Certifications de cybersécurité : Panorama, intérêts et limites pour les systèmes numériques industriels

Depuis quelques années, la criticité des systèmes numériques de pilotage et de

conduite des infrastructures industrielles (les systèmes numériques industriels) est

mise en avant. L’augmentation des attaques informatiques sur ces systèmes a démontré

l’intérêt de certains groupes activistes et plus particulièrement du monde de la cybercriminalité

pour ces systèmes. L’implication des États dans le domaine de la cyberdéfense,

voire même dans celui des cyberattaques, est grandissant1.

Pour les systèmes industriels employés dans une majorité de secteurs d’activité,

le maître mot s’apparente désormais à « complexité » : ce monde change rapidement

et les menaces évoluent, alors que la base de systèmes installés et potentiellement

vulnérables est importante. Les architectures mêmes des systèmes ne sont pas conçues

pour faire face aux cybermenaces et offrent de véritables opportunités pour des attaquants.

Or, les modifications et les évolutions nécessaires pour renforcer la sécurité de

ces systèmes demandent souvent des efforts colossaux (mises à jour d’équipements

ou remplacements complets, modifications en profondeur des architectures, etc.).

Dans ce contexte, les certifications peuvent-elles constituer une aide et une solution

pour renforcer la cybersécurité des systèmes industriels ? Quelles certifications existent

et quel niveau de confiance leur accorder ? Quels seraient les nouveaux schémas

de certification à développer ?

Autant de questions que nous allons essayer de traiter pour aider les utilisateurs

exploitant des systèmes industriels ou encore les équipes chargées de leur conception,

de leur intégration et de leur maintien en condition opérationnelle.