{"partition": "head_middle", "source_domain": "securid.novaclic.com", "digest": "sha1:AWZIPSEUHXA3QGHOTNNWDBYWUP7OG3HE", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2014-15/000_00012.parquet"}
Une autre idée de la sécurité des systèmes d'information
Cybersécurité nucléaire
Stuxnet était la première démonstration grandeur réelle de la possibilité d’attaquer des processus industriels via un logiciel malveillant.
On oublie quelquefois que la cible de Stuxnet était une « INB » (Installation Nucléaire de Base, dans la terminologie française) : la principale (et seule ?) cyberattaque industrielle réussie visait un site nucléaire.
Les acteurs du « nucléaire », et en particulier l’AIEA, ont réagi à cette attaque : cet article décrit les approches de sécurité recommandées depuis peu, et qui ont un intérêt aussi pour les industries non nucléaires.
Comme pour les autres domaines « industriels », il n’y a pas encore de norme de cybersécurité « nucléaire » applicable en Europe et a fortiori en France, mais un projet est en cours (CEI 62645 – cybersécurité des systèmes de contrôle-commande des réacteurs) avec pour objectif une publication en 2013.
(mise à jour jan 2014) : la norme IEC 62645 a pris du retard mais est en cours de finalisation, pour vote en mars et probable publication ce printemps ou cet été 2014.
Cette future norme, comme le standard NRC 5.71 aux USA, déclinent une approche de défense en couches prônée par l’AIEA.
Il est intéressant de parcourir le document de l’AIEA « Computer security at Nuclear Facilities », librement accessible sur internet, car c’est un document récent, bien conçu, et applicable aux installations industrielles en général.
Les grands principes du document de l’AIEA
L’approche graduée de la cybersécurité
L’AIEA recommande de mettre en place des mesures de sécurité variables selon la criticité des systèmes composant le SI industriel. Dans le domaine nucléaire, il y a une approche classique basée sur la classification des systèmes : systèmes importants pour la sûreté ou non, etc… Pour les environnements industriels, l’approche reste pertinente, mais il faut se munir d’une échelle de criticité, comme celle proposée par l’ISA 99 (une échelle de criticité est proposée en annexe d’ISA 99.02.01).
Classification des systèmes des installations nucléaires selon l’AIEA
Pour fixer les idées, dans une centrale nucléaire, les systèmes de pilotage des turbines ne sont pas importants pour la sûreté, par contre le système de sécurité qui fait « tomber les barres » pour arrêter la réaction sont parmi les plus critiques.
Le découpage en zones
Un autre point commun entre l’approche AIEA et celle de l’ISA est la notion de « zones », définie comme le regroupement physique et logique de systèmes de même criticité, que l’on va donc protéger et administrer avec des moyens communs.
L’ISA recommande de permettre des flux de données (physiques – clés USB etc… et logiques – réseaux et bus) sans contrôle au sein d’une zone, mais d’établir une surveillance forte et un filtrage entre zones. ISA appelle « conduits » ces liaisons entre zones.
L’AIEA ici a une approche plus structurée quant au filtrage et liaisons autorisées entre zones, en définissant une défense structurée en « couches », détaillée ci-dessous.
A noter que l’ISA et l’AIEA omettent de proposer une méthode pratique pour définir ces zones, à partir d’un schéma d’architecture par exemple. ISA 99.03.02 (en cours de définition) donnera un certain nombre de règles que doivent respecter les zones, mais ne donne pas de recette pour construire ces zones. Aujourd’hui en pratique, il faut de l’expérience et un peu de « recuit simulé », c’est à dire procéder par tâtonnements successifs, pour faire un découpage en zones efficaces, mais on y arrive !
La défense en « couches »
L’AIEA recommande de définir un certain nombre de degrés de sécurité, sur le modèle de l’exemple ci-dessous avec 5 degrés. Le nombre de degrés, et les règles précises de sécurité entre degrés, est à définir en fonction des besoins de chaque installation, mais l’AIEA formule tout de même un certain nombre de règles.
Ce que dit l’AIEA :
la criticité, et donc le niveau de sécurité applicable