Étude de risque cyber OT (Operational Technology, technologies opérationnelles) conduite par ateliers (Analyse de risque cyber OT avec EBIOS RM)
Une étude de risque argumentée, rédigée avec votre exploitation, que vous pouvez présenter à votre direction ou à votre donneur d'ordre.
En bref
- Résultat
- Une étude de risque argumentée, rédigée avec votre exploitation, que vous pouvez présenter à votre direction ou à votre donneur d'ordre.
- Idéal pour
- Directeur de bureau d'études, responsable d'exploitation ou intégrateur d'automatismes qui doit documenter les risques cyber d'une installation ou d'un produit.
- Ce que vous obtenez
- Étude de risque documentée atelier par atelier, avec scénarios, cotation, plan de traitement et mesures rattachées aux zones et conduits.
- Prérequis de votre côté
- Cadrage validé, architecture et inventaire des actifs disponibles, participation de l'exploitation, de la maintenance et de l'informatique aux ateliers.
- Durée et charge
- 8 à 20 jours
- Format
- Forfait
Exemple de situation, cas construit, chiffres indicatifs
Conduire l'analyse de risque d'un atelier de production. Un exploitant réunit exploitation, maintenance et informatique pour analyser un atelier sur le thème Analyse de risque cyber OT avec EBIOS RM (EBIOS Risk Manager, méthode d'analyse des risques numériques de l'ANSSI). Cinq ateliers sont menés en six semaines. Le livrable décrit les scénarios retenus, leur cotation et un plan de traitement en trois lots, soumis à la décision de la direction.
Nous conduisons l'analyse de risque sur le thème Analyse de risque cyber OT avec EBIOS RM selon les cinq ateliers de la méthode EBIOS RM, avec vos équipes : socle de sécurité, sources de risque et objectifs visés, scénarios stratégiques, scénarios opérationnels, puis traitement du risque. Pour un système de conduite, nous rattachons chaque scénario aux zones et conduits de la partie 3-2 de l'IEC 62443 et aux conséquences sur le procédé.
L'étude se termine par un plan de traitement ordonné et les mesures à retenir, avec leurs hypothèses. Elle est traçable et peut être instruite par un prestataire qualifié ou présentée à votre donneur d'ordre. Elle ne délivre aucun niveau de sécurité et n'engage ni conformité ni absence d'incident.
Déroulé de la prestation
Spécification
Nous précisons le livrable attendu, les données d'entrée, le référentiel et les règles de forme exigées par votre organisation ou votre donneur d'ordre.
Structure
Nous proposons un plan et une méthode, validés avec vos experts avant de produire.
Première version
Le livrable est produit avec ses hypothèses tracées et ses références aux exigences, puis soumis à votre revue.
Revue et version finale
Vos vérificateurs relisent ; nous intégrons les remarques et livrons la version finale avec sa note de justification. La signature reste la vôtre.
Passation
Nous remettons les sources, les modèles et un mode d'emploi, pour que vos équipes reprennent le livrable sans dépendance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Compte rendu de chacun des cinq ateliers, avec les décisions prises
- Scénarios cotés rattachés aux zones et conduits de l'installation
- Plan de traitement ordonné avec mesures, hypothèses et risques résiduels à faire accepter
Format et charge : forfait, 8 à 20 jours. Idéal pour : directeur de bureau d'études, responsable d'exploitation ou intégrateur d'automatismes qui doit documenter les risques cyber d'une installation ou d'un produit. Prérequis de votre côté : cadrage validé, architecture et inventaire des actifs disponibles, participation de l'exploitation, de la maintenance et de l'informatique aux ateliers.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Conduire l'analyse de risque d'un atelier de production
Un exploitant réunit exploitation, maintenance et informatique pour analyser un atelier sur le thème Analyse de risque cyber OT avec EBIOS RM. Cinq ateliers sont menés en six semaines. Le livrable décrit les scénarios retenus, leur cotation et un plan de traitement en trois lots, soumis à la décision de la direction.
Documenter les risques cyber d'une gamme de machines connectées
Un constructeur de machines spéciales veut documenter les risques cyber de sa télémaintenance sur le thème Analyse de risque cyber OT avec EBIOS RM. L'étude décrit les scénarios, les mesures retenues et les exigences à reporter dans le cahier des charges du produit, dont le fabricant reste responsable.
Questions fréquentes sur cette prestation
Comment assurez-vous la qualité et la traçabilité du livrable ?
Le livrable sur le thème Analyse de risque cyber OT avec EBIOS RM est produit par étapes validées : spécification, structure, première version, revue par vos vérificateurs, version finale avec note de justification. Chaque exigence du référentiel est tracée, les hypothèses et les données d'entrée sont enregistrées, les révisions sont gérées. La charge indicative est de 8 à 20 jours, format forfait. Le livrable est présentable à votre client ou à votre bureau de contrôle, mais il ne vaut ni approbation, ni marquage, ni attestation de conformité : la signature et la décision restent chez vous. Les documents que vous nous confiez restent dans votre environnement ou dans un espace sécurisé convenu.
Quelle différence avec une formation sur ce thème ?
La formation apprend à vos équipes à produire elles-mêmes ; la conception et la réalisation produisent le livrable à votre place, dans les délais du projet. Sur le thème Analyse de risque cyber OT avec EBIOS RM, nous recommandons la réalisation lorsque l'échéance ne laisse pas le temps de monter en compétence, et la formation lorsque le besoin est récurrent. La passation en fin de prestation, avec sources et mode d'emploi, permet à vos équipes de reprendre le livrable et prépare une éventuelle formation.
Intervenez-vous sur des installations en production et à distance ?
Oui, dans un cadre écrit. Sur le thème Analyse de risque cyber OT avec EBIOS RM, la plupart des travaux se font hors production : revue des plans, des flux et des procédures, entretiens, observation passive du réseau. Nous n'effectuons aucune analyse active ni aucun essai d'intrusion sur un équipement en production sans autorisation écrite de l'exploitant, périmètre et fenêtre définis, car ces opérations peuvent arrêter un procédé et relèvent du code pénal en l'absence d'accord. Pour les accès à distance, nous passons par les moyens que vous avez validés, avec comptes nominatifs et traçabilité des sessions. Le devis distingue ce qui se déroule sur site de ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons de conception et réalisation sur le thème Analyse de risque cyber OT avec EBIOS RM
Les autres types de prestation sur le thème Analyse de risque cyber OT avec EBIOS RM
- Revue critique d'une étude de risque cyber OT (Analyse de risque cyber OT avec EBIOS RM)
- Conseil pour cadrer une analyse de risque cyber OT par ateliers (Analyse de risque cyber OT avec EBIOS RM)
- Mise en œuvre du plan de traitement d'une étude de risque cyber OT (Analyse de risque cyber OT avec EBIOS RM)
- Étude de risque cyber OT par ateliers en assistance technique (Analyse de risque cyber OT avec EBIOS RM)
- S'initier à l'analyse de risque cyber OT avec EBIOS RM