L’IEC 62351 est une norme internationale de cybersécurité pour les systèmes de communication et de contrôle des réseaux électriques intelligents (Smart Grid). Elle a pour ambition d’aider les gestionnaires de réseaux à se prémunir contre les menaces pesant sur ce secteur tout en adaptant les préconisations aux réalités du monde industriel.  

En effet, de nombreux systèmes, équipements et canaux de communications d’un tel réseau sont : 

• Limités en mémoire et en puissance de calcul ; 
• Situés sur des sites éloignés avec peu ou pas de personnel et d’accès à internet (par opposition notamment à un système industriel au sein d’une usine) ; 
• Incompatibles avec les technologies sans-fil, en raison de l’environnement électrique des sous-stations et la fiabilité requise par certaines applications ; 
• Déployés pour une longue durée de fonctionnement, ce qui amène des contraintes sur le maintien en conditions de sécurité et sur l’interopérabilité avec d’autres systèmes. 

Dans un système électrique intelligent, deux infrastructures réseau cohabitent : un réseau électrique et un réseau informatique. 

Le réseau électrique relie les équipements utilisés pour générer, transmettre et distribuer l’électricité. Cela comprend les centrales électriques, les transformateurs, les lignes électriques, les sous-stations et les compteurs électriques.  

Le réseau informatique permet de surveiller, de contrôler et d’optimiser les opérations du réseau électrique. L’objectif de la norme IEC 62351 est de sécuriser ce réseau informatique. 

Les réseaux électrique et informatique coexistent en parallèle dans un contexte Smart Grid 

Aujourd’hui, l’affluence de standards industriels amène à nous demander ce qu’apporte cette norme par rapports aux autres, ou encore la pertinence pour un client de chercher à se conformer à certaines sections de la norme. 

 

Une norme à utiliser comme guide de bonnes pratiques 

À ce jour, nous n’avons identifié aucun organisme proposant une certification à la norme IEC 62351, même si certains organismes de certification proposent une évaluation de conformité (tests techniques et recommandations associées).  

Organismes proposant des évaluations de conformité IEC 62351 

Mais l’utilité principale de la norme reste de donner des armes aux équipes cyber pour intégrer la cybersécurité dans les spécifications techniques des systèmes industriels, à destination des opérateurs et des fournisseurs. Les tests de conformité pourront s’appuyer sur les sections 100 de l’IEC 62351.

  

Vue globale de la norme 

La section introductive de la norme a été publiée en 2007 dans un contexte industriel qui a depuis beaucoup évolué. La dernière section a été publiée en janvier 2023 et une nouvelle section est en cours de rédaction. Ainsi, les 11 documents principaux constituant aujourd’hui la norme IEC 62351, et leur calendrier de parution régulière, démontrent une volonté de s’adapter aux évolutions du contexte industriel. 

L’IEC propose une découpe de la norme en 4 sections principales 

 

La norme IEC 62351 vient compléter les normes cyber existantes 

Pour traiter les enjeux cybersécurité des Smart Grid de manière cohérente, une combinaison des normes ISO/IEC 27001, IEC 62443 et IEC 62351 est nécessaire. 

La famille des normes ISO/IEC 27001 s’applique à toute organisation possédant un système d’information : elle continue de s’appliquer dans les entreprises considérées ici. Elle permettra de donner un une organisation globale et des mesures de sécurité générales à appliquer.  

La norme ISA/IEC 62443 s’applique elle à l’industrie, et donne des mesures s’appliquant à des systèmes et composants industriels. Elle permettra de s’assurer que les spécificités des systèmes industriels sont prises en compte, à la frontière entre IT et OT. 

La norme IEC 62351 est dédiée à l’OT avec un domaine d’application très spécifique : la communication en environnement électrique. 

Ces normes abordent des sujets de plus en plus techniques, et de plus en plus spécifiques au secteur.  

 

La norme détaille notamment des mesures de sécurité aux protocoles de communications spécifiques au secteur 

Ces protocoles définis dans d’autres normes sont utiles à la collecte des informations venant des équipements sur le terrain et, inversement, à l’envoi de commandes. Malgré leur fonction clé, ces protocoles ne sont pas sécurisés by design. La norme IEC 62351 permet de mettre en œuvre des mécanismes de sécurité, en utilisant les mécanismes déjà présents pour limiter les impacts d’interopérabilité. Les protocoles concernés sont : 

Un chapitre de la norme IEC 62351 peut traiter un aspect de la sécurité de plusieurs protocoles. Par exemple, les aspects en lien avec le modèle TCP/IP sont traités en commun dans la section 3 de la norme. 

L’IEC 62351 a été rédigée par le même comité technique (TC57) ayant développé ces protocoles de communication. L’idée étant d’intégrer des mécanismes de sécurité à des protocoles qui en sont complètement dépourvus. En prenant en compte leur forte présence dans l’industrie et leurs contraintes intrinsèques, les spécifications de la norme permettent de favoriser l’interopérabilité. Il n’est pas nécessaire de changer de matériel. La norme donne les bons outils pour sécuriser les protocoles lorsque cela est requis. 

Afin d’illustrer les spécifications de cybersécurité que nous pouvons retrouver dans la norme IEC 62351, prenons l’exemple de la section 5, traitant du protocole IEC 60870-5 : 

 

En conclusion 

La norme IEC 62351 donne des bonnes pratiques pour la sécurisation des réseaux électriques, avec des mesures concrètes pour leur mise en œuvre.  

Cette norme pourra servir aux RSSI pour définir les mesures concrètes à mettre en œuvre sur leurs systèmes les plus critiques, et comme base de rédaction d’exigences vis-à-vis de leurs fournisseurs, à intégrer dans les cahiers des charges.  

 

---

Glossaire 

ASDU	Application Service Data Unit : donnée effective dans un PDU correspondant à la couche applicative du modèle OSI.
CIM	Common Information Model : standard définissant la représentation des éléments administrés dans un environnement informatique, au moyen d’objets et de liaisons.
DER	Distributed Energy Resources : production d’énergie électrique à l’aide d’installations de petite capacité raccordées au réseau électrique à basse ou moyenne tension.
GOOSE	Generic Object-Oriented Substation Event : mécanisme de transfert de données d’événement sur l’ensemble des réseaux de sous-stations électriques.
MMS	Manufacturing Message Specification : norme internationale pour le transfert de données de processus en temps réel et d’informations de contrôle de supervision
SCADA	Supervisory Control And Data Acquisition : système de contrôle et d’acquisition de données en temps réel
SV	Sampled Values : protocole propageant des valeurs échantillonnées analogiques et numériques à grande vitesse et en temps réel depuis les IED vers d’autres appareils au sein du réseau de sous-stations.