Audit de la cybersécurité des systèmes industriels et des accès distants (Cybersécurité des systèmes industriels)
Une vision argumentée et traçable des faiblesses de vos systèmes industriels, présentable à votre direction et à vos donneurs d'ordre.
En bref
- Résultat
- Une vision argumentée et traçable des faiblesses de vos systèmes industriels, présentable à votre direction et à vos donneurs d'ordre.
- Idéal pour
- Responsable de la cybersécurité industrielle, RSSI ou ingénieur contrôle-commande d'un site chimique, en intra-entreprise.
- Ce que vous obtenez
- Rapport d'analyse d'écarts par rapport aux référentiels retenus, cartographie commentée des flux et plan d'actions hiérarchisé.
- Prérequis de votre côté
- Schémas d'architecture, inventaire des équipements, règles de filtrage, procédures d'accès distant et disponibilité des équipes d'automatisme.
- Durée et charge
- 5 à 12 jours
- Format
- Forfait
Exemple de situation
Revue des accès distants d'un atelier de chimie fine. Plusieurs constructeurs se connectent aux automates d'un atelier de synthèse. L'audit sur le thème Cybersécurité des systèmes industriels recense chaque accès, relève ceux qui ne sont pas journalisés et propose des regrouper derrière un point d'entrée unique. Le responsable du site décide de l'ordre des actions.
Nous examinons, sous l'angle du thème Cybersécurité des systèmes industriels, la sécurité des systèmes industriels de votre site : inventaire des automates, des postes de supervision et des équipements réseau, flux entre le système d'information et le procédé, comptes et droits, accès distants des constructeurs et des prestataires, sauvegardes et procédures de reprise. Le travail commence par la lecture des documents et des entretiens avec les responsables opérationnels, puis par des relevés sur site en lecture seule, sans scan actif sur un procédé en marche sauf décision écrite de l'exploitant.
Le rapport classe les écarts selon leur effet possible sur la sécurité des personnes, l'environnement et la production, en s'appuyant sur les guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) relatifs aux systèmes industriels et sur la série IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 62443. Il propose un plan d'actions par ordre de priorité. Il ne constitue ni une attestation de conformité, ni un audit réalisé par un prestataire qualifié : il prépare vos décisions et vos échanges avec les auditeurs éventuels.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Cybersécurité des systèmes industriels, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Cartographie commentée des équipements, des flux et des accès distants du périmètre audité
- Rapport d'écarts classés selon leur effet sur la sécurité, l'environnement et la production
- Plan d'actions hiérarchisé, distinguant les mesures rapides et les chantiers à planifier pendant un arrêt
Format et charge : forfait, 5 à 12 jours. Idéal pour : responsable de la cybersécurité industrielle, RSSI ou ingénieur contrôle-commande d'un site chimique, en intra-entreprise. Prérequis de votre côté : schémas d'architecture, inventaire des équipements, règles de filtrage, procédures d'accès distant et disponibilité des équipes d'automatisme.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Revue des accès distants d'un atelier de chimie fine
Plusieurs constructeurs se connectent aux automates d'un atelier de synthèse. L'audit sur le thème Cybersécurité des systèmes industriels recense chaque accès, relève ceux qui ne sont pas journalisés et propose des regrouper derrière un point d'entrée unique. Le responsable du site décide de l'ordre des actions.
Préparer la demande d'un donneur d'ordre
Un fabricant de polymères reçoit un questionnaire de cybersécurité de son donneur d'ordre. L'audit sur le thème Cybersécurité des systèmes industriels relit l'architecture, documente les écarts et leur plan de traitement, puis structure les réponses. Elles restent déclaratives et engagent la direction du site.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 5 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Cybersécurité des systèmes industriels dans l'industrie chimique ou des matériaux, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, visite de l'inspection ou audit de certification, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Cybersécurité des systèmes industriels, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'une autorité ou d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Intervenez-vous sur des automates et des systèmes de sécurité en production ?
Pas sans l'accord de l'exploitant ni sans cadre écrit. Sur le thème Cybersécurité des systèmes industriels, l'essentiel du travail se fait en lecture : schémas d'architecture, inventaires, règles de filtrage, procédures d'exploitation, entretiens avec les équipes. Toute action sur un équipement en fonctionnement, comme un scan actif ou une modification de configuration, est précisée au devis, planifiée avec l'exploitation et validée par le responsable de l'installation. Elle est réalisée de préférence sur une maquette ou pendant un arrêt. Nous ne touchons pas à un système instrumenté de sécurité sans l'accord de son responsable.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème Cybersécurité des systèmes industriels
Les autres types de prestation sur le thème Cybersécurité des systèmes industriels
- Conseil en gouvernance cyber OT et en préparation à NIS 2 (Cybersécurité des systèmes industriels)
- Conception d'une architecture segmentée et d'un plan de continuité industriels (Cybersécurité des systèmes industriels)
- Déploiement de mesures de sécurité et de sondes de détection OT (Cybersécurité des systèmes industriels)
- Assistance technique en cybersécurité industrielle (Cybersécurité des systèmes industriels)
- S'initier à la cybersécurité des systèmes industriels