Securite Industrielle GT Details Principales Mesures | Vulnerability (Computing) | Online Safety & Privacy\nsaveSave Securite Industrielle GT Details Principales Mesur... For Later\nLa cyberscurit des systmes industriels\n1.2 Champ dapplication\n1.3 Structure du corpus documentaire\n1.4 Avis aux lecteurs\n2 Considrations relatives la cyberscurit des installations industrielles 9\n2.1 Liste des contraintes\n2.2.1 Matrise des installations\n2.2.2 Dfaut de contrle daccs logique\n2.2.3 Dfaut de contrle des interfaces de connexion\n2.2.4 Cartographie non maitrise\n2.2.5 Dfaut de matrise de la configuration\n2.2.6 Utilisation dquipements vulnrables\n2.2.7 Utilisation de protocoles vulnrables\n2.2.8 Dfaut de contrle daccs physique\n2.2.9 Dfaut de cloisonnement\n2.2.11 Terminaux nomades non matriss\n2.2.12 Utilisation de technologies standards\n2.2.14 Supervision insuffisante des vnements de cyberscurit\n2.2.15 Absence de plan de continuit dactivit\n2.2.16 Non prise en compte de la cyberscurit dans les projets\nLa cyberscurit des systmes industriels Mesures dtailles . 3\n2.2.17 Absence de tests de cyberscurit\n2.2.18 Absence de matrise des fournisseurs et prestataires\n2.2.19 Environnement de dveloppement non scuris\n2.2.20 Outils de dveloppement prsents\n2.2.21 Non cloisonnement de ladministration\n2.2.22 Dfinition des responsabilits\n3 Mesures de scurit organisationnelles\n3.1 Connaissance du systme industriel\n3.1.1 Rles et responsabilits\n3.1.3 Analyse de risque\n3.1.4 Gestion des sauvegardes\n3.1.5 Gestion de la documentation\n3.2 Matrise des intervenants\n3.2.1 Gestion des intervenants\n3.2.2 Sensibilisation et formation\n3.2.3 Gestion des interventions\n3.3 Intgration de la cyberscurit dans le cycle de vie du systme industriel 39\n3.3.1 Exigences dans les contrats et cahiers des charges\n3.3.2 Intgration de la cyberscurit dans les phases de spcification 42\n3.3.3 Intgration de la cyberscurit dans les phases de conception\n3.3.4 Audits et tests de cyberscurit\n3.3.5 Transfert en exploitation\n3.3.6 Gestion des modifications et volutions\n3.3.7 Processus de veille\n4 . La cyberscurit des systmes industriels Mesures dtailles\n3.3.8 Gestion de lobsolescence\n3.4 Scurit physique et contrle daccs aux locaux\n3.4.1 Accs aux locaux\n3.4.2 Accs aux quipements et aux cblages\n3.5 Raction en cas dincident\n3.5.1 Plan de reprise ou de continuit dactivit\n3.5.2 Modes dgrads\n3.5.3 Gestion de crise\n4 Mesures de scurit techniques\n4.1 Authentification des intervenants : contrle daccs logique\n4.1.1 Gestion des comptes\n4.1.2 Gestion de lauthentification\n4.2 Scurisation de larchitecture du systme industriel\n4.2.1 Cloisonnement des systmes industriels\n4.2.2 Interconnexion avec le systme dinformation de gestion\n4.2.3 Accs Internet et interconnexions entre sites distants\n4.2.4 Accs distants\n4.2.5 Systmes industriels distribus\n4.2.6 Communications sans fil\n4.2.7 Scurit des protocoles\n4.3 Scurisation des quipements\n4.3.1 Durcissement des configurations\n4.3.2 Gestion des vulnrabilits\n4.3.3 Interfaces de connexion\n4.3.4 quipements mobiles\nLa cyberscurit des systmes industriels Mesures dtailles . 5\n4.3.5 Scurit des consoles de programmation, des stations dingnierie et des postes dadministration\n4.3.6 Dveloppement scuris\n4.4 Surveillance du systme industriel\n4.4.1 Journaux dvnements\nA.1 Cartographie physique du systme industriel\nA.2 Cartographie logique des rseaux industriels\nA.3 Cartographie des applications\nA.4 Cartographie de ladministration et de la surveillance du systme dinformation\nB Journaux dvnements\n6 . La cyberscurit des systmes industriels Mesures dtailles\nLe prsent document est issu des rflexions du groupe de travail sur la cyberscurit des systmes industriels pilot par lAgence nationale de la scurit des systmes\ndinformation (ANSSI) 1 . Lobjectif des travaux de ce groupe, constitu dacteurs du\ndomaine des systmes automatiss de contrle des procds industriels et de spcialistes de la scurit des systmes dinformation (SSI), est de proposer un ensemble de\nmesures pour amliorer le niveau de cyberscurit des systmes industriels.\nCe document sadresse tous les acteurs (entits responsables, chefs de projets,\nacheteurs, quipementiers, intgrateurs, matres duvre, etc.) participant la conception, la ralisation, lexploitation et la maintenance des systmes industriels.\nLe groupe de travail ne sest pas intress un secteur dactivit en particulier et les\nlments contenus dans ce document ont donc vocation tre applicables tous les\nsecteurs. Certains dentre eux ont des spcificits qui nont peut-tre pas t dtailles\nou prises en compte dans le prsent document. En consquence, une dclinaison\nsectorielle de ce document pourra tre ncessaire dans certains cas an de\nprciser les modalits dapplication et prendre en compte les contraintes spciques.\nLensemble des mesures prsentes ont t penses pour des nouveaux systmes\nindustriels. Il est tout fait possible que les mesures ne puissent pas sappliquer\ndirectement des systmes industriels existants et il conviendra donc dvaluer de\nmanire exhaustive les impacts avant toute mise en uvre.\n1. Les membres du groupe de travail sont les socits et organismes suivants : Actemium, Airbus\nDefence and Space, Arkoon-Netasq, A.R.C Informatique, Atos Worldgrid, Hirschmann, Cassidian\nCybersecurity, CEA, CLUSIF, DCNS, DGA Matrise de linformation, Euro systems, EXERA, GDF SUEZ,\nGimlec, INERIS, Itris Automation Square, Lexsi, Schneider Electric, Siemens, Sogeti, RATP, Solucom,\nLa cyberscurit des systmes industriels Mesures dtailles . 7\nIl est galement possible que dans certaines situations des mesures ne puissent sappliquer sans adaptation (pour des raisons de compatibilit avec des systmes industriels existants ou des contraintes mtier spcifiques, par exemple). Ces cas particuliers\ndevront tre tudis spcifiquement et les mesures qui en dcouleront seront soumises\npour approbation lautorit de cyberdfense.\nLes travaux du groupe de travail sont organiss en deux documents. Ce document\ncontient les mesures techniques et organisationnelles dtailles mettre en place sur\nles systmes industriels en fonction des classes dfinies dans le guide de classification .\nIl est donc important de commencer par lire attentivement le document cit prcdemment qui constitue le socle de la dmarche et contient la dfinition des termes\nutiliss dans la suite de ce document.\nLes mesures prsentes dans le document sont des mesures de cyberscurit conventionnelles mais adaptes pour les systmes industriels. Lobjectif de ce document nest\nen aucun cas de former les lecteurs la cyberscurit pour les systmes industriels.\nIl a donc t suppos que les lecteurs disposaient de connaissances lmentaires\nen matire de technologies de linformation et de la communication mais aussi de\ncyberscurit ou quils pouvaient sappuyer sur des personnes disposant de ces comptences. La bonne application de certaines mesures ncessitera certainement un\ntravail dquipe entre des informaticiens et des automaticiens .\nLes publications de lANSSI sont diffuses sur son site Internet :\n8 . La cyberscurit des systmes industriels Mesures dtailles\nConsidrations relatives la\ncyberscurit des installations\nLobjectif de ce chapitre est de dresser un tat des lieux succinct de la cyberscurit des\nsystmes industriels. Pour ce faire, une liste des contraintes qui sont prsentes dans\nces systmes est tablie dans la section 2.1. Ces contraintes sont un des lments\nqui distingue les systmes industriels des systmes dinformation de gestion. Il est\nimportant de les identifier afin de proposer des mesures adaptes.\nDans la section 2.2, les principales vulnrabilits rencontres dans ces systmes sont\nlistes. Elles peuvent dcouler des contraintes listes dans la section prcdente mais\npas seulement. En particulier, on pourra retrouver dans cette section, des vulnrabilits couramment rencontres dans les systmes dinformation de gestion.\nLes contraintes sont un ensemble de faits sur lesquels il ne va pas tre possible dagir\net qui peuvent avoir un impact lourd sur la scurit du systme industriel concern. Il\nsera trs important de prendre en compte ces contraintes lors du choix des mesures\nde scurit mettre en uvre.\nLa cyberscurit des systmes industriels Mesures dtailles . 9\nMultitude dintervenants sur une installation ce qui ne facilite pas la matrise des\nactions effectues sur celle-ci.\nMultitude de sites isols, notamment\ndans les secteurs du transport, de la distribution deau ou de lnergie, bnficiant dune protection physique limite.\nLa documentation technique de linstallation peut tre limite. Ce qui entrane\nune perte du savoir lors des dparts de\npersonnels et ne facilite pas le traitement\nCertains fournisseurs font de la tlmaintenance depuis ltranger.\nSur certaines installations cohabitent\ndeux oprateurs diffrents, ce qui peut\nparfois poser des problmes juridiques\nen cas de modification de linstallation.\nPar ailleurs, les systmes quils grent\npeuvent aussi constituer une menace\nLes installations sont souvent htrognes car venant de diffrents fournisseurs ou parce quelles ont volues\nau cours du temps. Lhtrognit peut\ntre impose pour des raisons de sret\n10 . La cyberscurit des systmes industriels Mesures dtailles\nLes fournisseurs exigent davoir accs\nleurs quipements en tlmaintenance\nsous peine de ne pas les garantir.\nLa modification des systmes sans accord pralable du fournisseur peut entrainer une perte de garantie.\nIl peut tre contractuellement interdit\nde modifier linstallation existante mme\npour implmenter des mesures de cyberscurit.\nCertains clients exigent davoir accs\ndistance aux informations relatives (historisation) la production du site. Pour\ndes raisons de simplicit, le transfert de\ndonnes se fait souvent sur un rseau\npublic comme Internet.\nLa cyberscurit des systmes industriels Mesures dtailles . 11\nCertaines rglementations imposent aux\noprateurs dexporter des donnes vers\nun tiers. Par exemple, les dchetteries\ndoivent fournir un certain nombre de\ndonnes la DRIRE.\nLa traabilit est une exigence forte\ndans certains domaines comme lagroalimentaire ou lindustrie pharmaceutique par exemple.\nRemarque : les mesures de scurit\nfonctionnelles imposes par la rglementation dun secteur peuvent renforcer le niveau de scurit de linstallation\net offrir un niveau de risque rsiduel acceptable.\nLa rglementation en matire de sret\npeut limiter la possibilit de modification\ndes installations. En effet, la modification dune installation peut entraner la\nperte dune homologation.\nIl nexiste pas denvironnement de test\npermettant de sassurer de la nonrgression des installations.\nLes interventions sur les installations ne\npeuvent tre effectues que lors des priodes de maintenances.\nLes fournisseurs offrent peu de support\npour aider les oprateurs qualifier les\nimpacts des mesures de scurit sur les\n12 . La cyberscurit des systmes industriels Mesures dtailles\nCertains environnements demandent\nune ractivit forte des oprateurs notamment en cas dincident. Les mesures\nde scurit ne doivent pas nuire cette\nLes oprateurs partagent souvent des\nquipements, ce qui peut avoir un impact significatif sur la traabilit (utilisation de comptes gnriques par\nLes oprateurs doivent souvent visualiser ltat de linstallation en temps rel et\nintervenir rapidement. De ce fait, ils ne\npeuvent pas verrouiller les postes quils\nLes mises jour des systmes existants\net lvolution des installations entranent\ndes cots importants pour le client.\nLa cyberscurit des systmes industriels Mesures dtailles . 13\nLorsque la direction des systmes dinformation (DSI) se voit attribuer la mission de scuriser les systmes industriels,\nelle na pas de lien hirarchique avec les\nquipes charges de lopration de ces\nderniers. Ceci complique ou ralentit la\nmise en uvre de la cyberscurit.\nLorsque la scurisation des systmes industriels est confie une direction mtier, la cyberscurit a souvent une priorit basse et la responsabilit de la gestion des interfaces entre les systmes industriels et les systmes de gestion est\nIl y a peu de personnel en charge de linformatique industrielle sur un site industriel.\n14 . La cyberscurit des systmes industriels Mesures dtailles\nLes quipements sont dploys pour 15\n20 ans. Lobsolescence limite leurs\npossibilits de mise jour ainsi que lintgration de fonctions de scurit.\nCertains quipements (comme les automates) et protocoles offrent des fonctionnalits de scurit limites voire inexistantes.\nLes fournisseurs offrent peu de solutions\ntechniques permettant une gestion centralise des fonctions de scurit. Par\nexemple, il nest souvent pas possible\nde changer un mot de passe sur plusieurs quipements disperss gographiquement.\nSur certains systmes, les besoins de performance exigent quil ny ait pas de latence.\nDans les milieux o la sret de fonctionnement est trs prsente, il y a souvent un sentiment que celle-ci permet\ngalement de rgler les problmes de\nLa scurit des systmes dinformation\nnest pas aborde lors des cursus de formation et en particulier ceux des automaticiens.\nLa cyberscurit des systmes industriels Mesures dtailles . 15\nIl existe peu de comptences en matire de cyberscurit des systmes industriels.\nPeu de fournisseurs intgrent la notion de cycle de dveloppement scuris\ndans la ralisation de leurs produits.\nLes vulnrabilits des systmes dinformation industriels qui ont t identifies par le\ngroupe de travail sont listes ci-dessous.\nLes encadrs Pourquoi est-ce une vulnrabilit\n? nont pas vocation tre\nexhaustifs et sont l uniquement pour illustrer la vulnrabilit en question.\nGestion des correctifs de scurit\nLa gestion des vulnrabilits est complexe dans les systmes industriels. Dans de\nnombreux cas, les mises jour ne pourraient tre faites que pendant les phases\nde maintenance et, parfois, leur application peut entrainer la ncessit de requalifier\nle systme industriel du point de vue de la sret de fonctionnement.\nLa priorit est donne lintgrit et la disponibilit de linstallation et, comme\nlentit responsable dispose rarement dune plateforme dessai, elle ne peut pas effectuer de tests de non-rgression sur les correctifs ventuellement publis par les\nToutes ces raisons font que la plupart des installations nont pas de procdures ou de\nmcanismes techniques pour lapplication des mises jour de scurit. En particulier,\nles systmes de mise jour automatiques sont souvent incompatibles, notamment\navec les anciennes installations.\n16 . La cyberscurit des systmes industriels Mesures dtailles\nPourquoi est-ce une vulnrabilit ?\nLa prsence de vulnrabilits connues non corriges dans une installation\naugmente le risque dune intrusion.\nDe nombreux codes malveillants gnriques exploitent ce genre de vulnrabilits et le risque de contamination de linstallation est donc fortement\naugment par labsence des mises jour\n. de scurit.\nLors dune attaque cible, lattaquant commence souvent par la recherche\nde vulnrabilits connues non corriges pour tenter de pntrer dans le systme. Une bonne politique dapplication des mises jour de scurit permet\ndliminer ces vulnrabilits, ce qui complique fortement la tche de lattaquant.\nEn 2013, de nombreux systmes industriels sont encore vulnrables aux virus\ntels que Conficker apparu en 2009 et. pour lequel le correctif est pourtant\nPas de veille sur les vulnrabilits et les menaces\nLes entits responsables de systmes industriels mettent rarement en place une veille\nactive sur les vulnrabilits des produits et technologies utiliss. Ceci est vrai malgr\nlapparition de sources dinformation spcialises.\nAucune veille nest faite non plus sur lvolution de la menace ou des techniques\nLabsence de veille sur les vulnrabilits ou obsolescences de produits ou\ntechnologies utilises empche de ragir rapidement lors de la publication\nde lune dentre elles.\nUne veille active sur les techniques dattaque\nou sur lvolution de la menace\npermet damliorer la pertinence de lanalyse de risque du systme industriel.\nElle permet galement dadapter les mesures de protection et de rduire le\ntemps dexposition du systme aux vulnrabilits.\nLa cyberscurit des systmes industriels Mesures dtailles . 17\nDfaut de la politique de gestion des mots de passe\nIl est frquent que les politiques de mots de passe soient insuffisantes ou incompltes.\nCeci peut impliquer les problmes suivants :\nlutilisation de mots de passe par dfaut ;\nla faible frquence de changement des mots de passe (par exemple due au\nmanque doutil pouvant mettre jour les mots de passe dun parc dautomates) ;\nlutilisation de mots de passe faibles (parfois due des limitations de lquipement ou du logiciel).\nUne premire tape pour un attaquant consiste souvent tenter de compromettre le compte dun utilisateur du systme pour y avoir accs, au moins\npartiellement. Pour cela, une des techniques sa disposition consiste tenter\nde rcuprer un mot de passe.\nLutilisation de mot passe par dfaut lui permet donc davoir accs directe. sur linstallation, souvent avec des\nment des comptes prsents par dfaut\nprivilges levs. Lorsque les mots de passe ont t changs, lattaquant\npeut essayer les attaques par dictionnaire pour tenter de dcouvrir un mot\nde passe et accder ainsi au compte concern. Cest pourquoi il est recommand dutiliser un mot de passe robuste et, dans la mesure du possible, de\nle changer rgulirement.\nPas de gestion des comptes\nIl est frquent que la politique de gestion des comptes dun systme industriel soit\ninadapte ou inexistante.\nAfin de faciliter les oprations, du fait du roulement des oprateurs ou de la multitude\nde sites grer pour les quipes de maintenance, des comptes gnriques peuvent\nIl est frquent quil ny ait pas de procdure de gestion des dparts et des arrives.\nEn particulier, un ancien employ pourra conserver son compte longtemps aprs son\n18 . La cyberscurit des systmes industriels Mesures dtailles\nIl est galement courant de voir lutilisation de comptes privilges. Ceci peut tre\nd une recherche de facilit de gestion des comptes utilisateurs ou des limitations techniques dun produit utilis. De nombreuses applications, par exemple, ne\nsexcutent quavec des comptes de niveau administrateur .\nLutilisation de comptes gnriques augmente considrablement les risques\nde compromission notamment du fait de la circulation du mot de passe. En\npratique, les mots de passe utiliss pour les comptes gnriques sont souvent\ntrop faibles ou nots sur des papiers faciles garer. Ne pas supprimer un\ncompte aprs le dpart de son titulaire. offre une possibilit daction un ancien employ mcontent. Dautre part, labsence de politique de gestion des\ncomptes diminue la visibilit sur le systme industriel concern (qui accde\nquelles ressources ?). En cas de problme, il sera trs difficile den retrouver\nSur certains systmes industriels, on note rgulirement une absence de politique de\ngestion des interfaces de connexion. Par exemple, les ports USB ne sont pas bloqus\nou les ports Ethernet non utiliss sont laisss actifs.\nLaisser des interfaces non matrises augmente la surface dattaque.\nPar exemple, ne pas bloquer les ports USB peut favoriser lintroduction de\nvirus dans le systme ou la non-dsactivation des ports Ethernet offre la pos.\nsibilit de raliser des branchements sauvages\npouvant perturber le fonctionnement du systme. Cela peut galement tre utilis pour lancer ultrieurement une attaque depuis lextrieur du site (en connectant un quipement\nWiFi par exemple).\nLa cartographie dun systme industriel nest pas forcment matrise. En particulier,\nune prise en charge de linstallation du cblage rseau comme le cblage lectrique, avec un manque de prise en compte des contraintes de documentation ;\nLa cyberscurit des systmes industriels Mesures dtailles . 19\nune insuffisance de la cartographie du systme industriel et notamment :\ndes topologies rseau,\ndes matrices de flux,\ndes inventaires des quipements matriels et logiciels du parc industriel,\npas de recensement des procdures dexploitation ;\nune absence de vision des gnrations technologiques qui cohabitent et de\nleurs vulnrabilits intrinsques.\nDe plus, lorsquune cartographie existe, les procdures ou les outils qui pourraient\npermettre de la maintenir jour ne sont pas forcment mis en uvre.\nLa cartographie dun systme est un lment fondamental de la scurit des\nLa bonne connaissance de son installation\npermet notamment de dterminer\ntrs rapidement si une vulnrabilit concerne le systme en question, de faire\nune analyse de risque pertinente ou de dterminer rapidement et efficacement ltendue dune compromission en cas dincident.\n2.2.5 Dfaut de matrise de la conguration\nManque de contrle dintgrit ou dauthenticit\nIl est trs rare que des mcanismes de contrle dintgrit ou dauthenticit soient mis\nen place pour les firmwares, les logiciels, les programmes dautomates et applications\nLabsence de mcanisme de contrle .dintgrit ou dauthenticit permet\nun attaquant de diffuser une mise jour pige.\nLes sauvegardes sont souvent partielles, inexistantes ou disponibles chez le fournisseur\nseulement. Lorsque des sauvegardes existent, le bon fonctionnement des procdures\nde restauration en cas dincident est rarement test.\n20 . La cyberscurit des systmes industriels Mesures dtailles\nEn cas de compromission du systme, .les sauvegardes peuvent permettre de\nrestaurer la configuration de linstallation dans un tat antrieur sain.\nModications en ligne non matrises\nIl est possible de modifier chaud, sans mcanisme dauthentification ou de journalisation, des programmes dautomates ou des applications SCADA. Cette fonctionnalit trs utile lorsque les systmes fonctionnent en 24/7 prsente souvent trs peu\nde mcanismes de cyberscurit.\nLabsence dauthentification ou de journalisation permet un attaquant de\n. dun automate. Cette modification\nmodifier de manire furtive le programme\npourra ne pas tre dtectable par les applications SCADA et les utilisateurs.\nLes quipements dvelopps pour les systmes industriels intgrent souvent des contraintes de sret de fonctionnement fortes mais rarement des contraintes de cyberscurit. En particulier, les fonctions de scurit sont souvent limites voire inexistantes\net les techniques de dveloppement employes envisagent rarement la prsence dun\nattaquant sur le systme comme une menace.\nLa configuration des quipements ou logiciels prsents dans le rseau est rarement\ndurcie. En particulier, les services inutiliss sont souvent laisss activs comme dans\nla configuration par dfaut.\nLa cyberscurit des systmes industriels Mesures dtailles . 21\nLes quipements qui ont t dvelopps sans objectif de cyberscurit sont\nplus susceptibles de prsenter des vulnrabilits qui pourront tre exploites\nAfin de minimiser la surface dattaque,. il est ncessaire de dsactiver ou de\ndsinstaller les services et logiciels inutiliss. Ainsi, si une vulnrabilit est\ndcouverte dans un de ces composants, le systme industriel ne sera pas\nNinstaller que les lments indispensables est un principe de sret de fonc. risques de dfaillance, simplifie la\ntionnement. Cela permet de rduire les\ncomprhension et la maintenabilit des installations\nLes systmes industriels font souvent usage de protocoles rseaux nintgrant aucun mcanisme de scurit. Ces protocoles peuvent tre des protocoles classiques\ncomme telnet mais peuvent galement tre des protocoles spcifiques aux systmes\nindustriels comme Modbus, Profibus, EtherNetIP, etc.\nRemarque : EtherNetIp est le nom dun protocole applicatif utilis par certains quipements (automates industriels et logiciels SCADA par exemple).\nDiffrentes technologies sans fil (WiFi, GSM, Zigbee) peuvent avoir t adaptes\nsans quune analyse de risque ait t mene ou sans que les mesures de protection\nadaptes naient t mises en place.\n22 . La cyberscurit des systmes industriels Mesures dtailles\nLutilisation de protocoles non scuriss peut permettre un attaquant de\nmodifier les trames la vole ou de forger des trames perturbant ainsi le\nfonctionnement du systme industriel. Cela peut galement permettre de rcuprer des identifiants de connexion circulant en clair sur le rseau.\nLutilisation de technologies sans fil expose\nle systme des problmes de\ndisponibilit car il est facile de brouiller, volontairement ou non, un signal.\nPar ailleurs, lorsque linstallation sans fil nest pas scurise correctement,\nlattaquant peut ventuellement modifier le trafic lgitime ou injecter du trafic\nillgitime plus aisment que dans le cas dune infrastructure filaire.\nDans de nombreux cas, les intervenants (mainteneurs, exploitants, etc) ont besoin de\npouvoir accder physiquement aux installations.\nSelon le domaine dactivit, le systme industriel ou ses composants pourraient tre\nlocaliss dans des usines, sur la voie publique ou dans dautres endroits qui ne permettent pas la mise en place dun contrle daccs physique efficace.\nLabsence de contrle daccs physique permet un attaquant daccder\n. ainsi toutes les protections primdirectement linstallation, contournant\ntriques qui pourraient avoir t mises en places.\nIl est courant quil ny ait pas de cloisonnement effectif entre un systme industriel\net le systme dinformation de gestion. Cette ouverture des rseaux industriels vers\nle systme dinformation de gestion ou un rseau public comme Internet peut tre\ndue des raisons oprationnelles comme des contraintes de planning ou de mutualisation doutils ou des raisons de rduction de cots pour simplifier la remonte\ndinformation du systme industriel vers le systme dinformation de gestion.\nPar ailleurs, il est trs courant quil ny ait pas de cloisonnement non plus au sein\nmme des systmes industriels ; entre ses diffrents sous-ensembles par exemple. Ceci\npeut galement tre d des besoins de rduction de cots ou une mconnaissance\nde la ncessit de cloisonner les systmes.\nLa cyberscurit des systmes industriels Mesures dtailles . 23\nLabsence de cloisonnement entre les systmes facilite le travail dun attaquant qui peut voluer plus facilement dans le systme pour accder son\nUn cloisonnement efficace permettra aussi de limiter la propagation dun\nLe cloisonnement devrait tre une bonne pratique en matire de sret de\nfonctionnement puisquil permet de limiter\nles effets dun dysfonctionnement\ndes systmes sans mme parler de cyberscurit.\nLa tlmaintenance et la tlgestion sont des pratiques de plus en plus courantes\npour les systmes industriels. Certains sont mme connects sur des rseaux publics\ncomme Internet ou les rseaux de tlphonie mobile. Ces accs distance peuvent\navoir t mis en place pour des besoins internes mais galement pour permettre des\noprations de maintenance par le fabriquant ou lintgrateur.\nLes solutions techniques employes pour la tlgestion ou la tlmaintenance offrent\ndans de nombreux cas un niveau de scurit faible.\nLutilisation daccs distance augmente considrablement la surface dat.\ntaque dun systme. En effet, il est difficile\nde mettre en place des mesures\nde protection physique sur ce type daccs.\nIl est de plus en plus courant que les intervenants utilisent des terminaux mobiles\ncomme des ordiphones ou des tablettes pour augmenter leur productivit en dplacement sur le terrain. Ceci est dautant plus vrai pour des grandes installations\n24 . La cyberscurit des systmes industriels Mesures dtailles\nLa scurit de ces terminaux nest pas forcment matrise et lon commence voir\napparatre lutilisation de matriel personnel pour remplir des missions professionnelles, ce que lon appelle parfois le Bring Your Own Device (BYOD).\nLutilisation de terminaux mobiles la scurit non-contrle augmente leur\n. une porte dentre potentielle un\nrisque de compromission et offre ainsi\nPour des raisons de cot et dinteroprabilit des systmes industriels avec les systmes dinformation de gestion, les technologies utilises pour les premiers sont de\nplus en plus standards. Ainsi, en termes de rseau, Ethernet et TCP/IP sont de plus\nen plus employs pour remplacer les technologies propritaires qui taient utilises\nauparavant. Les outils de dveloppement ou de maintenance font galement de plus\nen plus appel des briques gnriques.\nLutilisation de briques standards expose les systmes lensemble des vulnrabilits quelles contiennent. Les systmes industriels sont alors vulnrables\ndes codes dattaque gnriques. .\nA contrario, lutilisation de technologies propritaires ou rares nest pas une\nprotection en soi mais augmente la complexit ou le cot dune attaque du\nfait du besoin de dvelopper soi-mme les programmes malveillants.\nLes intervenants sur un systme industriel ne sont pas toujours sensibiliss la cyberscurit des systmes dinformation et ne connaissent pas forcment la politique de\nscurit des systmes dinformation (PSSI) du systme sur lequel ils interviennent.\nLa cyberscurit des systmes industriels Mesures dtailles . 25\nLabsence de sensibilisation la SSI entraine la multiplication des comportements risque pouvant faciliter une. compromission du systme cible. De\nnombreux incidents, provenant dun manque de sensibilisation et dapplication de bonnes pratiques, sont rgulirement constats.\n2.2.14 Supervision insufsante des vnements de\nEn cas dincident sur une installation, les oprateurs et mainteneurs nenvisagent\npas forcment une action malveillante comme cause possible. Les intervenants sont\nsouvent peu qualifis pour identifier les vnements de cyberscurit.\nLa journalisation des vnements de scurit est souvent limite et peu exploite. Les\ndispositifs de dtection dincidents ou de dysfonctionnements sont rares.\nLorsquune supervision des vnements de cyberscurit est effective, la multitude des\nparamtres et la complexit de lenvironnement peuvent limiter lanalyse de lincident.\nNe pas superviser les vnements de cyberscurit dune installation limite\nfortement la capacit de dtection et, a fortiori, de raction en cas dincident. Une intervention rapide peut .permettre de limiter les impacts dun\nincident. De plus, dans certains cas, lorsque pour des contraintes mtiers\nou techniques il nest pas possible de dployer de mesure de protection, la\nsupervision est la seule mesure de scurit possible.\nLes plans de continuit dactivit ou les plans de reprise dactivit ne prennent pas\nforcment en compte les vnements de cyberscurit. Les quipes oprationnelles\ndisposent rarement de consignes pour ragir un tel vnement. La rdaction dun\nplan de gestion de crise pour la perte du contrle dune installation due un vnement malveillant est rarement envisage.\n26 . La cyberscurit des systmes industriels Mesures dtailles\nLa mise en place de consignes de raction\ndes vnements de scurit\npermet de rduire le temps de raction et de retour une situation normale.\n2.2.16 Non prise en compte de la cyberscurit dans les\nLors des phases de spcification et de conception du systme industriel, les documents\nnintgrent gnralement aucune exigence en matire de cyberscurit.\nPour mettre en place des mcanismes de dfense efficaces, il est ncessaire\nde prendre en compte la cyberscurit\n. ds les phases initiales des projets\net en particulier ds le cahier des charges. Augmenter le niveau de scurit\ndune installation existante est souvent plus compliqu et plus coteux.\nLes tests avant mise en service (FAT et SAT) contiennent rarement des tests portant\nsur la cyberscurit. Lors des oprations de maintenance, des tests de sret ou de\nconformit du systme dinformation sont souvent prvus mais pas daudits de cyberscurit.\nPour que la cyberscurit dun systme industriel reste un niveau accep.\ntable, il est ncessaire de tester les mcanismes\nla vie de linstallation.\nDans les projets de systme industriel, un audit du niveau de cyberscurit des fournisseurs et des prestataires est rarement envisag. Aucune procdure dchange scuris des informations nest prvue non plus. La traabilit des modifications lors\ndes diffrentes phases du projet nest pas prvue.\nLa cyberscurit des systmes industriels Mesures dtailles . 27\nDans certains cas, il peut tre plus ais.dattaquer le fournisseur pour toucher\nle systme industriel cible que dattaquer le systme cible directement.\nDans les projets de systme industriel, lenvironnement de dveloppement est rarement ddi ou scuris, que ce soit en interne ou chez les fournisseurs. Par exemple,\nles machines de dveloppement sont souvent galement les machines de bureautique\net sont donc connectes Internet.\nLutilisation dun mme environnement de travail pour des tches dexposition et de sensibilit diffrentes augmente les risques de compromission.\nUn environnement de dveloppement.non scuris, connect Internet par\nexemple, permettra un attaquant ou un code malveillant de piger les dveloppements (firmware, programme automate, application SCADA, etc.)\nOutils de dveloppement prsents\nDans de nombreux systmes industriels, les outils de dveloppement sont prsents sur\nle rseau. Cela peut tre d au fait que certains produits ne distinguent pas les environnement de production et de dveloppement. Mais cela peut galement rsulter\nde pratiques oprationnelles. Les stations dingnierie servent parfois de consoles de\nsupervision en mme temps.\nLa prsence des outils de dveloppement sur le rseau facilite la tche de\n. modifier le comportement du syslattaquant qui pourra les dtourner pour\ntme industriel, de manire lgitime en apparence.\nLes systmes industriels ne prsentent souvent pas de cloisonnement des machines\ndadministration. Souvent, ce sont les mmes machines qui sont utilises pour les\napplications SCADA et pour ladministration des quipements.\n28 . La cyberscurit des systmes industriels Mesures dtailles\nLe dfaut de cloisonnement facilite la tche de lattaquant qui pourra avoir\naccs ladministration des quipements\ndepuis les postes de supervision\nSCADA, potentiellement trs exposs.\nDnition des responsabilits\nLes responsabilits en matire de cyberscurit sont souvent mal identifies entre le\nfournisseur, lintgrateur et lentit responsable du systme industriel. De mme les\nresponsabilits entre les directions mtier et la DSI ne sont pas forcment claires non\nDes responsabilits peu claires font courir le risque quune partie du systme\nindustriel ne soit sous la responsabilit. de personne et ne reoive donc pas\nles mesures de cyberscurit appropries.\nLa cyberscurit des systmes industriels Mesures dtailles . 29\nMesures de scurit organisationnelles\nLes mesures organisationnelles prsentes ci-dessous sadressent lensemble des\nacteurs impliqus sur les systmes industriels (chefs de projet, acheteurs, automaticiens, intgrateurs, dveloppeurs, quipes de maintenance, RSSI, etc.)\nIl revient lentit responsable de dfinir\n. qui sera en charge de lapplication\ndes mesures de cyberscurit sur les installations.\nLes mesures font rfrence aux chapitres de lISO 27002  ainsi quaux recommandations du guide dhygine  et aux bonnes pratiques du guide sur la cyberscurit\ndes systmes industriels  publies par lANSSI. Certaines mesures sont galement\nabordes dans le guide de classification .\nCes rfrences sont indiques dans un encadr comme celui prsent ci-dessous :\nGuide de classification : fait rfrence au guide de classification .\nVulnrabilit : fait rfrence aux vulnrabilits indiques dans la section 2.2.\nGuide SCADA : fait rfrence au guide\n. sur les systmes industriels .\nGuide dhygine : fait rfrence au guide dhygine .\nISO 27002 : fait rfrence aux chapitres de lISO 27002  abordant le\nLes mesures sont indiques en recommandation et notes [R.x] lorsquil sagit dun\nconseil. Elles sont indiques en directive et notes [D.x] lorsquil sagit dune obligation. Les mesures sont cumulatives. Ainsi, une installation de classe 2 doit appliquer\nles mesures de classe 1 et une installation de classe 3 doit appliquer les mesures de\nclasse 1 et de classe 2.\nLa cyberscurit des systmes industriels Mesures dtailles . 31\nCette section regroupe lensemble des mesures qui permettent daccrotre la connaissance du systme industriel et de son environnement. Afin dassurer une bonne dfense, il est ncessaire davoir une connaissance trs approfondie de son systme,\ndes risques encourus et des menaces son encontre.\nGuide de classification : 2.2.1\nVulnrabilit : 2.2.22\nGuide SCADA : 2.3.1\nISO 27002 : 6.1.1\n[R.1] Une chane de responsabilit de la cyberscurit devrait tre mise en place.\nElle devrait couvrir lensemble des systmes.\n[R.2] Les responsabilits pour la cyberscurit devraient tre clairement dfinies pour\nchacune des parties prenantes quel que soit laspect concern (dveloppement,\nintgration, exploitation, maintenance, etc.).\n[D.3] La recommandation R.1 devient une directive.\n[D.4] La recommandation R.2 devient une directive.\n[D.5] La directive D.3 est renforce. Lidentit et les coordonnes du responsable\nde la chane de responsabilit de la cyberscurit doivent tre communiques\nlautorit de cyberdfense.\n[D.6] La directive D.4 est renforce. Les limites de responsabilit doivent tre revues\npriodiquement et au moins une fois par an.\n32 . La cyberscurit des systmes industriels Mesures dtailles\nGuide de classification : 2.2.3\nVulnrabilit : 2.2.4\nGuide SCADA : BP09, BP02, 2.2.1 .\nGuide dhygine : Rgles 1 et 2\nISO 27002 : 8.1.1\n[R.7] Il est recommand de rdiger une cartographie :\nphysique du systme industriel ;\nlogique du systme industriel ;\ndes applications (flux).\n[D.8] Il est ncessaire dtablir une cartographie :\nde ladministration du systme.\n[R.9] La cartographie et la documentation du systme industriel devraient tre revues\nrgulirement, chaque modification du systme industriel et au moins une fois\n[D.10] La recommandation R.9 devient une directive.\nUne description plus dtaille du contenu attendu pour une cartographie est disponible dans lannexe A\nLa cyberscurit des systmes industriels Mesures dtailles . 33\nLutilisation doutils industriels comme les logiciels de Gestion de Maintenance Assiste par Ordinateur (GMAO) pour grer les inventaires peut tre\nutile. Cela permet de disposer de lensemble des informations dans une\nmme base et de les partager avec les. quipes mtier. De plus, la GMAO\ncontient dj bien souvent un inventaire des composants matriels comme\nles automates, les interfaces homme-machine (IHM), capteurs et actionneurs\nintelligents par exemple.\nGuide de classification : 2.2.2\nVulnrabilit : NA\nGuide SCADA : 2.2.2\nISO 27002 : cf. ISO 27005\nIl est recommand que lanalyse de risque pour la cyberscurit du systme\nindustriel soit intgre lanalyse de risque\nglobale du systme pouvant traiter par exemple des aspects de sret de fonctionnement.\n[R.11] Les systmes industriels devraient faire lobjet dune analyse de risque pour la\ncyberscurit, mme succincte.\n[D.12] Les systmes industriels doivent faire lobjet dune analyse de risque pour la\ncyberscurit suivant une mthode choisie par lentit responsable.\n[D.13] La directive D.12 est renforce. Lanalyse de risque devra tre revue rgulirement, au moins une fois par an.\n[R.14] Lanalyse de risque devrait tre ralise en collaboration avec un prestataire\n34 . La cyberscurit des systmes industriels Mesures dtailles\nVulnrabilit : 2.2.5\nGuide SCADA : BP08\nGuide dhygine : Rgle 36\nRef ISO 27002 : 12.3\n[R.15] Un plan de sauvegarde des donnes importantes devrait tre mis en place\nafin de permettre leur restauration en cas dincident.\n[R.16] Les configurations devraient tre sauvegardes avant et aprs toutes modifications, y compris lorsque celles-ci ont t apportes chaud .\n[R.17] Le processus de restauration des sauvegardes devrait tre test rgulirement.\nIl pourrait tre test sur un chantillon limit mais reprsentatif du systme industriel dans son ensemble.\nPrimtre dapplication : Les donnes concernes sont toutes les donnes ncessaires la reconstruction du systme aprs un sinistre : les programmes, les fichiers de\nconfiguration, les firmwares, les paramtres de procd (rglages dasservissement\npar exemple), etc. Cela peut galement concerner des donnes ayant un aspect rglementaire comme des exigences de traabilit.\n[D.18] Les recommandations R.15, R.16 et R.17 deviennent des directives.\nClasse 3 Il ny a pas dexigence supplmentaire pour la classe 3.\nGuide SCADA : BP09\nRef ISO 27002 : 8.1.1\nLa cyberscurit des systmes industriels Mesures dtailles . 35\n[R.19] Le niveau de sensibilit de la documentation devrait tre dfini et apparatre\nclairement sur les documents. Les documents devraient tre traits en consquence.\n[R.20] Lensemble des documents relatifs la conception, la configuration ou\nau fonctionnement du systme industriel devraient tre considrs comme sensibles.\n[R.21] Les documents devraient tre stocks dans un systme dinformation dont le\nniveau de sensibilit est adapt aux systmes industriels.\nLa documentation des systmes industriels (analyses fonctionnelles, analyses\norganiques, plan dadressage, etc.) est souvent stocke sur le systme de\ngestion (bureautique) dont les exigences en matire de cyberscurit peuvent\n. industriels. Les systmes de gestion\ntre plus faibles que pour les systmes\nsont souvent la premire cible des attaquants car ils permettent de collecter\nfacilement de nombreuses informations en vue de prparer, par exemple,\nune attaque cible sur les systmes industriels.\n[R.22] La confidentialit de la documentation devrait tre garantie.\n[R.23] La documentation devrait tre revue intervalle rgulier pour :\nsassurer que les documents ncessaires existent bien,\nliminer ceux qui ne servent plus.\n[D.24] Les recommandations R.19, R.21 et R.22 deviennent des directives.\nMatrise des intervenants\nVulnrabilit : 2.2.2\nGuide SCADA : BP04\nGuide dhygine : Rgle 3\nISO 27002 : 15.1\n36 . La cyberscurit des systmes industriels Mesures dtailles\n[R.25] Des procdures de gestion des intervenants devraient tre mises en place,\nnotamment lors dune arrive ou dun dpart. Ces procdures devraient notamment traiter :\nla cration et la destruction de comptes (cf 4.1),\nla gestion des accs aux locaux,\nla gestion des quipements mobiles (tlphones, tablettes, PC portables,\nla gestion des documents sensibles.\n[R.26] Un processus de gestion des comptences, afin de sassurer que les intervenants disposent des comptences ncessaires pour leurs missions, devrait tre\nmis en place. Ce processus devrait en particulier intgrer le transfert de comptences, en cas de dpart ou de changement de poste, des personnes en charge\n[D.27] Les recommandations R.25 et R.26 deviennent des directives.\n[D.28] Une revue rgulire des intervenants et de leurs comptes doit tre effectue,\nau minimum une fois par an.\nSuivant les rglementations applicables\n. aux systmes industriels, il pourra\ntre demand une enqute de scurit sur les intervenants\nGuide de classification : 2.2.4\nVulnrabilit : 2.2.13\nGuide SCADA : 2.2.1\nGuide dhygine : Rgle 39\nISO 27002 : 7.2.2\nLa cyberscurit des systmes industriels Mesures dtailles . 37\n[R.29] Les intervenants devraient tre habilits et forms la cyberscurit.\n[R.30] Une charte de bonne conduite devrait tre mise en place et tous les intervenants devraient la signer lors de leur arrive.\n[D.31] Les recommandations R.29 et R.30 deviennent des directives.\n[D.32] La directive D.31 est renforce. La formation des intervenants est obligatoire\nAVANT toute intervention sur le systme industriel.\n[R.33] Les formations de cyberscurit devraient tre dispenses par des prestataires\n[R.34] Les sances de formation et sensibilisation la cyberscurit des systmes\nindustriels devraient tre dispenses en mme temps que les formations de\nsret et de scurit du site.\nRef vulnrabilit : 2.2.6\nRef ISO 27002 : 12.1.2\n[R.35] Une procdure de gestion des interventions devrait tre mise en place afin\nde pouvoir identifier :\nla personne qui excute le travail et son donneur dordre ;\nla date et lheure de lintervention ;\nle primtre sur lequel le travail est excut ;\nles actions ralises ;\nla liste des quipements retirs ou remplacs (y compris, le cas chant,\nles numros didentification) ;\nles modifications apportes et leur impact.\n[R.36] Lensemble des quipements matriels et logiciels utiliss pour les interventions sur les systmes industriels devraient tre recenss dans la gestion du parc\nafin dtre bien identifis et maintenus jour (cf R.7).\n38 . La cyberscurit des systmes industriels Mesures dtailles\n[R.37] Lautorisation dintervention devrait tre valide par lentit responsable.\n[R.38] Le processus dintervention devrait tre audit au minimum une fois par an\nafin de sassurer du respect de la procdure.\nCes lments peuvent tre intgrs aux\n. permis de travail dj en place et\nexigs pour certaines installations.\n[D.39] Les recommandations R.35, R.36, R.37, et R.38 deviennent des directives.\n[R.40] Pour les cas particuliers o lintervenant apporte ses propres outils (des outils\nde diagnostic propres lquipementier par exemple), une procdure, mme\nsuccincte, devrait tre mise en place pour vrifier que les quipements de lintervenant ont un niveau de scurit satisfaisant.\nUne telle situation ne devrait arriver quen cas dabsolue ncessit et doit rester\n[D.41] Lutilisation doutils particuliers hors dun cadre prvu par la politique de\nscurit du systme industriel est interdite. La recommandation R.40 devient\nsans objet pour la classe 3.\nIntgration de la cyberscurit dans le cycle de\nvie du systme industriel\nLintgration de la cyberscurit dans le cycle de vie des systmes industriels est une\ntape cl pour parvenir aux exigences attendues. Une attention particulire devra tre\nporte la cyberscurit lors des phases de conception du systme industriel.\nIl est conseill de ne pas traiter le cyberscurit de manire isole. Elle devrait tre intgre dans le projet comme un mtier, au mme titre que llectricit, la mcanique,\nLa cyberscurit des systmes industriels Mesures dtailles . 39\nGuide SCADA : 2.3.2 et 2.3.5\nVulnrabilit : 2.2.18\nISO 27002 : 15.1.2\nLes projets peuvent tre raliss en interne ou tre externaliss. Dans ce cas, il conviendra de prciser les exigences attendues dans les cahier des charges.\nDe manire plus gnrale, lorsquil est fait appel une prestation extrieure, les\nexigences en matire de scurit doivent tre explicites et contractualises.\n[R.42] Les exigences identifies lors de la phase de spcification devraient tre intgres au cahier des charges.\n[R.43] Le cahier des charges devrait intgrer une clause exigeant la dfinition dun\npoint de contact pour la cyberscurit du projet. Celui-ci devrait tre charg\nla liaison avec la chane de responsabilit de lentit responsable (cf 3.1.1) ;\nla garantie du respect de la politique de cyberscurit ;\nla communication sur les divergences par rapport aux exigences et les\n[R.44] Le cahier des charges devrait comprendre la liste des documents attendus\nune analyse de risque (cf 3.1.3) ;\nun dossier dexploitation et de maintenance ;\nune cartographie (cf 3.1.2).\n[R.45] Le cahier des charges devrait contenir des clauses demandant des tests de\ncyberscurit, notamment lors des recettes usine et plateforme. La liste des tests\ndemands devrait suivre la recommandation R.71.\n40 . La cyberscurit des systmes industriels Mesures dtailles\n[D.46] Les recommandations R.42, R.43, R.44 et R.45 deviennent des directives.\n[D.47] Le cahier des charges doit contenir une clause de confidentialit pour lensemble des informations du projet le ncessitant en prcisant la dure de conservation des documents.\n[R.48] Le cahier des charges devrait contenir une clause de rvision rgulire de\nlanalyse de risques. Le niveau de risque devrait tre prsent rgulirement\nlentit responsable (par exemple pendant le comit de pilotage).\n[R.49] Les documents de spcification fournis par le contractant devraient dcrire de\nfaon dtaille les moyens techniques, humains et organisationnels mobiliss\nafin de permettre leur traabilit et de pouvoir vrifier leur niveau de cyberscurit.\n[R.50] Le contractant devrait fournir un plan dassurance scurit dcrivant toutes\nles mesures rpondant aux exigences de cyberscurit demandes (cf ).\n[R.51] Le contractant devrait utiliser un environnement de dveloppement scuris\n[R.52] Le contrat devrait intgrer une clause pour que lentit responsable puisse\nauditer le contractant ou les fournisseurs afin de vrifier que lensemble des\nmesures de cyberscurit demandes sont bien appliques.\n[D.53] Les recommandations R.48, R.49, R.50, R.52 et R.51 deviennent des directives.\n[R.54] Le cahier des charges devrait contenir une clause exigeant la fourniture dquipements matriels et logiciels labelliss sur le plan de la cyberscurit.\n[R.55] Le cahier des charges devrait exiger des concepteurs de logiciels une dmonstration que leurs processus de dveloppement emploient des mthodes\ndingnierie ltat de lart, des processus de contrle qualit et des techniques\nde validation afin de rduire les dfaillances logicielles et les vulnrabilits.\n[R.56] Afin de faciliter lapplication de la recommandation R.55, le contractant devrait tre labellis.\nLa cyberscurit des systmes industriels Mesures dtailles . 41\n3.3.2 Intgration de la cyberscurit dans les phases de\nVulnrabilit : 2.2.16\nGuide SCADA : 2.3.2\nISO 27002 : 14.1.1\n[R.57] Les exigences techniques devraient intgrer lensemble des mesures techniques prsentes dans le chapitre 4. titre dexemple, la conception devrait\nla ncessit dauthentifier les intervenants (cf 4.1) ;\nla ncessit de dfinir une architecture scurise (cf 4.2) ;\nla ncessit de scuriser les quipements (cf 4.3) ;\nla ncessit de pouvoir requalifier un systme suite des mises jour de\n[R.58] Des procdures et des moyens techniques devraient tre dfinis pour permettre des oprations de maintenance prventive et curative afin de maintenir\nle niveau de cyberscurit dans la dure.\nPar exemple, des modes dgrads pourraient tre prvus pour raliser des\nmises jour. On pourra, par exemple, configurer les sorties dun automate\npour quelles restent sur leurs derniers tats, pendant la mise jour de son\n[R.59] La dfinition de la localisation des quipements devrait prendre en compte\nleur scurit physique.\n[R.60] Les spcifications du projet devraient exiger que les oprations non indispensables la conduite du systme industriel soient effectues sur un autre systme\ndinformation. Les quipements et logiciels associs ne devraient pas tre prsents sur le systme industriel. titre dexemple, des postes bureautiques non\nconnects au systme industriel devraient tre prvus pour permettre la consultation de la documentation, le remplissage de feuilles de suivi, etc.\n[D.61] Les recommandations R.57, R.59 et R.60 deviennent des directives.\n42 . La cyberscurit des systmes industriels Mesures dtailles\n[R.62] La conception devrait intgrer des outils et mcanismes pour grer la scurit\net faciliter les exigences telles que :\nla matrise de la configuration (cf 3.3.6) ;\nle durcissement des configurations (cf 4.3.1) ;\nla gestion des vulnrabilits (cf 4.3.2).\n[D.63] La recommandation R.62 devient une directive.\n3.3.3 Intgration de la cyberscurit dans les phases de\n[R.64] Lors de la conception, les interfaces et la complexit du systme devraient\ntre limites au maximum afin de limiter lintroduction de vulnrabilits lors de\n[R.65] Les caractristiques de cyberscurit des quipements (mcanismes dauthentification, sgrgation des droits, etc.) devraient tre intgres au processus\nde choix de ceux-ci.\n[R.66] Des rles devraient tre dfinis pour les intervenants. Ces rles devraient tre\nintgrs dans la gestion des droits des comptes informatiques. Les rles devraient correspondre strictement aux missions de chacun (politique des moindres\nprivilges). En particulier, les utilisateurs et les administrateurs devraient tre\ndistingus (cf 4.1.1).\n[D.67] Les recommandations R.65 et R.66 deviennent des directives.\nClasse 3 Il ny a pas de mesure supplmentaire pour la classe 3.\nLa cyberscurit des systmes industriels Mesures dtailles . 43\nGuide classification : 2.2.5\nVulnrabilit : 2.2.17\nGuide dhygine : Rgle 40\nISO 27002 : 12.7\nAfin de sassurer que le niveau de scurit ne se dgrade pas au cours du temps,\nil est ncessaire deffectuer rgulirement des tests ou des audits de cyberscurit.\nCeux-ci peuvent tre intgrs aux phases de maintenance et de tests fonctionnels.\n[R.68] Des audits devraient tre mis en place rgulirement. Ces audits pourront\n[R.69] Laudit doit tre suivi dun plan daction valid et suivi par lentit responsable.\n[D.70] Les recommandations R.68 et R.69 deviennent des directives et sont renforces par la recommandation R.71 ci-aprs.\n[R.71] Un programme daudit devrait tre mis en place avec les lments suivant :\ndes tests aux limites ;\ndes tests derreur des fonctions mtier ;\ndes tests de la vrification et de la gestion des exceptions ;\nle droulement de scnarios de menace (tests de pntration et tentatives\nde prise de contrle) ;\nla vrification des mcanismes de scurit (dploiement de correctifs, analyse de journaux dvnements, restauration de sauvegarde, etc.) ;\nlvaluation des performances du systme.\nLes tests de pntration pouvant entraner des dfaillances, ils doivent\ntre excuts dans le cadre de maintenance\nou avant la mise en production des systmes.\n44 . La cyberscurit des systmes industriels Mesures dtailles\n[R.72] Les audits devraient tre raliss par des prestataires externes labelliss.\n[D.73] La recommandation R.71 devient une directive.\n[D.74] Les audits devront tre effectus au moins une fois par an.\nGuide classification : 2.3\nLentreprise en charge de lexploitation peut ne pas tre le propritaire du\nsystme et donc ne pas avoir t implique dans son projet de ralisation.\nCela peut concerner les cas de dlgations\nde service public, de concession\ndexploitation ou de contrat dexploitation avec obligation de rsultat par\n[R.75] Avant de mettre en exploitation un systme il faudrait :\ntablir un tat des lieux exhaustif du niveau de cyberscurit du systme ;\nsassurer des moyens disponibles pour le maintenir un niveau acceptable.\n[D.76] Les systmes industriels doivent tre homologus par lentit responsable.\n[D.77] Les systmes industriels doivent tre homologus et requirent une autorisation pralable de mise en service. Lhomologation doit tre faite par un organisme extrieur.\nLa cyberscurit des systmes industriels Mesures dtailles . 45\n3.3.6 Gestion des modications et volutions\nGuide SCADA : BP07\nISO 27002 : 14.2.2\nLa gestion des modifications concerne les programmes des automates, les applications SCADA, les fichiers de configurations des diffrents quipements (quipements\nrseaux, capteurs et actionneurs intelligents par exemple), etc.\n[R.78] Des outils devraient tre utiliss pour contrler rapidement les diffrences\nentre la version courante et la version installer et sassurer que seules les\nmodifications ncessaires et demandes ont t appliques.\n[R.79] Les mises jour et modifications apportes aux systmes devraient tre traces.\n[D.80] La recommandation R.79 devient une directive.\n[R.81] Un processus de vrification des versions de programme en cours dexcution par rapport une version de rfrence devrait tre mis en place. Cela\npermet de sassurer que les configurations excutes par le systme industriel\n(les automates, les SCADA, etc.) sont bien les bonnes.\n[R.82] Les modifications devraient tre values dans un environnement de test au\n[D.83] La recommandation R.78 devient une directive. Les impacts des modifications doivent tre valids par lentit responsable avant mise en production.\n[D.84] Les recommandations R.81 et R.82 deviennent des directives.\n46 . La cyberscurit des systmes industriels Mesures dtailles\nGuide de classification : 2.2.6\nVulnrabilit : 2.2.1\nGuide SCADA : 2.2.6\nISO 27002 : 12.6\n[R.85] Un processus de veille sur les menaces et vulnrabilits devrait tre mis en\nCe processus devrait notamment reposer sur les sources ouvertes dis. (CERT-FR, ICS-CERT), les CERT\nponibles telles que les CERT nationaux\ndes quipementiers et des dveloppeurs de logiciels.\n[D.86] La recommandation R.85 devient une directive.\n[R.87] La diffusion, par les fournisseurs, des bulletins de vulnrabilit pour lensemble des quipements matriels et logiciels utiliss dans le systme industriel\ndevrait tre contractualise.\n[R.88] Un processus de veille sur lvolution des techniques de protection devrait\ntre mis en place. Il pourrait tre bas galement sur des sources ouvertes\ndisponibles comme le site web de lANSSI.\n[D.89] Les recommandations R.85, R.87 et R.88 deviennent des directives.\n[D.90] Un processus de veille sur lvolution des techniques dattaque et sur lvolution de la menace doit tre mis en place. En cas dvolution importante, une\nrvaluation de lanalyse de risque doit tre engage.\nLa gestion de lobsolescence nest pas directement une mesure de cyberscurit mais\nelle y contribue. Les quipements en phase dobsolescence peuvent contenir de nom-\nLa cyberscurit des systmes industriels Mesures dtailles . 47\nbreuses vulnrabilits qui ne seront jamais corriges. La gestion de lobsolescence est\nun processus pouvant donc tre utile et ncessaire pour la gestion des vulnrabilits.\n[R.91] Des clauses relatives la gestion de lobsolescence des quipements et logiciels, en indiquant par exemple la date laquelle ils ne seront plus pris en\ncharge, devraient tre intgres dans les contrats avec les fournisseurs.\n[R.92] Un plan de gestion de lobsolescence pour remplacer les quipements et\napplications obsoltes devrait tre mis en place.\n[D.93] La recommandation R.91 devient une directive.\nClasse 3 Il ny a pas de mesure complmentaire pour cette classe.\nScurit physique et contrle daccs aux\nVulnrabilit : 2.2.8\nGuide dhygine : Rgles 32 et 33\nISO 27002 : 11.1\n[R.94] Une politique de contrle daccs physique devrait tre dfinie. Cette politique devrait notamment prvoir de :\nrcuprer les cls ou badges dun employ son dpart (cf R.25) ;\nchanger rgulirement les codes de lalarme de lentreprise ;\n48 . La cyberscurit des systmes industriels Mesures dtailles\nne jamais donner de cl ou de code dalarme des prestataires extrieurs\nsauf sil est possible de tracer les accs et de les restreindre des plages\n[R.95] Les accs aux locaux devraient tre journaliss et auditables.\n[D.96] La recommandation R.94 devient une directive.\n[R.97] Les mcanismes de contrle daccs devraient tre robustes. On pourra se\nreporter au guide de lANSSI sur le sujet .\n[R.98] Les accs devraient tre mis sous vidoprotection.\n[R.99] Laccs aux quipements devrait tre strictement rserv aux personnes habilites.\n[D.100] Les recommandations R.95, R.97, R.98 et R.99 deviennent des directives.\n[D.101] Un systme de dtection dintrusion devra tre mis en uvre pour les zones\nvitales, en particulier celles non occupes 24 heures sur 24.\nGuide dhygine : Rgle 34\nGuide SCADA : BP01\nISO 27002 : 11.2\n[R.102] Les serveurs devraient tre installs dans des locaux ferms sous contrle\ndaccs (si possible dans des salles informatiques).\n[R.103] Les units centrales des stations, les quipements rseaux industriels et les\nautomates devraient tre placs dans des armoires fermes cl.\n[R.104] Des prises daccs au systme industriel ne devraient pas tre accessibles\ndans les endroits ouverts au public.\nLa cyberscurit des systmes industriels Mesures dtailles . 49\n[D.105] Les recommandations R.102, R.103 et R.104 deviennent des directives.\n[D.106] La recommandation R.104 est renforce par la directive suivante : les prises\ndaccs au systme industriel ne doivent pas tre accessibles dans les zones sans\n[R.107] Lintgrit physique des cbles devrait tre protge (par exemple : un capotage).\n[R.108] Lorsquelles ne sont pas utilises, les prises ddies la maintenance devraient tre obtures (bouchons, plaques doccultation...). Le retrait de lobturateur suit une procdure bien dfinie et est soumis autorisation pralable.\n[R.109] Un dispositif de dtection douverture, avec remonte dalarme, devrait tre\nmis en place sur les armoires des quipements sensibles. A minima, sur les\ncoffrets extrieurs contenant des composants sensibles, un moyen de contrle\nvisuel, comme la pose de scells par exemple devrait tre install. Le retrait de\nces moyens visuels devrait suivre une procdure bien dfinie et tre soumis\n[D.110] Les recommandations R.104, R.108 et R.109 deviennent des directives.\nRaction en cas dincident\nUn plan de reprise ou de continuit dactivit permet de garantir la reprise ou la\ncontinuit du service suite un sinistre, quelle quen soit lorigine. Ce plan de continuit dactivit, parfois dj existant pour rpondre des sinistres dorigine autre\nque la cyberscurit devra rpondre lensemble des vnements redouts entranant un arrt du service rendu, tels quils ont t identifis dans lanalyse de risque\npour la cyberscurit. Pour plus de dtails, on pourra se reporter au guide dit par\nle SGDSN .\n50 . La cyberscurit des systmes industriels Mesures dtailles\nGuide de classification : 2.2.7\nVulnrabilit : 2.2.15\nGuide SCADA : 2.2.7\nISO 27002 : 17.1\n[R.111] Un plan de sauvegarde des donnes sensibles devrait tre mis en place afin\nde pouvoir reconstruire le systme aprs sinistre (cf 3.1.4).\n[R.112] Les plans de reprise et de continuit dactivit devraient intgrer les incidents\n[R.113] Les plans de reprise et de continuit dactivit devraient tre tests rgulirement et au moins une fois par an.\n[D.114] Les recommandations R.111, R.112 et R.112 deviennent des directives.\n[R.115] Les procdures dintervention devraient intgrer un mode durgence ( procdure bris de glace ) pour pouvoir intervenir rapidement en cas de besoin sans\ndgrader significativement le niveau de cyberscurit du systme industriel. En\nparticulier, cette procdure durgence ne devrait pas affecter la traabilit des\n[R.116] Les systmes devraient intgrer des modes dgrads leur permettant soit de\nsarrter sans provoquer de dgts (materiel ou humain), soit de continuer\nfonctionner par un pilotage en mode manuel .\nClasse 2 Il ny a pas de mesure supplmentaire pour cette classe.\n[D.117] Les recommandations R.115 et R.116 deviennent des directives.\nLa cyberscurit des systmes industriels Mesures dtailles . 51\nGuide de classification : 3.5.3\nGuide SCADA : 2.2.5\nGuide dhygine : Rgles 37 et 38\n[R.118] Un processus de gestion de crise devrait tre mis en place. Celui-ci devrait\npermettre de dterminer :\nque faire lors de la dtection dun incident ;\nqui est la personne qui doit coordonner les actions en cas de crise ;\nquelles sont les premires mesures appliquer.\n[R.119] Le processus de gestion de crise devrait galement contenir une procdure\ndescalade pour grer les incidents au bon niveau de responsabilit et dcider\nsil faut dclencher un plan de reprise dactivit ;\nsi une action judiciaire est ncessaire.\n[R.120] La gestion de crise devrait galement dfinir une phase danalyse post incident dans le but de dterminer lorigine de lincident et damliorer la cyberscurit du systme industriel.\nUne note de lANSSI dcrit les bons rflexes\nen cas dintrusion sur un systme\n[R.121] Les procdures de gestion de crise devraient tre testes rgulirement et au\n[D.122] Les recommandations R.118, R.119, R.120 et R.121 deviennent des directives.\n52 . La cyberscurit des systmes industriels Mesures dtailles\nMesures de scurit techniques\nCe chapitre regroupe lensemble des mesures techniques sadressant lensemble\ndes acteurs impliqus sur les systmes industriels (chefs de projet, acheteurs, automaticiens, intgrateurs, dveloppeurs, quipes de maintenance, RSSI, etc.).\ndes mesures sur les installations.\nconseil. Elles sont indiques en directive et notes [D.x] lorsquil sagit dune obligation. Les mesures sont cumulatives. Ainsi, une installation de classe 3 doit appliquer\nles mesures de classe 1 et de classe 2.\nLa cyberscurit des systmes industriels Mesures dtailles . 53\nLe primtre dapplication est prcis pour chaque famille de mesures, voire chaque\nmesure. Sans prcision complmentaire, il est le mme pour toutes les mesures dune\nfamille. Par dfaut, le primtre comprend les quipements suivants :\nLes quipements sur lesquels peuvent porter les mesures sont :\nles serveurs, stations et postes de travail ;\nles stations dingnierie et consoles de programmation ;\nles quipements mobiles : ordinateurs portables, tablettes, ordiphones, etc. ;\nles logiciels et applications de supervision (SCADA) :\nles logiciels et applications de GPAO et de MES si existants ;\nles interfaces homme-machine (crans tactiles) ;\nles automates et units dportes (RTU) ;\nles quipements rseau (commutateurs, routeurs, pare-feu, bornes daccs sans\nles capteurs et actionneurs intelligents ;\nCette liste est un exemple et doit tre adapte au contexte de chaque systme.\nCertaines exigences font appel des mcansimes cryptographiques (chiffrement, signature, authentification, .etc.). Ces mcanismes devront tre\nconformes aux annexes B du rfrentiel gnral de scurit .\n4.1 Authentication des intervenants : contrle\nGuide dhygine : Rgles 8, 20 et 30\nISO 27002 : 9.1\n54 . La cyberscurit des systmes industriels Mesures dtailles\nLes comptes peuvent tre de diffrents types :\nles comptes de session permettant laccs aux machines Windows et Linux ;\nles comptes applicatifs permettant un intervenant de se connecter une\napplication SCADA par exemple. Ces comptes sont souvent grs par lapplication elle-mme ;\nles comptes systmes utiliss pour quune application puisse sexcuter et\ncommuniquer avec dautres applications (exemple : compte de service). Ces\ncomptes ne sont normalement pas utiliss par un intervenant.\nLes comptes peuvent disposer de diffrents niveaux de privilges. En particuliers, les\ncomptes de niveau administrateur se dcoupent en deux catgories :\nles comptes de privilges levs administrateur systme permettant ladministration informatique des quipements (serveurs, stations et quipements\nrseau par exemple) et des systmes dexploitation ;\nles comptes de privilge levs ingnieur de procd permettant daccder\ndes fonctions de configuration ou de programmation des applications SCADA\net automates par exemple.\nPour des questions de facilit, les comptes sont souvent mlangs alors quils\ndevraient tre bien spars. Un ingnieur\nde procd na pourtant pas\nbesoin dtre administrateur systme . Il sagit dune mauvaise pratique.\n[R.123] Chaque utilisateur devrait tre identifi de manire unique.\n[R.124] Tous les comptes disposant de privilges importants comme les comptes\nadministrateurs devraient tre protgs par un mcanisme dauthentification\ncomme un mot de passe par exemple. Les comptes utilisateurs et administrateurs devraient tre strictement spars.\n[R.125] Les comptes gnriques, en particulier ceux disposant de privilges importants sont dconseills.\nLorsquils sont indispensables, leur utilisation devra tre limite des usages\ntrs prcis et tre documente.\n[R.126] Des rles devraient tre dfinis, documents et implments pour que les\ncomptes des utilisateurs aient des privilges correspondant exactement leurs\nLa cyberscurit des systmes industriels Mesures dtailles . 55\n[R.127] Un audit des dvnements lis lutilisation des comptes devrait tre mis\n[R.128] Les comptes appartenant des personnels nintervenant plus sur le systme\nindustriel devraient tre supprims ou, a minima, dsactivs (cf R.25).\n[D.129] Les recommandations R.123, R.124 et R.125 deviennent des directives. Les\ncomptes par dfaut et gnriques ne doivent pas tre utiliss sauf contrainte\noprationnelle forte. Les comptes disposant de privilges comme les comptes\nadministrateurs ne doivent pas tre des comptes gnriques et doivent tre\ndistincts des comptes utilisateurs.\n[D.130] La recommandation R.126 devient une directive. De plus, les comptes avec\nprivilges devront tre valids par le responsable hirarchique de lutilisateur.\n[D.131] La recommandation R.128 devient une directive et complte la directive\n[R.132] Une revue annuelle des comptes utilisateurs devrait tre mise en place. Elle\npourrait notamment permettre de vrifier la bonne application des directives\nD.129 et D.130 et de la directive D.131. Cette revue devrait porter une attention particulire aux comptes dadministration.\n[R.133] Lorsque cela est possible, un accs en lecture seule devrait tre configur\npour les interventions de maintenance de premier niveau.\n[R.134] Si la gestion des comptes est centralise, la configuration de lannuaire centralis devra tre audite rgulirement et au moins une fois par an. Pour le\ncas de lActive Directory, on pourra se reporter larticle .\nUne solution centralise (comme par exemple Active Directory, LDAP, etc.)\npeut faciliter la gestion des comptes et\n. droits des intervenants. Ce type de\nsolution peut galement crer un point de vulnrabilit unique et doit donc\ntre tudi avec le plus grand soin.\n[D.135] Les recommandations R.127, R.132 et R.134 deviennent des directives.\n56 . La cyberscurit des systmes industriels Mesures dtailles\n4.1.2 Gestion de lauthentication\nGuide dhygine : Rgles 9, 10, 11, 12 et 13.\n[R.136] Les diffrents composants (quipements et logiciels) ne doivent tre accessibles quaprs une authentification avec identifiant et mot de passe. Lorsque\ncela est possible, la politique de mots de passe doit rpondre a minima aux\nles mots de passe doivent tre robustes (cf. ) ;\nles mots de passe par dfaut doivent tre changs.\n[R.137] Une temporisation dinhibition doit tre privilgie par rapport au blocage\nen cas dchec dauthentification.\n[R.138] Le mot de passe doit tre protg en confidentialit et en intgrit quand\ncelui-ci est transmis sur le rseau.\n[R.139] Dans le cas o une authentification ne peut pas tre applique, du fait de\ncontraintes oprationnelles notamment, des mesures compensatoires devraient\ntre dfinies et documentes. A titre dexemple, on pourra envisager :\ndappliquer un contrle daccs physique ;\nde limiter les fonctionnalits accessibles (consultation sans modification,\nde mettre en place une authentification par carte puce sans code ;\nde cloisonner plus fortement lquipement ;\nLa cyberscurit des systmes industriels Mesures dtailles . 57\nDans une salle de contrle oprationnelle en 24/7, les intervenants ont\nbesoin de pouvoir agir vite sur les applications SCADA. Des comptes\nindividuels peuvent tre inadapts. Il peut tre envisageable dans ce cas\n. de passe individuel car laccs\nde ne pas exiger didentifiant et de mot\nla salle de contrle est possible uniquement des intervenants habilits,\nles accs physiques sont tracs, et la salle de contrle est occupe en\n[R.140] Les fichiers contenant les mots de passe ou leur empreinte devraient tre\nconservs de manire assurer leur confidentialit et leur intgrit.\n[R.141] Une procdure scurise pour la rinitialisation des mots de passe en cas\nde perte devrait tre dfinie.\n[D.142] Les recommandations R.138, R.139 et R.140 deviennent des directives.\n[R.143] Lorsque cela est possible, une authentification forte (carte puce, OTP,\netc.) devrait tre mise en place sur les postes de travail et serveurs. Cette mesure peut tre tendue aux quipements de terrain le permettant (automates,\nentres/sorties dportes), etc.\n[R.144] Lorsque la recommandation R.143 ne peut pas tre applique, la politique\nde mots passe de la recommandation R.136 devrait tre renforce par :\nconservation de lhistorique des mots de passe (par exemple les 5 derniers) ;\nla vrification technique de la complexit du mot de passe ;\nle renouvellement du mot de passe (par exemple au bout de 90 jours).\nCertains outils permettent de vrifier au moment de la dfinition dun\nnouveau mot de passe sil nest pas trop proche des anciens. Lide peut\nparatre sduisante car il est souvent ais de deviner un mot de passe\n. autres mots de passe de lutilisadonn partir de la connaissance des\nteur. Cependant, cette technique ncessite de conserver un historique\ndes mots de passe en clair, ce qui peut tre dangereux. Lhistorisation\nsimple peut tre faite en ne conservant que les empreintes.\n58 . La cyberscurit des systmes industriels Mesures dtailles\n[R.145] La journalisation des vnements de scurit doit enregistrer les checs\ndauthentification et les authentifications russies des comptes privilges.\n[D.146] Les recommandations R.136, R.144 et R.145 deviennent des directives.\n[D.147] La recommandation R.143 devient une directive pour les quipements exposs (postes de travail, ordinateurs portables, stations dingnierie, consoles\nde programmation, pare-feu, VPN, etc.)\nScurisation de larchitecture du systme\nGuide de classification : 2.2.10\nVulnrabilit : 2.2.9\nGuide SCADA : BP02\nGuide dhygine : Rgles 21, 25 et 29\nISO 27002 : 13.1.3\n[R.148] Les systmes industriels devraient tre dcoups par zones fonctionnelles ou\nzones techniques cohrentes. Ces zones devraient tre cloisonnes entre elles.\n[R.149] Une politique de filtrages entre les zones devrait tre mise en place. Pour\ndfinir une politique de filtrage, on pourra notamment se reporter au guide sur\nles pare-feu de lANSSI .\nPour les flux utilisant le protocole IP, on en rappelle nanmoins ici quelques\nun flux est identifi par ladresse IP source, ladresse IP destination, le\nprotocole (par exemple UDP ou TCP) et, le cas chant, les numros de\nport source et destination ;\nles flux sont refuss par dfaut ;\nseuls les flux ncessaires au fonctionnement du systme industriel sont\nLa cyberscurit des systmes industriels Mesures dtailles . 59\nles flux rejets doivent tre journaliss et analyss ;\ntous les flux entrants ou sortants du systme industriel doivent tre journaliss.\nA titre dexemple, on rappelle quelques exemples de protocoles et de\nports utiliss par les protocoles industriels :\nModbus : TCP/502\nS7 : TCP/102\nEthernetIP : TCP/44818 et UDP/2222\nOPCUA : TCP/4840\nPronet IO : TCP/UDP 34962, 34963, 34964\n[R.150] Lorsque des flux non-IP doivent transiter entre deux zones distinctes, un filtrage devrait tre effectu sur les identifiants source et destination. Par exemple,\ndans le cas dEthernet, on pourra effectuer le filtrage sur les adresses MAC\nPar ailleurs, on pourra faire un filtrage sur les protocoles autoriss.\n[R.151] Autant que possible, un cloisonnement physique devrait tre privilgi entre\nles zones fonctionnelles du systme industriel. Indpendamment de la cyberscurit, le cloisonnement physique participe galement renforcer la disponibilit des systmes.\n[R.152] Lorsque une sparation physique nest pas possible entre les zones fonctionnelles du systme industriel, un cloisonnement logique devrait tre mis en place.\nLutilisation des VLAN est un exemple de cloisonnement logique possible.\n[R.153] Le rseau dadministration des quipements devrait tre cloisonn des autres\nrseaux, a minima de manire logique. Le primtre porte sur les quipements\ndinformatique classique comme les commutateurs, passerelles, routeurs, parefeu, etc.\n[R.154] Les postes dadministration ne devraient pas avoir dautre usage. Ils ne devraient pas tre connects Internet ni un rseau de gestion.\n60 . La cyberscurit des systmes industriels Mesures dtailles\nLes VLAN nont pas t conus comme un mcanisme de scurit. Leur\nconfiguration devra tre faite avec .soin pour assurer le cloisonnement\nde manire effective.\nVoici un exemple de cloisonnement logique :\n1 VLAN dadministration pour les composants rseau, les postes\nde travail dadministration et les serveurs dadministration ;\n1 VLAN de serveurs ;\n1 VLAN des postes de conduite ;\n1 VLAN des postes de dveloppement ;\n1 VLAN par procd contenant les automates et autres quipements associs (entres/sorties dportes, etc.).\n[D.155] Les recommandations R.148, R.149, R.150, et R.151 deviennent des directives.\n[D.156] Les recommandation R.153 et R.154 deviennent des directives. Il est possible que certains quipements, notamment dancienne gnration, ne permettent pas techniquement de raliser un tel cloisonnement. Dans ce cas, une\nanalyse spcifique devra tre mene pour tudier les contre-mesures possibles\net dfinir le niveau de risque rsiduel.\n[R.157] Les flux devraient tre unidirectionnels entre les systmes industriels de classe\n2 et les systmes industriels de classe 1. Lunidirectionnalit des flux pourra tre\nassure par un pare-feu.\n[R.158] Les rseaux dadministration des quipements devraient tre cloisonns physiquement des autres rseaux. A minima, ils devraient tre spars logiquement\nlaide de tunnels VPN. Lutilisation de produits qualifis pour ltablissement\nde ces tunnels est recommande.\n[D.159] Les flux doivent tre unidirectionnels entre des zones de classe 3 et de classe\ninfrieure. Lunidirectionnalit est assure physiquement par une diode.\nLa cyberscurit des systmes industriels Mesures dtailles . 61\n[R.160] La diode devrait tre labellise.\n[D.161] Les systmes industriels de classe 3 doivent tre physiquement spars des\nsystmes de classe infrieure. Lutilisation de cloisonnement logique est interdite.\nDes PLC sont parfois configurs avec deux coupleurs Ethernet diffrents pour\nsparer les flux, un pour les communications avec les SCADA et lautre pour\nles communications avec les quipements\nde procd par exemple. Cette\nmesure peut rpondre des besoins de sret de fonctionnement mais ne\nconstitue pas une protection contre certaines attaques. En effet, ltanchit\nentre les deux coupleurs Ethernet nest pas garantie.\nGuide dhygine : Rgles 21, 29\nISO 27002 : 13.1\nLe systme dinformation de gestion et ses rseaux sont considrs par dfaut de\n[R.162] Linterconnexion devrait tre protge par un dispositif de filtrage (pare-feu).\n[R.163] Les flux devraient tre limits au strict minimum.\n[R.164] Une politique de filtrage telle que celle dcrite dans la recommandation\nR.149 devrait tre mise en place.\n[D.165] Les recommandations R.162, R.163 et R.164 deviennent des directives.\n62 . La cyberscurit des systmes industriels Mesures dtailles\n[R.166] Les flux sont unidirectionnels depuis le systme industriel de classe 2 vers\nle systme dinformation de gestion. Lunidirectionnalit des flux pourra tre\n[D.167] Les flux doivent tre unidirectionnels entre les systmes industriels et les systmes de gestion. Lunidirectionnalit devra tre assure physiquement par une\n[R.168] La diode devrait tre labellise.\nGuide dhygine : Rgles 4, 24\nISO 27002 : 9.4\n[R.169] Les accs vers Internet depuis le systme industriel devraient tre limits. En\nparticulier, lensemble des postes de supervision et des quipements de terrain\nne devraient pas avoir daccs Internet.\n[R.170] Rciproquement, les accs depuis Internet vers le systme industriel devraient tre limits.\n[R.171] Les interconnexions entre des systmes rpartis sur des localisations diffrentes devraient garantir la confidentialit, lintgrit et lauthenticit des communications. On pourra utiliser un VPN IPsec par exemple.\n[R.172] Un dispositif de filtrage (pare-feu) devrait tre mis en place au niveau des\n[R.173] Les passerelles dinterconnexion devraient tre configures de manire scurise. On pourra se reporter au guide de lANSSI .\n[D.174] Les recommandations R.169, R.170, R.171, R.172 deviennent des directives.\n[R.175] Les quipements utiliss pour linterconnexion devraient tre labelliss.\nLa cyberscurit des systmes industriels Mesures dtailles . 63\n[D.176] Une interconnexion directe entre un systme industriel de classe 3 et un\nrseau public ne doit pas tre autorise.\nRef vulnrabilit : 2.2.10\nRf guide dHygine : Rgle 18\nRef ISO 27002 : 9.4\nTldiagnostic, tlmaintenance et tlgestion\nLe tldiagnostic est laction deffectuer distance, sous-entendu depuis lextrieur\ndes btiments dans lesquels se trouve le systme industriel, en passant potentiellement\npar des rseaux non-matriss, un diagnostic dinstallation technique. Ceci ninclut\npas de modification de paramtrage.\nLa tlmaintenance est laction deffectuer distance, sous-entendu depuis lextrieur\npar des rseaux non-matriss, des tches de maintenance sur des installations techniques. Cela implique de pouvoir faire des modifications de paramtres.\nLa tlgestion consiste prendre le contrle distance du systme industriel et pouvoir en faire la gestion complte. Si la tlgestion est utilise, les quipements utiliss\npour ce faire doivent tre intgrs au primtre du systme industriel. Lensemble des\nmesures de scurit doivent donc galement sappliquer lensemble du systme.\n[R.177] Lorsque des oprations de tlgestion, tlmaintenance ou tldiagnostic\nsont ncessaires, les rgles suivantes devraient tre appliques :\nles connexions devraient tre faites la demande de lentit responsable ;\nlquipement de connexion distant devrait tre authentifi ;\nle mot de passe de connexion devrait tre chang rgulirement ;\nla journalisation devrait tre active ;\naprs un dlai prcis dinactivit, la connexion devrait tre ferme ;\n64 . La cyberscurit des systmes industriels Mesures dtailles\nlquipement devrait tre cloisonn et seuls les flux requis devraient tre\nautoriss entre lquipement et le reste du systme industriel ;\nles opration de tlmaintenance ne devraient tre faites qu laide de\nprotocoles scuriss, assurant notamment lintgrit et lauthenticit des\n[R.178] Dans le cas dune connexion par modem noffrant pas de systme dauthentification robuste, a minima, un systme de rappel (call-back) devrait tre\nutilis pour valider le numro de tlphone appelant.\n[R.179] Lquipement de connexion utilis pour la tlmaintenance devrait tre labellis.\n[D.180] La solution de tlmaintenance doit suivre les rgles suivantes :\nelle doit assurer la confidentialit, lintgrit et lauthenticit des communications (exemple : VPN IPsec) ;\nune authentification forte deux facteurs doit tre mise en place ;\nles quipements de connexion doivent tre cloisonns du reste du systme\nindustriel et seuls les flux indispensables la tlmaintenance doivent tre\nla journalisation des vnements de scurit doit tre active.\n[R.181] Une sonde de dtection devrait tre dploye au niveau de la passerelle\nde connexion pour pouvoir analyser lensemble du trafic entrant et sortant\n[D.182] La tlmaintenance ne doit pas tre autorise. Si des oprations de tlmaintenance taient imprativement ncessaires, les quipements distants et la\nliaison doivent tre intgrs au primtre du systme de classe 3. Lensemble\ndes mesures de classe 3 doivent leur tre appliques et en particulier celles de\nla section 4.2.5.\n[D.183] Des solutions de tldiagnostic peuvent tre mises en place. Dans ce cas,\nla solution doit mettre en place les mesures suivantes :\nla connexion distante ne se fera que sur un serveur cloisonn ;\nles donnes ncessaires au tldiagnostic seront pousses sur ce serveur\nau travers dune diode. Cette diode devrait tre labellise.\nLa cyberscurit des systmes industriels Mesures dtailles . 65\nUn systme industriel est considr comme distribu ds lors que des mesures de\nprotection physique ne sont pas applicables lensemble des quipements et liens le\n[R.184] Lensemble des flux transitant par des rseaux non-protgs physiquement\nou non-matriss devraient utiliser des protocoles scuriss. Ils devraient tre\nprotgs en confidentialit, en intgrit et authentifis.\n[R.185] Lorsque cela est possible des passerelles VPN devraient tre dployes aux\nextrmits des liaisons pour protger lintgralit du trafic.\nLquipement devrait tre positionn derrire un pare-feu ne laissant passer\nque les flux strictement indispensables. En particulier, le trafic externe au VPN\ndevrait tre bloqu.\n[R.186] Pour les liaisons ayant des besoins de disponibilit, lutilisation de rseaux\npublics comme Internet devrait tre vite. Lutilisation de liaisons loues avec\ndes ressources ddies devrait tre privilgie.\n[R.187] Les quipements utiliss dans la recommandation R.185 devraient tre labelliss.\n[D.188] Les recommandations R.185 et R.186 deviennent des directives.\n[R.189] Il est recommand de dployer des sondes de dtection au niveau des passerelles dinterconnexion pour pouvoir analyser lensemble du trafic circulant\nentre les sites. (cf R.279).\n[D.190] Lutilisation de liaisons sur des rseaux publics ne doit pas tre autorise.\n[D.191] La recommandation R.189 devient une directive.\n4.2.6 Communications sans l\nGuide dhygine : Rgle 22\n66 . La cyberscurit des systmes industriels Mesures dtailles\nDans certains cas, lutilisation de rseau\n. sans fil peut tre un secours lutilisation des rseaux publics filaires.\n[R.192] Lusage de technologies sans fil devrait tre limit au strict ncessaire.\n[R.193] En fonction de lusage, les flux de donnes devraient tre chiffrs et signs\nou seulement signs.\n[R.194] Les points daccs sans fil devraient mettre en place les mcanismes suivants :\nlauthentification du point daccs et du dispositif qui se connecte linfrastructure ;\nles fonctionnalits de contrle daccs rseau (ex : EAP) ;\nla journalisation des connexions.\n[R.195] Les communications sans fil devraient tre cloisonnes au maximum en isolant les priphriques sans fil dans un rseau physique ou logique spar.\n[R.196] Lorsque les vnements de scurit ne sont pas superviss par un dispositif\ncentralis, il est recommand que les vnements gnrs par les quipements\nsans fil soient examins rgulirement.\n[R.197] La porte des missions devrait tre rduite au maximum en diminuant la\nMme avec une puissance rduite, il est possible de capter des missions dun rseau sans fil grande. distance en utilisant des antennes\net des dispositifs adapts.\n[D.198] La recommandation R.196 devient une directive.\n[D.199] Les correctifs de scurit doivent tre appliqus systmatiquement sur les\nquipements des rseaux sans fil.\n[R.200] Une sonde de dtection dintrusion devrait tre dploye au niveau de linterconnexion entre le rseau sans fil et les autres rseaux du systme industriel.\nLa cyberscurit des systmes industriels Mesures dtailles . 67\n[D.201] La recommandation R.200 devient une directive.\n[D.202] Lusage des technologies sans fil est fortement dconseill et doit tre limit\naux cas o il nexiste pas dautre solution.\n[D.203] Lutilisation de technologie sans fil doit tre interdite sur toutes les liaisons\nayant des besoins critiques de disponibilit.\n[D.204] Les vnements de scurit gnrs par les quipements sans fil doivent\ntre centraliss et superviss en temps rel.\n[R.205] Lensemble des quipements utiliss dans des rseaux sans fil devraient tre\nVulnrabilit : 2.2.7\nGuide SCADA : BP05\nGuide dhygine : Rgle 23\nISO 27002 : 13.2\n[R.206] Les protocoles non scuriss (http, telnet, ftp, etc.) devraient tre dsactivs\nau profit des protocoles scuriss (https, ssh, sftp, etc.) pour assurer lintgrit,\nla confidentialit, lauthenticit et labsence de rejeu des flux.\n[R.207] Pour les protocoles ne pouvant pas tre scuriss pour des raisons techniques et oprationnelles, des mesures compensatoires devraient tre mises en\nplace comme :\nmettre en place des protections primtriques (pare-feu) ;\nencapsuler les flux dans un VPN pour en assurer lintgrit et lauthenticit.\n[D.208] Les recommandations R.206 et R.207 deviennent des directives.\n68 . La cyberscurit des systmes industriels Mesures dtailles\nLes protocoles scuriss ne doivent pas toujours chiffrer les flux. Si les flux,\npassent par des rseaux non-matriss, le chiffrement est sans doute ncessaire. En revanche, sur un rseau matris, le chiffrement nest pas toujours\nsouhaitable car incompatible avec lutilisation\nde sondes de dtection. La\nsignature des donnes peut tre suffisante.\nLabsence de chiffrement ne doit pas tre incompatible avec la recommandation R.138 et la directive D.142.\nCertains protocoles intgrent des mcanismes de vrification dintgrit des\ndonnes bass sur des CRC. Cette mesure,\nefficace en sret de fonctionne.\nment, ne constitue pas une protection face des attaques dans le domaine\nde la cyberscurit.\nScurisation des quipements\n4.3.1 Durcissement des congurations\nGuide SCADA : BP05, BP07, BP10, BP12\nDsactivation des composants inutiles\n[R.209] Sur les quipements, on devrait dsactiver :\nles comptes par dfaut ;\nles ports physiques inutiliss ;\nles supports amovibles, sils ne sont pas utiliss ;\nles services non indispensables (service web par exemple).\nLa cyberscurit des systmes industriels Mesures dtailles . 69\n[R.210] Sur les postes de travail, ordinateurs portables et serveurs, on devrait galement supprimer ou, au minimum, dsactiver :\nles outils de dbogage et de dveloppement des systmes en production ;\nles donnes et fonctions de tests, ainsi que les comptes associs ;\nlensemble des programmes non indispensables.\nDes lecteurs PDF et des logiciels de bureautique sont parfois installs sur des stations SCADA afin de pouvoir consulter des documents\n. prfrable de mettre disposition\ncomme des modes opratoires. Il est\ndes utilisateurs dautres postes que les stations SCADA pour utiliser les\napplications de bureautique et les lecteurs PDF (cf. R.60).\n[R.211] Sur les automates et les applications SCADA,\nles fonctions de dbogage (des intgrateurs et des quipementiers) devraient tre dsactives ;\nles mnmoniques et commentaires ne devraient pas tre chargs dans les\n[D.212] La recommandation R.209 devient une directive.\n[D.213] Les recommandations R.210 et R.211 deviennent des directives.\n[R.214] Les prconisations de durcissement des systmes dexploitation devraient\ntre appliques pour chaque quipement. Le site web de lANSSI 1 contient de\nnombreux guides et notes techniques sur ce sujet.\n[R.215] Les applications doivent sexcuter avec les privilges strictement ncessaires\n70 . La cyberscurit des systmes industriels Mesures dtailles\n[D.216] La recommandation R.215 devient une directive.\n[R.217] Des outils de dfense en profondeur du poste de travail devraient tre mis\nen place. En particulier, une liste blanche des applications ayant le droit de\nsexcuter devrait tre mise en place sur les quipements.\n[R.218] Pour les automates, lorsque les quipements le permettent, les mcanismes\nsuivants devraient tre activs :\nla protection daccs la CPU et/ou au programme ;\nla restriction des adresses IP pouvant se connecter ;\nla dsactivation du mode de programmation distance.\n[D.219] Les recommandations R.217 et R.218 deviennent des directives.\n[R.220] Les outils devraient tre labelliss.\nLutilisation dun dispositif de protection antivirale peut ne pas tre adapt\naux systmes industriels pour les raisons suivantes :\nles mcanismes de mise jour des signatures peuvent apporter des\nvulnrabilits et ncessiter des connexions vers des systmes dinformation externes qui nexistaient pas jusqualors ;\nun dispositif de protection antivirale\npeut tre incompatible avec les\nprincipes et exigences de sret de fonctionnement.\nLutilisation dun antivirus devrait sans doute se faire dans un poste ou un\nserveur ddi comme indiqu dans la recommandation R.235 et la directive\nD.241 mais elle nest pas recommande pour les autres composants du\nsystme industriel. Le durcissement des configurations, comme indiqu dans\nles recommandations R.217 et R.218, doit tre privilgi.\nLa cyberscurit des systmes industriels Mesures dtailles . 71\n[R.221] Le processus de livraison de lensemble des logiciels, programmes et lments de configuration ainsi que de leurs mises jour devrait intgrer un mcanisme de vrification de lintgrit et de lauthenticit (signature). Les lments\nconcerns sont en particulier :\nles firmwares ;\nles systmes dexploitation et logiciels standards ;\nles progiciels SCADA ;\nles programmes dautomates et de SCADA ;\nles fichiers de configuration des quipements rseau ;\n[D.222] La recommandation R.221 devient une directive.\n[R.223] Lintgrit et lauthenticit des firmwares, logiciels et programmes applicatifs\n(automates, SCADA, etc.) devraient tre vrifies rgulirement. Idalement,\ncette tche devrait tre automatise et excute une fois par jour.\n[D.224] La directive D.222 est renforce de la manire suivante. Les lments dont\nlintgrit et lauthenticit doivent tre vrifies, doivent tre signs par le fournisseur (quipementier, dveloppeur, intgrateur,etc). La signature doit tre vrifie par lentit responsable la rception et par lquipement au chargement.\n[D.225] La recommandation R.223 devient une directive.\nGuide SCADA : BP11\nGuide dhygine : Rgles 6, 7 et 16\n[R.226] Un processus de gestion des vulnrabilits doit tre mis en uvre afin de :\nrechercher les correctifs disponibles pour corriger ces vulnrabilits ;\n72 . La cyberscurit des systmes industriels Mesures dtailles\nidentifier les vulnrabilits connues et mesurer leurs impacts sur les systmes ;\ndployer les correctifs en commenant par les plus importants ;\nrecenser les vulnrabilits qui nont pas pu tre corriges (soit par manque\nde correctifs, soit parce que le correctif na pas pu tre appliqu en raison\nde contraintes oprationnelles).\nAppliquer des correctifs nest pas une opration anodine. Il est important de sassurer de leur compatibilit avec le fonctionnement des applications. Le dploiement des correctifs doit tre intgr dans les plans de\nmaintenance des installations. Il peut,\n. en effet, tre judicieux de mettre\nen place les correctifs lorsque linstallation est larrt pour une maintenance mcanique par exemple. Aujourdhui, les correctifs concernent\ngalement les PLC et les quipements de terrain comme les capteurs et\n[R.227] Les correctifs de scurit doivent tre appliqus en priorit sur les quipements les plus exposs (postes de travail, PC portables, stations dingnierie,\nconsoles de programmation, pare-feu, VPN, etc.).\n[D.228] Les vulnrabilits non corriges doivent tre clairement identifies. Un suivi\nspcifique doit tre mis en uvre et des mesures palliatives doivent tre appliques pour diminuer lexposition due ces vulnrabilits.\n[R.229] Les correctifs devraient tre valids par les fournisseurs avant le dploiement.\n[R.230] Une vrification de lapplication effective des correctifs de scurit devrait\ntre effectue. Cette vrification pourra constituer un indicateur de suivi de la\ncyberscurit du systme industriel.\n[D.231] Les recommandations R.226, R.227, R.229 et R.230 deviennent des directives.\n[R.232] Un environnement de test reprsentatif des systmes en production devrait\ntre mis en uvre afin de sassurer de leur non-rgression aprs lapplication\nLa cyberscurit des systmes industriels Mesures dtailles . 73\nVulnrabilit : 2.2.3\nGuide SCADA : BP03\nGuide dhygine : Rgles 5, 15 et 34\nGestion des mdias amovibles\n[R.233] Une politique dutilisation des mdias amovibles (cl USB, disquette, disque\ndur, etc.) devrait tre dfinie.\n[R.234] Lemploi des mdias amovibles devrait tre limit au strict minimum.\n[R.235] Une station de dcontamination devrait tre installe afin danalyser et dcontaminer tous les priphriques amovibles avant de les utiliser sur le systme\n[R.236] La connexion des priphriques amovibles qui nont pas t vrifis par la\nstation de dcontamination devrait tre interdite.\n[R.237] Des mdias amovibles ddis aux systmes industriels devraient tre mis\ndisposition des intervenants. Lutilisation de ces mdias pour tout autre usage\ndevrait tre interdite. Rciproquement, lutilisation de tout autre mdia devrait\n[D.238] Les recommandations R.233, R.234, R.235, R.236 et R.237 deviennent\n[R.239] Les ports de mdias amovibles devraient tre dsactivs lorsque leur utilisation nest pas ncessaire. Si le blocage physique nest pas possible, le port\ndevrait tre dsactiv logiquement.\nPar exemple, on pourrait envisager les mesures suivantes :\nle blocage des ports USB laide de mcanismes de scurit physiques\nou logiques, comme les verrous USB physiques (avec cls) ou par un logiciel de scurit capable de bloquer lutilisation de cls USB et autres\nle retrait ou la dconnexion des lecteurs de mdias amovibles.\n74 . La cyberscurit des systmes industriels Mesures dtailles\n[D.240] La recommandation R.239 devient une directive.\n[D.241] Un sas doit tre mis en place pour changer des donnes avec les systmes\nindustriels. Il doit tre plac dans une zone matrise. Cet change de donnes\nest une action ponctuelle qui doit tre encadre par une procdure.\n[R.242] La solution de sas devraient tre labellise.\nGestion des points daccs rseau\n[R.243] Les points daccs rseau devraient tre clairement identifis et recenss.\n[R.244] Les points daccs rseau non utiliss (commutateurs, hubs, baies de brassage, prises de maintenance sur les bus de terrain, etc.) devraient tre dsactivs.\n[D.245] Les recommandations R.243 et R.244 deviennent des directives.\n[D.246] En cas de tentative de connexion et de dconnexion sur des ports rseau,\nune alerte doit tre remonte et traite.\n[D.247] Les points daccs rseau ne doivent tre accessibles que dans des locaux\nVulnrabilit : 2.2.11\nGuide dhygine : Rgles 5, 17 et 19 .\nISO 27002 : 11.2.6\n[R.248] Lusage des priphriques personnels quels quils soient (ordiphones, tablettes, cls USB, appareils photos, etc.) devrait tre interdit.\n[R.249] Une charte dutilisation des terminaux nomades et une signaltique pour\nrappeler cette exigence devraient tre mis en place.\nLa cyberscurit des systmes industriels Mesures dtailles . 75\n[R.250] Les quipements autoriss se connecter aux systmes devraient tre clairement identifis et valids.\n[R.251] Lorsque lquipement contient des donnes sensibles, sa mmoire de stockage devrait tre chiffre.\n[R.252] Un processus dattribution des terminaux mobiles devrait tre mis en place.\nIl devrait permettre, a minima :\nde valider lattribution du terminal par le responsable hirarchique ;\ndassurer la traabilit entre le terminal et ses utilisateurs ;\nde sensibiliser lutilisateur aux rgles dusage en vigueur.\n[D.253] les recommandations R.248, R.249, R.251 et R.252 deviennent des directives.\n[R.254] Les quipements utiliss devraient tre ddis au systme industriel, y compris ceux utiliss par des prestataires extrieurs.\n[R.255] Ces quipements ne devraient pas quitter le site.\n[D.256] Les recommandations R.251, R.254 et R.255 deviennent des directives.\n4.3.5 Scurit des consoles de programmation, des stations\ndingnierie et des postes dadministration\nVulnrabilit : 2.2.20\nGuide SCADA : BP13\nLes consoles de programmation sont des quipements nomades et les stations dingnierie des stations de travail fixes. Dans les deux cas, il sagit de postes ddis\nlingnierie des processus du systme industriel. Il peut arriver que le terme poste\ndadministration soit utilis ce qui peut prter confusion.\nLes postes dadministration sont ddis ladministration des quipements dinfrastructure (commutateurs, serveurs, station, pare-feu, etc.) du systme industriel.\nPour les mesures techniques sur le cloisonnement des fonctions dadministration, on\npourra se reporter la section 4.2.1.\n76 . La cyberscurit des systmes industriels Mesures dtailles\n[R.257] Les stations dingnierie devraient respecter les rgles suivantes :\ntre ddies aux activits dingnierie ;\nne pas tre connectes Internet ;\ntre installes dans des locaux matriss (sous contrle daccs) ;\nse voir appliquer les rgles de durcissement des stations de travail ;\ntre teintes lorsquelles ne sont pas utilises.\n[R.258] Les consoles de programmation devraient :\ntre ddies aux activits de maintenance et dexploitation ;\nne pas tre connectes dautres systmes que le systme industriel ;\nappliquer les rgles pour les terminaux mobiles ;\nappliquer les rgles de durcissement de configuration et de renforcement\ntre stockes dans un local scuris ;\ntre facilement identifiables (marquage visuel par exemple).\n[R.259] Les postes dadministration devraient :\ntre ddis ladministration des quipements dinfrastructure ;\nne pas tre connects Internet ;\ntre installs dans des locaux matriss (sous contrle daccs) ;\ntre teints lorsquils ne sont pas utiliss.\n[R.260] Les outils de dveloppement ne doivent pas tre installs sur les machines\nde production. Seuls les environnement de production (runtime) doivent tre\ninstalls sur les serveurs et stations SCADA par exemple.\n[R.261] La recommandation R.260 peut tre difficile appliquer dans le cas de lutilisation de systmes numriques de contrle-commande (SNCC). Il conviendra\nalors dtudier des solutions compensatoires pour isoler le systme et rduire\nsa surface dattaque.\n[D.262] Les recommandations R.257, R.258, R.259, R.260 et R.261 deviennent\nLa cyberscurit des systmes industriels Mesures dtailles . 77\n[R.263] Les postes dadministration ne devraient pas tre utiliss pour la surveillance\npermanente des systmes.\nVulnrabilit : 2.2.19\nRef ISO 27002 : 14.2\n[R.264] Des rgles de bonne pratique de programmation devraient tre dfinies,\nappliques et vrifies. Pour cela, on pourra par exemple utiliser les options\navances de certains compilateurs ou des outils ddis la vrification des\nCertains compilateurs, ateliers de dveloppement de SCADA et dautomates\ndisposent de nombreuses options pour remonter des avertissements supplmentaires lutilisateur. Ces options ne. sont souvent pas actives par dfaut.\nElles permettent pourtant dviter de nombreuses erreurs de programmation\net bogues pouvant induire des vulnrabilits.\nLapplication et la vrification des bonnes\npratiques de programmation ne\npermet pas dviter tous les bogues peuvant mener des vulnrabilits.\n[R.265] Un environnement de dveloppement devrait tre ddi au systme industriel.\n78 . La cyberscurit des systmes industriels Mesures dtailles\nLenvironnement de dveloppement peut tre interne ou chez des four.\nnisseurs. Dans ce cas il convient dindiquer\ndans le cahier des charges (cf. R.51).\n[R.266] En plus de bonnes pratiques de dveloppement voques dans la recommandation R.264, des rgles de dveloppement de scurit (secure coding)\ndevraient tre mises en place et appliques.\n[R.267] Des outils danalyse statique et des tests de robustesses devraient tre utiliss\n[R.268] Des audits de code devraient tre effectus par des prestataires externes.\n[D.269] Les recommandations R.265, R.266, R.267 et R.268 deviennent des directives.\n[D.270] Le niveau de scurit de lenvironnement de dveloppement doit tre vrifi\npar des audits.\nSurveillance du systme industriel\nGuide de mesures : 2.2.12\nVulnrabilit : 2.2.14\nGuide SCADA : BP06, 2.2.4\nGuide dhygine : Rgles 26 et 27\nISO 27002 : 12.4\n[R.271] Une politique de gestion des vnements devrait tre dfinie. Elle devrait\nde dterminer quels sont les vnements pertinents prendre en compte ;\ndorganiser leur stockage (volumtrie, dure de conservation, etc.) ;\nLa cyberscurit des systmes industriels Mesures dtailles . 79\nde dfinir les conditions danalyse (en prventif, post-incident) ;\nde dfinir quels sont les vnements qui doivent gnrer des alertes. Lannexe B fournit une liste dvnements en exemple.\n[R.272] Les fonctions de traabilit devraient tre actives si les quipements et logiciels le permettent (syslog, SNMPv3, Windows Event, etc.).\n[R.273] Un systme de gestion centralise et scurise des journaux dvnements\ndevrait tre mis en place. Ce systme devra en particulier assurer la sauvegarde, la confidentialit et lintgrit des journaux dvnements. On pourra se\nreporter au guide de lANSSI .\n[R.274] Les modifications des paramtres devraient tre traces et enregistres pour\nles capteurs et actionneurs, fonctions dasservissement et de rgulation, etc.\nUne partie des changements de paramtres des processus peut, dans cer.\ntains cas, tre dj enregistre au niveau\ndes applications de SCADA sous\nforme dvnements ou de courbes.\n[D.275] Les recommandations R.271, R.273 et R.274 deviennent des directives.\n[R.276] Les journaux devraient tre analyss rgulirement.\n[D.277] La recommandation R.276 devient une directive.\n[R.278] Une solution de SIEM centralisant lensemble des journaux dvnements\nde scurit devrait tre mise en place. Elle devrait permettre de corrler les\njournaux en vue de dtecter des incidents de scurit. La solution de SIEM,\npour ne pas tre considre de classe 3, devra tre place derrire une diode\ncomme indiqu la directive D.159.\nMoyens de dtection\nClasse 1 Il ny a pas de mesure pour cette classe.\n80 . La cyberscurit des systmes industriels Mesures dtailles\n[R.279] Des moyens de dtection dintrusion devraient tre mis en place en priphrie des systmes et sur les points identifis comme critiques qui comprennent\nles interconnexions entre des systmes distants ;\nles interconnexions des systmes de tlgestion ;\nles interconnexions entre le SI de gestion et le SI industriel ;\nles points de connexion spcifiques vers lextrieur (WiFi industriel par\nles stations sas ;\nle rseau fdrateur de postes de supervision industriel (SCADA) ;\nles rseaux dautomates jugs sensibles.\n[R.280] Les moyens de dtection mis en uvre devraient tre labelliss.\n[R.281] Les vnements collects par les sondes devraient tre centraliss.\n[R.282] Un processus devrait clairement dcrire comment les vnements remonts\npar les sondes sont pris en compte.\n[D.283] Les recommandations R.279, R.281, R.282 deviennent des directives.\nLa cyberscurit des systmes industriels Mesures dtailles . 81\nLes quipes qui exploitent et maintiennent les systmes industriels doivent pouvoir\nsappuyer sur une documentation fiable et jour. Nous proposons dans ce chapitre\nquatre types de cartographie diffrents niveaux pour avoir une connaissance aussi\nprcise que possible du systme concern. Chacune de ces cartographies consistera\nen une liste et en un schma qui organise les lments rfrencs.\nLe point de vue physique correspond la rpartition gographique des quipements\nau sein des diffrents sites. On pourra organiser cette cartographie sous la forme\ndinventaires et dun schma.\nCet inventaire devra comporter notamment les lments suivants :\nla liste des quipements communicants du systme industriel :\nCette liste comportera par exemple les automates, les entres sorties dportes,\nles capteurs, les actionneurs, les variateurs de vitesse, les centrales de mesures,\nles disjoncteurs, les interrupteurs, les serveurs physiques, les postes de travail,\nles units de stockage. Pour chaque lment, on prcisera :\nle modle ou la rfrence 1 ;\nla version du firmware (software version) embarqu et la version du produit\n(product version) si pertinent ;\nles caractristiques matrielles si pertinent ;\nlemplacement physique (btiment, pice, armoire, baie) ;\nla liste des commutateurs relis ;\n1. Certains quipements (les automates modulaires, par exemple) contiennent plusieurs rfrences.\nLa cyberscurit des systmes industriels Mesures dtailles . 83\nla liste des quipements des rseaux de communication :\nCette liste comportera par exemple les commutateurs, les routeurs, les passerelles protocolaires, etc. Pour chaque quipement, on prcisera :\nle modle et la rfrence ;\nla version du firmware embarqu.\nlemplacement physique (btiment, pice, armoire, baie).\nDans le cas de commutateurs Ethernet, on prcisera galement les numros de\nVLAN pour chaque port du commutateur.\nIl sagit de la reprsentation des diffrents sites gographiques, faisant apparatre :\nles commutateurs, les numros de VLAN associs ;\nles liens entre quipements ;\nen cas dinstallation inter-site, les identifiants dinterconnexion (MPLS, VPLS,\nnumros de tlphone) ;\nCartographie logique des rseaux industriels\nOn sintresse ici la topologie logique des rseaux (les plan dadressage IP et nonIP, noms de sous-rseaux, liens logiques entre ceux-ci, principaux quipements actifs,\netc.). Cette cartographie pourra galement tre organise sous la forme dinventaires\net dun schma.\nOn propose de rpertorier les lments suivants :\navec pour chacune dentre elles,\nla liste des plages dadresses IP :\navec pour chacune,\nla liste des commutateurs en support ;\nla description fonctionnelle de la plage IP ;\n84 . La cyberscurit des systmes industriels Mesures dtailles\nles interconnexions avec dautres plages.\nliste des rseaux non-IP :\navec pour chaque rseau\nla liste des adresses MAC ou des adresses spcifiques des protocoles\nindustriels sur le rseau ;\nla description fonctionnelle du rseau ;\nles quipements connects dautres rseaux (automates).\nliste des points daccs non Ethernet :\navec pour chacun dentre eux,\nla liste des ports daccs ;\nladressage en cas de protocole spcifique ;\nla liste des quipements connects.\nliste des serveurs logiques et des postes de travail :\navec pour chacun dentre eux, lorsque cela sapplique,\nladressage IP (rseau, masque, passerelle) ;\nla version du systme dexploitation ;\nle serveur physique en support ;\nles applications mtier et leur version ;\nles services et versions.\nliste des automates et quipements de terrain communicants 2 :\nladressage IP (rseau, masque, passerelle), ladressage MAC et rseau\nassoci ou ladressage spcifique le cas chant ;\nles applications mtier.\nIl sagit de la reprsentation des ensembles IP (rseaux et sous-rseaux) et de leurs\ninterconnexions, faisant apparatre :\nles interconnexions avec les autres plages IP ;\nles routeurs, commutateurs et pare-feu ;\nles quipements informatiques de scurit (relais filtrant, sondes, IDS, etc.).\nCette cartographie doit faire apparatre en particulier les points dinterconnexion avec\ndes entits extrieures (partenaires, fournisseurs de services, etc.) et lensemble des\ninterconnexions avec Internet.\n2. entres sorties dportes, capteurs/actionneurs intelligents, etc.\nLa cyberscurit des systmes industriels Mesures dtailles . 85\nLe point de vue applicatif correspond aux applications mtier et aux flux de communication entre elles. Comme prcdemment, on pourra organiser cette cartographie\nsous la forme dinventaires et dun schma.\nOn pourra notamment lister les lments suivants :\nle type dapplication (application SCADA, programme automate, historique,\nle nombre dutilisateurs ;\nles quipements (physiques ou logiques) supports ;\nles services en coute sur le rseau et ports rseaux associs ;\nles flux applicatifs ;\nla version de lapplication.\nIl sagit dune reprsentation des composants des applications et des flux entre elles :\nles programmes des automates ;\nles applications de SCADA ;\nles services dinfrastructure (DNS, NTP, passerelle Internet, etc.) ;\nles services dadministration ( service dinventaires, dadministration distance,\nla matrice de flux associe chaque application et service.\nCartographie de ladministration et de la\nsurveillance du systme dinformation\nCette dernire cartographie ne sapplique que si une gestion centralise des droits\ndadministration sur les quipements a t mise en place. Dans le cas o les droits\nsur les quipements ne sont grs que par des comptes locaux, cette cartographie se\nrduira une liste des comptes et des droits associs pour chaque quipement.\nLa cartographie devra contenir :\n86 . La cyberscurit des systmes industriels Mesures dtailles\nles annuaires (voir plus bas) ;\nles infrastructures de gestion de cls ;\nles systmes de mots de passe usage unique ;\nles systmes de gestion de journaux et dvnements de scurit (collecteurs de\njournaux, SIEM) ;\nles systme de supervision (alarmes rseau, sondes de dtection, etc).\nLe point de vue domaines dadministration reprsente le primtre et le niveau de\nprivilges des administrateurs sur les ressources du parc informatique. Cette cartographie contiendra\nle cas chant, un schma Active Directory avec :\nles domaines Active Directory et leur description,\nles forts Active Directory,\nles relations dapprobation avec les domaines externes chaque fort,\nles caractristiques des relations dapprobation (bidirectionnelle, filtre,\nles serveurs support des Active Directory ;\nsinon, la reprsentation de larchitecture dadministration avec\nles zones de responsabilit des diffrents administrateurs,\nlinventaire des secrets (mots de passe, cls, etc.) et droits associs ladministration des ressources.\nCe point de vue permet, en cas de compromission dun compte dadministration,\ndidentifier le niveau de privilge de lattaquant et la portion du parc potentiellement\nLa cyberscurit des systmes industriels Mesures dtailles . 87\nListe minimale (mais non exhaustive) des vnements daudit configurer :\ntentatives dauthentification (russite ou chec) ;\nactions des utilisateurs dans le systme ;\nutilisation des comptes privilges ;\ndfaillances des mcanismes de scurit ;\ntentatives de connexions rseau ;\ndmarrage et arrt des fonctionnalits daudit ;\nactivation, dsactivation et modification du comportement ou de paramtres\ndes mcanismes de scurit (authentification, gnration daudit, etc.) ;\nactions entreprises en raison dune dfaillance du stockage des audits ;\ntoute tentative dexportation dinformations ;\nutilisation de la fonction de gestion ;\nmodification du groupe dutilisateurs faisant partie dun rle ;\ndtection dune violation physique ;\ntoute tentative dtablissement dune session utilisateur ;\ntentatives de chargement, modification ou rcupration de programme, microprogramme ou firmware ;\nmodification de paramtres systmes (heure, adresse IP ou non IP, temps de\ncycle, chien de garde,etc) ;\nmodification ou forage de donnes applicatives ;\npassage dun quipement en mode stop, marche, stand-by, redmarrage.\nLes vnements peuvent tre centraliss sur un serveur de type syslog. De\nnombreux quipements permettent en effet de configurer un serveur syslog\ncible. Pour les journaux dvnements. Microsoft il existe des utilitaires permettant, pour chaque nouvel vnement enregistr, de lenvoyer vers un serveur syslog.\nLa cyberscurit des systmes industriels Mesures dtailles . 89\nPour plus dinformation consulter la note dinformation du CERTA  et la note technique relative aux recommandations de scurit pour la mise en uvre dun systme\nde journalisation .\n90 . La cyberscurit des systmes industriels Mesures dtailles\nGerard De Drouas and Pierre Capillon. Audit des permissions en environnement\nActive Directory. In SSTIC, 2012.\nSecrtariat de la dfense et de la scurit nationale. Guide pour raliser un\nplan de continuit dactivit. juin 2013.\nISO. ISO27002 : Security techniques - Code of practice for security management. 2013.\nAgence nationale de la scurit des systmes dinformation. Note dinformation,\nles bons rflexes en cas dintrusion. mai 2002.\nAgence nationale de la scurit des systmes dinformation. Note dinformation\npour la gestion des journaux dvnement. mai 2008.\nAgence nationale de la scurit des systmes dinformation. Rfrentiel gnral\nde scurit. mai 2010.\nAgence nationale de la scurit des systmes dinformation. Dfinition dune\narchitecture de passerelle dinterconnexion scurise. janvier 2012.\nAgence nationale de la scurit des systmes dinformation. Guide de lexternalisation. mai 2012.\nAgence nationale de la scurit des systmes dinformation. La scurit des\ntechnologies sans contact pour le contrle des accs physiques. novembre\n Agence nationale de la scurit des systmes dinformation. Maitriser la SSI\npour les systmes industriels. juin 2012.\n Agence nationale de la scurit des systmes dinformation. Note technique\npour lutilisation des pare-feu. mai 2012.\n Agence nationale de la scurit des systmes dinformation. Recommandations\nde scurit relatives aux mots de passe. mai 2012.\n Agence nationale de la scurit des systmes dinformation. Cyberscurit pour\nles systmes industriels : Classification et mesures principales. 2013.\n Agence nationale de la scurit des systmes dinformation. Guide dhygine\ninformatique. janvier 2013.\nLa cyberscurit des systmes industriels Mesures dtailles . 91\nde scurit pour la mise en oeuvre dun systme de journalisation. dcembre\nCe guide sur la cyberscurit des systmes industriels a t ralis par lAgence nationale de la scurit des systmes dinformation (ANSSI) avec le concours des socits\nDGA Matrise de linformation,\nItris Automation Square,\npropos de lANSSI\nLAgence nationale de la scurit des systmes dinformation (ANSSI) a t cre le\n7 juillet 2009 sous la forme dun service comptence nationale.\nEn vertu du dcret n 2009-834 du 7 juillet 2009 modifi par le dcret n 2011-170\ndu 11 fvrier 2011, lagence assure la mission dautorit nationale en matire de\ndfense et de scurit des systmes dinformation. Elle est rattache au Secrtaire\ngnral de la dfense et de la scurit nationale, sous lautorit du Premier ministre.\nPour en savoir plus sur lANSSI et ses missions, rendez-vous sur www.ssi.gouv.fr.\nVersion 1.0 Janvier 2014\nLicence information publique librement rutilisable (LIP V1 2010.04.02)\nAgence nationale de la scurit des systmes dinformation\n- 51 boulevard de la Tour-Maubourg - 75700 PARIS 07 SP\nSites internet : www.ssi.gouv.fr et www.securite-informatique.gouv.fr\nMessagerie : communication [at] ssi.gouv.fr\nDocuments Similar To Securite Industrielle GT Details Principales Mesures