Operational Technology Risk Assessment

Fonctionnement de l'OT Risk Assessment IEC 62443-3-2

Application de l'OT Risk Assessment IEC 62443-3-2 dans une usine chimique avec réacteur ATEX : (1) Scénario de risque n°1 : "Compromission du SIS de protection du réacteur ATEX (arrêt d'urgence) via une attaque ciblée sur l'EWS TriStation" - Conséquences : défaillance de la protection SIL 2 du réacteur → risque d'explosion → victimes parmi le personnel = Conséquence CRITIQUE, Probabilité : menace étatique ciblée, EWS accessible depuis réseau OT non segmenté, absence de monitoring = Probabilité ÉLEVÉE, Risque combiné : INTOLÉRABLE, SL-T requis : SL-3, (2) Scénario n°2 : "Attaque ransomware sur le SCADA de supervision via le réseau IT" - Conséquences : arrêt du SCADA → passage en mode dégradé → perte de production 48h = Conséquence MAJEURE, Probabilité : ransomware IT ciblant l'entreprise, réseau IT/OT segmenté avec IDMZ = Probabilité MODÉRÉE, Risque combiné : ÉLEVÉ, SL-T requis : SL-2. Le risk assessment produit ainsi une liste de scénarios priorisés avec les SL-T correspondants qui guident les investissements de cybersécurité OT.

Contexte OT/ICS et réglementation

L'OT Risk Assessment est une exigence réglementaire dans plusieurs cadres : IEC 62443-2-1 le définit comme composant du ISMS OT, NERC CIP-002 impose l'identification et la classification des BES Cyber Systems selon leur niveau de risque, et NIS2 requiert une analyse de risques pour les entités essentielles incluant les systèmes OT. La qualité du risk assessment OT dépend critique de la participation des experts opérationnels OT (qui connaissent les conséquences physiques des scénarios) et des experts en menaces (qui évaluent la probabilité des attaques).

Sécurité et mitigation

OT Risk Assessment efficace : impliquer obligatoirement les ingénieurs de process dans l'évaluation des conséquences (ils connaissent les risques physiques des scénarios OT), utiliser des données de threat intelligence sectorielles (ISAC, CISA, Dragos Year in Review) pour calibrer les probabilités, documenter et faire approuver les critères de risque tolérable par le management avant l'évaluation (évite les débats sur l'acceptabilité des risques après le fait), mettre à jour l'OT Risk Assessment annuellement ou lors de changements significatifs de l'infrastructure OT ou de la menace, et utiliser les SL-T issus du risk assessment pour guider les décisions d'investissement et la sélection des contrôles.