Revue critique d'une étude de risque cyber OT (Analyse de risque cyber OT avec EBIOS RM)
Une étude de risque dont les hypothèses et les scénarios sont relus par un regard extérieur, avant sa présentation à la direction ou au donneur d'ordre.
En bref
- Résultat
- Une étude de risque dont les hypothèses et les scénarios sont relus par un regard extérieur, avant sa présentation à la direction ou au donneur d'ordre.
- Idéal pour
- Responsable cybersécurité industrielle, responsable de bureau d'études ou directeur technique qui doit présenter une étude de risque OT à sa direction ou à un client.
- Ce que vous obtenez
- Rapport de revue de l'étude de risque, avec écarts de méthode, scénarios manquants et recommandations ordonnées.
- Prérequis de votre côté
- Étude de risque existante, même incomplète, avec ses ateliers, ses scénarios et ses mesures, et accès à ses rédacteurs.
- Durée et charge
- 5 à 10 jours
- Format
- Forfait
Exemple de situation, cas construit, chiffres indicatifs
Relire une étude avant son envoi à un donneur d'ordre. Un fabricant d'équipements a rédigé seul une étude de risque sur le thème Analyse de risque cyber OT avec EBIOS RM (EBIOS Risk Manager, méthode d'analyse des risques numériques de l'ANSSI) pour répondre à un client. La revue relève des scénarios sans mesure associée et des échelles de cotation incohérentes d'un atelier à l'autre, et recommande des compléments avant l'envoi.
Nous relisons une étude de risque cyber OT déjà produite, sur le thème Analyse de risque cyber OT avec EBIOS RM, atelier par atelier : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Nous vérifions la cohérence entre les valeurs métier retenues, les scénarios décrits et les mesures proposées, et nous les confrontons au découpage en zones et conduits de la partie 3-2 de l'IEC 62443.
Le rapport liste les écarts de méthode, les scénarios absents et les mesures sans justification, avec des recommandations ordonnées. Il constitue une revue argumentée de votre étude, pas une qualification ni une certification : Optédif n'est pas prestataire qualifié par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), et l'étude reste sous la responsabilité de son commanditaire.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Analyse de risque cyber OT avec EBIOS RM, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport de revue atelier par atelier, avec les écarts de méthode relevés
- Liste des scénarios absents ou insuffisamment justifiés
- Recommandations ordonnées pour compléter l'étude avant sa présentation
Format et charge : forfait, 5 à 10 jours. Idéal pour : responsable cybersécurité industrielle, responsable de bureau d'études ou directeur technique qui doit présenter une étude de risque OT à sa direction ou à un client. Prérequis de votre côté : étude de risque existante, même incomplète, avec ses ateliers, ses scénarios et ses mesures, et accès à ses rédacteurs.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Relire une étude avant son envoi à un donneur d'ordre
Un fabricant d'équipements a rédigé seul une étude de risque sur le thème Analyse de risque cyber OT avec EBIOS RM pour répondre à un client. La revue relève des scénarios sans mesure associée et des échelles de cotation incohérentes d'un atelier à l'autre, et recommande des compléments avant l'envoi.
Relire une étude ancienne après une modification de l'installation
Un exploitant a ajouté un accès distant à une ligne dont l'étude de risque, sur le thème Analyse de risque cyber OT avec EBIOS RM, date de plusieurs années. La revue compare l'étude à l'installation actuelle et liste les scénarios à reprendre, sans refaire l'ensemble de l'analyse.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 5 à 10 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Analyse de risque cyber OT avec EBIOS RM dans l'industrie électrique ou électronique, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, vérification réglementaire ou revue de conception, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Analyse de risque cyber OT avec EBIOS RM, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus la vérification d'un organisme accrédité ni l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Intervenez-vous sur des installations en production et à distance ?
Oui, dans un cadre écrit. Sur le thème Analyse de risque cyber OT avec EBIOS RM, la plupart des travaux se font hors production : revue des plans, des flux et des procédures, entretiens, observation passive du réseau. Nous n'effectuons aucune analyse active ni aucun essai d'intrusion sur un équipement en production sans autorisation écrite de l'exploitant, périmètre et fenêtre définis, car ces opérations peuvent arrêter un procédé et relèvent du code pénal en l'absence d'accord. Pour les accès à distance, nous passons par les moyens que vous avez validés, avec comptes nominatifs et traçabilité des sessions. Le devis distingue ce qui se déroule sur site de ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème Analyse de risque cyber OT avec EBIOS RM
Les autres types de prestation sur le thème Analyse de risque cyber OT avec EBIOS RM
- Conseil pour cadrer une analyse de risque cyber OT par ateliers (Analyse de risque cyber OT avec EBIOS RM)
- Étude de risque cyber OT conduite par ateliers (Analyse de risque cyber OT avec EBIOS RM)
- Mise en œuvre du plan de traitement d'une étude de risque cyber OT (Analyse de risque cyber OT avec EBIOS RM)
- Étude de risque cyber OT par ateliers en assistance technique (Analyse de risque cyber OT avec EBIOS RM)
- S'initier à l'analyse de risque cyber OT avec EBIOS RM