ISA-99

Définition

ISA-99 est le programme de normalisation de l'ISA (International Society of Automation) dédié à la cybersécurité des systèmes d'automatisation et de contrôle industriels (IACS). Initié au début des années 2000, il a abouti à la série de normes ISA/IEC 62443, devenue la référence mondiale pour la sécurité des systèmes industriels. ISA-99 représente donc à la fois le processus d'élaboration et les fondements doctrinaux de cette famille normative. Le programme ISA-99 a défini les concepts fondamentaux de la cybersécurité industrielle : zones de sécurité et conduits, niveaux de sécurité (SL0 à SL4), rôles des parties prenantes (Asset Owner, Integrator, Product Supplier), cycle de vie de la cybersécurité IACS et exigences de sécurité par composant. Ces concepts constituent la base de toute la série IEC 62443 qui en est issue. ISA-99 a également introduit le concept de politique de gestion de la cybersécurité IACS (CSMS - Cyber Security Management System), permettant aux organisations industrielles de structurer leur programme de sécurité de manière similaire à ce que l'ISO 27001 fait pour la sécurité de l'information. Cette approche systématique couvre l'évaluation des risques, la définition des contre-mesures, la surveillance continue et l'amélioration continue. La particularité d'ISA-99/IEC 62443 par rapport aux normes IT classiques réside dans sa prise en compte des contraintes OT : disponibilité prioritaire, impossibilité de redémarrer les systèmes, protocoles propriétaires sans chiffrement natif, cycles de vie étendus, et conséquences physiques potentielles des incidents. Les exigences de sécurité sont donc calibrées en fonction de l'impact sur les processus physiques. Aujourd'hui, la maîtrise d'ISA-99/IEC 62443 est indispensable pour les RSSI industriels, les intégrateurs OT et les auditeurs évaluant la maturité cybersécurité des environnements industriels.