Audit de la cybersécurité des systèmes industriels et des accès distants (Cybersécurité des systèmes industriels)

Nous examinons, sous l'angle du thème Cybersécurité des systèmes industriels, la sécurité des systèmes industriels de votre site : inventaire des automates, des postes de supervision et des équipements réseau, flux entre le système d'information et le procédé, comptes et droits, accès distants des constructeurs et des prestataires, sauvegardes et procédures de reprise. Le travail commence par la lecture des documents et des entretiens avec les responsables opérationnels, puis par des relevés sur site en lecture seule, sans scan actif sur un procédé en marche sauf décision écrite de l'exploitant.

Le rapport classe les écarts selon leur effet possible sur la sécurité des personnes, l'environnement et la production, en s'appuyant sur les guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) relatifs aux systèmes industriels et sur la série IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 62443. Il propose un plan d'actions par ordre de priorité. Il ne constitue ni une attestation de conformité, ni un audit réalisé par un prestataire qualifié : il prépare vos décisions et vos échanges avec les auditeurs éventuels.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Cybersécurité des systèmes industriels, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.

• Cartographie commentée des équipements, des flux et des accès distants du périmètre audité
• Rapport d'écarts classés selon leur effet sur la sécurité, l'environnement et la production
• Plan d'actions hiérarchisé, distinguant les mesures rapides et les chantiers à planifier pendant un arrêt

Format et charge : forfait, 5 à 12 jours. Idéal pour : responsable de la cybersécurité industrielle, RSSI ou ingénieur contrôle-commande d'un site chimique, en intra-entreprise. Prérequis de votre côté : schémas d'architecture, inventaire des équipements, règles de filtrage, procédures d'accès distant et disponibilité des équipes d'automatisme.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.