Les niveaux de sécurité sont le mécanisme central de l’IEC 62443 pour calibrer la protection d’un système industriel en fonction de la menace qu’il affronte. Le principe est direct : on ne protège pas une ligne d’embouteillage comme on protège une centrale nucléaire.
Pourtant, c’est l’un des concepts les plus mal compris de la norme. La confusion entre SL-T, SL-C et SL-A est fréquente. Le lien entre niveaux de sécurité et exigences système (SR) reste flou pour beaucoup. Et l’idée qu’un niveau de sécurité se dégrade avec le temps est rarement expliquée.
Ce guide clarifie tout ça, directement à partir de l’IEC 62443-1-1 et de l’IEC 62443-3-3.
Sommaire
Le Principe des Niveaux de Sécurité
L’IEC 62443-1-1 pose le concept clairement : le niveau de sécurité est une propriété d’une zone ou d’un conduit, pas d’un dispositif individuel.
Un IACS typique contient des équipements de plusieurs fabricants, tous fonctionnant ensemble. Les capacités de sécurité de chaque dispositif contribuent à la sécurité de l’ensemble, mais c’est au niveau de la zone que le niveau de sécurité est évalué et mesuré.
Les niveaux de sécurité servent à :
- Catégoriser le risque pour chaque zone et conduit
- Définir l’efficacité requise des contre-mesures
- Comparer et gérer la sécurité de différentes zones au sein d’une organisation
- Sélectionner les dispositifs et les contre-mesures à déployer dans chaque zone
Les 4 Niveaux de Sécurité
L’IEC 62443-3-3 définit quatre niveaux de sécurité. Chacun correspond au profil d’attaquant contre lequel le système doit se défendre :
SL 1 — Protection contre la violation accidentelle
Le niveau de base. Il protège contre les erreurs humaines, les mauvaises manipulations et les expositions involontaires. Pas de menace intentionnelle ciblée.
Profil de menace : un employé qui branche une clé USB infectée par inadvertance, un mot de passe par défaut jamais changé, un port réseau laissé ouvert par erreur.
Exigences typiques : identification des utilisateurs, mots de passe de base, segmentation réseau minimale.
Qui en a besoin : tous les systèmes IACS, sans exception. SL 1 est le minimum absolu.
SL 2 — Protection contre l’attaque intentionnelle avec des moyens simples
Protège contre un attaquant motivé mais disposant de ressources limitées et de compétences générales. C’est le niveau le plus répandu dans l’industrie manufacturière.
Profil de menace : un hacker opportuniste utilisant des outils disponibles publiquement, un ancien employé mécontent avec des connaissances internes de base, un script kiddie ciblant des vulnérabilités connues.
Exigences typiques : authentification individuelle (plus de comptes partagés), contrôle d’accès basé sur les rôles, surveillance du réseau, gestion des correctifs.
Qui en a besoin : industrie manufacturière générale, automatisation des bâtiments, systèmes de production standard.
SL 3 — Protection contre l’attaque sophistiquée avec des ressources modérées
Protège contre un attaquant compétent, organisé et disposant de ressources significatives. C’est le niveau visé par la plupart des infrastructures critiques.
Profil de menace : un groupe cybercriminel organisé, un attaquant avec des connaissances spécifiques des systèmes de contrôle industriel, un concurrent disposant de moyens techniques avancés.
Exigences typiques : authentification multi-facteurs, chiffrement des communications, surveillance continue avec détection d’anomalies, tests d’intrusion réguliers, gestion formalisée des vulnérabilités.
Qui en a besoin : énergie, eau, transport, pétrole et gaz, chimie, toute installation classée infrastructure critique.
SL 4 — Protection contre l’attaque étatique avec des ressources étendues
Le niveau le plus élevé. Protège contre un adversaire disposant de ressources quasi illimitées, de connaissances approfondies des systèmes ciblés, et de la capacité de développer des outils sur mesure.
Profil de menace : un acteur étatique (APT — Advanced Persistent Threat), une organisation disposant de capacités de renseignement, un attaquant capable de développer des exploits zero-day spécifiques aux systèmes de contrôle industriel.
Exigences typiques : toutes les SR avec presque tous les renforcements (RE), authentification multi-facteurs sur tous les réseaux, chiffrement de bout en bout, surveillance continue avec analyse comportementale, architecture zero-trust, tests de pénétration avancés.
Qui en a besoin : défense, nucléaire, infrastructures nationales les plus sensibles.
Le Tableau Comparatif des 4 Niveaux
| SL 1 | SL 2 | SL 3 | SL 4 | |
|---|---|---|---|---|
| Menace | Accidentelle | Intentionnelle, moyens simples | Intentionnelle, moyens sophistiqués | Intentionnelle, ressources étatiques |
| Motivation de l’attaquant | Aucune (erreur) | Faible à modérée | Élevée | Très élevée, stratégique |
| Ressources de l’attaquant | Aucune | Limitées | Modérées | Étendues, quasi illimitées |
| Compétences de l’attaquant | Aucune | Générales | Spécialisées ICS | Avancées, développement d’outils |
| SR de base exigées | La plupart | Toutes | Toutes | Toutes |
| RE exigés | Aucun | Certains | La plupart | Presque tous |
| Coût relatif | Faible | Modéré | Élevé | Très élevé |
| Complexité | Simple | Moyenne | Élevée | Très élevée |
Les Trois Types de Niveaux de Sécurité
C’est ici que la confusion est la plus fréquente. L’IEC 62443-1-1 (section 5.11.2) définit trois mesures distinctes du niveau de sécurité. Il ne s’agit pas de trois échelles différentes — c’est le même SL 1 à 4, mais mesuré à trois moments différents du cycle de vie :
SL-T — Niveau de Sécurité Cible (Target)
Ce que c’est : le niveau de sécurité que votre analyse de risque dit que vous devez atteindre pour une zone ou un conduit donné.
Qui le fixe : l’exploitant (asset owner), sur la base de l’évaluation des risques réalisée selon l’IEC 62443-3-2.
Comment il est déterminé : en évaluant la probabilité et les conséquences d’une compromission de la zone. L’évaluation prend en compte les menaces identifiées, les vulnérabilités connues et l’impact potentiel sur la sécurité des personnes, l’environnement, les opérations et les finances.
Facteurs qui influencent le SL-T :
- L’architecture réseau et les frontières de zone définies
- Le SL-T des zones avec lesquelles la zone communique
- Le SL-T des conduits utilisés pour la communication
- Les contre-mesures techniques (pare-feu, antivirus, etc.)
- Les contre-mesures administratives (politiques, procédures)
- Les contre-mesures physiques (portes verrouillées, badges, etc.)
SL-C — Niveau de Sécurité Capacité (Capability)
Ce que c’est : le niveau de sécurité que le système peut atteindre, en fonction de ses caractéristiques techniques et de son architecture.
Qui le détermine : l’intégrateur système et le fabricant de composants. Il dépend des capacités de sécurité intégrées dans les produits et dans la conception du système.
Exemple concret : un automate qui ne supporte que l’authentification par mot de passe simple (sans multi-facteurs) a un SL-C maximum de 2, même si vous le déployez dans une zone qui exige SL 3. Vous ne pouvez pas atteindre un SL-T de 3 avec un équipement dont le SL-C est limité à 2 — sauf en ajoutant des contre-mesures compensatoires.
SL-A — Niveau de Sécurité Atteint (Achieved)
Ce que c’est : le niveau de sécurité que vous avez réellement après le déploiement, la configuration et la mise en service du système.
Qui le mesure : l’exploitant, lors des audits et des évaluations de conformité.
Le point critique : l’IEC 62443-1-1 précise que le SL-A est une fonction du temps et qu’il diminue avec le temps. Les raisons :
- Dégradation des contre-mesures (règles de pare-feu qui deviennent obsolètes)
- Nouvelles vulnérabilités découvertes dans les composants déployés
- Nouvelles méthodes d’attaque développées par les adversaires
- Brèches dans les couches de sécurité
- Dégradation des propriétés de sécurité des dispositifs et systèmes
L’objectif permanent : s’assurer qu’à tout moment, le SL-A d’une zone ou d’un conduit est supérieur ou égal au SL-T. L’écart entre SL-T et SL-A est votre risque résiduel.
La Formule du SL-A
L’IEC 62443-1-1 (section 5.11.3) formalise les facteurs qui influencent le niveau de sécurité atteint :
SL(achieved) = f(x1, …, xn, t)
Où les facteurs incluent :
| Facteur | Ce qu’il mesure |
|---|---|
| x1 | Capacité de sécurité (SL-C) des contre-mesures et propriétés de sécurité des dispositifs dans la zone |
| x2 | SL-A des zones avec lesquelles la zone communique |
| x3 | Type de conduits et propriétés de sécurité des conduits utilisés |
| x4 | Efficacité réelle des contre-mesures |
| x5 | Fréquence d’audit et de test des contre-mesures |
| x6 | Expertise de l’attaquant et ressources disponibles |
| x7 | Dégradation des contre-mesures et des propriétés de sécurité dans le temps |
| x8 | Capacité de détection d’intrusion |
| t | Temps |
Deux observations importantes dans cette formule :
Premièrement, le SL-A d’une zone dépend du SL-A des zones voisines (x2) et de la sécurité des conduits (x3). Une zone SL 3 connectée via un conduit non sécurisé à une zone SL 1 voit son SL-A réel diminuer. La sécurité d’une zone n’est pas indépendante de son environnement.
Deuxièmement, le temps (t) est un facteur explicite. Le SL-A se dégrade naturellement. C’est la justification formelle pour un programme de cybersécurité continu (CSMS) plutôt qu’un projet ponctuel.
Comment les Niveaux de Sécurité Se Traduisent en Exigences Concrètes
L’IEC 62443-3-3 contient un tableau pour chaque SR qui indique si elle est exigée à chaque niveau de sécurité, et quels RE sont exigés. Voici comment ça fonctionne avec un exemple :
Exemple : SR 1.1 — Identification et authentification des utilisateurs humains
| Exigence | SL 1 | SL 2 | SL 3 | SL 4 |
|---|---|---|---|---|
| SR 1.1 (base) — Identifier et authentifier les utilisateurs | ✓ | ✓ | ✓ | ✓ |
| RE 1 — Identification unique par utilisateur | ✓ | ✓ | ✓ | |
| RE 2 — Authentification multi-facteurs (réseaux non fiables) | ✓ | ✓ | ||
| RE 3 — Authentification multi-facteurs (tous les réseaux) | ✓ |
À SL 1, un mot de passe partagé suffit. À SL 2, chaque utilisateur doit avoir un identifiant unique. À SL 3, l’authentification multi-facteurs est exigée pour les accès via des réseaux non fiables. À SL 4, elle est exigée pour tous les accès, y compris sur le réseau local.
Ce modèle se répète pour chacune des 51 SR de la norme. Plus le SL-T est élevé, plus le nombre de RE exigés augmente.
Le Passage d’un Niveau à l’Autre
Le saut entre chaque niveau n’est pas linéaire en termes de coût et de complexité :
De SL 1 à SL 2
Effort : modéré. C’est principalement un travail d’hygiène : changer les mots de passe par défaut, créer des comptes individuels, activer les journaux d’audit, segmenter le réseau de base.
Coût principal : temps de configuration et formation du personnel.
De SL 2 à SL 3
Effort : significatif. C’est le saut le plus important. Il exige l’authentification multi-facteurs, le chiffrement des communications, la surveillance continue, et souvent le remplacement de composants dont le SL-C est insuffisant.
Coût principal : investissement en technologies (IDS industriel, serveurs d’authentification, infrastructure PKI) et en personnel qualifié.
De SL 3 à SL 4
Effort : très élevé. C’est le domaine réservé aux installations les plus sensibles. Il exige des architectures zero-trust, du chiffrement de bout en bout sur tous les canaux, des tests de pénétration réguliers par des équipes spécialisées, et une surveillance continue avec analyse comportementale.
Coût principal : personnel spécialisé permanent, technologies de pointe, et un programme de sécurité mature (ML 3 ou ML 4).
Niveaux de Sécurité vs. Niveaux de Maturité
C’est une autre source de confusion fréquente. Les niveaux de sécurité (SL) et les niveaux de maturité (ML) sont deux concepts différents :
| Niveaux de Sécurité (SL) | Niveaux de Maturité (ML) | |
|---|---|---|
| Définis dans | IEC 62443-1-1, 62443-3-3 | IEC 62443-4-1 |
| Mesurent | Le niveau de protection technique d’une zone | La maturité des processus de développement |
| S’appliquent à | Zones et conduits (chez l’exploitant) | Processus de développement (chez le fabricant) |
| Échelle | SL 1 à SL 4 | ML 1 à ML 4 |
| Question posée | « Contre quel type d’attaquant cette zone est-elle protégée ? » | « Les processus de développement de ce fabricant sont-ils formalisés et améliorés en continu ? » |
Un fabricant avec un ML 4 (processus de développement mature et en amélioration continue) peut produire des composants avec un SL-C de 2, 3 ou 4 selon les caractéristiques du produit. Le niveau de maturité du processus ne détermine pas automatiquement le niveau de sécurité du produit — mais un processus mature produit généralement des produits plus sécurisés.
Erreurs Courantes
Confondre SL du système et SL des composants
Le SL est une propriété de la zone, pas du dispositif. Un automate certifié SL 2 ne rend pas automatiquement votre zone SL 2. Le SL-A de la zone dépend de tous les composants, de toutes les contre-mesures et de l’architecture globale.
Viser SL 4 partout
SL 4 est conçu pour résister à des attaques étatiques. La plupart des sites industriels n’en ont pas besoin et n’ont pas les ressources pour le maintenir. Un SL-T mal calibré (trop élevé) gaspille des ressources et crée un faux sentiment de sécurité si le SL-A ne peut pas suivre.
Fixer le SL-T sans analyse de risque
Le SL-T doit être déterminé par l’évaluation des risques (IEC 62443-3-2), pas par intuition ou par convention. Un SL-T de 3 sans analyse de risque documentée n’a aucune valeur vis-à-vis d’un auditeur.
Ignorer la dégradation du SL-A
Le SL-A diminue avec le temps. Une zone qui atteint SL 3 le jour de la mise en service peut être redescendue à SL 2 un an plus tard si les correctifs ne sont pas appliqués, les règles de pare-feu ne sont pas révisées, et les audits ne sont pas réalisés. C’est pourquoi un CSMS continu est indispensable.
Questions Fréquentes
Quel niveau de sécurité choisir pour mon site ?
Cela dépend de votre analyse de risque. Pour l’industrie manufacturière générale, SL 2 est le point de départ le plus courant. Pour les infrastructures critiques (énergie, eau, transport), SL 3 est la cible habituelle. SL 4 est réservé aux installations les plus sensibles (défense, nucléaire).
Comment mesurer le SL-A d’une zone ?
En auditant la zone contre les exigences de l’IEC 62443-3-3 au niveau SL-T visé. Pour chaque SR et chaque RE exigé à ce niveau, vérifier si l’exigence est effectivement respectée. Le SL-A est le niveau le plus élevé pour lequel toutes les exigences sont satisfaites.
Peut-on avoir des zones avec des niveaux de sécurité différents sur le même site ?
Oui, c’est même la norme. Le modèle zones et conduits est conçu pour ça. La zone entreprise peut être SL 1, la zone de production SL 2, et la zone de contrôle critique SL 3. Les conduits entre les zones gèrent la transition de sécurité.
Que faire quand le SL-C d’un composant est inférieur au SL-T de la zone ?
Deux options : remplacer le composant par un composant avec un SL-C suffisant, ou appliquer des contre-mesures compensatoires (pare-feu dédié, isolation réseau, surveillance renforcée). L’IEC 62443-3-3 autorise explicitement les contre-mesures compensatoires (section 4.3) à condition qu’elles soient documentées et justifiées.
À quelle fréquence faut-il réévaluer le SL-A ?
Au minimum une fois par an dans le cadre de l’audit du CSMS. Plus fréquemment si des changements significatifs interviennent : ajout de nouveaux équipements, modification de l’architecture réseau, publication de vulnérabilités critiques, ou incident de sécurité.
Les niveaux de sécurité s’appliquent-ils aux composants ?
Oui. L’IEC 62443-4-2 définit des exigences de sécurité pour les composants individuels, organisées par les mêmes niveaux SL 1 à SL 4. Le SL-C d’un composant indique le niveau de sécurité maximal qu’il peut supporter en fonction de ses caractéristiques techniques.