ISO 23806:2022

NORME ISO
INTERNATIONALE 23806
Première édition
2022-11
Navires et technologie maritime —
Cybersécurité
Ships and marine technology — Cyber safety
Numéro de référence
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2022
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii
Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d’application . 1
2 Références normatives .1
3 Termes et définitions . 1
4 Contexte de la compagnie . .2
4.1 Compréhension de la compagnie . 2
4.2 Compréhension des parties intéressées . 2
4.3 Détermination du domaine d’application de l’appréciation du risque en matière de
cybersécurité . 3
5 Management . 3
5.1 Engagement . 3
5.2 Management des risques cyber dans le cadre de la politique de sécurité et de
protection de l’environnement de la compagnie . 4
5.3 Rôles, responsabilités et autorités au sein de la compagnie . 4
6 Exposition aux risques cyber . 4
6.1 Généralités . 4
6.2 Actions permettant d’identifier les dangers et risques cyber . 4
7 Efficacité continue de l’appréciation des risques cyber . 4
8 Maîtrise des informations documentées . 5
9 Mise en œuvre des mesures de protection . 5
Bibliographie . 6
iii
Avant-propos
L'ISO (Organisation internationale de normalisation) est une fédération mondiale d'organismes
nationaux de normalisation (comités membres de l'ISO). L'élaboration des Normes internationales est
en général confiée aux comités techniques de l'ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l'ISO participent également aux travaux.
L'ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document a
été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir
www.iso.org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant
les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations de
brevets reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www.iso.org/avant-propos.
Le présent document a été élaboré par le comité technique ISO/TC 8, Navires et technologie maritime.
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l’adresse www.iso.org/fr/members.html.
iv
Introduction
Le présent document a été élaboré en vue de fournir des exigences pour l’identification et l’appréciation
des dangers et risques cyber affectant l’exploitation en toute sécurité et écologiquement rationnelle des
navires tout au long de leur durée de vie opérationnelle. Le présent document fournit des spécifications
relatives aux procédures conçues pour être incluses ou référencées dans le système de management de
la sécurité (SMS) de la compagnie afin de favoriser un management efficace des risques cyber tel que
[1]
défini dans le document MSC-FAL.1/Circ.3 « Directives sur la gestion des cyber-risques maritimes » ,
ainsi que toute exigence supplémentaire de la compagnie ou de toute autre partie prenante identifiée.
Les technologies d’exploitation (désignées par le sigle « OT », pour l’anglais « Operational Technology »)
englobent les dispositifs, les capteurs, les logiciels et les réseaux connexes qui permettent la surveillance
et le contrôle des systèmes de bord nécessaires à l’exploitation efficace et en toute sécurité du navire.
L’OT inclut, sans s’y limiter, les systèmes de gestion de la navigation, des machines principales et
auxiliaires, de la propulsion et de la cargaison.
Les risques liés à l’OT sont différents de ceux liés aux technologies de l’information (désignées par le
sigle « IT », pour l’anglais « Information Technology »). En général, les risques liés à l’OT sont susceptibles
d’avoir des impacts physiques affectant la sécurité du navire, de son personnel et de sa cargaison, ainsi
que du milieu marin. Les risques liés à l’IT se rapportent généralement aux activités commerciales
et à d’autres impacts non physiques qui ne sont pas de nature critique pour la sécurité. Lorsque les
systèmes IT et OT sont intégrés pour exécuter des fonctions particulières, l’IT est susceptible de
contribuer aux impacts critiques pour la sécurité.
Les systèmes de management de la sécurité de l’information (SMSI) préconisés par l’ISO/IEC 27000
couvrent la préservation de la confidentialité, de l’intégrité et de la disponibilité (désignées par la
triade « CIA », pour l’anglais « Confidentiality, Integrity, Availability ») de l’information et des données
stockées et traitées par les systèmes IT. Le présent document s’appuie sur la triade CIA, mais est axé
sur les risques liés à la perte de disponibilité ou d’intégrité des systèmes et des données d’OT qui sont
nécessaires à l’exploitation en toute sécurité et écologiquement rationnelle d’un navire.
L’objectif du système de management de la sécurité (SMS) de la compagnie requis par le chapitre IX
[3] [4]
de la convention SOLAS et par le code ISM est de créer un environnement de travail sécurisé en
établissant des pratiques et procédures de sécurité appropriées fondées sur une appréciation de tous
les risques identifiés pour le navire, le personnel et l’environnement.
La perte de disponibilité ou d’intégrité des systèmes et des données critiques pour la sécurité ainsi
que la perturbation des technologies d’exploitation (OT) liées à la sécurité sont susceptibles d’avoir des
conséquences physiques sur l’exploitation en toute sécurité des navires et la prévention de la pollution.
Par conséquent, il est essentiel que le management des risques cyber soit intégré à l’approche globale
de la compagnie en matière de management de la sécurité et de conformité aux exigences du chapitre IX
[5]
de la convention SOLAS et du code ISM, et tel que requis par la résolution MSC.428(98). Selon l’OMI,
il convient que les aspects relatifs au management des risques cyber, y compris les aspects relatifs à la
sûreté physique en lien avec la cyber sûreté, soient pris en compte dans les plans de sûreté des navires
[6]
dans le cadre du code ISPS ; il convient toutefois de ne pas considérer cela comme l’obligation pour les
compagnies d’établir un système de management de la cyber sûreté distinct, appliqué parallèlement à
leur système de management de la sécurité.
v
NORME INTERNATIONALE ISO 23806:2022(F)
Navires et technologie maritime — Cybersécurité
1 Domaine d’application
Le présent document donne des exigences et des recommandations visant à établir, mettre en œuvre,
tenir à jour et améliorer continuellement un système d’appréciation des risques cyber dans le contexte
du système de management de la sécurité (SMS) d’une compagnie.
Tous les éléments de conformité au présent document peuvent donc être traçables au sein du SMS, que
ce soit par inclusion directe ou par référence.
2 Références normatives
Le présent document ne contient aucune référence normative.
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions suivants s’appliquent.
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse https:// www .electropedia .org/
3.1
compagnie
propriétaire du navire ou tout autre organisme ou personne, tel que le gérant ou l’affréteur coque nue,
qui assume la responsabilité de l’exploitation du navire à la place de l’armateur et qui, en endossant
cette responsabilité, s’est engagé à supporte
...