IEC
Coéditeur des normes ISO/IEC et repère clé dès que la sécurité touche l’industrie, l’énergie ou les équipements.
→ Lire l’explication complète de la marmotte
L’IEC intervient fortement lorsque la sécurité rencontre les systèmes industriels, l’électronique, l’énergie et les équipements techniques.
Lectures prioritaires
Section intitulée « Lectures prioritaires »- Site officiel : iec.ch
- Références ISO/IEC partagées
- Normes utiles pour environnements OT, industriels et embarqués
Sous-chapitres
Section intitulée « Sous-chapitres »Normes conjointes
Section intitulée « Normes conjointes »- Coédition avec ISO sur de nombreuses références de sécurité
- Importance des couples ISO/IEC dans la lecture des exigences
- Lecture normative à replacer dans le contexte d’usage
Systèmes industriels et techniques
Section intitulée « Systèmes industriels et techniques »- Sécurité des équipements, automatismes et environnements OT
- Contraintes de disponibilité, sûreté et cycle de vie long
- Interactions entre cybersécurité et exploitation industrielle
Architecture et terrain
Section intitulée « Architecture et terrain »- Limites des approches purement IT
- Besoin d’adapter les modèles de sécurité à des systèmes techniques
- Importance des dépendances physiques et des protocoles spécialisés
Dans TortueTech
Section intitulée « Dans TortueTech »- Référence à relier aux futurs contenus OT, industrie et équipements
- Complément utile pour éviter une vision uniquement bureautique ou cloud
Points à vérifier
Section intitulée « Points à vérifier »à compléter: normes IEC prioritaires pour le siteà compléter: articulation avec réseaux industriels et cyber OT
🐝 Ce qui arrive si on s’en passe
Section intitulée « 🐝 Ce qui arrive si on s’en passe »Ignorer les références de l’IEC, c’est appliquer à un automate les recettes pensées pour un poste de bureautique : un correctif installé sans fenêtre de maintenance ou un redémarrage imposé par la politique informatique peuvent arrêter une ligne de production que la sécurité était censée protéger. Les contraintes de sûreté disparaissent du raisonnement, et avec elles la question de ce qui arrive physiquement quand un équipement se comporte mal. Le cycle de vie long des matériels n’est pas pris en compte à l’achat, si bien que l’organisation découvre après coup qu’elle exploite pour longtemps un équipement qu’elle ne sait pas mettre à jour, raccordé à un réseau qui, lui, évolue.
🦫 Explication de la marmotte 🍫
Section intitulée « 🦫 Explication de la marmotte 🍫 »La Commission électrotechnique internationale est un organisme qui rédige des normes, c’est-à-dire des documents qui fixent des règles communes reconnues par de nombreux pays. Elle publie avec l’Organisation internationale de normalisation une partie importante des références de sécurité de l’information, que l’on reconnaît à leur double préfixe. Lire ces exigences demande de tenir compte des deux éditeurs et du contexte dans lequel la norme sera appliquée. Son apport propre concerne les systèmes industriels : automatismes, équipements électriques et électroniques, installations d’énergie, matériels embarqués. Ces systèmes, souvent appelés technologies opérationnelles, obéissent à d’autres contraintes que les ordinateurs de bureau. Ils doivent rester disponibles, car un arrêt interrompt une production ou un service physique. Ils touchent à la sûreté, c’est-à-dire à la protection des personnes et des installations. Ils restent en service très longtemps. Ils utilisent des protocoles de communication spécialisés et dépendent d’éléments physiques. Pour ces raisons, les méthodes de sécurité pensées pour l’informatique de gestion ou pour les services hébergés chez un fournisseur ne s’appliquent pas telles quelles : il faut les adapter. Sur ce site, la fiche sert de point d’appui pour les futurs contenus consacrés à l’industrie, aux équipements et aux réseaux industriels, et rappelle que la sécurité ne se limite pas aux bureaux.
À lire aussi
- ISORéférence normative internationale pour les systèmes de management, les contrôles et la gestion des risques.
- Cloud Security AllianceRéférence cloud pour les matrices de contrôle, l’évaluation des fournisseurs et les repères de sécurité partagée.
- Comment utiliser CSA STAR et le questionnaire CAIQLa certification STAR et le questionnaire CAIQ de la Cloud Security Alliance servent à évaluer la posture de sécurité d’un fournisseur cloud avant contractualisation.
- Réseaux spécialisés, sobriété avancée et futurs raisonnablesRegrouper les domaines spécialisés et pistes d’évolution à connaître sans les présenter comme des certitudes : OT, industriel, quantique, participatif, blockchain et réseaux futurs.