La méthode
La série IEC 62443 (issue des travaux ISA99) couvre la cybersécurité des systèmes d’automatisation et de contrôle industriels (IACS) : automates, systèmes de contrôle-commande, réseaux industriels, capteurs et actionneurs connectés. Elle distingue les responsabilités de l’exploitant, de l’intégrateur système et du fournisseur de composants.
Le système sous étude (SuC) est découpé en zones — des ensembles d’actifs partageant les mêmes exigences de sécurité — reliées par des conduits, qui portent les communications entre zones ou vers l’extérieur. Chaque zone reçoit un niveau de sécurité cible (SL-T), de 1 (protection contre une violation occasionnelle) à 4 (protection contre un attaquant étatique disposant de moyens importants), au regard des sept exigences fondamentales (identification et authentification, contrôle d’usage, intégrité, confidentialité des données, flux de données restreint, réponse aux événements, disponibilité des ressources).
La norme IEC 62443-3-2 décrit la démarche d’analyse de risques et de découpage en zones et conduits ; la 62443-3-3 détaille les exigences techniques par niveau de sécurité ; la 62443-4-1 et 4-2 s’adressent aux fournisseurs de produits et de composants.
Quand l’utiliser
- Conception ou modernisation d’un système de contrôle-commande industriel (usine, énergie, eau, transport).
- Mise en conformité réglementaire (NIS2 pour les opérateurs essentiels, exigences contractuelles d’un donneur d’ordre).
- Segmentation d’un réseau industriel existant, pour prioriser les zones à protéger en premier.
Points d’attention
- Un système IT et un système OT ne partagent pas les mêmes priorités : en IT la confidentialité prime souvent, en OT c’est la disponibilité et la sécurité des personnes.
- Le découpage en zones doit refléter la réalité physique et organisationnelle du site, pas seulement la topologie réseau.
- Un niveau de sécurité cible trop élevé partout dilue l’effort ; mieux vaut le moduler selon la criticité réelle de chaque zone.
Étapes (démarche IEC 62443-3-2)
- Définir le système sous étude (SuC) et rassembler l’inventaire des actifs, des flux et de l’architecture réseau existante.
- Réaliser une évaluation de risque initiale, à un niveau global, pour identifier les zones candidates.
- Découper le système en zones et conduits selon la criticité, les contraintes physiques et les responsabilités organisationnelles.
- Évaluer le risque détaillé de chaque zone et fixer son niveau de sécurité cible (SL-T).
- Comparer le niveau atteint (SL-A) au niveau cible, documenter les écarts et définir le plan de mise en conformité.
Outils d’évaluation et de conformité IEC 62443
Liste issue du catalogue Aurorisk, liens contrôlés le 2026-09-26. Les accès gratuits établis sont listés en premier ; les informations inconnues sont indiquées.
| Outil | Source · licence · accès | Portée | Description |
|---|---|---|---|
| CISA CSET ↗ | Organisme publicGratuit | États-Unis | Évaluation de la sécurité des réseaux IT et industriels. |
| CISO Assistant ↗ | Open sourceGratuit | France | Plateforme GRC open source (risques, conformité). |
| Polyodos — IEC 62443 ↗ | Éditeur commercialGratuit pour l’enseignement | International | Analyse des risques OT/ICS selon IEC 62443-3-2. |
| MONARC ↗ | Organisme publicOpen source | Europe | Analyse de risques en quatre phases, réutilisant des analyses similaires ; en ligne ou auto-hébergé ; édité par le NC3 (Luxembourg). |
Normes et références
- IEC 62443 — Sécurité des systèmes d’automatisation et de commande industriels
- ISO/IEC 27001
- NIST SP 800-82 — Guide to OT security
- Directive (UE) 2022/2555 (NIS2)