Cybersécurité industrielle
Développement sécurisé des produits selon IEC 62443
La sécurité des produits industriels couvre à la fois le processus de développement et les mesures techniques du produit. Sytance accompagne les procédures du cycle de vie et les enregistrements produit selon IEC 62443-4-1, en réunissant architecture, risques, exigences et vérification pour examen.
Activités de développement et enregistrements produit associés
Processus de développement
Définissez les responsabilités relatives aux exigences de sécurité, à l’examen de conception, à la mise en œuvre, à la vérification et à la mise en production.
Analyse du produit
Décrivez le contexte de sécurité, analysez les menaces et évaluez les risques pertinents pour le produit.
Exigences et essais
Consignez les exigences de sécurité retenues, les mesures de mise en œuvre et les résultats de vérification.
Maintenance
Organisez le traitement des vulnérabilités, les mises à jour de sécurité et les informations nécessaires aux utilisateurs du produit.
Dossier documentaire de la plateforme
Procédures du cycle de vie et preuves produit selon IEC 62443-4-1
Exigences relatives aux composants
IEC 62443-4-2
Exigences relatives aux systèmes
IEC 62443-3-3
Périmètre d’évaluation
Rôle du produit, périmètre technique et exigences de sécurité applicables
Distinguer les évaluations du cycle de vie des évaluations techniques
IEC 62443-4-1 porte sur les processus de développement sécurisé. IEC 62443-4-2 spécifie les exigences techniques applicables aux composants IACS, tandis qu’IEC 62443-3-3 concerne les systèmes. Un enregistrement de cycle de vie peut étayer une évaluation, mais les capacités des composants et la protection des systèmes nécessitent toujours leur propre évaluation technique.
Quelle partie de la série IEC 62443 devons-nous utiliser ?
Pour un développeur de produits, IEC 62443-4-1 concerne le cycle de développement sécurisé. IEC 62443-4-2 concerne les exigences techniques applicables aux composants. Les systèmes et les activités d’intégration relèvent d’autres parties de la série. Commencez par déterminer le rôle et le produit ou système évalué.
La plateforme délivre-t-elle un certificat IEC 62443 ou attribue-t-elle un niveau de sécurité ?
Non. La plateforme prépare et tient à jour les enregistrements de développement et de produit. La certification et les déclarations de capacité de sécurité dépendent du périmètre d’évaluation, des exigences applicables, des preuves techniques et de l’organisme d’évaluation.
Ces enregistrements peuvent-ils aussi contribuer à la préparation au CRA ?
Certains enregistrements d’architecture, de risque, de développement et d’essai peuvent être pertinents pour les deux démarches. Vérifiez-les au regard des exigences CRA applicables au produit concerné ; une évaluation IEC 62443 ne démontre pas à elle seule la conformité au CRA.
- IEC 62443-4-1:2018 — https://webstore.iec.ch/en/publication/33615
- IEC 62443-4-2:2019 — https://webstore.iec.ch/en/publication/34421
- IEC 62443-3-3:2013 — https://webstore.iec.ch/en/publication/7033
