Justifier des niveaux de sécurité cibles auprès d’auditeurs ou de clients consiste à présenter une justification traçable, fondée sur les risques, et non à prétendre que vous êtes parfaitement sécurisé. Dans les environnements industriels et réglementés, vous devez montrer comment vous avez choisi les objectifs de sécurité, ce que vous avez pris en compte et où se situent les limites.
1. Ancrer les niveaux cibles dans une évaluation des risques documentée
Les auditeurs et les clients acceptent généralement les niveaux de sécurité cibles lorsqu’ils découlent clairement d’une évaluation structurée des risques, et non d’affirmations génériques sur les bonnes pratiques.
En pratique, cela se rattache aux éléments de preuve de sécurité industrielle lorsque les équipes doivent transformer la réponse en habitudes d’exécution répétables.
En pratique, cela signifie généralement :
- Utiliser une méthode reconnue (p. ex. évaluation des risques de type ISO 27005, approche fondée sur les risques IEC 62443, NIST CSF/800-30) adaptée à l’OT/ICS.
- Identifier les actifs et processus critiques (p. ex. systèmes instrumentés de sécurité, dossiers de lot, décisions de libération, sérialisation, données soumises au contrôle des exportations).
- Définir les catégories d’impact pertinentes : sécurité des personnes, non-conformité réglementaire, qualité produit, rupture d’approvisionnement, perte de propriété intellectuelle, protection des données, atteinte à l’environnement.
- Évaluer explicitement la probabilité et l’impact à l’aide de critères écrits et reproductibles, et non implicites.
- Suivre le risque inhérent, les contrôles existants et le risque résiduel d’une manière qui puisse être revue.
La clé est la traçabilité : vous devez pouvoir montrer, pour tout niveau de sécurité cible, comment vous êtes passé des menaces et des impacts au niveau choisi.
2. S’aligner sur des référentiels reconnus sans surpromettre
Dans les environnements industriels, les niveaux cibles sont souvent exprimés à l’aide de normes externes ou de modèles de référence. Cela peut être utile, à condition d’être clair sur le périmètre et les limites.
Les pratiques courantes incluent :
- Faire référence aux niveaux de sécurité IEC 62443 (par ex. SL-T) pour des zones ou conduits spécifiques et montrer comment vos niveaux cibles s’alignent sur un modèle de menace documenté.
- Utiliser les niveaux du NIST CSF ou les recommandations NIST 800-82 pour expliquer la maturité et la couverture des contrôles pour les systèmes OT.
- Faire référence aux contrôles ISO 27001/27002 lorsque les contrôles IT et OT se recoupent (identité, accès, journalisation, réponse aux incidents, accès fournisseurs).
Lorsque vous procédez ainsi, évitez d’affirmer ou de laisser entendre que l’adhésion à ces référentiels garantit la conformité ou que tous les contrôles sont entièrement mis en œuvre partout. Soulignez que ces cadres sont des points de référence pour vos objectifs et que la mise en œuvre réelle est cadrée, priorisée et contrainte par l’environnement.
3. Montrer une justification fondée sur les actifs, et non une simple « politique d’entreprise » générique
Les auditeurs et les clients sont davantage convaincus par un raisonnement spécifique aux actifs et aux processus que par de grandes déclarations de politique générale.
Pour chaque actif, zone ou type de système clé, soyez prêt à expliquer :
- Rôle dans les opérations : quel processus il prend en charge, y compris la sécurité, la qualité produit, la libération, la traçabilité des lots ou le contrôle des exportations.
- Criticité : ce qui se passe s’il est indisponible, corrompu ou mal utilisé (arrêt de production, rebut d’un lot, risque de rappel, constat réglementaire).
- Exposition : comment il est connecté (réseau OT segmenté, accès à distance, connexions fournisseurs, sans fil, services exposés à Internet).
- Contraintes : système d’exploitation hérité, limites du support fournisseur, charge de validation, performance temps réel et fenêtres de maintenance.
Expliquez ensuite comment ces facteurs ont déterminé le niveau de sécurité cible (par exemple, des objectifs plus élevés pour les systèmes critiques pour la sécurité et la qualité, des niveaux intermédiaires pour les systèmes de support auxiliaires, des niveaux plus faibles pour des laboratoires d’essai isolés disposant de contrôles procéduraux solides).
4. Rendre les arbitrages explicites, en particulier dans les environnements brownfield
Dans les usines réglementées et brownfield, atteindre le niveau de sécurité théorique maximal est souvent impossible sans temps d’arrêt inacceptable, coût de revalidation ou perte de support fournisseur.
Pour justifier des niveaux cibles réalistes, rendez les arbitrages explicites :
- Documentez les situations dans lesquelles vous acceptez délibérément un niveau de sécurité technique inférieur, mais le compensez par des contrôles procéduraux ou de détection (p. ex. revue manuelle des journaux, contrôle des changements plus strict, restrictions d’accès physique).
- Expliquez les contraintes liées aux systèmes hérités (OS non pris en charge, protocoles propriétaires, images fournisseur figées) et leur incidence sur les contrôles réalisables.
- Mettez en évidence les impacts sur la validation et la qualification : certaines modifications qui augmenteraient la sécurité entraînent un coût de revalidation élevé ou un temps d’arrêt prolongé qui n’est pas acceptable pour des actifs critiques.
- Montrez que vous avez évalué des options (p. ex. isolation, bastions d’administration, accès distant surveillé) au lieu de simplement affirmer « nous ne pouvons pas modifier ce système ».
Les auditeurs réagissent généralement mieux à une description transparente des options envisagées et du risque résiduel qu’à des déclarations irréalistes de conformité totale ou de durcissement complet.
5. Utiliser une échelle cohérente pour les niveaux de sécurité cibles
La justification est plus simple lorsque vos niveaux cibles sont définis selon une échelle claire et documentée.
Éléments d’un dispositif défendable :
- Un nombre limité de niveaux (par exemple, 3 à 5) assortis de définitions écrites liées à la capacité de l’attaquant, aux contrôles requis et à la tolérance au risque.
- Un lien explicite entre chaque niveau et des exemples de contrôles (segmentation réseau, robustesse de l’authentification, profondeur de journalisation, attentes en matière de sauvegarde/restauration, exigences d’accès distant des fournisseurs).
- Des critères d’attribution des niveaux fondés sur des catégories d’impact (p. ex. sécurité des patients, non-conformité réglementaire, potentiel de rappel, temps d’arrêt prolongé).
Lorsque vous pouvez démontrer que ce dispositif a été défini de manière centralisée, revu et appliqué de façon cohérente sur l’ensemble des sites, il est beaucoup plus facile de défendre des cibles spécifiques auprès de parties externes.
6. Démontrer la traçabilité du risque jusqu’aux contrôles
Les auditeurs et les clients avertis souhaitent généralement voir plus que des objectifs de haut niveau. Ils veulent une traçabilité depuis le risque jusqu’aux mesures d’atténuation réellement mises en œuvre.
Les dossiers de preuves solides comprennent généralement :
- Des registres des risques qui relient les menaces et les scénarios à des actifs ou zones spécifiques.
- Des niveaux de sécurité cibles attribués, avec des justifications documentées.
- Des correspondances entre les niveaux de sécurité cibles et les ensembles de contrôles ou configurations de référence.
- L’état de mise en œuvre des contrôles, y compris les exceptions et les mesures compensatoires.
- Des enregistrements de maîtrise des changements pour les modifications de sécurité significatives apportées à des systèmes validés ou qualifiés.
L’objectif n’est pas de prouver la perfection, mais de démontrer une approche délibérée et maîtrisée.
7. Reconnaître le risque résiduel et l’amélioration continue
Dans la fabrication réglementée, il est rarement crédible d’affirmer que tous les contrôles raisonnables sont en place. Vous devez plutôt disposer d’une méthode structurée pour reconnaître le risque résiduel et montrer comment vous le gérez dans la durée.
Pour le faire de manière crédible :
- Documentez les risques résiduels au niveau de l’actif ou de la zone, avec un responsable désigné et une cadence de revue.
- Montrez comment les nouvelles menaces (par exemple, les vulnérabilités ICS récentes, les avis fournisseurs) sont évaluées par rapport aux objectifs existants.
- Démontrez le recours à des réévaluations périodiques, à des tests d’intrusion ou à des revues par des tiers, alignés sur la maîtrise des changements et la validation.
- Reliez les actions d’amélioration à des fenêtres réalistes pour les arrêts, la validation et l’implication des fournisseurs.
Cela confirme que vos niveaux cibles s’inscrivent dans un programme évolutif, et non dans un exercice documentaire ponctuel.
8. Communiquer avec les auditeurs vs. les clients
Si la justification sous-jacente doit être la même, l’accent diffère légèrement :
- Auditeurs : Concentrez-vous sur la gouvernance, la méthodologie de gestion des risques, les preuves de conception et de fonctionnement des contrôles, ainsi que l’alignement avec vos propres procédures et normes. Ils vérifieront souvent que votre pratique correspond à votre processus documenté.
- Clients : Concentrez-vous sur ce que vos objectifs signifient pour la continuité d’approvisionnement, le traitement des données (y compris les informations soumises au contrôle des exportations) et la qualité produit ou la sécurité des patients/utilisateurs. Soyez prêt à partager l’architecture de haut niveau, les pratiques de contrôle d’accès et les attentes en matière de réponse aux incidents, sans exposer d’éléments internes sensibles.
Dans les deux cas, évitez toute formulation qui pourrait être interprétée comme une garantie de conformité ou de résultats en matière de sécurité. Décrivez les capacités, les processus et les limites.
9. Pourquoi le « rip-and-replace » constitue rarement un argument de sécurité justifiable
Certains clients ou parties prenantes internes peuvent demander pourquoi vous ne remplacez pas simplement les systèmes hérités afin d’atteindre le niveau de sécurité le plus élevé possible. Dans les environnements réglementés, à cycles de vie longs, cette voie est souvent non viable ou difficilement justifiable.
Votre justification peut légitimement inclure :
- Une charge élevée de qualification et de validation pour de nouveaux équipements ou des changements majeurs de systèmes.
- Un risque d’arrêt pour des lignes ou actifs critiques, lorsque des interruptions prolongées sont inacceptables.
- Une complexité d’intégration avec les MES, ERP, QMS, historiens, ainsi que les systèmes spécialisés d’essai ou d’inspection.
- Des contraintes fournisseur, telles que des versions logicielles de référence fixes qui sont les seules configurations prises en charge et qualifiées.
Expliquez qu’au lieu d’un remplacement complet, vous privilégiez des défenses en couches, la segmentation, un contrôle strict des accès à distance et des contrôles procéduraux réalisables dans le cadre de ces contraintes. Cela peut soutenir un niveau de sécurité cible réaliste, même lorsque certains composants restent hérités.
10. Documentation minimale que vous devez être prêt à présenter
Pour rendre les niveaux de sécurité cibles défendables, vous devez au minimum être en mesure de produire :
- Une approche documentée d’évaluation des risques et des exemples d’évaluations des risques pour des actifs ou des zones représentatifs.
- Les définitions de votre échelle de niveaux de sécurité et la manière dont ces niveaux correspondent aux attentes en matière de contrôles.
- Des schémas d’architecture ou des modèles zones/conduits avec les niveaux cibles annotés.
- Des politiques et des standards reliant les niveaux cibles à des configurations et contrôles spécifiques.
- Des preuves de mise en œuvre, d’exceptions et de contrôles compensatoires, sous maîtrise des changements lorsque les systèmes sont validés ou qualifiés.
La réunion de ces éléments fournit aux auditeurs et aux clients un récit cohérent : vous avez compris vos risques, sélectionné des niveaux de sécurité cibles sur une base défendable, les avez appliqués de manière cohérente et opérez dans les contraintes réelles d’une fabrication réglementée et existante.