Veille Technologique Sécurité - cert devoteam

OCTOBRE 2009
A ce niveau d’avancement des réflexions, les résultats publiés sont certes intéressants mais encore
difficilement exploitables. L’annexe B, ‘Crosswalk Of Cyber Security Documents’, propose un tableau
de synthèse mettant en regard les exigences issues de différents documents normatifs américains dont
les guides NIST SP800-82 'Guide to Industrial Control Systems (ICS) Security' , NIST SP800-53r3
'Recommended Security Controls for Federal Information Systems', les recommancations NERC CIP ou
encore la norme ANSI ISA 99-2.
Le sommaire de ce rapport de 236 pages est le suivant:
1 Cyber Security Risk Management Framework And Strategy
1.1 Overview
1.2 Cyber Security and the Electric Sector
1.3 Scope, Risks, and Definitions
1.4 Smart Grid Cyber Security Strategy
1.5 Time Line and Deliverables
2 Privacy And The Smart Grid
2.1 High-Level Smart Grid Consumer-to-Utility Privacy Impact Assessment (PIA) Report
2.2 Summary of PIA Findings
2.3 Purpose of a High-Level PIA
2.4 NIST Smart Grid Description
2.5 Privacy Principles and Relationship to the Smart Grid
2.6 Compliance
3 Logical Interface Analysis
3.1 Categorization of the Logical Interfaces
3.2 Impact Levels
3.3 Logical Interface Category Definitions
3.4 Advanced Metering Infrastructure Categorization of Interfaces
3.5 Distributed Grid Management Categorization of Interfaces
3.6 Demand Response Categorization of Interfaces
3.7 I2G Demand Response Categorization of Interfaces
3.8 Electric Storage Categorization of Interfaces
3.9 Electric Transportation Categorization of Interfaces
3.10 Wide-Area Situational Awareness Categorization of Interfaces
3.11 All Interfaces by Category
4 AMI Security Requirements
4.1 AMI Recommended Requirements
DHS-2.8 System and Communication Protection
DHS-2.9 Information and Document Management
DHS-2.10 System Development and Maintenance
DHS-2.12 Incident Response
DHS-2.14 System and Information Integrity
DHS-2.15 Access Control
DHS-2.16 Audit and Accountability 11
Appendix A: Key Power System Use Cases For Security Requirements
Appendix B: Crosswalk Of Cyber Security Documents
Appendix C: NIST CSCTG Vulnerability Classes
Appendix D: Bottom Up Security Analysis Of The Smart Grid
Appendix E: Membership Lists
Appendix F: Acronyms
Hasard de l’actualité mais aussi éclatante démonstration de la criticité de ces infrastructures, le système
de gestion du réseau de distribution électrique opéré en Australie par Integral Energy a été atteint par
un virus. Celui-ci a infecté plus de 1000 systèmes Windows y compris certains des systèmes des salles de
contrôle a priori et fort heureusement sans grandes conséquences sur la distribution.
POUR PLUS D’INFORMATION
http://csrc.nist.gov/publications/drafts/nistir-7628/draft-nistir-7628.pdf
http://www.upi.com/Energy_Resources/2009/10/02/Computer-virus-in-Australian-power-grid/UPI-65111254514968/
ANSSI – CATALOGUE DES PRODUITS QUALIFIES – MISE A JOUR
La création de l’ANSSI, qui se substitue à la DCSSI, a donné lieu à un profond remaniement du
site WEB, lequel nous apparaît être bien plus accessible. Le catalogue des produits qualifiés est
ainsi désormais présenté sur une unique page rendant sa lecture, et l’identification des nouveaux
produits, plus aisées notamment par la mention désormais systématique du numéro de version
des produits. Notre tableau de synthèse pourrait bien à terme devenir inutile !
Veille Technologique Sécurité N°135 Page 15/35
© DEVOTEAM - Tous droits réservés Diffusion restreinte aux clients abonnés au service de veille technologique