OT / ICS Cybersecurity

IEC 62443 + EBIOS RM

Sécurisez vos systèmes d'automatisation et de contrôle industriels (IACS) en combinant la norme IEC 62443 et la méthode EBIOS Risk Manager.

Conformité IEC 62443 — SL 2
Conforme × 14 Écart × 6

Vue Conformité IEC 62443 par zone / conduit

Zone & conduit model — IEC 62443-3-2

Structurez votre réseau OT en zones sécurisées

Découpez votre architecture ICS en zones fonctionnelles et conduits de communication selon IEC 62443-3-2, puis évaluez le Security Level requis pour chaque zone.

1

Définition des zones & conduits

Identifiez et délimitez vos zones de sécurité et les conduits inter-zones.

2

Évaluation du SL cible (SL-T)

Déterminez le niveau de sécurité cible pour chaque zone selon les conséquences potentielles.

3

Évaluation du SL obtenu (SL-A)

Mesurez le niveau réellement atteint par les composants en place.

4

Grille de conformité FR 1–7

Évaluez l'écart sur chacune des 7 exigences fondamentales IEC 62443-3-3.

5

Plan de remédiation

Priorisez les mesures correctives pour combler les écarts SL-T vs SL-A.

SL 1 à SL 4 FR 1 — Contrôle d'accès FR 2 — Utilisation contrôlée FR 7 — Disponibilité des ressources
Unified risk view — IEC 62443 + EBIOS RM

Une vue risque unifiée cyber-industrielle

Enrichissez votre analyse IEC 62443 avec les scénarios EBIOS RM : associez sources de risques, chemins d'attaque et scénarios opérationnels directement aux zones et conduits de votre architecture OT.

🔗

Sources de risques OT

Profils d'attaquants spécifiques aux IACS (nation-states, saboteurs industriels, erreurs internes).

🗺️

Scénarios sur zones

Scénarios EBIOS stratégiques et opérationnels ancrés dans les zones et conduits IEC 62443.

📊

Tableau de bord unifié

Visualisez conformité IEC 62443 et risques EBIOS dans une même interface.

📄

Rapport intégré

Export Word combinant analyse de conformité IEC 62443 et résultats EBIOS RM.

7 Exigences Fondamentales

FR 1 Contrôle d'accès
FR 2 Utilisation contrôlée
FR 3 Intégrité du système
FR 4 Confidentialité des données
FR 5 Flux de données restreints
FR 6 Réponse aux incidents
FR 7 Disponibilité des ressources

Conçu pour les environnements OT critiques

Énergie & utilities

SCADA, DCS, réseaux électriques intelligents — conformité NIS2 et directive CER pour les opérateurs d'énergie.

🏭

Industrie manufacturière

Lignes de production automatisées, îlots robotisés — maîtrisez les risques cyber de vos OT de production.

🛢️

Oil & Gas / Chimie

Sites SEVESO avec systèmes instrumentés de sécurité (SIS) — croisez IEC 62443 et analyse de sécurité fonctionnelle.

🚇

Transports & infrastructures

Systèmes de contrôle-commande ferroviaires, routiers ou portuaires — analyse de risques cyber selon IEC 62443.

System under Consideration — zone & conduit diagram

Dessinez votre architecture OT directement dans l'outil

L'éditeur graphique drag-and-drop permet de modéliser le System under Consideration (SuC) avec ses zones de sécurité, conduits et niveaux Purdue — sans outil externe.

Éditeur SuC — Site chimique exemple SL-T = 3
Niveau 4 — Réseau d'entreprise IT ERP / MES SL-T : 2 Active Directory SL-T : 2 Historiens IT SL-T : 2 DMZ — Zone de démarcation IT/OT Pare-feu industriel Data Diode Jump server Niveau 3 — Zone Supervision OT SCADA SL-T : 3 ⚠ 2 CVE critiques Historian OT SL-T : 3 ✓ à jour Serveur IHM SL-T : 3 ⚠ 1 CVE haute Niveau 2 — Zone Contrôle procédé DCS principal SL-T : 3 ⚠ 3 CVE IHM locale SL-T : 3 ✓ à jour Eng. station SL-T : 2 ✗ 5 CVE critiques Zone SIS — Sécurité instrumentée SIS Controller SL-T : 4 ✓ à jour Logic Solver SL-T : 4 ✓ à jour Capteurs & actionneurs de sécurité Vannes ESD Détecteurs gaz PSV Niveau 1 — Zone Terrain (PLC / Automates) PLC-01 PLC-02 RTU-01 Capteur P/T Actionneur Légende Security Level SL-T 2 SL-T 3 SL-T 4 ⚠ CVE Couleurs = niveau de sécurité cible par zone

Modélisez votre SuC sans outil externe

L'éditeur intégré permet de construire le diagramme de votre System under Consideration directement dans EasyRisk, en suivant le modèle de référence Purdue. Chaque zone et chaque conduit devient automatiquement une entrée de votre analyse IEC 62443.

1

Créez vos zones par glisser-déposer

Dessinez les zones de sécurité, nommez-les et assignez-leur un niveau Purdue (0 à 4).

2

Reliez les zones par des conduits

Tracez les conduits de communication entre zones — protocole, sens, technologie de séparation.

3

Peuplez les composants

Ajoutez automates, SCADA, IHM, serveurs dans chaque zone — manuellement ou par import de scan.

4

Les zones alimentent l'analyse

Chaque zone créée génère automatiquement une fiche d'évaluation SL, conformité FR et plan de remédiation.

Niveaux Purdue 0–4 Export SVG / PNG Synchronisé avec l'analyse Multi-sites
🗂️

Modèle Purdue intégré

Gabarits prédéfinis pour les niveaux 0 (terrain) à 4 (IT), avec les flux autorisés par défaut.

🔒

Visualisation des SL par zone

Code couleur SL-T / SL-A / SL-C en temps réel sur le diagramme dès que l'évaluation est saisie.

⚠️

Overlay CVE sur le diagramme

Les vulnérabilités détectées s'affichent directement sur les composants concernés dans le diagramme.

📄

Export dans le rapport Word

Le diagramme SuC est intégré automatiquement dans le rapport IEC 62443 généré.

Scan import & CVE enrichment — OT components

Importez vos scans réseau et enrichissez automatiquement avec les CVE

Importez les inventaires issus de vos outils de découverte OT (Nmap, Claroty, Dragos, Tenable OT…) : les composants sont créés dans le SuC et enrichis automatiquement avec les CVE publiques correspondantes.

1

Import du fichier de scan

Glissez un export Nmap (XML), Claroty (CSV/JSON), Dragos ou Tenable OT — les composants détectés sont parsés automatiquement.

2

Détection automatique des équipements

Chaque adresse IP, OS, version firmware et protocole détecté est converti en composant IACS et rattaché à une zone du SuC.

3

Enrichissement CVE (NVD / ICS-CERT)

Pour chaque composant identifié, EasyRisk interroge la base NVD et les advisories ICS-CERT pour récupérer les CVE actives avec score CVSS.

4

Intégration dans l'analyse IEC 62443

Les CVE critiques (> 7.0) sont automatiquement remontées comme écarts dans la grille de conformité FR 3 (intégrité) et FR 7 (disponibilité).

5

Overlay sur le diagramme SuC

Les composants affectés sont signalés visuellement sur le diagramme zones/conduits avec badge de sévérité CVE.

Nmap XML Claroty CSV/JSON Dragos Tenable OT NVD / ICS-CERT Score CVSS
📡 Import scan — résultats 14 composants détectés
⚙️ Siemens S7-300 — 192.168.10.15 3 CVE
9.8 CVE-2019-13945 — Authentification contournable via Profinet
7.5 CVE-2022-38465 — Clé privée exposée dans firmware
🖥️ WinCC SCADA — 192.168.10.5 2 CVE
7.8 CVE-2023-29054 — Élévation de privilèges OPC-UA
🛡️ Rockwell ControlLogix — 192.168.20.8 ✓ Aucun CVE
✨ Actions générées automatiquement
FR 3 Mise à jour firmware S7-300 — Écart intégrité système (CVSS 9.8)
FR 1 Patch WinCC OPC-UA — Contrôle d'accès insuffisant (CVSS 7.8)
Knowledge bases — guided data entry

Des référentiels OT intégrés pour une saisie sans erreur

Chaque fiche IEC 62443 s'appuie sur des bibliothèques techniques spécifiques aux environnements industriels pour guider et accélérer l'évaluation.

🏭

Composants IACS types

Catalogue de composants OT classifiés par type (automate PLC, IHM, SCADA, serveur historians, passerelle…) avec leurs propriétés de sécurité.

PLC / DCS SCADA Historians
🎚️

Exigences FR par SL

Référentiel des 110+ exigences système (SR) issues d'IEC 62443-3-3, organisées par FR et par niveau SL 1 à 4, prêtes à cocher.

FR 1–7 SL 1–4 SR détaillées
🔗

Menaces OT (ICS-CERT / ATT&CK ICS)

Bibliothèque de menaces spécifiques aux IACS alignée MITRE ATT&CK for ICS : sabotage procédé, falsification de données de capteurs, attaques sur protocoles industriels.

ATT&CK ICS ICS-CERT Modbus / OPC-UA

Contre-mesures & bonnes pratiques

Catalogue de contre-mesures techniques et organisationnelles aligné IEC 62443 et guides ANSSI ICS — segmentation réseau, authentification, journalisation.

Segmentation Authentification forte Patch management
AI-assisted data entry — per-form guidance

L'IA guide votre analyse zone par zone

Sur chaque fiche IEC 62443, l'assistant IA propose le SL cible adapté, détecte les écarts de conformité et suggère les contre-mesures prioritaires.

🎚️

Recommandation du SL cible

Sur la base des conséquences potentielles (sécurité des personnes, environnement, production), l'IA recommande le SL-T approprié pour chaque zone.

⚠️

Détection des écarts critiques

L'IA identifie les exigences FR non satisfaites les plus à risque et les remonte en priorité dans le plan de remédiation.

🔗

Liaison automatique EBIOS

L'IA propose de créer automatiquement les scénarios EBIOS correspondants aux lacunes IEC 62443 détectées sur les zones critiques.

Assistant IEC 62443 — Évaluation zone : Salle de contrôle
👤
La zone "Salle de contrôle DCS" pilote des réacteurs chimiques. Quel SL cible me recommandes-tu ?
Pour une zone contrôlant des réacteurs chimiques, je recommande SL-T = 3.

Raison : conséquences potentielles graves pour la sécurité des personnes et l'environnement en cas de compromission.

SL 3 exige notamment : authentification multi-facteur, segmentation réseau renforcée, journalisation complète, et réponse aux incidents formalisée.
Appliquer SL-T = 3 Voir les SR requises Comparer SL 2 vs 3
👤
J'ai coté FR 1 et FR 3 comme non conformes. Quelles contre-mesures prioriser ?
Pour combler les écarts FR 1 (contrôle d'accès) et FR 3 (intégrité) en priorité :

1. FR 1 : déployer l'authentification MFA sur toutes les IHM de la zone
2. FR 1 : réviser les comptes de service partagés sur le DCS
3. FR 3 : activer la vérification d'intégrité des configurations automates

Je peux pré-remplir ces actions dans votre plan de remédiation.