeur et le mainteneur du produit, et non l’intégrateur ou l’utilisateur en tant que tels.
La CEI décrit le cycle de vie comme comprenant la définition des exigences de sécurité et la conception sécurisée. Les preuves doivent relier les besoins de sécurité du produit aux décisions de conception, aux hypothèses et à la destination prévue.
Le cycle de vie comprend également la mise en œuvre sécurisée, les recommandations de codage, la vérification et la validation. Une évaluation au regard de la partie 4-1 porte donc sur un processus de développement reproductible, et non sur une analyse ponctuelle des vulnérabilités.
Les documents publics de la CEI mentionnent la gestion des défauts, des correctifs et de la fin de vie des produits. Ces domaines relient le cycle de développement au traitement des vulnérabilités et à l’assistance après la mise sur le marché.
Le fournisseur doit montrer comment les activités de sécurité sont exécutées de manière cohérente tout au long du cycle de vie du produit. Les politiques, résultats d’essais et registres de défauts étayent cette évaluation lorsqu’ils montrent comment le processus a été appliqué au produit.
Évaluation du processus et évaluation technique
Les preuves relatives à la norme IEC 62443-4-1 sont nécessaires dans de nombreux contextes de fournisseurs et de certification, mais elles ne prouvent pas toutes les affirmations relatives à la série IEC 62443. Elles ne démontrent pas à elles seules qu’un composant satisfait aux exigences techniques de la norme IEC 62443-4-2, qu’un système de commande satisfait à la norme IEC 62443-3-3 ou qu’une installation déployée dispose de zones, de conduits et de niveaux de sécurité visés appropriés.
Capacités des composants
L’évaluation des capacités d’un composant nécessite le périmètre pertinent de la norme IEC 62443-4-2, le type de composant, ses interfaces et la déclaration relative au SL-C (composant).
Risques du système
Le risque du système dépend du système considéré, des zones, des conduits, des hypothèses opérationnelles et des niveaux visés.
Utilisation dans le cadre de la législation sur les produits
La norme IEC 62443-4-1 peut étayer les preuves requises par la législation sur les produits lorsque l’exigence juridique concerne la conception et le développement sécurisés, le traitement des vulnérabilités, l’assistance ou la maîtrise du cycle de vie. Elle ne remplace toutefois pas la loi. Le dossier doit préciser la loi, le produit, sa destination, le contexte de sécurité, l’exigence applicable et la manière dont les preuves de la partie 4-1 y contribuent.
- CRA : le contenu du webinaire du CEN-CENELEC du 9 septembre 2025 décrit l’EN IEC 62443-4-1:2018/A11:2026 comme faisant partie des travaux d’alignement sur le CRA. Toutefois, la partie IEC 2018 actuelle ne suffit pas, à elle seule, à revendiquer une présomption de conformité au CRA, car sa référence n’a pas été citée au Journal officiel.
- Règlement Machines : la partie 4-1 peut étayer les preuves relatives au processus de développement pour la protection contre la corruption, mais l’exigence légale de sécurité des machines reste déterminante.
- Certification : le champ du certificat détermine si la revendication porte sur l’évaluation des capacités d’un processus, l’application de capacités ou une référence à l’appui d’une revendication concernant les capacités d’un composant.