Cybersécurité des installations Industrielles IEC 62443

JOUR 1
• Introduction/Rappel – Les essentiels de la cybersécurité 
        o Définitions de la cybersécurité
        o Acteurs de la cybersécurité en France
        o Le DICP
        o Concepts fondamentaux de la cyber (Moindre privilège, besoin d’en connaitre, défense en profondeur…)
• L’industrie au travers du temps
        o Industrie 1.0 à 5.0
        o Architecture et composants
        o Les protocoles usuels
        o L’écosystème
        o Typologie de menace et attaques courantes
        o IT vs OT
• Les enjeux et contraintes
        o Étude de cas Fil Rouge
        o Les principes de sécurité
        o Vocabulaire
        o Pourquoi mettre en place un programme de cybersécurité industrielle
• Et l’IEC 62443 dans tout ça ?
        o Normes générales
        o Politiques et procédures
        o Système
        o Composants
        o Spécifications techniques
        o Les certifications et l’IEC 62443
• Quiz sur les normes IEC 62443

JOUR 2
• Comprendre la norme IEC 62443 (IEC 62443-1-1 et IEC 62443-3-1)
        o Les concepts
        o Objectifs de sécurité
        o Les 7 exigences fondamentales (FR)
        o Défense en Profondeur
        o Contexte de sécurité
        o Les politiques et procédures
        o Les zones de sécurité
        o Les conduits
        o Les niveaux de sécurité
        o Modèle de Purdue
        o Exercice sur les concepts et définition
        o Les technologies de sécurité (Authentification & autorisation, Pare-feu, VPN, Surveillance, détection, sécurité physique…)
        o Exercice sur l’étude de cas fil rouge
• Définir un cadre pour la sécurité (IEC 62443-2-1 et IEC 62443-2-3)
        o Le système de management de la cybersécurité (CSMS)
        o Les éléments constitutifs du CSMS
        o Les rôles et responsabilités des propriétaires d’actifs
        o Les exigences du CSMS à travers les 8 SPE
        o Modèle de maturité
        o Mise en place du CSMS et Roue de Deming
        o Quiz sur l’IEC 62443-2-1
        o Security Protection Scheme (SPS) et Security Program Rating (SPR)
        o IEC 62443-2-3 et la gestion des correctifs de sécurité
        o Rôles et responsabilités des propriétaires et fournisseurs d’actifs
        o Quiz sur l’IEC 62443-2-3
• Introduction à l’analyse de risque
        o Concepts clés de la gestion des risques
        o Les actifs
        o Processus de gestion des risques
        o Quiz sur l’IEC 62443 et la gestion du risque

JOUR 3
• Évaluation des risques de sécurité pour la conception de systèmes (IEC 62443-3-2)
        o Établir les Zones & Conduits
        o Les 7 Zones & Conducts Requirements (ZCR)
        o Exercice sur l’étude de cas fil rouge
• Exigences de sécurité système et niveaux de sécurité (IEC 62443-3-3)
        o Structure de l’IEC 62443-3-3
        o Les niveaux de sécurité
        o SL, SL-A, SL-C SL-T
        o Les 7 exigences fondamentales (FR)
                 - Les 48 Security Requirements (SR)
• Les Requirement Enhancement (RE)
        o Usage de la 62443-3-3
        o Exercice sur l’étude de cas fil rouge

JOUR 4
• Exigences de programme de sécurité pour les fournisseurs de service IACS (IEC 62443-2-4)
        o Les 3 cas d’usage de l’IEC 62443-2-4
                 - Propriétaires d’actif IACS
                 - Fournisseurs de service IACS
                 - Négociations entre les propriétaires d’actif et des fournisseurs de service IACS
        o Les exigences de l’IEC 62443-2-4
        o Le norme IEC 62443-6-1
        o Quiz sur l’IEC 62443-2-4
• Exigences de cycle de développement produit sécurisé (IEC 62443-4-1)
        o Security Development Lifecycle (SDL)
        o Les 8 pratiques du SDL
        o La certification 62443-4-1
        o Exercice sur l’étude de cas fil rouge
• Exigences de cycle de sécurité pour les composants (IEC 62443-4-2)
        o Les 4 Common Component Security Constraints (CCSC)
        o Les 4 typologies de composants couverts
                 - Hôte (Host Devices)
                 - Embarqué (Embedded Devices)
                 - Réseau (Network Devices)
                 - Logiciel (Software Application)
        o Les Components Requirements (CR)
        o Les exigences de composants spécifiques
        o Démarche d’évaluation
        o Le norme IEC 62443-6-2
        o Exercice sur l’étude de cas fil rouge
• Synthèse

Evaluation et validation
EXAMEN : PASSAGE DE LA CERTIFICATION DE PERSONNES (NON OBLIGATOIRE) :
• Partie théorique et pratique
• Le temps destiné au passage de la certification est de 3H.
• L’examen est composé de 3 parties : QCM portant sur les fondamentaux de la norme, QCM spécifique focalisé sur les documents clés de la série de norme IEC 62443 et des questions à réponses courtes (QRC) portant sur des mises en situation concrètes où vous devrez appliquer la norme à des cas pratiques
• Il se déroule sur une plateforme à distance.

La note minimale de réussite est fixée à 75 %.
La durée de l’examen est de 3 heures. Les participants non francophones bénéficient de 30 minutes supplémentaires.

L’examen valide des domaines de compétences en relation avec les profils métiers identifiés par l’European union agency for cybersecurity via l’European Cybersecurity Skills Framework