Maitrise des risques cyber-physiques dans l'industrie du procédé

Autor: Oueidat, Tamara
Přispěvatelé: STAR, ABES
Jazyk: angličtina
Rok vydání: 2022
Předmět:
Popis: Risk analysis is an essential element for regulatory decision-making related to industrial systems with a high level of risks. The first law was created in France on December 31, 1991, presenting the general principles of risk assessment and prevention. Over time, a decree has been established which obliges the employer in an industrial system to create and keep a document transcribing the results of the risk assessment. Therefore, there has been a strong interest in the development of risk analysis approaches dealing with safety and the functioning of critical industrial systems.INERIS (direction of accidental risks) carries out the different types of studies that cover the entire process of controlling the accidental risks related to the classified installations. Therefore, their studies on risk analysis generally aim to prevent the major accidents for industrial installations subject to the environmental code and to relate specifically to the risks for people and the environment. Recently, cybersecurity has emerged as a critical issue for industrial sites: they are becoming increasingly vulnerable to cyberattacks due to their increasing digitization and connectivity and the use of IT technologies in control systems (OT) of the industrial systems.The risk analysis approaches and the tools of preventing the accidental risks are not suitable for dealing with and analyzing the risks related to cybersecurity, and the latter risks are rarely assessed and when they are, are assessed in processes and studies separated from the analysis of the accidental risks. Therefore, INERIS wishes to integrate cybersecurity issues into the various stages of the control of the risks on industrial installations that can have harm on people and the environment.For these reasons, a new risk analysis approach integrating the risks related to cybersecurity with the accidental risks in the same process is developed. The process of the approach makes it possible to create guides for the generic vulnerabilities that may exist on industrial systems and meta-models to represent the different attack scenarios that may be encountered on industrial sites. In addition, it makes it possible to automatically generate and search for the attack scenarios that may exist on a case study, based on a list of data collected from industrial installation, and to combine them with accidental risks extracted from a classical safety risks analysis in the same Bow-Tie called Cyber Bow-Tie.In addition, the evaluation of the combined risks in terms of the severity level and the likelihood value represents an important step to determine the level of criticality of the risk scenario and to put in place safety and cybersecurity measures and barriers in order to reduce or eliminate the unacceptable risks. For this reason, in the developed risk analysis approach, the steps of the evaluation and treatment of the combined risks are taken into consideration. The combined risks likelihoods are evaluated according to a two-dimensional vector representing respectively the likelihood of cybersecurity events and safety events since there are different concepts to define the likelihood related to safety and cybersecurity. Combining safety and cybersecurity risks in a single Bow-Tie and evaluating the levels of different types of risk scenarios provides a comprehensive representation and an exhaustive analysis of risk scenarios in terms of safety and cybersecurity.
L’analyse des risques est un élément important et essentiel pour la prise de décision réglementaire liée aux systèmes industriels avec an niveau de risques haut. La première loi a été créée en France le 31 Décembre 1991 présentant les principes généraux de l’évaluation de la prévention des risques. Au fil du temps, un décret a été établi et qui oblige l’employeur de l’industrie de créer et de conserver un document transcrivant les résultats de l’évaluation des risques. Il y a eu un fort intérêt aux développements des méthodes d’analyse des risques traitant la sûreté et le fonctionnement du système industriel.L’INERIS réalise différents types d’études qui couvrent l’ensemble du processus de maitrise des risques accidentels liées aux installations classées. Donc, leurs études sur les analyses des risques ont généralement pour objectif de prévenir les accidents majeurs pour les installations industrielles soumises au code de l’environnement, et de porter spécifiquement sur les risques pour les personnes et l’environnement. Récemment, la cyber sécurité est apparu un sujet critique pour les sites industriels : ceux-ci deviennent en effet de plus en plus vulnérables aux cyberattaques du fait leur numérisation et connectivité croissantes et de l’utilisation des technologies issues de l’IT dans les systèmes de contrôle industriel (OT).Les méthodes d’analyse des risques et les moyens de prévention des risques accidentels ne sont pas adaptés à traiter et analyser les risques liés à la cyber sécurité, et ces derniers sont rarement évalués et lorsqu’ils le sont, sont évalués dans des processus et des études dissociées des analyses des risques accidentels. Donc, L’INERIS souhaite intégrer les problématiques de la cyber sécurité dans les différentes étapes de la maitrise des risques que font peser les installations classées sur les personnes et l’environnement.Pour cela, une nouvelle méthode d’analyse des risques intégrant les risques liés à la cyber sécurité avec les risques accidentels dans un même processus est développée. La démarche de cette méthode permet de créer des guides pour les génériques vulnérabilités qui peuvent exister sur les systèmes industriels et des méta-modèles pour représenter les différents scénarios d’attaques qui peuvent être rencontrés sur les sites industriels. En plus, elle permet de générer et de chercher automatiquement les scenarios d’attaques qui peuvent exister sur un cas de test en se basant sur des données collectées de l’installation industrielle, et les combiner avec les risques accidentels extraits d’une analyse de sûreté dans un même nœud papillon appelé cyber nœud papillon.En outre, l’évaluation des scenarios des risques combinés en termes du niveau de gravité et de vraisemblance représente une étape importante pour déterminer le niveau de criticité du scenario de risque de de mettre en place des mesures et des barrières de sécurité pour diminuer ou éliminer les risques non acceptés. Pour cela, dans la méthode d’analyse des risques développée, les étapes de l’évaluation et du traitement des risques combinés sont prises en considération. Les vraisemblances des risques combinées sont évaluées selon un vecteur à deux dimensions représentant la vraisemblance des événements de cyber sécurité et les événements de sûreté puisqu’il existe différents concepts pour définir la vraisemblance liée à la sûreté et à la cyber sécurité. La combinaison des risques cyber sécurité et sûreté dans un même nœud papillon et l’évaluation des niveaux des différents types de scénarios des risques fournissent une représentation exhaustive des scénarios des risques en termes de sûreté et de sécurité.
Databáze: OpenAIRE
Externí odkaz: