Conseil pour structurer une démarche IEC 62443 (Cybersécurité des systèmes industriels)
Une démarche IEC 62443 dont le périmètre, les rôles et l'ordre des étapes sont décidés avant d'engager des dépenses.
En bref
- Résultat
- Une démarche IEC 62443 dont le périmètre, les rôles et l'ordre des étapes sont décidés avant d'engager des dépenses.
- Idéal pour
- Directeur technique, responsable d'exploitation ou intégrateur d'automatismes qui doit répondre à des exigences IEC 62443 de ses clients.
- Ce que vous obtenez
- Note de recommandations avec rôles selon la norme, périmètre de départ, exigences à imposer aux fournisseurs et trajectoire en étapes.
- Prérequis de votre côté
- Description des installations et des produits concernés, exigences cyber reçues des clients, organisation actuelle de l'exploitation et de l'informatique.
- Durée et charge
- 5 à 15 jours
- Format
- Forfait
Exemple de situation, cas construit, chiffres indicatifs
Identifier son rôle dans un projet d'automatisation. Un intégrateur ne sait pas s'il agit en intégrateur ou en fournisseur de produit sur un projet relevant du thème Cybersécurité des systèmes industriels. Le conseil clarifie les rôles, les parties de la série applicables et les engagements contractuels à négocier avec l'exploitant.
La série IEC 62443 se lit par rôle : exploitant, intégrateur, fournisseur de produits. Sur le thème Cybersécurité des systèmes industriels, nous aidons à décider quel rôle vous tenez pour chaque projet, quelles parties de la série en découlent, quel périmètre traiter en premier et quelles exigences reporter dans vos consultations de fournisseurs. Nous articulons aussi l'évaluation de risque de la partie 3-2 avec la méthode EBIOS RM (EBIOS Risk Manager, méthode d'analyse des risques numériques de l'ANSSI) de l'ANSSI (Agence nationale de la sécurité des systèmes d'information).
La note propose une trajectoire en étapes, avec les décisions à prendre et leurs hypothèses. Elle est rédigée pour être présentée à votre direction et à vos clients. Elle ne revendique aucun niveau de sécurité ni aucune certification, qui relèvent d'une évaluation par un organisme de certification, et elle ne vaut pas avis juridique.
Déroulé de la prestation
Cadrage
Nous reformulons la question à instruire, identifions les décideurs et les contraintes réglementaires et contractuelles, et fixons le calendrier.
Diagnostic
Entretiens, lecture documentaire et analyse des données disponibles sur le thème Cybersécurité des systèmes industriels pour établir une base factuelle partagée.
Scénarios
Nous construisons deux à quatre scénarios comparés sur les coûts, les risques, les délais et l'acceptabilité par votre client et par le bureau de contrôle.
Recommandation
La note argumente une trajectoire, avec ses étapes, ses responsables et ses points de contrôle, prête pour un comité de direction.
Appui à la décision
Nous présentons la note en instance et pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Note de recommandations avec le rôle tenu par projet et les parties de la série concernées
- Exigences cyber à imposer aux fournisseurs, rédigées pour vos consultations
- Trajectoire en étapes, avec priorités et décisions à prendre
Format et charge : forfait, 5 à 15 jours. Idéal pour : directeur technique, responsable d'exploitation ou intégrateur d'automatismes qui doit répondre à des exigences IEC 62443 de ses clients. Prérequis de votre côté : description des installations et des produits concernés, exigences cyber reçues des clients, organisation actuelle de l'exploitation et de l'informatique.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Identifier son rôle dans un projet d'automatisation
Un intégrateur ne sait pas s'il agit en intégrateur ou en fournisseur de produit sur un projet relevant du thème Cybersécurité des systèmes industriels. Le conseil clarifie les rôles, les parties de la série applicables et les engagements contractuels à négocier avec l'exploitant.
Construire un socle commun face à des exigences clients variées
Un fabricant reçoit de plusieurs clients des exigences cyber proches mais différentes sur le thème Cybersécurité des systèmes industriels. La mission les rapproche de la série, propose un socle commun et identifie les points qui exigent une discussion avec chaque client.
Questions fréquentes sur cette prestation
Comment se déroule une mission de conseil et que livrez-vous ?
La mission commence par un cadrage d'une à deux semaines, puis un diagnostic, la construction de scénarios comparés et une note de recommandations présentée en instance. La charge indicative est de 5 à 15 jours, format forfait. Le livrable sur le thème Cybersécurité des systèmes industriels est rédigé pour être lu par votre direction et par votre donneur d'ordre sans réinterprétation : chaque recommandation cite les exigences applicables, estime les coûts et les délais et désigne un responsable. Nous pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Quelle différence avec une formation sur ce thème ?
La formation donne à vos équipes les connaissances pour agir ; le conseil instruit une décision que vous devez prendre. Sur le thème Cybersécurité des systèmes industriels, la mission de conseil part de votre situation réelle, compare des options et recommande une trajectoire, là où la formation apporte des méthodes générales appliquées à vos cas. Le conseil éclaire la décision, sans la prendre à votre place ni engager votre responsabilité réglementaire. Lorsque la décision prise entraîne une évolution des pratiques, nous associons les deux dans un même plan, avec le même interlocuteur.
Intervenez-vous sur des installations en production et à distance ?
Oui, dans un cadre écrit. Sur le thème Cybersécurité des systèmes industriels, la plupart des travaux se font hors production : revue des plans, des flux et des procédures, entretiens, observation passive du réseau. Nous n'effectuons aucune analyse active ni aucun essai d'intrusion sur un équipement en production sans autorisation écrite de l'exploitant, périmètre et fenêtre définis, car ces opérations peuvent arrêter un procédé et relèvent du code pénal en l'absence d'accord. Pour les accès à distance, nous passons par les moyens que vous avez validés, avec comptes nominatifs et traçabilité des sessions. Le devis distingue ce qui se déroule sur site de ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons de conseil sur le thème Cybersécurité des systèmes industriels
- Cadrage de méthode et de périmètre (Cybersécurité des systèmes industriels)
- Assistance à la rédaction d'un cahier des charges (Cybersécurité des systèmes industriels)
Les autres types de prestation sur le thème Cybersécurité des systèmes industriels
- Audit d'écarts au référentiel IEC 62443 (Cybersécurité des systèmes industriels)
- Zones, conduits et exigences de sécurité du système (Cybersécurité des systèmes industriels)
- Déploiement de mesures issues de l'IEC 62443 (Cybersécurité des systèmes industriels)
- Dossier de zones, conduits et exigences en assistance technique (Cybersécurité des systèmes industriels)
- Expliquer les différences entre la sécurité de l'informatique de gestion et celle des systèmes industriels
