Cyber-Physical Risk Assessment

Définition

L'évaluation des risques cyber-physiques (Cyber-Physical Risk Assessment) est une méthode d'analyse des risques spécialement conçue pour les environnements OT/ICS qui intègre explicitement les conséquences physiques potentielles des cyberattaques dans l'évaluation. Contrairement aux évaluations de risques IT classiques qui considèrent principalement les impacts sur la confidentialité, l'intégrité et la disponibilité des données, l'évaluation cyber-physique inclut les impacts sur la sécurité des personnes, l'intégrité des équipements physiques, l'environnement et la continuité de processus industriels critiques. L'évaluation cyber-physique combine des méthodes issues de la sécurité fonctionnelle (safety) et de la cybersécurité : elle s'appuie sur les analyses de risques industriels existants (HAZOP, What-If, Bow-Tie) pour identifier les scénarios de défaillance process, puis évalue si des cyberattaques pourraient déclencher ces scénarios en compromettant les systèmes de contrôle et de sécurité. La convergence entre les risques accidentels (défaillances matérielles aléatoires) et les risques délibérés (cyberattaques intentionnelles) est le cœur de cette approche. Des frameworks sectoriels d'évaluation cyber-physique ont été développés : le Cyber Security Evaluation Tool (CSET) de CISA pour les infrastructures critiques américaines, le programme C2M2 (Cybersecurity Capability Maturity Model) pour les secteurs énergie et pétrole/gaz, l'ONG-C2M2 spécifique au secteur pétrolier et gazier, et le framework IEC 62443-3-2 pour l'évaluation des risques des IACS avec prise en compte des conséquences physiques. La quantification des risques cyber-physiques est complexe : elle nécessite des données sur la fréquence des cyberattaques sectorielles (souvent confidentielles et sous-déclarées), la probabilité de succès des attaques (dépendant des défenses en place), et la gravité des conséquences physiques (basées sur les analyses de sécurité fonctionnelle existantes).

Fonctionnement d'une évaluation cyber-physique

Une évaluation cyber-physique structurée comprend : (1) Inventaire des actifs OT et des processus associés (quels systèmes contrôlent quels équipements physiques), (2) Identification des scénarios d'impact physique inacceptable (basés sur HAZOP/What-If existants) : ex. explosion du réacteur, déversement chimique, panne électrique généralisée, (3) Pour chaque scénario : identifier les systèmes OT dont la compromission pourrait déclencher le scénario, (4) Évaluer la surface d'attaque de ces systèmes (accessibilité réseau, vulnérabilités connues, protections existantes), (5) Calculer le risque résiduel (probabilité × impact), (6) Définir les mesures de réduction prioritaires pour les risques les plus élevés.

Contexte OT/ICS et secteurs à haute criticité

L'évaluation cyber-physique est particulièrement critique dans les secteurs où les conséquences d'une cyberattaque peuvent dépasser les conséquences économiques pour inclure des risques pour la vie humaine : nucléaire (criticité de réacteur, contamination radioactive), chimique et pétrochimique (explosion, incendie, nuage toxique), eau (contamination de l'eau potable), réseaux électriques (blackout prolongé affectant les systèmes de santé, de chauffage). Dans ces secteurs, même un risque cyber faible en probabilité peut être inacceptable si les conséquences physiques potentielles sont catastrophiques.

Sécurité et mitigation

Mise en œuvre d'une évaluation cyber-physique : intégrer les équipes safety et cybersécurité dès la phase d'évaluation (silos contre-productifs), s'appuyer sur les analyses de sécurité fonctionnelle existantes (HAZOP, SIL Assessment) comme point de départ pour identifier les scénarios d'impact, utiliser MITRE ATT&CK for ICS pour structurer l'analyse des vecteurs d'attaque, quantifier les risques via LOPA étendue à la cybersécurité, et intégrer les résultats dans le programme de cybersécurité OT global (priorisation des investissements selon les risques cyber-physiques identifiés).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis