Audit d'écarts au référentiel IEC 62443 (Cybersécurité des systèmes industriels)

Nous relevons les écarts de votre système de conduite à la série IEC 62443, sur le thème Cybersécurité des systèmes industriels. Après une revue documentaire et des entretiens, nous observons le réseau en mode passif, puis nous comparons l'existant au programme de sécurité de la partie 2-1, aux exigences système de la partie 3-3 et, pour un produit, à la partie 4-1, ainsi qu'aux guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Aucune analyse active n'est lancée en production sans accord écrit et fenêtre convenue.

Le rapport classe les écarts par risque, les relie à leurs preuves et propose un plan d'actions compatible avec vos arrêts. Il décrit un état des lieux : il ne conclut ni à une conformité ni à un niveau de sécurité atteint. Il peut préparer l'instruction par un prestataire qualifié ou un organisme de certification, qu'Optédif n'est pas.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Cybersécurité des systèmes industriels, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.

• Rapport d'audit d'écarts avec constats reliés à leurs preuves
• Tableau des écarts par partie de la série et par zone, classés par risque
• Plan d'actions ordonné, compatible avec les arrêts, présenté à la direction et à l'exploitation

Format et charge : forfait, 6 à 12 jours. Idéal pour : ingénieur en cybersécurité industrielle, responsable maintenance ou responsable de bureau d'études qui veut situer son système avant un projet ou une demande client. Prérequis de votre côté : plans d'architecture, inventaire des actifs, découpage en zones, matrices de flux et procédures disponibles, accès au site et entretiens avec l'exploitation.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.