Structure de la série IEC 62443 et responsabilités
Sytance · Mis à jour
La série IEC 62443 répartit les responsabilités entre les organisations qui développent, intègrent, maintiennent et exploitent des systèmes industriels. La partie appropriée dépend du rôle et de la question de savoir si l’évaluation porte sur un processus, un système ou un composant.
Répartition des rôles
Les principaux rôles sont le propriétaire des actifs, le prestataire d’intégration, le prestataire de maintenance et le fournisseur de produits. L’ISAGCA précise qu’un rôle ne correspond pas nécessairement à une organisation. Une organisation peut assumer plusieurs rôles et un même rôle peut être réparti entre plusieurs organisations.
Propriétaire des actifs
Responsable de l’IACS et généralement de son exploitation ainsi que de l’équipement qu’il commande.
Prestataire d’intégration
Conçoit, installe, configure, teste, met en service et remet une solution d’automatisation.
Prestataire de maintenance
Assure l’assistance et la maintenance d’une solution d’automatisation après sa remise ou autour de celle-ci.
Fournisseur de produits
Développe et prend en charge des produits matériels ou logiciels, notamment des systèmes de commande, appareils intégrés, appareils hôtes, équipements réseau et applications logicielles.
Principales parties
Le numéro de partie indique généralement le niveau de la revendication. La partie 2 porte principalement sur les programmes et processus de service, la partie 3 sur l’analyse et les exigences système, la partie 4 sur le développement de produits et les capacités des composants, et les documents de la partie 6 étayent les méthodes d’évaluation.
La norme IEC 62443-2-1:2024 traite du programme de sécurité du propriétaire des actifs pour un IACS en exploitation. Selon la CEI, le propriétaire des actifs comprend ici l’exploitant. Le sujet porte sur les politiques et procédures de sécurité de l’IACS, et non sur un ensemble de fonctions techniques intrinsèques que chaque système ancien devrait déjà posséder.
Cette partie est souvent pertinente lorsque la question concerne la manière dont un site en exploitation gère les rôles, les méthodes de risque, les contraintes de correctifs, les mesures compensatoires, les responsabilités des fournisseurs et les systèmes à longue durée de vie.
La norme IEC 62443-2-4:2023 traite des processus liés à la sécurité que les prestataires IACS peuvent proposer au propriétaire des actifs lors de l’intégration et de la maintenance d’une solution d’automatisation. La CEI décrit ces capacités comme relevant des politiques, procédures, pratiques et personnels.
Cette partie porte sur les processus des intégrateurs de systèmes et des prestataires de maintenance. Les capacités des produits et le programme d’exploitation du propriétaire des actifs sont évalués au titre d’autres parties.
La norme IEC 62443-3-2:2020 établit des exigences pour définir le système considéré, le répartir en zones et conduits, évaluer les risques de chaque zone et conduit, établir le SL-T et documenter les exigences de sécurité.
La norme IEC 62443-3-3:2013 fournit des exigences techniques détaillées pour les systèmes de commande, liées aux sept exigences fondamentales. Elle s’utilise avec les zones et conduits du système considéré pour définir les niveaux de sécurité visés d’un actif donné.
La norme IEC 62443-4-1:2018 s’applique aux développeurs et mainteneurs de produits utilisés dans des IACS. Selon la CEI, son cycle de vie couvre la définition des exigences de sécurité, la conception et la mise en œuvre sécurisées, la vérification et la validation, la gestion des défauts et des correctifs ainsi que la fin de vie du produit.
La norme IEC 62443-4-2:2019 s’applique aux composants IACS. Elle définit les exigences applicables aux composants et leurs niveaux de capacité de sécurité au moyen des sept exigences fondamentales de la spécification IEC TS 62443-1-1.
La spécification IEC TS 62443-6-1:2024 est une méthode d’évaluation de la norme IEC 62443-2-4. La CEI indique qu’elle favorise des résultats d’évaluation répétables et reproductibles dans le cadre d’évaluations de conformité de première, deuxième ou tierce partie. Elle ne remplace pas les exigences de la partie 2-4.
Statut des sources
Cette présentation s’appuie sur les descriptions publiques de la CEI, de l’ISA et de l’ISAGCA. Une évaluation détaillée nécessite le texte intégral de la norme applicable et le périmètre de certification indiqué.
- L’édition compte : la CEI répertorie la norme IEC 62443-2-1 en édition 2024 et IEC 62443-2-4 en édition 2023, alors que certains documents de certification existants mentionnent encore l’édition 2015 et l’AMD1:2017.
- Le périmètre d’évaluation compte : les capacités d’un processus, d’un produit, d’un système ou d’un prestataire, ainsi que l’application de capacités, constituent des revendications différentes.
- L’effet juridique compte : une publication IEC ou ISA n’équivaut pas à une norme harmonisée citée au Journal officiel conférant une présomption de conformité au CRA.