ZCR3 — Zones & Conduits
ZCR 3 segmente le SUC en zones de sécurité reliées par des conduits, selon les règles de segmentation IEC 62443-3-2. Chaque zone reçoit un SL-T (Security Level Target).
Onglets
Zones & Conduits · Vue graphique · Règles IEC 62443.
Zones et conduits
Créer une zone de sécurité
Bouton ＋ Ajouter une zone. Une zone regroupe des composants ayant des exigences de sécurité similaires et un niveau de confiance homogène.
Chaque carte de zone comporte :
- Couleur — sélecteur de couleur pour le repérage visuel
- Nom — libellé de la zone (ex. : Zone Contrôle, Zone Supervision, Zone DMZ)
- Type de zone
- Niveau cible (SL-T) — boutons SL0 à SL4
- Description
- Équipements & Réseaux — chips à cocher (inventaire ZCR1)
- Fonctions (valeurs métier) — chips à cocher
| SL | Protection contre |
|---|---|
| SL0 | Aucune exigence particulière |
| SL1 | Attaquant non intentionnel (erreur humaine) |
| SL2 | Attaquant intentionnel avec ressources limitées |
| SL3 | Attaquant sophistiqué avec ressources importantes |
| SL4 | Attaquant avec moyens d'État |
Le SL-T suggéré
Chaque zone affiche son risque initial max agrégé (calculé sur les lignes ZCR 2 des actifs qu'elle contient) et un SL-T suggéré, appliqué d'un clic par le bouton Appliquer. C'est une proposition, jamais une décision automatique : elle reste modifiable.
La méthode de suggestion est configurable. La méthode Vp × G n'est disponible qu'en mode de cotation décomposé.
Pourquoi Vc n'entre dans aucune des deux méthodes
C'est délibéré : le SL-T détermine les contre-mesures, qui fixent Vc. Faire entrer Vc dans le calcul du SL-T serait circulaire.
Le SL-C ne se saisit plus ici
Le SL-C de zone (capacité des équipements) a été sorti de ZCR 3 : il se saisit ou se dérive dans l'annexe SL-C Composants. Le SL-C d'une zone est le minimum par FR de ses équipements.
Créer un conduit
Un conduit est un canal de communication entre deux zones ; il hérite d'un SL-T au moins égal au plus élevé des deux zones connectées. Bouton ＋ Ajouter un conduit (désactivé tant qu'il n'existe pas au moins 2 zones).
| Colonne | Description |
|---|---|
| Nom | |
| Zone source / Zone destination | Sélection parmi les zones existantes |
| Direction | Unidirectionnel → ou bidirectionnel ⇌ |
| Type | Type de conduit |
| Protocoles | Texte libre (ex. : TLS, OPC-UA…) |
| Niveau cible (SL-T) | Boutons SL0 à SL4 |
Vue graphique
Diagramme des zones en cartes positionnables par glisser-déposer (disposition automatique en grille de 3 colonnes si aucune position manuelle n'est enregistrée). Chaque carte affiche le nom, le type, le SL cible et les actifs associés. Les conduits sont représentés par des flèches (unidirectionnelles ou bidirectionnelles) étiquetées avec leur nom et type.
Bouton Réinitialiser layout — visible si au moins une zone a été repositionnée manuellement, remet la disposition automatique.
Règles IEC 62443
Six règles de référence (ZCR 3.1 à 3.6) affichées en fiches avec Requirement et Rationale/Supplemental guidance :
- Séparation IT/OT
- Séparation des systèmes de sécurité (SIS)
- Traitement des appareils temporaires
- Traitement des appareils sans fil
- Connexions via réseaux externes
Les types de zone (BPCS, SIS, Wireless, Temp, External, IT, DMZ…) existent pour porter ces séparations : appliquez-les avant tout regroupement par affinité, puis affinez avec la heat-map.
Cohérence avec le Diagramme SUC
Les zones créées ici apparaissent aussi dans le Diagramme SUC (ZCR1) et servent de base à ZCR4, ZCR5 et à la section 6.3/6.4 du Document CRS (ZCR6).