Conseil pour cadrer une analyse de risque cyber OT (Operational Technology, technologies opérationnelles) par ateliers (Analyse de risque cyber OT avec EBIOS RM)
Un cadrage qui évite de lancer des ateliers sans périmètre ni participants, et une cotation des risques acceptée par l'exploitation.
En bref
- Résultat
- Un cadrage qui évite de lancer des ateliers sans périmètre ni participants, et une cotation des risques acceptée par l'exploitation.
- Idéal pour
- Directeur technique, responsable d'exploitation ou responsable de bureau d'études qui prépare sa première analyse de risque OT.
- Ce que vous obtenez
- Note de cadrage avec périmètre, valeurs métier, parties prenantes à réunir, calendrier des ateliers et critères de cotation.
- Prérequis de votre côté
- Description des procédés, de leurs enjeux de sécurité et de disponibilité, et désignation des participants côté exploitation, maintenance et informatique.
- Durée et charge
- 4 à 10 jours
- Format
- Forfait
Exemple de situation, cas construit, chiffres indicatifs
Choisir le périmètre d'une première étude de risque. Un directeur technique hésite entre analyser tout un site ou une seule ligne sur le thème Analyse de risque cyber OT avec EBIOS RM (EBIOS Risk Manager, méthode d'analyse des risques numériques de l'ANSSI). Le conseil compare les deux options selon les conséquences d'un arrêt et la disponibilité des participants, puis recommande de commencer par la ligne la plus exposée.
Avant d'ouvrir les ateliers de la méthode EBIOS RM, nous aidons à décider ce qui sera analysé, avec qui et selon quelles échelles. Sur le thème Analyse de risque cyber OT avec EBIOS RM, nous travaillons le périmètre, les valeurs métier propres à un procédé (disponibilité, sécurité des personnes, qualité du produit), les événements redoutés et l'articulation avec l'évaluation de risque de la partie 3-2 de l'IEC 62443.
La note de cadrage fixe le calendrier des ateliers, les profils à réunir et les échelles de gravité et de vraisemblance, à valider avec l'exploitation. Elle sert de base à l'analyse que vous conduirez vous-mêmes, ou que nous réaliserons dans une prestation distincte. Elle ne vaut pas label EBIOS RM, que nous ne détenons pas.
Déroulé de la prestation
Cadrage
Nous reformulons la question à instruire, identifions les décideurs et les contraintes réglementaires et contractuelles, et fixons le calendrier.
Diagnostic
Entretiens, lecture documentaire et analyse des données disponibles sur le thème Analyse de risque cyber OT avec EBIOS RM pour établir une base factuelle partagée.
Scénarios
Nous construisons deux à quatre scénarios comparés sur les coûts, les risques, les délais et l'acceptabilité par votre client et par le bureau de contrôle.
Recommandation
La note argumente une trajectoire, avec ses étapes, ses responsables et ses points de contrôle, prête pour un comité de direction.
Appui à la décision
Nous présentons la note en instance et pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Note de cadrage avec périmètre, valeurs métier et événements redoutés
- Calendrier des ateliers et liste des profils à réunir
- Échelles de gravité et de vraisemblance proposées, à valider avec l'exploitation
Format et charge : forfait, 4 à 10 jours. Idéal pour : directeur technique, responsable d'exploitation ou responsable de bureau d'études qui prépare sa première analyse de risque OT. Prérequis de votre côté : description des procédés, de leurs enjeux de sécurité et de disponibilité, et désignation des participants côté exploitation, maintenance et informatique.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Choisir le périmètre d'une première étude de risque
Un directeur technique hésite entre analyser tout un site ou une seule ligne sur le thème Analyse de risque cyber OT avec EBIOS RM. Le conseil compare les deux options selon les conséquences d'un arrêt et la disponibilité des participants, puis recommande de commencer par la ligne la plus exposée.
Adapter les échelles de cotation à un procédé continu
Un exploitant de procédé continu trouve les échelles de gravité de son référentiel informatique inadaptées sur le thème Analyse de risque cyber OT avec EBIOS RM. La mission propose des échelles fondées sur la durée d'arrêt, la sécurité des personnes et la qualité du produit, soumises à la validation de l'exploitation.
Questions fréquentes sur cette prestation
Comment se déroule une mission de conseil et que livrez-vous ?
La mission commence par un cadrage d'une à deux semaines, puis un diagnostic, la construction de scénarios comparés et une note de recommandations présentée en instance. La charge indicative est de 4 à 10 jours, format forfait. Le livrable sur le thème Analyse de risque cyber OT avec EBIOS RM est rédigé pour être lu par votre direction et par votre donneur d'ordre sans réinterprétation : chaque recommandation cite les exigences applicables, estime les coûts et les délais et désigne un responsable. Nous pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Quelle différence avec une formation sur ce thème ?
La formation donne à vos équipes les connaissances pour agir ; le conseil instruit une décision que vous devez prendre. Sur le thème Analyse de risque cyber OT avec EBIOS RM, la mission de conseil part de votre situation réelle, compare des options et recommande une trajectoire, là où la formation apporte des méthodes générales appliquées à vos cas. Le conseil éclaire la décision, sans la prendre à votre place ni engager votre responsabilité réglementaire. Lorsque la décision prise entraîne une évolution des pratiques, nous associons les deux dans un même plan, avec le même interlocuteur.
Intervenez-vous sur des installations en production et à distance ?
Oui, dans un cadre écrit. Sur le thème Analyse de risque cyber OT avec EBIOS RM, la plupart des travaux se font hors production : revue des plans, des flux et des procédures, entretiens, observation passive du réseau. Nous n'effectuons aucune analyse active ni aucun essai d'intrusion sur un équipement en production sans autorisation écrite de l'exploitant, périmètre et fenêtre définis, car ces opérations peuvent arrêter un procédé et relèvent du code pénal en l'absence d'accord. Pour les accès à distance, nous passons par les moyens que vous avez validés, avec comptes nominatifs et traçabilité des sessions. Le devis distingue ce qui se déroule sur site de ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons de conseil sur le thème Analyse de risque cyber OT avec EBIOS RM
- Cadrage de méthode et de périmètre (Analyse de risque cyber OT avec EBIOS RM)
- Assistance à la rédaction d'un cahier des charges (Analyse de risque cyber OT avec EBIOS RM)
Les autres types de prestation sur le thème Analyse de risque cyber OT avec EBIOS RM
- Revue critique d'une étude de risque cyber OT (Analyse de risque cyber OT avec EBIOS RM)
- Étude de risque cyber OT conduite par ateliers (Analyse de risque cyber OT avec EBIOS RM)
- Mise en œuvre du plan de traitement d'une étude de risque cyber OT (Analyse de risque cyber OT avec EBIOS RM)
- Étude de risque cyber OT par ateliers en assistance technique (Analyse de risque cyber OT avec EBIOS RM)
- S'initier à l'analyse de risque cyber OT avec EBIOS RM
