Protection contre l’altération au titre du règlement Machines
Sytance · Mis à jour
La section 1.1.9 de l’annexe III s’applique lorsque la corruption d’une connexion, d’un composant matériel, d’un logiciel, de données ou d’une configuration peut affecter la conformité aux exigences essentielles de santé et de sécurité. Il ne s’agit pas d’une clause générale de sécurité informatique, mais d’une exigence de sécurité des machines.
Connexions susceptibles de créer des situations dangereuses
La première phrase définit la limite de sécurité. Une connexion à la machine ou au produit connexe ne doit pas entraîner de situation dangereuse. Elle peut passer par un autre appareil, une fonctionnalité de cet appareil connecté ou un appareil distant communiquant avec la machine ou le produit connexe.
La machine ou le produit connexe doit être conçu et construit de manière à ce que la connexion avec un autre appareil, par l’intermédiaire de toute fonctionnalité de l’appareil connecté lui-même ou d’un appareil distant communiquant avec la machine ou le produit connexe, n’entraîne pas de situation dangereuse.
Règlement (UE) 2023/1230, annexe III, section 1.1.9 — texte original anglais
Une valeur corrompue doit être prise en compte si elle peut modifier le comportement sûr de la machine. Le fait qu’elle soit stockée dans un système connecté ne suffit pas à établir un tel effet sur la sécurité.
Éléments protégés
La section 1.1.9 désigne plusieurs éléments à protéger. Le point commun est leur lien avec les exigences essentielles de santé et de sécurité applicables.
- un composant matériel transmettant un signal ou des données, lorsqu’il est pertinent pour la connexion à un logiciel critique ou pour l’accès à celui-ci ;
- les logiciels et données essentiels à la conformité aux exigences essentielles de santé et de sécurité applicables ;
- les logiciels installés sur la machine ou le produit connexe nécessaires à son fonctionnement sûr ;
- les logiciels, modifications logicielles et changements de configuration lorsqu’une preuve d’intervention est requise.
Logiciels et données critiques
Le règlement ne protège pas tous les logiciels et toutes les données de la même manière. Il vise les logiciels et données essentiels à la conformité aux exigences essentielles de santé et de sécurité applicables. En pratique, il peut s’agir de la logique liée à la sécurité, des limites de sécurité, des ensembles de paramètres, de la configuration d’entraînement ou de robot, du micrologiciel et des données utilisées par une fonction de commande liée à la sécurité.
Les logiciels et données essentiels à la conformité de la machine ou du produit connexe aux exigences essentielles de santé et de sécurité applicables doivent être identifiés comme tels et protégés de manière adéquate contre toute corruption accidentelle ou intentionnelle.
Règlement (UE) 2023/1230, annexe III, section 1.1.9 — texte original anglais
Le libellé couvre précisément la corruption accidentelle et intentionnelle. Une télétransmission erronée d’un paramètre et une modification malveillante délibérée peuvent toutes deux être pertinentes si le même élément corrompu peut créer une situation dangereuse.
Preuves d’intervention
La section 1.1.9 ne porte pas uniquement sur les mesures préventives. Elle prévoit également des preuves d’interventions légitimes ou illégitimes sur le matériel, les logiciels, leurs modifications ou les configurations concernés. Ces enregistrements ont un objectif plus précis qu’un journal général d’audit de sécurité. Ils concernent les interventions susceptibles d’affecter les logiciels, données ou configurations liés à la sécurité.
Objet de la preuve
La preuve doit montrer qu’une action ou un événement pertinent s’est produit, par exemple une mise à jour logicielle, une modification de configuration ou un accès matériel affectant un logiciel critique.
Lien avec la sécurité
Le dossier n’est utile que s’il relie l’intervention à une fonction, un paramètre, une version ou une configuration liée à la sécurité.
Exemples pour les machines
Les exemples suivants montrent comment une interface ou une configuration peut affecter une fonction de sécurité. Leur pertinence dépend de l’architecture de la machine et de l’évaluation des risques.
Accès d’ingénierie
Un accès d’ingénierie local ou à distance est pertinent s’il peut modifier des limites, modes ou logiques de sécurité, ou des paramètres de sécurité.
Micrologiciel et logique applicative
Les images de micrologiciel et les logiciels applicatifs liés à la sécurité sont pertinents lorsqu’ils contribuent au fonctionnement sûr ou à l’arrêt sûr.
Communications externes
Les voies de communication par bus de terrain, Ethernet, Wi-Fi, outil de maintenance, IHM, cloud ou carte mémoire sont pertinentes lorsqu’une corruption peut affecter un état de sécurité.
Intégrité de la configuration
Les paramètres d’entraînement, limites du robot, réglages des espaces protégés et configurations des automates de sécurité sont pertinents lorsque des valeurs modifiées peuvent neutraliser une mesure de protection.
Lien avec les systèmes de commande
La section 1.2.1 de l’annexe III renforce la même limite pour les systèmes de commande. Ceux-ci doivent empêcher les situations dangereuses et, lorsque les circonstances et les risques le justifient, résister aux influences externes prévues ou imprévues, y compris aux tentatives malveillantes raisonnablement prévisibles de tiers susceptibles de provoquer une situation dangereuse.
Cela ne transforme pas tout acte malveillant en problème de sécurité des machines. Cela signifie que l’analyse du système de commande doit inclure les tentatives malveillantes lorsqu’elles peuvent compromettre le comportement sûr de la commande.