IEC 62443-3-2
La norme IEC 62443-3-2 définit le processus d'évaluation des risques pour les systèmes d'automatisation et de contrôle industriel (IACS). Elle structure l'analyse autour de zones de sécurité et de conduits, et aboutit à la détermination du Security Level Target (SL-T) pour chaque zone.
Cette page d'introduction résume le module ; chaque étape dispose de son propre guide détaillé, accessible depuis les liens ci-dessous ou depuis le panneau d'aide contextuelle de la page correspondante.
Flux de travail recommandé
Contexte → ZCR1 SUC → ZCR2 Risque initial → ZCR3 Zones & SL-T
→ ZCR4 Comparaison → ZCR5 Détaillée → ZCR6 CRS → ZCR7 ApprobationL'ordre surprend souvent
Le risque initial (ZCR 2) précède le zonage : c'est lui qui alimente la suggestion de SL-T par zone. Voir Par où commencer, qui détaille aussi les trois choix à poser avant de démarrer.
Par où commencer
Avant de vous lancer dans l'analyse, renseignez le Contexte de l'étude (identification du SUC, périmètre, équipe), puis suivez les étapes ZCR dans l'ordre : elles s'enchaînent logiquement, chacune s'appuyant sur les données de la précédente.
Si vous disposez d'une description écrite de l'installation (procédé, équipements, réseau), le ✦ Cadrage IA peut pré-remplir automatiquement le Contexte, ZCR2 et ZCR3 à partir de ce texte — un gain de temps appréciable en début d'étude.
Pour un état des lieux rapide sans passer par l'analyse détaillée, le format CRS léger dérive automatiquement les exigences applicables à partir des seules zones et de leur SL-T.
Contexte
Définit les paramètres généraux de l'étude : identification du SUC (System Under Consideration), périmètre fonctionnel et physique, équipe, sessions de travail, documents de référence et réglementations applicables.
Voir Contexte.
✦ Cadrage IA
Assistant IA qui pré-remplit Contexte, ZCR2 et ZCR3 à partir d'une fiche descriptive de l'installation (texte + images), en s'appuyant sur le moteur IA configuré dans /gestion/ia.
Voir Cadrage IA.
ZCR1 — Identify the SUC
Modélisation du SUC : inventaire des équipements et réseaux, fonctions, utilisateurs et rôles, points d'accès, diagramme visuel du système, et analyse des vulnérabilités (CVE/CVSS) des équipements recensés.
TIP
Importez vos composants depuis la bibliothèque IEC 62443 pour gagner du temps sur les équipements courants (Siemens S7, Allen-Bradley, OSIsoft PI…).
Voir ZCR1 — Identify the SUC (couvre aussi Diagramme SUC et Analyse CVE).
ZCR2 — Initial Risk Assessment
Évaluation de risque initiale au niveau du SUC global : pour chaque actif, un événement redouté est coté en vraisemblance/gravité, ce qui détermine le niveau de risque brut avant segmentation en zones.
Voir ZCR2 — Initial Risk Assessment.
ZCR3 — Zones & Conduits
Segmentation du SUC en zones de sécurité (SL-T par zone) reliées par des conduits, selon les règles de segmentation IEC 62443-3-2 (séparation IT/OT, systèmes de sécurité, appareils temporaires/sans fil, connexions externes).
Voir ZCR3 — Zones & Conduits.
ZCR4 — Risk Comparison
Comparaison de chaque risque initial (ZCR2) à un seuil de risque tolérable, pour décider quels risques nécessitent une analyse détaillée en ZCR5.
Voir ZCR4 — Risk Comparison.
ZCR5 — Detailed Risk Assessment
Analyse détaillée de chaque scénario retenu : menace (avec mapping MITRE ATT&CK for ICS), vulnérabilités, gravité, vraisemblance, risque, SL-T, contre-mesures et risque résiduel.
Voir ZCR5 — Detailed Risk Assessment (couvre aussi l'analyse MITRE ATT&CK).
ZCR6 — Document CRS
Consolidation de l'analyse dans le document CRS (Cybersecurity Requirements Specification) prévu par la norme (§4.7.2) : 9 sections numérotées, de la description du SUC aux exigences réglementaires.
Voir ZCR6 — Document CRS.
Analyse de Conformité
Mesure, zone par zone, la couverture des exigences de sécurité (SR/CR) par les contre-mesures évaluées en ZCR5, organisée autour des 7 Foundational Requirements (FR1-FR7) plus les mesures organisationnelles (ORG).
Voir Analyse de Conformité.
Rapport IEC 62443
Trois formats de sortie disponibles : le Rapport CRS (complet, éditable, export Word/Excel), le CRS léger (dérivé automatiquement, export Excel) et le Rapport Analyse de Risque (synthèse fixe en 10 sections, export Word/Excel).
Voir Rapport IEC 62443 (couvre les 3 formats).