IEC 62443-3-3 : exigences applicables aux systèmes de commande
Sytance · Mis à jour
La norme IEC 62443-3-3:2013 est la partie consacrée aux exigences applicables aux systèmes de commande. Elle intervient après la définition du système considéré, de ses zones et conduits, et des niveaux de sécurité visés.
Exigences applicables aux systèmes de commande
La CEI décrit la norme IEC 62443-3-3 comme définissant des exigences techniques détaillées pour les systèmes de commande, liées aux sept exigences fondamentales. Elles s’appliquent au système de commande et à ses niveaux de capacité de sécurité. L’évaluation d’un composant individuel ou d’un processus fournisseur est une tâche distincte.
La norme IEC 62443-3-3 s’appuie sur les exigences applicables aux systèmes de commande et le SL-C (système de commande). Un certificat de produit ou de composant peut étayer le dossier du système, mais ne remplace ni l’architecture et la configuration du système ni les contrôles opérationnels.
La norme IEC 62443-2-1 porte sur le programme de sécurité du propriétaire des actifs pour un IACS en exploitation. La norme IEC 62443-3-3 porte sur les exigences techniques détaillées et les niveaux de sécurité des systèmes de commande.
La norme IEC 62443-2-4 traite des processus des prestataires de services en matière d’intégration et de maintenance. Ces processus peuvent faciliter la mise en œuvre de la partie 3-3, mais ne prouvent pas à eux seuls le respect des exigences techniques applicables aux systèmes de commande.
Lien avec la norme IEC 62443-3-2
La norme IEC 62443-3-3 dépend du modèle de système établi au moyen de la norme IEC 62443-3-2. Les travaux de la partie 3-2 définissent le système considéré, le divisent en zones et conduits, évaluent les risques, établissent le SL-T et consignent les exigences de sécurité. La norme IEC 62443-3-3 fournit ensuite la structure des exigences système utilisée pour exprimer et évaluer les capacités requises.
Définir
Définissez le système considéré ainsi que les zones et conduits situés à l’intérieur ou autour de celui-ci.
Évaluer
Évaluez les risques de chaque zone et conduit et établissez le SL-T pour la limite du système concernée.
Spécifier
Utilisez la norme IEC 62443-3-3 pour exprimer les exigences du système de commande et le SL-C (système de commande).
Cette séquence évite une erreur fréquente : sélectionner des exigences de la partie 3-3 sans savoir quelles zone, conduit, ressource, environnement de menaces ou niveau visé elles doivent soutenir.
Preuves de conception et de déploiement
Les preuves relatives au système nécessitent généralement davantage que des documents sur le produit. Elles doivent décrire l’architecture déployée ou conçue et la répartition des responsabilités entre le propriétaire des actifs, l’intégrateur, le prestataire de maintenance et le fournisseur de produits.
- limites du système et liste des actifs ;
- modèle des zones et conduits ;
- chemins de communication et d’accès à distance ;
- justification des risques et SL-T pour chaque zone ou conduit concerné ;
- exigences sélectionnées de la norme IEC 62443-3-3 et revendication SL-C (système de commande) ;
- mesures techniques et organisationnelles mises en œuvre ;
- preuves des capacités des produits et des composants utilisées dans la conception ;
- procédures opérationnelles, surveillance et responsabilités de maintenance ;
- preuves de validation de la conception déployée.
Preuves de l’état déployé
La configuration, les chemins réseau, les accès à distance, les comptes, la surveillance, les sauvegardes et les procédures de maintenance doivent refléter le système tel qu’il est construit ou approuvé.
Périmètre de certification
Une évaluation du système doit indiquer si le certificat ou le rapport porte sur une capacité, l’application de capacités ou un périmètre de solution défini.