Sécurité des actionneurs de vanne : Checklist d'acheteur conforme à IEC 62443

L'automatisation des vannes relie les commandes de contrôle au mouvement physique. Ainsi, une commande indésirable, un paramètre modifié ou une liaison de communication interrompue peuvent affecter bien plus que les données. Ils peuvent perturber le contrôle du flux et le fonctionnement de l'installation. Un vérin de vanne numérique peut offrir des fonctions utiles de configuration et de diagnostic. Cependant, les acheteurs doivent également comprendre comment ces fonctions sont protégées et comment le vérin s'intègre dans la conception de sécurité de l'installation. Un processus d'achat tenant compte de la norme IEC 62443 permet de transformer les questions de sécurité générales en exigences claires. L'objectif est de sélectionner l'équipement approprié, d'identifier les contrôles manquants et d'attribuer les responsabilités avant l'installation. ### Comprendre ce que couvre la norme IEC 62443 La norme IEC 62443 est une série de normes de sécurité pour les systèmes d'automatisation et de contrôle industriels. Différentes parties abordent différentes responsabilités : Ces domaines sont liés, donc la preuve concernant l'un d'eux ne doit pas être considérée comme la preuve de la validité des quatre. De plus, « conforme à la norme IEC 62443 » décrit une approche d'achat. Cela ne signifie pas qu'un produit est certifié. ### 1. Identifiez toutes les interfaces du vérin de vanne numérique Commencez par le modèle exact et les options fournies. Des termes tels que « intelligent » ou « numérique » n'expliquent pas quelles connexions sont présentes. Demandez une liste d'interfaces couvrant, le cas échéant :

Connexions de terrain et Ethernet industriel.

Ports de configuration locaux.

Connexions de service USB ou série.

Bluetooth ou autres fonctions sans fil.

Logiciel de configuration et outils de maintenance.

Chemins d'accès à distance via des contrôleurs ou des passerelles.

Séparez les fonctionnalités installées des fonctionnalités optionnelles. Ensuite, confirmez quelles interfaces peuvent être désactivées. Un vérin utilisant des contacts secs ou des signaux analogiques peut ne pas disposer de connexion réseau directe. Cependant, son contrôleur, sa passerelle ou son outil de service peut toujours introduire des chemins d'accès numériques. ### 2. Définissez la limite de sécurité pour un actionneur électrique à bus de terrain Un actionneur électrique à bus de terrain doit être évalué comme faisant partie de son réseau de contrôle. Demandez le protocole exact, la version, le module de communication et le schéma du réseau. Ne supposez pas qu'un protocole connu inclut une authentification ou un chiffrement dans la configuration fournie. La norme IEC 62443-3-2 aborde la division du système en zones et conduits, l'évaluation de leurs risques et la définition des niveaux de sécurité cibles. Concrètement, les acheteurs doivent savoir quels actifs appartiennent ensemble et quels chemins de communication traversent les limites de sécurité. Lorsque l'appareil de terrain ne peut pas fournir le contrôle requis, documentez les mesures de protection nécessaires ailleurs. Cela peut inclure un accès restreint à la passerelle, une segmentation réseau et des connexions de maintenance contrôlées. De telles mesures doivent être évaluées au niveau du système ; elles ne transforment pas l'actionneur lui-même en un composant certifié. ### 3. Contrôlez qui peut faire fonctionner et configurer l'actionneur Faire fonctionner une vanne et modifier ses réglages sont des privilèges distincts. Demandez si l'équipement fourni peut distinguer l'affichage, le fonctionnement, la configuration et l'accès à la maintenance. Lorsque des comptes ou des mots de passe existent, confirmez comment les identifiants sont définis, modifiés, récupérés et supprimés. Les questions utiles incluent :

Des identifiants par défaut partagés sont-ils présents ?

Les comptes ou services inutilisés peuvent-ils être désactivés ?

Qui peut modifier les limites de course ou les modes de contrôle ?

Comment le contrôle local est-il protégé ?

L'accès à distance nécessite-t-il une autorisation distincte ?

Si l'actionneur dispose de contrôles d'accès limités, identifiez quelles fonctions doivent être protégées par l'automate programmable, la passerelle, le poste de travail ou l'enceinte physique. De plus, convenez de qui possède les identifiants après la mise en service. ### 4. Vérifiez l'intégrité du micrologiciel et de la configuration Le micrologiciel contrôle le comportement numérique de l'actionneur. La configuration détermine comment il réagit au sein du processus. Demandez au fournisseur comment les mises à jour sont obtenues, vérifiées, installées et enregistrées. Demandez des preuves de vérification d'authenticité, telles que la vérification de signature, le cas échéant. De plus, confirmez :

Qui peut lancer une mise à jour ?

La vanne reste-t-elle disponible pendant la mise à jour ?

Que se passe-t-il en cas de coupure de courant ?

Comment les paramètres approuvés sont-ils sauvegardés ?

Comment la récupération est-elle effectuée après une mise à jour infructueuse ?

Pour un appareil simple ne disposant pas d'un micrologiciel pouvant être mis à jour sur site, documentez cette limitation et ses implications en matière de maintenance. Ces questions soutiennent l'intégrité du système, l'un des sept domaines d'exigence fondamentaux décrits dans la norme IEC 62443-4-2. Les autres domaines comprennent le contrôle d'accès, la restriction des flux de données, la réponse aux événements et la disponibilité. ### 5. Vérifiez la cybersécurité des actionneurs électriques en cas de défaut Les mesures de sécurité doivent fonctionner selon les besoins opérationnels de l'installation. Définissez ce qui doit se passer en cas de défaillance de la communication, de coupure d'alimentation ou d'envoi de données invalides par le contrôleur. La réponse correcte peut être de maintenir la position, de passer à une position définie ou de suivre une autre stratégie approuvée. Il n'existe pas de position de vanne universellement sûre. L'évaluation des risques liés au processus doit déterminer le comportement requis, et l'agencement de l'actionneur sélectionné doit pouvoir le prendre en charge. Séparez ces exigences :

Perte de communication.

Perte d'alimentation électrique.

Modifications de configuration non autorisées.

Défauts mécaniques ou électriques de l'actionneur.

La cybersécurité et la sécurité fonctionnelle ont des objectifs différents. Les preuves de l'un ne remplacent pas les preuves de l'autre. ### 6. Demandez quels événements peuvent être détectés et enregistrés Un appareil peut signaler des défauts sans consigner de journal d'événements de sécurité. Par conséquent, demandez exactement ce qu'il enregistre. Les événements pertinents peuvent inclure des modifications de configuration, des mises à jour de micrologiciel, des tentatives d'accès échouées et des défauts de communication. Confirmez si les enregistrements incluent des horodatages, combien de temps ils restent disponibles et s'ils peuvent être exportés. Si l'actionneur ne dispose pas de ces fonctions, déterminez ce que le système de contrôle ou les outils de maintenance doivent enregistrer à la place. Pour le dépannage, conservez le modèle, la version du micrologiciel, les paramètres approuvés et la fiche de mise en service. Ces détails permettent de distinguer un défaut de l'équipement d'un changement inattendu. ### 7. Vérifiez les allégations relatives au support et à la certification du fournisseur Demandez un contact de sécurité, une route de signalement des vulnérabilités, une politique de mise à jour et une période de support prévue. Le cas échéant, demandez une liste détaillée des logiciels ou des informations sur les logiciels tiers inclus. De plus, convenez de la manière dont les acheteurs recevront les avis de sécurité. Si une certification est revendiquée, vérifiez :

L'organisme émetteur et la référence du certificat.

La partie normative applicable.

Le produit concerné et les versions matérielles.

Versions du micrologiciel et options de communication.

Capacité de sécurité revendiquée et conditions énoncées.

Hypothèses d'installation et de fonctionnement requises.

Un certificat de processus de développement sécurisé ne certifie pas automatiquement les capacités techniques de chaque produit. De même, un certificat de composant ne garantit pas la sécurité de l'ensemble de l'installation. ### Appliquez la checklist lors de l'approvisionnement auprès d'OMKEE Le site web d'OMKEE présente des actionneurs de vanne électriques avec plusieurs configurations de contrôle, y compris le fonctionnement par contact et le contrôle modulation analogique. Ces différences rendent importantes les vérifications d'interface spécifiques au modèle. Pour toute configuration numérique ou bus de terrain proposée, demandez à OMKEE de confirmer les fonctionnalités de communication réelles et les preuves de sécurité disponibles. Ne déduisez pas la certification de cybersécurité des indices de protection, de la protection contre les explosions, du marquage CE ou des qualifications en matière de gestion de la qualité. Envoyez à OMKEE un descriptif de projet comprenant les caractéristiques de la vanne, le couple, l'alimentation, l'interface de contrôle, l'architecture réseau, le comportement requis en cas de défaut et les besoins en matière de documentation de sécurité. Enfin, convenez des contrôles de réception avec le fournisseur et l'intégrateur. Testez la configuration approuvée dans un environnement contrôlé avant la mise en service, et enregistrez quelles protections appartiennent à l'actionneur et lesquelles appartiennent au système de contrôle plus large.