Présentation

Article

1 - ÉVOLUTION DE LA MENACE

2 - DÉFINITIONS ET NOTIONS DE BASE

3 - ARCHITECTURE DES SYSTÈMES DE CONTRÔLE INDUSTRIEL (ICS)

4 - LES ATTAQUES

5 - VULNÉRABILITÉS DES SYSTÈMES INDUSTRIELS

6 - LES PRINCIPAUX GUIDES ET NORMES

7 - LES ASPECTS RÉGLEMENTAIRES

8 - CYBERSÉCURITÉ ET SÛRETÉ DE FONCTIONNEMENT

9 - MÉTHODES ET OUTILS D’ANALYSE

10 - DÉMARCHE GÉNÉRALE POUR SÉCURISER UN ICS

  • 10.1 - Introduction
  • 10.2 - Identifier les biens
  • 10.3 - Évaluation du risque
  • 10.4 - Sécurisation des aspects organisationnels et humains
  • 10.5 - Sécurisation physique
  • 10.6 - Sécurisation du réseau
  • 10.7 - Sécurisation des machines
  • 10.8 - Sécurisation des accès logiques
  • 10.9 - Détection d’incident, réponse et récupération

11 - SOLUTIONS TECHNIQUES

12 - CONCLUSION

13 - GLOSSAIRE

Article de référence | Réf : S8257 v1

Les aspects réglementaires
Cybersécurité des installations industrielles - SCADA et Industrial IoT

Auteur(s) : Jean-Marie FLAUS

Date de publication : 10 nov. 2018

Pour explorer cet article
Télécharger l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !

Sommaire

Présentation

Version en anglais En anglais

RÉSUMÉ

La cybersécurité des installations industrielles et des systèmes d'Internet des objets industriels est une problématique très importante. Les systèmes sont de plus en plus interconnectés et les attaques sont de plus en plus nombreuses. Les conséquences peuvent être dramatiques. Cet article explique les spécificités de ces systèmes et décrit leurs principales vulnérabilités. Puis il passe en revue les principales normes et guides avant de présenter les méthodes et solutions techniques qui permettent de mettre en œuvre une démarche de maîtrise des risques.

Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.

Lire l’article

ABSTRACT

Cybersecurity of Industrial Control Systems. SCADA and Industrial IoT

Cybersecurity of industrial facilities and Internet of Things systems is a very important issue. Systems are increasingly interconnected and attacks are becoming more numerous. The consequences can be dramatic. This article explains the specifics of these systems and describes their main vulnerabilities. Then, it reviews the main standards and guides before presenting the  methods and technical solutions that make it possible to implement a risk management approach.

Auteur(s)

INTRODUCTION

Dans le monde actuel, beaucoup de systèmes physiques sont pilotés par des systèmes informatiques. La quasi-totalité des systèmes industriels, les systèmes de distribution d’eau et d’énergie, les systèmes de transport ou même les appareils du quotidien sont dans ce cas. Ces systèmes sont de plus en plus interconnectés via Internet et sont donc une cible importante d’attaques informatiques malveillantes. Les conséquences peuvent aller d’un arrêt de production ou une perte de service, dans le cas d’un site de fabrication ou d’une infrastructure de distribution d’énergie électrique, à la mise en jeu de la vie humaine dans le cas d’un site chimique à risque ou d’un véhicule.

Le projet Aurora, en 2007, a démontré qu’une modification logicielle pouvait entraîner la destruction physique d’une installation. Peu de temps après, en 2010, le célèbre virus Stuxnet a entraîné la destruction des installations iraniennes de séparation d’uranium.

Cette menace est donc réelle, et la maîtrise de ce cyber-risque par les opérateurs d’infrastructures critiques, les exploitants d’installations industrielles et les fabricants de produits devient incontournable. Elle l’est d’autant plus que les pouvoirs publics ont commencé à mettre en place une réglementation comme la directive NIS qui s’applique à partir de 2018.

Cependant, la cybersécurité des installations industrielles pose des problèmes spécifiques par rapport aux systèmes informatiques de traitement de l’information.

En effet, les contraintes de fonctionnement sont différentes, le cycle de vie est plus long, ce qui nécessite une prise en compte de l’existant, les équipements sont très hétérogènes et la culture des intervenants n’est pas la même que dans le monde informatique.

Pour aider les industriels dans leur démarche, différentes instances de normalisation et instituts en charge de la sécurité numérique ont proposé des normes et des guides. Une des plus importantes normes est la IEC 62443, élaborée par l’ISA.

Dans cet article, après avoir détaillé les spécificités des installations industrielles et leurs principales vulnérabilités, nous présentons les principales approches et les solutions méthodologiques et techniques pour gérer les risques liés à la cybersécurité.

Cet article est réservé aux abonnés.
Il vous reste 94% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

KEYWORDS

Critical Infrastructures   |   industrial cybersecurity   |   scada   |   industrial internet of things

DOI (Digital Object Identifier)

https://doi.org/10.51257/a-v1-s8257

CET ARTICLE SE TROUVE ÉGALEMENT DANS :

Accueil Ressources documentaires Technologies de l'information Réseaux Télécommunications Internet des objets Cybersécurité des installations industrielles - SCADA et Industrial IoT Les aspects réglementaires

Accueil Ressources documentaires Automatique - Robotique Automatique et ingénierie système Systèmes d'information et de communication Cybersécurité des installations industrielles - SCADA et Industrial IoT Les aspects réglementaires

Accueil Ressources documentaires Environnement - Sécurité Sécurité et gestion des risques Menaces et vulnérabilités : protection des sites industriels Cybersécurité des installations industrielles - SCADA et Industrial IoT Les aspects réglementaires

Accueil Ressources documentaires Technologies de l'information Sécurité des systèmes d'information Cybersécurité : attaques et mesures de protection des SI Cybersécurité des installations industrielles - SCADA et Industrial IoT Les aspects réglementaires

Accueil Ressources documentaires Environnement - Sécurité Technologies de l'eau Eau : propriétés, qualité, valeurs d'usage Cybersécurité des installations industrielles - SCADA et Industrial IoT Les aspects réglementaires


Cet article fait partie de l’offre

Conception et Production

(139 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Version en anglais En anglais

7. Les aspects réglementaires

La législation concernant la cybersécurité s’est renforcée en Europe ces dernières années et la conformité réglementaire s’impose comme un enjeu important pour les entreprises. La menace de lourdes sanctions financières en cas de non-respect des textes est réelle.

En plus de la réglementation applicable à tous les systèmes d’information, les installations industrielles peuvent être concernées par des textes spécifiques si elles appartiennent à un opérateur d’importance vitale (OIV), terme défini dans la suite. Dans ce cas, elles relèvent de la Loi de programmation militaire (LPM) complétée par la directive NIS (UE) 2016/1148 du 6 juillet 2016. Si l’installation fait partie des établissements classés Seveso, elle est aussi concernée par la directive 2012/18/UE du 4 juillet 2012 dite « directive Seveso 3 ».

La loi crée des obligations pour les OIV car une cyberattaque peut mener à une incapacité à produire ou à assurer des services requis et désorganiser la vie économique et sociale d’un pays. Une cyberattaque peut aussi être la cause d’un accident industriel et avoir un impact sur les populations : c’est la raison pour laquelle l’exploitant a l’obligation de démontrer sa maîtrise des risques dans le cadre des études de danger. Celles-ci ne sont pas spécifiques aux cyberattaques, mais l’évolution des cybermenaces est telle qu’elles doivent aussi être prises en compte.

La directive NIS a été transposée en droit français. La loi n° 2018-133 a été adoptée le 15 février 2018 et promulguée le 26 février 2018. Elle a pour objectif de définir des mesures destinées à assurer un niveau élevé de sécurité des réseaux et des systèmes d’information dans l’Union européenne. Elle vise à se prémunir des cyberattaques contre certaines entreprises stratégiques. Elle introduit deux nouvelles catégories d’acteurs qui sont soumis à des standards élevés en matière de sécurité informatique :

  • les opérateurs de services essentiels « OSE » ;

  • les fournisseurs de service numérique « FSN ».

Elle s’inscrit dans la continuité de la Loi de programmation militaire de 2013, première étape de la mise en œuvre des nouvelles orientations stratégiques du Livre blanc sur la...

Cet article est réservé aux abonnés.
Il vous reste 93% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

Cet article fait partie de l’offre

Conception et Production

(139 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Lecture en cours
Les aspects réglementaires
Sommaire
Sommaire

BIBLIOGRAPHIE

  • (1) - WILLIAMS (T.J.) -   A Reference Model for Computer Integrated Manufacturing from the Viewpoint of Industrial Automation.  -  IFAC Proceedings Volumes. 23 (1990). http://281-291. 10.1016/S1474-6670(17)51748-6

  • (2) -   The State of Industrial Cybersecurity 2017 –  -  Kaspersky Lab, Global Report, Accessed March 2018. https://go.kaspersky.com/rs/802-IJN-240/images/ICS%20WHITE%20PAPER.pdf

  • (3) -   Fortinet Q4 2017 Threat Landscape Report, Threat Landscape Report Q2 2017’.  -  Fortinet. Accessed March 2018. https://www.fortinet.com/content/dam/fortinet/assets/threat-reports/threat-report-q4-2017.pdf

  • (4) - DIFFIE (W.), HELLMAN (M.) -   New directions in cryptography.  -  Information Theory, IEEE Transactions on. 22 (6) : 644 (1976). http://doi :10.1109/TIT.1976.1055638

  • (5) - FLAUS (J.-M.) -   Risk Analysis : Socio-technical and Industrial Systems,  -  John Wiley & Sons (2013).

  • ...

NORMES

  • Series of standards on Industrial Automation and Control Systems Security. - ISA/IEC 62443 -

  • Functional safety of electrical/electronic/programmable electronic safety-related systems - EC 61508-1 - 2010

  • Industrial communication networks – Network and system security – Part 1-1 : terminology, concepts and models - CEI/TS 62443-1-1 - 2009

  • Industrial communication networks – Network and system security – Part 2-1 : establishing an industrial automation and control system security program - CEI 62443-2-1 - 2010

  • Industrial communication networks – Network and system security – Part 3-1 : security technologies for industrial automation and control systems - CEI/TR 62443-3-1 - 2009

  • Security for industrial automation and control systems – Part 4-1 : secure product development lifecycle requirements - CEI 62443-4-1 - 2018

  • Automates programmables – Partie 3 : langages de programmation - NF EN 61131-3 -

  • ...

1 Réglementation

Seveso III, Directive 2012/18/EU of the European Parliament and of the Council of 4 July 2012 on the control of major-accident hazards involving dangerous substances, amending and subsequently repealing Council Directive 96/82/EC,

NIS, Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union

NIS, loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité

LPM, Loi de programmation militaire 2014-2019, chapitre IV : « Dispositions relatives à la protection des infrastructures vitales contre la cybermenace »

Annexe JORF n° 0145 du 23 juin 2016  https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000032749532&categorieLien=id

GDPR, Regulation (EU) 2016/679 of the European Parliament and of the Council 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)

HAUT DE PAGE

2 Annuaire

Organismes – Fédérations – Associations (liste non exhaustive)

ANSSI (Agence nationale de la sécurité des systèmes d’information) https://www.ssi.gouv.fr...

Cet article est réservé aux abonnés.
Il vous reste 94% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

Cet article fait partie de l’offre

Conception et Production

(139 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS