Audit d'écarts au référentiel IEC 62443 (Cybersécurité des systèmes industriels)
Une vision hiérarchisée des écarts de votre système à un programme de sécurité de référence, traçable et présentable à votre direction ou à votre donneur d'ordre.
En bref
- Résultat
- Une vision hiérarchisée des écarts de votre système à un programme de sécurité de référence, traçable et présentable à votre direction ou à votre donneur d'ordre.
- Idéal pour
- Ingénieur en cybersécurité industrielle, responsable maintenance ou responsable de bureau d'études qui veut situer son système avant un projet ou une demande client.
- Ce que vous obtenez
- Rapport d'audit d'écarts avec constats reliés à leurs preuves, classés par risque, et plan d'actions ordonné.
- Prérequis de votre côté
- Plans d'architecture, inventaire des actifs, découpage en zones, matrices de flux et procédures disponibles, accès au site et entretiens avec l'exploitation.
- Durée et charge
- 6 à 12 jours
- Format
- Forfait
Exemple de situation, cas construit, chiffres indicatifs
Situer une installation avant une demande de son client. Un intégrateur d'automatismes doit répondre à un cahier des charges citant l'IEC 62443 sur le thème Cybersécurité des systèmes industriels. L'audit d'écarts relève les flux réels, les comptes partagés et les accès distants, et classe les écarts. Le plan d'actions sert de base à la réponse, présentée comme un état des lieux.
Nous relevons les écarts de votre système de conduite à la série IEC 62443, sur le thème Cybersécurité des systèmes industriels. Après une revue documentaire et des entretiens, nous observons le réseau en mode passif, puis nous comparons l'existant au programme de sécurité de la partie 2-1, aux exigences système de la partie 3-3 et, pour un produit, à la partie 4-1, ainsi qu'aux guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Aucune analyse active n'est lancée en production sans accord écrit et fenêtre convenue.
Le rapport classe les écarts par risque, les relie à leurs preuves et propose un plan d'actions compatible avec vos arrêts. Il décrit un état des lieux : il ne conclut ni à une conformité ni à un niveau de sécurité atteint. Il peut préparer l'instruction par un prestataire qualifié ou un organisme de certification, qu'Optédif n'est pas.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Cybersécurité des systèmes industriels, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit d'écarts avec constats reliés à leurs preuves
- Tableau des écarts par partie de la série et par zone, classés par risque
- Plan d'actions ordonné, compatible avec les arrêts, présenté à la direction et à l'exploitation
Format et charge : forfait, 6 à 12 jours. Idéal pour : ingénieur en cybersécurité industrielle, responsable maintenance ou responsable de bureau d'études qui veut situer son système avant un projet ou une demande client. Prérequis de votre côté : plans d'architecture, inventaire des actifs, découpage en zones, matrices de flux et procédures disponibles, accès au site et entretiens avec l'exploitation.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Situer une installation avant une demande de son client
Un intégrateur d'automatismes doit répondre à un cahier des charges citant l'IEC 62443 sur le thème Cybersécurité des systèmes industriels. L'audit d'écarts relève les flux réels, les comptes partagés et les accès distants, et classe les écarts. Le plan d'actions sert de base à la réponse, présentée comme un état des lieux.
Comparer un produit connecté aux exigences de la partie 4-1
Un fabricant d'équipements prépare une passerelle réseau et veut connaître ses écarts sur le thème Cybersécurité des systèmes industriels. L'audit compare son processus de développement aux pratiques de la partie 4-1, relève les écarts à traiter et laisse au fabricant la responsabilité de son dossier technique.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Cybersécurité des systèmes industriels dans l'industrie électrique ou électronique, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, vérification réglementaire ou revue de conception, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Cybersécurité des systèmes industriels, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus la vérification d'un organisme accrédité ni l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Intervenez-vous sur des installations en production et à distance ?
Oui, dans un cadre écrit. Sur le thème Cybersécurité des systèmes industriels, la plupart des travaux se font hors production : revue des plans, des flux et des procédures, entretiens, observation passive du réseau. Nous n'effectuons aucune analyse active ni aucun essai d'intrusion sur un équipement en production sans autorisation écrite de l'exploitant, périmètre et fenêtre définis, car ces opérations peuvent arrêter un procédé et relèvent du code pénal en l'absence d'accord. Pour les accès à distance, nous passons par les moyens que vous avez validés, avec comptes nominatifs et traçabilité des sessions. Le devis distingue ce qui se déroule sur site de ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème Cybersécurité des systèmes industriels
Les autres types de prestation sur le thème Cybersécurité des systèmes industriels
- Conseil pour structurer une démarche IEC 62443 (Cybersécurité des systèmes industriels)
- Zones, conduits et exigences de sécurité du système (Cybersécurité des systèmes industriels)
- Déploiement de mesures issues de l'IEC 62443 (Cybersécurité des systèmes industriels)
- Dossier de zones, conduits et exigences en assistance technique (Cybersécurité des systèmes industriels)
- Expliquer les différences entre la sécurité de l'informatique de gestion et celle des systèmes industriels