Programme de sécurité du propriétaire d’actifs selon l’IEC 62443-2-1
Sytance · Mis à jour
La norme IEC 62443-2-1:2024 porte sur le programme de sécurité du propriétaire des actifs pour un IACS en exploitation. Il s’agit d’une norme de politiques et de procédures pour le propriétaire des actifs, y compris l’exploitant dans ce contexte. Elle concerne la gestion de la sécurité par l’organisation, notamment des risques liés aux systèmes anciens aux capacités techniques limitées.
Responsabilités du propriétaire des actifs
La norme IEC 62443-2-1:2024 traite des politiques et des procédures utilisées pour gérer un IACS en exploitation. Les documents antérieurs parlent souvent d’un système de management de la cybersécurité. Dans les deux cas, le sujet est la gestion continue de la sécurité du système par le propriétaire des actifs.
Propriétaire des actifs et exploitant
Le périmètre de la partie 2-1 est l’organisation responsable de l’IACS en exploitation. La description publique de la CEI de 2024 inclut l’exploitant.
Programme de sécurité
Le programme définit les politiques et procédures relatives à l’exploitation sécurisée, au traitement des risques, aux responsabilités, à la surveillance et au maintien des contrôles.
IACS en exploitation
Le sujet est un système d’automatisation et de commande industriels dans son contexte d’exploitation, y compris les personnes et les processus de travail.
Politiques relatives aux capacités techniques
La norme IEC 62443-2-1:2024 distingue délibérément la responsabilité du programme des capacités techniques intrinsèques. Le propriétaire des actifs doit disposer de politiques et de procédures couvrant les sujets de sécurité pertinents. La norme ne transforme pas un ancien contrôleur, une station d’ingénierie non prise en charge ou un système SCADA à longue durée de vie en produit doté de toutes les fonctions de sécurité modernes.
- l’inventaire des actifs et le périmètre de l’IACS auquel le programme s’applique ;
- les rôles et responsabilités liés à l’exploitation, à la maintenance et aux modifications de l’IACS ;
- les décisions de traitement des risques tenant compte des contraintes propres à l’IACS, comme la disponibilité, la sécurité et les fenêtres de correctifs ;
- les politiques relatives au traitement des vulnérabilités, aux accès, aux sauvegardes, aux accès à distance, à la protection contre les logiciels malveillants et à la gestion des changements ;
- les responsabilités des fournisseurs et prestataires de services qui doivent être alignées sur le programme du propriétaire des actifs.
Systèmes anciens et mesures compensatoires
La CEI reconnaît qu’un IACS peut avoir une durée de vie supérieure à vingt ans et que certains matériels ou logiciels anciens peuvent ne plus être pris en charge. Le traitement des risques et les mesures compensatoires peuvent pallier les capacités manquantes. L’évaluation doit distinguer ces mesures des fonctions intégrées au produit.
Composants non pris en charge
Un logiciel non pris en charge ou l’indisponibilité d’outils de sauvegarde modifie la façon dont le propriétaire des actifs gère les risques. Le programme doit tenir compte des limites qui en résultent pour l’application de correctifs ou la récupération.
Mesures compensatoires
Les mesures compensatoires doivent figurer dans le programme lorsque les capacités techniques intrinsèques sont absentes ou ne peuvent être utilisées sans incidence opérationnelle inacceptable.
Limites par rapport aux autres parties de la série IEC 62443
Le programme du propriétaire des actifs est coordonné avec les autres parties de la série IEC 62443, mais ne les remplace pas. Une même organisation peut assumer plusieurs rôles, mais toute déclaration doit toujours préciser la partie et l’objet d’évaluation appropriés.
- La norme IEC 62443-2-4 porte sur les processus de sécurité des prestataires de services pour les activités d’intégration et de maintenance.
- La norme IEC 62443-3-2 porte sur l’évaluation des risques d’un système considéré défini, les zones, les conduits, le SL-T et les exigences de sécurité documentées.
- La norme IEC 62443-3-3 porte sur les exigences de sécurité et les capacités des systèmes de commande.
- La norme IEC 62443-4-1 porte sur le cycle de vie du développement sécurisé des fournisseurs de produits.
- La norme IEC 62443-4-2 porte sur les capacités techniques des composants IACS.
La délégation ne transfère pas le périmètre
Le propriétaire des actifs peut s’appuyer sur les fournisseurs, les intégrateurs et les prestataires de maintenance pour les preuves et l’exécution, mais la déclaration au titre de la partie 2-1 concerne toujours le programme de sécurité du propriétaire des actifs pour l’IACS.
L’application à la législation sur les produits reste distincte
La norme IEC 62443-2-1 peut étayer des preuves destinées à la législation sur les produits ou aux clients lorsque la question concerne les contrôles opérationnels, les responsabilités sur site ou la gestion des risques des IACS à longue durée de vie. Elle ne crée pas, à elle seule, un certificat de produit, un niveau de capacité d’un composant ou une présomption de conformité au CRA. Un dossier juridique doit toujours indiquer la loi applicable, le périmètre du produit ou du système, l’exigence étayée et le statut de la source normative utilisée.