Introduction
La cybersécurité des systèmes industriels se distingue de la cybersécurité des systèmes d’information classiques par la nature même de ce qu’elle protège. Dans un environnement OT, la partie informative des actifs à protéger n’est pas toujours la plus significative : elle est systématiquement complétée d’une chaîne de production, de procédés physiques, d’installations techniques, etc.
- la méthode EBIOS Risk Manager,
- la série de normes IEC 62443,
- la méthode de classification des systèmes industriels proposée par l’ANSSI dans son guide La cybersécurité des systèmes industriels, méthode de classification,
Ces trois documents ne poursuivent pas exactement le même objectif. EBIOS RM est une méthode générale d’appréciation et de traitement des risques numériques. L’IEC 62443 est un cadre normatif international dédié aux systèmes d’automatisation et de contrôle industriels. La méthode ANSSI de classification propose, quant à elle, une manière de définir un socle de sécurité adapté aux systèmes industriels, en s’appuyant sur le découpage du périmètre industriel, et vise à fournir un pont entre la proposition EBIOS RM et la norme suscitée.
Ces trois démarches partagent objectivement une logique commune : identifier des enjeux métier, définir un périmètre, structurer l’analyse autour de zones cohérentes, apprécier les impacts potentiels, puis déterminer des exigences ou mesures proportionnées. Elles traduisent toutes une même idée fondamentale : la cybersécurité industrielle ne peut pas être traitée comme une simple transposition de la cybersécurité IT.
L’objectif de cet article est d’explorer les points communs entre EBIOS RM, l’IEC 62443, en particulier sa partie 3-2, et la méthode de classification proposée par l’ANSSI, puis de donner un exemple de mise en œuvre dans l’application Agile Risk Manager.
1. La méthode EBIOS RM et l'IEC 62443 : deux cadres de référence complémentaires
1.1 EBIOS RM, la méthode française de référence
EBIOS RM est aujourd’hui la méthode de référence française permettant aux organisations d’identifier et de comprendre les risques numériques qui leur sont propres. Cette méthode permet de déterminer des mesures de sécurité adaptées à la menace et de mettre en place un cadre de suivi et d’amélioration continue à l’issue d’une analyse de risque partagée au plus haut niveau.
Son originalité réside dans la combinaison de deux approches complémentaires. D’une part, la construction d’un socle de sécurité fondé sur les exigences de référence applicables au système étudié. D’autre part, l’analyse de scénarios de risques ciblés, prenant en compte les motivations des sources de risque ainsi que l’écosystème métier et la structure technique de l’organisation. Cette articulation permet de confronter les mesures existantes à des attaques réalistes afin d’évaluer leur vraisemblance, puis d’identifier les éventuels besoins de renforcement.
La méthode est structurée autour de cinq ateliers successifs. Le premier établit le périmètre de l’étude et consolide le socle de sécurité en identifiant notamment les missions, les valeurs métier, les biens supports et les événements redoutés. Les ateliers suivants analysent les sources de risque et leurs objectifs, étudient les interactions avec l’écosystème, puis élaborent des scénarios stratégiques et opérationnels décrivant les chemins d’attaque et modes opératoires envisageables. Enfin, le dernier atelier permet de définir les actions de traitement, d’arbitrer l’acceptation des risques résiduels et d’organiser leur suivi dans la durée.
1.2 L’IEC 62443, le cadre normatif OT
- L’IEC 62443-2-1 : précise les exigences relatives au programme de sécurité que doit mettre en place l’exploitant ou propriétaire d’actifs industriels pour gouverner, exploiter et maintenir la cybersécurité de ses IACS.
- L’IEC 62443-3-2 : définit la méthode d’appréciation du risque pour la conception d’un système industriel, en cadrant le système étudié, son découpage en zones et conduits, l’évaluation des risques associés et la détermination des niveaux de sécurité cibles.
- L’IEC 62443-3-3 : formalise les exigences techniques de sécurité applicables au niveau système, structurées autour des exigences fondamentales de cybersécurité et associées aux niveaux de sécurité attendus pour les zones et conduits.
- L’IEC 62443-4-1 : définit les exigences de processus applicables au cycle de développement sécurisé des produits industriels, depuis la définition des exigences de sécurité jusqu’à la gestion des vulnérabilités, des correctifs et de la fin de vie.
- L’IEC 62443-4-2 : décrit les exigences techniques de sécurité applicables aux composants industriels, afin d’évaluer leurs capacités intrinsèques de protection dans un environnement IACS.
2. EBIOS RM & l'IEC 62443 : une philosophie commune ?
2.1 Une même exigence de cadrage
Le premier point de convergence entre EBIOS RM et IEC 62443-3-2 est l’importance du cadrage.
Dans EBIOS RM, l’atelier 1 vise à définir le cadre de l’étude, le périmètre métier et technique, les missions, les valeurs métier, les biens supports, les événements redoutés et le socle de sécurité.
Dans l’IEC 62443-3-2, la première étape structurante consiste à définir le System Under Consideration, c’est-à-dire le système à l’étude. La norme établit des exigences pour identifier ce SUC, le partitionner en zones et conduits, apprécier les risques associés et documenter les exigences de sécurité.
Cette convergence n’est pas seulement formelle. Dans les deux cas, l’analyse de risque commence par une décision de périmètre. Que cherche-t-on à protéger ? Quelles missions sont concernées ? Quelles limites donne-t-on au système étudié ? Quels sont les points d’accès ? Quels éléments techniques ou organisationnels sont inclus ?
Dans un contexte OT, cette étape est critique, car le périmètre peut inclure des équipements industriels, des réseaux, des postes d’ingénierie, des serveurs de supervision, des accès de maintenance, des sites distants, des interconnexions IT/OT, etc. Cette variété rend donc l’exercice particulièrement structurant.
2.2 Une approche fondée sur les impacts
Le deuxième point de convergence tient à la place accordée aux impacts. EBIOS RM identifie les événements redoutés associés aux valeurs métier et estime leur gravité dès l’atelier 1.L’IEC 62443-3-2 intègre également la détermination des conséquences et impacts dans son processus d’appréciation détaillée du risque.
Ce point commun est essentiel dans l’OT. L’objectif n’est pas uniquement de savoir si une vulnérabilité existe, mais de comprendre ce qu’elle peut produire sur le procédé, les opérations ou la mission. En environnement industriel, une atteinte à l’intégrité d’une donnée de mesure ou d’une consigne peut être aussi critique qu’une indisponibilité complète.
De même, une modification non autorisée de paramètres peut produire des effets différents et potentiellement plus massif que dans un SI classique. EBIOS RM et IEC 62443-3-2 convergent donc sur une idée centrale : l’analyse de risque doit être orientée conséquences. Elle doit permettre de comprendre les effets réels d’une compromission sur l’organisation et sur le système industriel étudié.
2.3 Une logique de scénario et de chemin d’attaque
Le troisième point de convergence concerne la prise en compte des scénarios. EBIOS RM est explicitement construite autour d’une approche par scénarios. L’atelier 3 permet de bâtir des scénarios stratégiques représentant les chemins d’attaque qu’une source de risque pourrait emprunter pour atteindre des valeurs métiers.
L’atelier 4 construit des scénarios opérationnels reprenant les modes opératoires susceptibles d’être utilisés. L’IEC 62443-3-2 n’utilise pas nécessairement la même terminologie qu’EBIOS RM, mais elle structure l’appréciation du risque autour de l’identification des menaces, des vulnérabilités, et de leur exploitation.
Les deux démarches partagent donc une logique dynamique du risque. Le risque n’est pas seulement un niveau abstrait ; il résulte de la rencontre entre un contexte (des biens supports, des valeurs métiers, des sources de risques, des vulnérabilités au sens large du terme, des mesures existantes) et l’intérêt et capacité d’un attaquant.
Cette logique est indispensable pour les systèmes industriels, où la réalité d’un scénario dépend souvent de chemins concrets : accès distant de maintenance, rebond depuis l’IT, compromission d’un poste d’ingénierie, modification d’un programme automate, usage d’un support amovible, exploitation d’une faiblesse de segmentation ou d’une dépendance fournisseur, etc.
2.4 Une recherche de proportionnalité
Le quatrième point de convergence est la proportionnalité des mesures. EBIOS RM vise à déterminer des mesures de sécurité adaptées à la menace et à mettre en place un cadre de suivi et d’amélioration continue. L’IEC 62443-3-2 poursuit une finalité similaire dans un langage normatif OT : apprécier le risque par zone et conduit, établir le niveau de sécurité cible pour chaque zone et conduit, et documenter les exigences de sécurité.
La proportionnalité est particulièrement importante dans l’environnement industriel. Une mesure trop faible expose l’organisation à des conséquences potentiellement graves. Une mesure trop lourde peut être difficile à déployer, incompatible avec des contraintes industrielles ou contre-productive pour l’exploitation.
3. Le guide "La cybersécurité des systèmes industriels, méthode de classification" proposé par l'ANSSI
L’ANSSI propose, dans son guide « La cybersécurité des systèmes industriels –
Méthode de classification » , une méthode de définition d’un socle de sécurité adapté aux systèmes industriels. Cette méthode s’appuie sur le découpage du périmètre industriel et sa classification en quatre niveaux, et fait directement et activement le lien avec l’IEC 62443, même s’il n’en est pas une simple transposition.
L’intérêt de cette approche est qu’elle permet de rendre opérationnelle la proximité entre EBIOS RM et IEC 62443, sans réduire l’une à l’autre. Elle s’appuie sur les éléments de l’atelier 1 d’EBIOS RM, notamment le cadrage, les valeurs métier, les biens supports et les événements redoutés, tout en introduisant une activité spécifique de découpage en zones, directement inspirée des logiques d’architecture propres aux systèmes industriels et à l’IEC 62443.
Cette méthode comble ainsi un point de passage souvent délicat entre les deux référentiels : elle crée un lien explicite entre les valeurs métier issues d’une analyse EBIOS RM et les zones utilisées pour structurer l’analyse et la sécurisation des environnements industriels. Elle permet donc de relier les enjeux métier, les impacts (et événements) redoutés et la structuration technique du périmètre OT.
Elle apporte également une réponse à une difficulté fréquemment rencontrée dans l’usage de l’IEC 62443 : la détermination du bon niveau de sécurité à appliquer. Les niveaux de sécurité de l’IEC 62443 sont directement liés à la menace et aux capacités d’attaque, la méthode ANSSI recentre la classification sur la gravité des impacts associés aux événements redoutés, sans pour autant fournir de correspondance directe.
Cette distinction est structurante : elle stabilise la classification autour des conséquences potentielles pour l’organisation, les personnes, l’environnement ou l’activité, puis laisse à l’analyse de risque, notamment via EBIOS RM, le soin d’intégrer la vraisemblance, les scénarios d’attaque et l’état réel de la menace. Le guide précise ainsi que la vraisemblance reste déterminante dans l’analyse de risque, même si elle n’est pas utilisée comme critère central de classification.
4. La mise en œuvre dans Agile Risk Manager
Pour illustrer les éléments fournis dans cette article, une proposition de mise en œuvre a été réalisé à partir de l’exemple fourni par l’ANSSI : le périmètre porte sur le système d’information industriel d’un réseau d’assainissement fictif, exploité par l’entité Assaineaux. Cet exemple ne porte donc pas seulement sur une station isolée, mais sur un réseau d’assainissement distribué, comprenant des sites industriels, des capteurs, une supervision centrale et des dépendances de téléconduite. C’est précisément ce qui permet au guide d’illustrer les sujets de zones/conduits, de surclassement, etc.
Une proposition de mise en œuvre est présentée ci-dessous à partir de l’exemple fourni par l’ANSSI : le périmètre porte sur le système d’information industriel d’un réseau d’assainissement fictif, exploité par l’entité Assaineaux. Cet exemple ne porte donc pas seulement sur une station isolée, mais sur un réseau d’assainissement distribué, comprenant des sites industriels, des capteurs, une supervision centrale et des dépendances de téléconduite. C’est précisément ce qui permet au guide d’illustrer les sujets de zones/conduits, de surclassement, etc.
4.1 Les valeurs métiers
La mise en œuvre proposée par l’ANSSI sépare les valeurs métiers, au sens EBIOS RM, les fonctions, au sens IEC 62443, et les biens supports.
Nota : plus spécifique à l’IEC 62443, la notion de Zone et de Conduit se superpose assez simplement aux fonctions identifiées par l’ANSSI. Dans le cas où on le souhaiterait strictement rester à un niveau bien supports, des catégories spécifiques peuvent être exploitées.
Ce découpage se traduit dans l’application par l’exploitation des missions, qui servent d’équivalent aux valeurs métiers de haut niveau. Cela permet ensuite de transformer les fonctions en valeur métier, puis d’y associer les biens supports.
4.2 Les événements redoutés
La structuration des événements redoutés (et leur intégration dans un processus purement EBIOS RM) est plus spécifique : il faut à ce stade se rappeler que l’approche proposée par l’ANSSI est une approche de classification, qui amène ensuite, lorsque c’est opportun, à la réalisation d’une analyse de risques plus complète.
On aura donc, sur une première itération d’atelier 1, la définition d’événements redoutés directement liés aux fonctions.
La classe qui apparait ici est techniquement liée à un paramètre dans Agile Risk Manager : c’est une base de connaissances libres, ce qui permet simplement d’intégrer de nouveaux concepts, y compris lorsqu’ils ne sont pas initialement prévus par la méthode. Cette classe est équivalente au niveau de gravité calculé, et ce niveau de gravité est lié à l’impact maximal retenu, comme dans les tableaux fournis dans l’implémentation.
Des événements redoutés plus proches de la méthode EBIOS RM sont aussi définis et évalués dans une table séparée : ils serviront, si c’est pertinent, à ancrer le reste de l’analyse de risques.
4.3 Les échelles d'impacts utilisées
Les échelles d’impacts fournies par le guide ont été réintégrées. Elles sont ensuite référencées par l’évaluation des événements redoutés, et permettent le calcul automatique d’un niveau de gravité. Ce niveau de gravité est aligné sur la classe choisie.
4.4 La visualisation des classes dans le socle de sécurité retenu
Le socle de sécurité (construit ici à partir des mesures détaillées présentes dans le guide de l’ANSSI) dispose d’une colonne Niveau, associé à une valeur de classe attendue.
5. La poursuite de l'analyse de risques
Si le processus général d’intégration des classifications (SL ou Classe) est identifié à la fois dans l’IEC 62443 et la proposition ANSSI, leur mise en œuvre opérationnelle n’est pas détaillée. Le sujet de la concomitance est notamment laissé de côté : est-ce que l’analyse de risques en tant que telle doit être réalisée au sein de l’analyse ayant servie à la classification ? Faut-il la séparer par sous fonction ? Il n’y a pas de réponse définitive.
Dans Agile Risk Manager, les 2 approches sont possibles.
La première (proposée ci-dessous) implique d’identifier 2 types d’événements redoutés, liés par des fonctions, mais adressant des objectifs différents. Les premiers servent exclusivement à la classification, les seconds à la poursuite de l’analyse de risque. Une première itération permettra donc de constituer la classification, d’identifier le socle de sécurité ad hoc, puis de réaliser une analyse de risque EBIOS RM adaptée, notamment au niveau de l’atelier 4.
- de rendre complexe une analyse plus détaillé fonction par fonction ;
- de nécessiter une vigilance certaine sur l’application des classes (i.e des mesures de sécurité) aux biens supports, au moment de l’appréciation de leur vulnérabilité dans l’atelier 4.
- une analyse de risque chapeau sert à la classification ;
- Une analyse de risque détaillée est ensuite réalisée pour chaque fonction, au sein de projets séparés.
Cette approche offre une meilleure maitrise de la granularité (on peut redécouper les fonctions, sans limite de profondeur), mais nécessite un effort complémentaire. C’est un choix d’implémentation.
6. Conclusion
La méthode EBIOS RM, la norme IEC 62443 et la méthode de classification des systèmes industriels de l’ANSSI constituent des démarches complémentaires répondant à des objectifs différents mais convergents. Là où EBIOS RM apporte une vision orientée métier et scénarios de risque, l’IEC 62443 fournit un cadre structurant pour l’architecture et les exigences de sécurité des environnements industriels.
La méthode de classification de l’ANSSI joue quant à elle un rôle de passerelle en reliant les impacts métier, l’organisation du système en zones et conduits, et la définition d’un socle de sécurité proportionné. Au-delà des différences de vocabulaire ou de niveau d’abstraction, ces trois référentiels partagent une logique commune : comprendre les conséquences d’un incident sur le procédé industriel, structurer le périmètre étudié, évaluer les risques de manière proportionnée et déployer des mesures adaptées aux enjeux réels de l’organisation.
Cette convergence offre aux praticiens un cadre cohérent pour construire une démarche de cybersécurité industrielle à la fois pragmatique, robuste et alignée sur les bonnes pratiques reconnues.
L’exemple présenté dans Agile Risk Manager illustre qu’il est possible d’articuler ces approches au sein d’un même outil, afin de faciliter la continuité entre classification, définition du socle de sécurité et analyse de risque approfondie. Plus qu’une juxtaposition de référentiels, cette complémentarité constitue aujourd’hui un levier efficace pour maîtriser les risques cyber des systèmes industriels.
- ANSSI, La méthode EBIOS Risk Manager, page officielle ANSSI.
- IEC, IEC 62443-3-2:2020, Security for industrial automation and control systems, Part 3-2: Security risk assessment for system design.
- ANSSI, La cybersécurité des systèmes industriels, méthode de classification, version 2.0 du 10 mars 2025.
