Sécurité des réseaux et des systèmes. Les réseaux de communication industriels et l'Internet des objets rendent les installations de production et les infrastructures critiques plus vulnérables aux attaques informatiques.
Les systèmes d'automatisation et de contrôle industriels (IACS) sont généralement composés de matériels et de logiciels standardisés, intégrés au sein d'un réseau. Mais l'ouverture relative que cette intégration suppose accroît le risque de manipulations et d'attaques sur l'infrastructure informatique.
L'objectif de la CEI 62443 est d'en prévenir les effets. Elle propose une approche globale de la sécurité informatique de l'installation, de la sécurité du réseau et de l'intégrité du système.
La norme aide à identifier les vulnérabilités potentielles des technologies de contrôle et à développer des mesures de protection efficaces.
La norme est structurée en quatre grandes parties : General, Policies and Procedures, System et Component.
Partie 1
General
Informations communes et fondamentales : concepts, modèles et terminologie. On y trouve aussi les documents décrivant les métriques de sécurité et les cycles de vie de sécurité des IACS.
Partie 2
Policies and Procedures
Destinée à l'exploitant (asset owner). Elle traite des différents aspects de la création et du maintien d'un programme de sécurité IACS efficace.
Partie 3
System
Documents décrivant les orientations de conception et les exigences pour une intégration sécurisée des systèmes de contrôle.
Partie 4
Component
Exigences techniques et de développement propres aux produits de systèmes de contrôle. Destinée d'abord aux fournisseurs, elle sert aussi aux intégrateurs et exploitants pour l'achat de produits sécurisés.
Une part des vulnérabilités se joue dans le code source : règles de codage sécurisé non respectées, dépendances tierces vulnérables, zones de complexité où les défauts se nichent. TiCS réunit ces mesures dans un tableau de bord unique — sécurité du code, respect des standards, dette technique — et les suit dans le temps.
L'analyse de composition logicielle et la génération d'un SBOM (SPDX, CycloneDX) complètent ce dispositif, en rejoignant les obligations du Cyber Resilience Act, applicables depuis le 11 septembre 2026 pour le signalement des vulnérabilités exploitées.
Références, témoignages et usages de nos outils dans l'automatisation et le contrôle de procédés.
DO-178C, EN 50716, CEI 60880, CEI 61508, CEI 62304, ISO 26262, ISO 25119 : chaque référentiel pose ses propres exigences.
