Les entreprises marocaines exploitant à la fois des environnements bureautiques et industriels se heurtent rapidement à une question : quelle norme retenir ? ISO 27001 et IEC 62443 sont fréquemment citées ensemble, alors qu'elles diffèrent par leur objet comme par leur méthode. Voici leurs différences, leurs recoupements, et de quoi déterminer si vous avez besoin de l'une ou des deux.
En résumé : l'ISO 27001 traite la sécurité de l'information au sens large, en couvrant les systèmes, les processus et les personnes. L'IEC 62443 est conçue spécifiquement pour la cybersécurité des systèmes d'automatisation industrielle. Elles se complètent et ne se substituent pas l'une à l'autre.
ISO 27001 : la sécurité de l'information au sens large
L'ISO 27001 est la norme internationale relative au système de management de la sécurité de l'information. Elle demande aux organisations de :
- identifier et traiter méthodiquement les risques pesant sur l'information
- mettre en place un cycle d'amélioration continue
- déployer les mesures de son annexe A, qui en compte 93 dans la version de 2022
- documenter politiques, procédures et éléments de preuve
IEC 62443 : la cybersécurité OT spécifique
L'IEC 62443 est une série de normes consacrée aux systèmes d'automatisation et de contrôle industriels. Elle traite notamment :
- de la segmentation des réseaux par zones et conduits
- des niveaux de sécurité, du SL-1 au SL-4, définis par zone
- des exigences propres aux propriétaires d'actifs, aux intégrateurs et aux fournisseurs de composants
- des exigences techniques d'authentification, de journalisation et d'intégrité des communications
Elle s'adresse à des environnements où la disponibilité et la sûreté priment sur la confidentialité, soit l'ordre inverse de celui qui prévaut en informatique de gestion. C'est cette inversion qui explique qu'une mesure éprouvée d'un côté puisse se révéler inadaptée de l'autre.
Tableau comparatif
| Aspect | ISO 27001 | IEC 62443 |
|---|---|---|
| Objet | Sécurité de l'information au sens large | Systèmes industriels |
| Périmètre | Système de management à l'échelle de l'organisation | Environnements industriels déterminés |
| Priorité | Confidentialité > Intégrité > Disponibilité | Disponibilité > Intégrité > Confidentialité |
| Approche | Système de management et amélioration continue | Exigences techniques et analyse de risques par zone |
| Certifiable | Oui, par un organisme accrédité | Oui, par composant, système ou processus |
| Rôles | L'organisation dans son ensemble | Propriétaire, intégrateur, fournisseur |
| Pertinence au regard des attentes de la DGSSI | Oui | Oui, pour les volets industriels |
Points de convergence
Les deux normes se recoupent sur plusieurs domaines :
- Gestion des risques : l'une comme l'autre supposent une analyse méthodique
- Contrôle d'accès : authentification, autorisation et gestion des comptes
- Gestion des incidents : détection, réponse et rétablissement
- Gestion des changements : modifications maîtrisées des systèmes
- Sensibilisation : formation des collaborateurs aux risques liés à leur activité
Avez-vous besoin des deux ?
La réponse dépend de l'environnement que vous exploitez :
- Environnement bureautique uniquement : l'ISO 27001 suffit.
- Environnement industriel uniquement : l'IEC 62443 est la norme de référence, l'ISO 27001 apportant la structure de management qui l'entoure.
- Les deux à la fois, situation de la plupart des entreprises industrielles : les deux normes, avec l'ISO 27001 comme cadre général et l'IEC 62443 pour les exigences propres à la production.
Pour les entreprises marocaines exportatrices ou travaillant avec des partenaires européens, cette approche combinée permet de répondre aux attentes de la DGSSI, aux obligations de la loi 05-20 et aux exigences des donneurs d'ordre internationaux au moyen d'un seul dispositif, les mesures communes n'étant mises en place qu'une fois.
Accompagnement ISO 27001 et IEC 62443
Resotech accompagne les entreprises marocaines dans la mise en conformité et la certification ISO 27001 et IEC 62443, et aide à déterminer le référentiel le plus utile dans votre situation.
Nous contacter Service audit ISO 27001