Le cours ICS410 de SANS, ou ICS/SCADA Security Essentials, forme aux risques qui pèsent sur les systèmes de contrôle industriels (ICS) et la technologie opérationnelle (OT). Ces environnements pilotent des procédés physiques dans l’énergie, l’eau, la fabrication et le transport. Cette analyse détaille le programme, le public visé, la certification GICSP et les tarifs, en signalant les zones d’ombre des sources disponibles.
🔑 En bref
- 6 jours de formation experte selon AWS Marketplace, contre 5 jours dans le podcast de 2015
- 15 labs, un PLC physique conservé par l’apprenant et 36 crédits CPE
- Préparation à la certification GICSP, dont l’examen est vendu séparément
- Tarification variable : licence par apprenant sur AWS, estimation SkillsFuture à Singapour, devis sur demande chez Koenig Solutions
Un programme à la frontière de l’IT et de l’OT
La formation articule les compétences informatiques et industrielles, avec des architectures de sécurité adaptées aux secteurs d’infrastructure critique et non critique et des travaux pratiques sur du matériel industriel réel. L’objectif affiché est de protéger des environnements OT où une intrusion informatique peut affecter directement les opérations et la sécurité. Le cursus comprend six sections, de la composition des ICS à la gouvernance, puis un exercice final.
- Architecture et composants : éléments des ICS, protocoles, déploiements et niveaux du modèle Purdue avec leurs exigences de sécurité. Les participants programment des automates programmables (PLC), configurent des interfaces homme-machine (HMI) et analysent les protocoles de bus de terrain.
- Surfaces d’attaque : vecteurs et vulnérabilités propres aux ICS, segmentation, règles de pare-feu, cryptographie et sécurité des communications sans fil en environnement OT.
- Systèmes : Windows et Linux dans les environnements industriels, protection des postes, journalisation, stratégies de correctifs pour les systèmes OT et construction de capacités de réponse aux incidents.
- Gouvernance : référentiels ISA/IEC 62443, ISO 27001 et NIST CSF, politiques de cybersécurité ICS, mesure et traitement du risque, et sécurité conjointe des équipes IT et OT.
Les labs annoncés par AWS Marketplace couvrent la programmation de PLC, la configuration de HMI, l’analyse de captures réseau, les attaques par injection SQL, les techniques de mots de passe, les baselines via PowerShell, le durcissement de Linux et un exercice Capture-the-Flag de réponse aux incidents. Le nombre total de labs annoncé est de 15.
Public visé, prérequis et conditions de participation
Le public comprend les ingénieurs ICS, les professionnels de la sécurité IT, les opérateurs de systèmes de contrôle, ainsi que les propriétaires d’actifs, fournisseurs, intégrateurs et autres tiers pouvant affecter le fonctionnement des environnements industriels. Les fiches ne précisent pas les intitulés de métiers des quatre domaines d’origine des participants.
Les prérequis sont des connaissances de base en réseau et administration système, en TCP/IP, en conception d’architecture réseau, en évaluation des vulnérabilités et en analyse du risque. Pour les débutants, SANS recommande ICS310 (ICS Cybersecurity Foundations) sans en faire un prérequis. L’achat d’ICS410 donne un accès OnDemand complémentaire à ICS310 afin de consolider les notions acquises.
Préparation du matériel
- Apporter un système correctement configuré, faute de quoi la participation aux exercices pratiques reste limitée
- Sauvegarder sa machine et privilégier un ordinateur ne contenant aucune donnée sensible ou critique, SANS déclinant toute responsabilité pour le système et les données
- Télécharger les médias de cours dès l’obtention du lien : ils occupent souvent 40 à 50 Go, certains dépassant 100 Go, et la durée de téléchargement ne peut être estimée
- Prévoir au moins 30 minutes pour le document d’installation, et un second moniteur ou une tablette pour consulter le classeur de laboratoire
Certification GICSP et débat sur le format
La certification Global Industrial Cyber Security Professional (GICSP) est présentée comme neutre vis-à-vis des fournisseurs et axée sur la pratique. Elle relie l’informatique, l’ingénierie et la cybersécurité sur l’ensemble du cycle de vie des systèmes industriels. Elle évalue les professionnels qui conçoivent, exploitent ou soutiennent des systèmes de contrôle et partagent la responsabilité de leur sécurité. Après ICS410, SANS propose ICS515, ICS612 et ICS613, consacrés à la visibilité, à la défense active et aux tests d’intrusion.
Le podcast Unsolicited Response, épisode 2015:2 publié le 18 mars 2015, a consacré une heure à ce cours et à GICSP. Il réunissait Scott Cassity (GIAC), Mike Assante (SANS), Justin Searle et Graham Speake, instructeurs SANS. Les échanges ont porté sur les difficultés d’un public mêlant sécurité IT et OT, les premiers retours, de possibles formations de deux jours, le coût élevé des formations SANS et la manière dont un employeur devrait considérer GICSP. La critique selon laquelle ICS410 serait un cours de sécurité informatique proposé par une organisation de sécurité informatique a aussi été abordée. Le nombre de personnes formées et certifiées, ainsi que les prix comparés, ne figurent pas dans la source.
« La qualité que SANS peut mettre en avant est de savoir monter en charge pour former des milliers d’étudiants, et c’est nécessaire dans le domaine de la sécurité des systèmes industriels. »
Dale Peterson, auteur du billet sur le podcast
Dale Peterson estime que la comparaison avec la concurrence dépend du profil et de l’objectif des participants. Cette nuance est essentielle : un ingénieur ICS expérimenté et un profil IT sans background OT n’ont pas les mêmes besoins.
Tarification et accès : des modèles difficiles à comparer
Sur AWS Marketplace, l’offre repose sur une seule dimension tarifaire : une licence mono-utilisateur. Une unité donne accès au cours, aux six sections, aux labs et au contrôleur physique. Il n’existe ni paliers ni tailles d’instance : une équipe de cinq personnes nécessite cinq unités. Les accès sont valables pour la durée du contrat et expirent sans renouvellement. Des coûts d’infrastructure AWS peuvent s’ajouter, et certains clients américains peuvent payer via le programme PNC Vendor Finance, hors Nevada, Caroline du Nord, Dakota du Nord, Tennessee et Vermont. La fiche ne publie aucun prix et aucun avis au moment de la consultation.
| Plateforme | Modalité | Information chiffrée |
|---|---|---|
| AWS Marketplace | Licence par apprenant, valable pour la durée du contrat | Aucun prix indiqué dans la source |
| MySkillsFuture (Singapour) | Tarif estimatif après subventions et SkillsFuture Credit | Base de calcul : solde de 500 $ ; TVA et éligibilité à confirmer |
| Koenig Solutions | Formules individuelles et équipes, devis sur demande | Note globale de 4,9/5 sur plus de 18 400 avis, non propre à ICS410 |
Sur MySkillsFuture, le fournisseur est SANS TRAINING SINGAPORE PTE. LTD., classé Grade 2 dans le cadre Training Provider Quality Assessment de SWDA. La plateforme affiche une recommandation de 5,0 pour 7 évaluations et 11 participants. Aucune date de cours n’est disponible au moment de la consultation : elle peut exister et doit être vérifiée auprès du fournisseur. Le montant final dépend du solde et de l’éligibilité personnalisée après connexion.
Chez Koenig Solutions, le cours figure sous l’intitulé ICS/SCADA Security: Vulnerabilities & IDS/IPS. La page propose des formations dans toutes les langues, des labs pratiques, des bons d’examen facultatifs, 200 questions d’entraînement et 30 jours de support après la formation. Koenig annonce un remboursement intégral si l’insatisfaction est signalée dans les 24 heures suivant la première session. Aucun tarif, calendrier ni durée propre à cette page n’est fourni.
Conclusion : un cours complet, une comparaison à compléter
ICS410 couvre un périmètre dense et cohérent, qui relie les architectures, les protocoles, la sécurité des systèmes et la gouvernance. Le matériel physique et les quinze labs en font une formation très pratique, et la préparation à GICSP répond à une demande réelle du marché. Toutefois, les sources ne permettent pas de comparer les prix, le nombre de diplômés ou les calendriers entre fournisseurs.
Trois scénarios se dégagent. Un ingénieur ICS expérimenté visant la certification peut viser directement ICS410 puis GICSP. Un profil IT sans background industriel gagnera à suivre ICS310 en premier. Une équipe doit demander un devis et vérifier les dates d’expiration des accès. Trois points restent à éclaircir : la durée (5 ou 6 jours selon les sources), la nature exacte de l’accès OnDemand à ICS310 face aux mois supplémentaires proposés par AWS, et l’écart entre le titre Koenig et l’intitulé officiel.
Sources
- The Register, fiche SANS ICS410
- MySkillsFuture, fiche du cours
- AWS Marketplace, fiche produit
- SANS Institute, page du cours
- Koenig Solutions, page du cours
- Dale Peterson, billet sur le podcast Unsolicited Response (18 mars 2015)
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
