Qu'est-ce que la sécurité fonctionnelle ?

La définition de l'IEC 61508 nous précise qu'il s'agit d'un sous-ensemble de la sécurité globale se rapportant à l’équipement ou l'installation concernée et à son système de commande, qui dépend du fonctionnement correct des systèmes Electriques/Electroniques/Programmables Electroniques relatifs à la sécurité et aux autres dispositifs externes de réduction de risque.

Beaucoup de cahiers des charges font maintenant références aux normes issues de l'IEC 61508 et ce, de manière pas toujours pertinente. Il en résulte pour les équipes d'automaticiens la charge de devoir développer,  seuls, des systèmes de sécurité alors que ces systèmes interviennent de manière transverse dans la stratégie générale de réduction des risques d'une installation industrielle ou d'une infrastructure.

La série de normes issue de l’IEC 61508 répond aux questions suivantes :

• Avec quel « niveau de sécurité/sûreté » dois-je réaliser cette fonction ?
• Que dois-je faire pour atteindre ce « niveau de performances » ?

à travers des concepts fondamentaux :

• L’adaptation des exigences normatives à une cible de risque résiduel par le niveau d’intégrité de sécurité (SIL). 4 niveaux sont définis, la prescription d’un ensemble de règles, techniques et méthodes, applicables selon le niveau visé, la prise en compte des aspects logiciels liés à la sécurité,
• Une évaluation de la réduction de risque obtenue indépendante,
• La définition d’un cycle de vie de la sécurité,
• 5 domaines d’action principaux :
• Intégrité du cycle de développement des systèmes de sécurité dans les domaines de la spécification, de la conception et des essais dans le but d’éliminer et d’éviter les pannes systématiques, c'est-à-dire une bonne gestion de projet,
• Robustesse de la conception des systèmes de sécurité par des mesures permettant la tolérance aux pannes systématiques (diagnostics, contrôle d’accès, environnement, etc…),
• Respect de contraintes sur l‘architecture du matériel des systèmes de sécurité en tant que partie prenante du taux de couverture permettant de déterminer un taux de panne sûre,
• Garantie pour les systèmes de sécurité d’un taux de panne par heure ou sur sollicitation maximal,
• Intégrité et robustesse de la conception des logiciels des systèmes de sécurité, concernant uniquement les pannes systématiques.

Ces normes constituent un référentiel d’organisation, d’évaluation et d’exigences techniques pouvant être dérivé en un référentiel de certification privée et d’ordre non réglementaire.

.Pourquoi la cyber-sécurité ?

Les analyses de vulnérabilité des réseaux industriels (source RISI confirmée par l’Agence Nationale de la Sécurité des Systèmes Informatiques - ANSSI) montre que l’origine des incidents de sécurité se réparti comme suit :

• Accidentelle : 50%
• Logiciel malveillant : 30 %
• Attaques externes : 11%
• Attaques internes : 9%

Par ailleurs les plus forts taux de cyber attaques sont relevés sur les secteurs suivants (par ordre décroissant et pour ceux représentant individuellement plus de 5% des attaques) :

• Energie : 19%
• Pétrole : 18%
• Transport : 16%
• Traitement et distribution de l’eau : 13%
• Agro-alimentaire : 8%
• Chimie : 7%
• Manufacturier : 5%

On peut souligner des éléments caractéristiques des systèmes informatiques industriels qui sont des contraintes importantes pour l'élaboration de stratégie de réduction des risques.

Le risque : les risques auxquels font face les systèmes en prise avec les équipements du procédé (automatismes) sont relativement stables dans le temps et les analyses de risques ne doivent être reprises que lors d’une modification de l’installation. Les risques auxquels font face les systèmes de type tertiaire sont instables et changent quotidiennement. La probabilité d’une attaque doit être considérée comme égale à 1 dès lors qu’une vulnérabilité existe.

Le système : le système global (incorporant les opérateurs de télécommunication et de fourniture d’énergie) est dynamique. Un opérateur isolé n’est pas en mesure d’analyser les dépendances et n’est donc pas en mesure de comprendre les problèmes globaux qui se posent.

La sécurité du gigantesque : Les modèles sont nécessairement incomplets et les passages à l’échelle ne sont pas représentatifs en raison des hypothèses simplificatrices qui sont émises. Les propriétés émergentes sont inconnues, ce qui impose de prévoir la composante inconnue.

La mécanique des incidents : En sécurité fonctionnelle, les modes communs sont rarement dominants. Si cela s’avérait être le cas, cela révélerait une conception particulièrement faible. En sécurité informatique, le mode commun est précisément le point où portera l’attaque dans la plupart des cas. Les effets des incidents se caractérisent par les enchaînements en cascade aggravés par les dépendances systémiques externes comme les réseaux de télécommunication et de fourniture d’énergie.