La segmentation réseau est le fondement de toute architecture de cybersécurité industrielle. Sans elle, un attaquant qui pénètre le réseau d’entreprise peut se déplacer librement jusqu’aux automates qui contrôlent les processus physiques. L’IEC 62443 résout ce problème avec un modèle structuré : les zones et les conduits.
Ce guide explique comment fonctionne ce modèle, ce que dit exactement la norme, et comment l’appliquer concrètement dans un environnement industriel.
Sommaire
Pourquoi la Segmentation Est le Point de Départ
La majorité des incidents de cybersécurité industrielle partagent un point commun : un réseau trop plat. L’attaque de Colonial Pipeline en 2021 a forcé l’arrêt du plus grand oléoduc américain — non pas parce que les systèmes OT étaient directement compromis, mais parce que l’entreprise ne pouvait pas confirmer que la menace ne s’était pas propagée du réseau IT vers le réseau OT.
L’attaque du réseau électrique ukrainien en 2015 est passée par le réseau d’entreprise via du spear-phishing, puis s’est déplacée latéralement jusqu’aux outils SCADA des opérateurs. Les attaquants ont ouvert des disjoncteurs à distance en utilisant les propres outils de supervision de l’exploitant.
Dans les deux cas, une segmentation correcte basée sur le modèle zones et conduits aurait limité ou empêché la propagation. C’est pour cette raison que l’IEC 62443 place ce concept au centre de toute sa démarche de sécurité.
Qu’est-ce qu’une Zone de Sécurité ?
L’IEC 62443-1-1, section 5.9, définit une zone de sécurité comme suit :
Une zone de sécurité est un regroupement logique d’actifs physiques, informationnels et applicatifs qui partagent des exigences de sécurité communes.
En pratique, une zone est un périmètre à l’intérieur duquel tous les actifs reçoivent le même niveau de protection. Les dispositifs à l’intérieur de la zone partagent la même politique de sécurité et le même niveau de confiance.
Caractéristiques d’une zone
Une frontière définie. Chaque zone a une bordure — la limite entre les actifs inclus et ceux qui sont exclus. Tout dispositif à l’intérieur de la frontière est protégé selon la politique de la zone. Tout dispositif à l’extérieur est, par définition, à un niveau de sécurité différent et ne peut pas être considéré comme fiable au même degré.
Des sous-zones possibles. Les zones peuvent contenir des sous-zones. Cela permet d’ajouter des couches de protection supplémentaires à l’intérieur d’une même zone — c’est de la défense en profondeur appliquée à la segmentation.
Zones physiques ou virtuelles. Une zone peut être définie de manière physique (basée sur la localisation géographique des actifs) ou virtuelle (basée sur la fonction ou les caractéristiques des actifs, indépendamment de leur emplacement). Les zones physiques sont plus simples à mettre en œuvre et à auditer. Les zones virtuelles offrent plus de flexibilité mais demandent une gestion plus rigoureuse.
Zones fiables ou non fiables. La norme distingue les zones de confiance (trusted) des zones non fiables (untrusted). Cette distinction détermine les contrôles de sécurité à appliquer aux communications entre zones.
Niveau de sécurité cible (SL-T)
Chaque zone se voit attribuer un niveau de sécurité cible (SL-T) sur la base de l’évaluation des risques réalisée conformément à l’IEC 62443-3-2. Ce niveau détermine les exigences techniques qui s’appliquent aux actifs de cette zone :
| SL-T | Protège contre | Exemple |
|---|---|---|
| SL 1 | Violation accidentelle ou involontaire | Zone de bureaux connectée au réseau industriel |
| SL 2 | Attaque intentionnelle avec des moyens simples | Réseau de production standard |
| SL 3 | Attaque sophistiquée avec des ressources modérées | Système de contrôle d’infrastructure critique |
| SL 4 | Attaque étatique avec des ressources étendues | Installation de défense ou nucléaire |
Qu’est-ce qu’un Conduit ?
L’IEC 62443-1-1, section 5.10, définit un conduit comme suit :
Un conduit est un type particulier de zone de sécurité qui regroupe les communications pouvant être logiquement organisées en flux d’information à l’intérieur et à l’extérieur d’une zone.
Un conduit est le chemin contrôlé par lequel les données circulent entre deux zones. Il protège les canaux de communication qu’il contient — la norme le compare à un tuyau physique qui protège les câbles à l’intérieur.
Caractéristiques d’un conduit
Un conduit peut être simple ou complexe. Il peut s’agir d’un seul réseau Ethernet ou d’un ensemble de plusieurs supports physiques (câbles réseau, liaisons série, accès physiques directs). Comme les zones, il peut être composé de constructions physiques et logiques.
Les conduits ont leurs propres exigences de sécurité. Elles dépendent des zones qu’il connecte. Un conduit entre deux zones SL 3 a des exigences différentes d’un conduit entre une zone SL 1 et une zone SL 3.
Conduits fiables et non fiables. Un conduit qui ne traverse pas de frontière de zone est généralement considéré comme fiable par les processus internes. Un conduit fiable qui traverse une frontière de zone doit utiliser un processus de sécurité de bout en bout. Un conduit non fiable (dont le niveau de sécurité est inférieur à celui de la zone) place la responsabilité de la sécurité sur chaque canal individuel.
Canaux (Channels)
À l’intérieur d’un conduit, les canaux sont les liens de communication spécifiques. La norme (section 5.10.2) précise que les canaux héritent des propriétés de sécurité du conduit qui les transporte. Si le conduit est sécurisé, les canaux à l’intérieur maintiennent ce niveau de sécurité.
Les canaux peuvent être :
- Fiables (trusted) — permettent une communication sécurisée avec d’autres zones. Ils peuvent être utilisés pour étendre une zone de sécurité virtuelle à des entités situées en dehors de la zone physique.
- Non fiables (untrusted) — le chemin de communication n’est pas au même niveau de sécurité que la zone de référence. Les communications doivent être validées avant d’être acceptées.
Architecture Type : Zones et Conduits en Pratique
L’IEC 62443-1-1 fournit un modèle de référence qui illustre comment les zones et conduits s’organisent dans un environnement industriel réel. Voici une architecture typique :
Zone Entreprise (Niveau 4)
Contient les systèmes IT de l’entreprise : ERP, messagerie, applications métier, accès Internet. Cette zone est exposée aux menaces IT classiques.
Conduit entreprise → DMZ Ce conduit relie la zone entreprise à la zone démilitarisée. Un pare-feu contrôle les flux autorisés. Seuls les flux spécifiquement nécessaires passent — aucun trafic direct vers la zone de contrôle.
Zone Démilitarisée (DMZ)
C’est la frontière la plus critique de toute l’architecture. Elle contient :
- Un miroir de l’historique (Historian) pour que l’IT accède aux données de production sans toucher au réseau OT
- Un serveur de rebond (jump server) pour l’accès distant contrôlé
- Un serveur de correctifs (patch staging) pour tester les mises à jour avant déploiement
- Des passerelles de données ou des diodes réseau pour un flux unidirectionnel
Aucune connexion directe ne traverse la DMZ de l’entreprise vers le contrôle. Les données remontent. Les commandes ne descendent jamais par ce chemin.
Conduit DMZ → Zone site Un second pare-feu sépare la DMZ de la zone site.
Zone Site (Niveau 3)
Contient les serveurs d’applications, les postes d’ingénierie, les serveurs de données. C’est le niveau de coordination du site.
Conduit site → Zone de contrôle Ce conduit est protégé par un pare-feu industriel configuré pour n’autoriser que les protocoles spécifiquement nécessaires (OPC UA, Modbus TCP, etc.).
Zone de Contrôle (Niveau 2)
Contient les IHM (HMI), les serveurs SCADA, l’historique de production. C’est le niveau où les opérateurs interagissent avec le processus.
Zone de Contrôle de Base (Niveau 1)
Contient les automates (PLC), les RTU et les contrôleurs DCS. Ces dispositifs exécutent la logique de contrôle en temps réel.
Zone Processus (Niveau 0)
Contient les capteurs, les actionneurs, les vannes et les variateurs. Ce sont les points physiques qui interagissent avec le monde réel.
Zone de Sécurité (Safety)
La norme définit une fonction séparée de sécurité et de protection qui fonctionne aux niveaux 0 à 2. Les systèmes instrumentés de sécurité (SIS) doivent être isolés du réseau de contrôle pour empêcher un attaquant de désactiver les protections de sécurité — la leçon de l’attaque TRITON en 2017.
Comment Définir Vos Zones : La Démarche Pas à Pas
L’IEC 62443-3-2 définit le processus d’évaluation des risques qui mène à la définition des zones et conduits. Voici la démarche concrète :
Étape 1 : Inventorier les actifs
Documenter chaque dispositif du réseau industriel : automates, IHM, commutateurs, historiques, postes d’ingénierie, modems cellulaires, convertisseurs série-Ethernet. Inclure les versions de firmware, les adresses IP et les chemins de communication.
Étape 2 : Regrouper les actifs par exigences de sécurité
Identifier quels actifs partagent les mêmes exigences. Les critères incluent :
- La criticité du processus contrôlé
- Les conséquences d’une compromission (sécurité des personnes, impact environnemental, pertes financières)
- Les protocoles de communication utilisés
- La localisation physique
- Le type de personnel qui y accède
Les actifs qui partagent les mêmes exigences et le même niveau de confiance sont regroupés dans une même zone.
Étape 3 : Évaluer les risques par zone
Pour chaque zone, évaluer les menaces, les vulnérabilités et les conséquences potentielles. Attribuer un niveau de sécurité cible (SL-T) en fonction du profil de menace identifié.
Étape 4 : Définir les conduits
Identifier tous les flux de communication entre les zones. Pour chaque flux, définir :
- Quelles zones sont connectées
- Quels protocoles et quels ports sont nécessaires
- Quelle direction (unidirectionnelle ou bidirectionnelle)
- Quels contrôles de sécurité sont appliqués au conduit
Étape 5 : Documenter et valider
Produire un diagramme zones et conduits qui montre toute l’architecture. Ce diagramme devient le document de référence pour la conception réseau, les règles de pare-feu et les audits de conformité.
Erreurs Courantes dans la Mise en Œuvre
Zones trop larges
Une zone qui contient à la fois les serveurs d’entreprise et les automates de production n’offre aucune protection. Si tout est dans la même zone, un attaquant qui compromet un serveur de messagerie a accès aux automates. Le principe est simple : les actifs avec des exigences de sécurité différentes doivent être dans des zones différentes.
Conduits trop permissifs
Un conduit avec une règle pare-feu « any-any » ne fournit aucune segmentation réelle. Chaque conduit doit être configuré pour n’autoriser que les flux strictement nécessaires — protocole par protocole, port par port, adresse par adresse.
DMZ absente ou contournée
La DMZ entre l’IT et l’OT est la frontière la plus critique. Certaines organisations installent une DMZ mais créent ensuite des « exceptions » qui la contournent : un VPN direct vers un automate pour le support vendor, un poste d’ingénierie connecté aux deux réseaux. Chaque exception est une porte ouverte.
Oublier le SIS
Les systèmes instrumentés de sécurité doivent être dans leur propre zone, séparés du réseau de contrôle. L’attaque TRITON a prouvé que les SIS connectés au réseau de contrôle peuvent être compromis. Si le SIS et le système de contrôle partagent la même zone, un attaquant qui compromet l’un peut compromettre l’autre.
Ne pas documenter
Des zones et conduits non documentés n’existent pas aux yeux d’un auditeur. Le diagramme zones et conduits et les règles de pare-feu associées doivent être tenus à jour et révisés régulièrement.
Zones et Conduits dans les Autres Parties de l’IEC 62443
Le modèle zones et conduits n’est pas limité à la partie 1-1. Il est utilisé dans toute la série :
| Partie | Utilisation des zones et conduits |
|---|---|
| IEC 62443-1-1 | Définition des concepts, modèle de référence |
| IEC 62443-2-1 | Le CSMS doit inclure la segmentation réseau comme mesure de traitement du risque |
| IEC 62443-3-2 | Processus formel pour identifier les zones, les conduits et leur SL-T |
| IEC 62443-3-3 | Exigences techniques pour la protection des frontières de zone (FR 5 — Restricted Data Flow) |
| IEC 62443-2-4 | Les prestataires de services doivent respecter les règles de segmentation de l’exploitant |
L’exigence fondamentale FR 5 (Flux de données restreint) de la partie 3-3 est directement liée au modèle zones et conduits. Elle contient les exigences système pour la segmentation réseau (SR 5.1), la protection des frontières de zone (SR 5.2), et les restrictions de communication point à point (SR 5.3).
Questions Fréquentes
Quelle est la différence entre une zone et un VLAN ?
Un VLAN est un mécanisme technique de segmentation réseau. Une zone de sécurité est un concept de sécurité. Un VLAN peut être utilisé pour implémenter une zone, mais une zone est définie par les exigences de sécurité des actifs qu’elle contient, pas par la technologie utilisée pour la mettre en œuvre. Un pare-feu, un VLAN, une diode réseau ou une séparation physique sont tous des moyens d’implémenter des frontières de zone.
Combien de zones faut-il définir ?
Il n’y a pas de nombre fixe. Le nombre dépend de la taille et de la complexité de votre environnement. Un petit site peut avoir 3 à 5 zones. Un grand site industriel peut en avoir 10 ou plus. Le principe directeur est que les actifs avec des exigences de sécurité différentes doivent être dans des zones différentes.
La DMZ est-elle obligatoire dans l’IEC 62443 ?
La norme ne prescrit pas explicitement une DMZ. Cependant, le modèle de référence de la partie 1-1 montre une architecture avec des pare-feu entre les niveaux, et la pratique unanime de l’industrie est de placer une DMZ entre le réseau d’entreprise et le réseau OT. Toutes les recommandations de CISA, NIST et ISA confirment cette approche.
Comment gérer l’accès distant dans le modèle zones et conduits ?
L’accès distant crée un conduit entre le réseau externe et le réseau OT. Ce conduit doit être contrôlé : authentification multi-facteurs, sessions à durée limitée, enregistrement de toutes les sessions, serveur de rebond dans la DMZ. Aucune connexion directe depuis l’extérieur vers un automate ou une IHM.
À quelle fréquence faut-il réviser les zones et conduits ?
La norme recommande une approche continue. En pratique, révisez le diagramme zones et conduits à chaque modification significative du réseau, lors de l’ajout de nouveaux équipements, et au minimum une fois par an dans le cadre de l’audit du CSMS.