Audit de sécurité des systèmes industriels (Gestion des vulnérabilités OT)
Une vision hiérarchisée des risques, traçable et présentable à votre direction et à votre donneur d'ordre.
En bref
- Résultat
- Une vision hiérarchisée des risques, traçable et présentable à votre direction et à votre donneur d'ordre.
- Idéal pour
- Ingénieur en cybersécurité industrielle, responsable maintenance ou responsable de bureau d'études qui doit situer ses installations avant un projet ou une demande client.
- Ce que vous obtenez
- Rapport d'audit avec constats reliés à leurs preuves, classés par risque, et plan d'actions ordonné.
- Prérequis de votre côté
- Plans d'architecture, inventaire des actifs, matrices de flux et procédures disponibles, accès au site et entretiens avec l'exploitation et la maintenance.
- Durée et charge
- 6 à 12 jours
- Format
- Forfait
Exemple de situation, cas construit, chiffres indicatifs
Situer un site avant une demande de son donneur d'ordre. Un exploitant de site industriel doit répondre à un questionnaire cyber de son client sur le thème Gestion des vulnérabilités OT. L'audit relève les flux réels, les comptes partagés et les accès distants, puis classe les écarts. Le plan d'actions sert de base à la réponse, présentée comme un état des lieux et un engagement de trajectoire.
Nous auditons la sécurité de vos systèmes de conduite sous l'angle du thème Gestion des vulnérabilités OT. La méthode suit un ordre fixe : revue documentaire (plans, inventaire des actifs, flux, procédures), entretiens avec l'exploitation et la maintenance, relevé sur site en observation passive, puis analyse des écarts par rapport au programme de sécurité de la partie 2-1 de l'IEC 62443, aux exigences système de la partie 3-3 et aux guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) sur les systèmes industriels. Aucune analyse active n'est lancée sur un équipement en production sans accord écrit et fenêtre convenue.
Le rapport classe les constats par risque, relie chacun à ses preuves et propose un plan d'actions compatible avec vos arrêts. Il vous aide à décider, à répondre à votre donneur d'ordre et à préparer l'intervention d'un prestataire qualifié ou d'un organisme de certification lorsque votre contexte l'exige. Il ne tient lieu ni de l'un ni de l'autre.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Gestion des vulnérabilités OT, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit avec constats reliés à leurs preuves et classés par risque
- Cartographie des actifs et des flux observés, avec les écarts à la matrice attendue
- Plan d'actions ordonné, compatible avec les arrêts, présenté à la direction et à l'exploitation
Format et charge : forfait, 6 à 12 jours. Idéal pour : ingénieur en cybersécurité industrielle, responsable maintenance ou responsable de bureau d'études qui doit situer ses installations avant un projet ou une demande client. Prérequis de votre côté : plans d'architecture, inventaire des actifs, matrices de flux et procédures disponibles, accès au site et entretiens avec l'exploitation et la maintenance.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Situer un site avant une demande de son donneur d'ordre
Un exploitant de site industriel doit répondre à un questionnaire cyber de son client sur le thème Gestion des vulnérabilités OT. L'audit relève les flux réels, les comptes partagés et les accès distants, puis classe les écarts. Le plan d'actions sert de base à la réponse, présentée comme un état des lieux et un engagement de trajectoire.
Auditer un produit connecté avant sa mise sur le marché
Un fabricant d'équipements ajoute une passerelle réseau à sa gamme. L'audit compare le produit et son processus de développement aux exigences de la partie 4-1 de l'IEC 62443 sur le thème Gestion des vulnérabilités OT, et relève les écarts à traiter avant de constituer le dossier technique, dont le fabricant reste responsable.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Gestion des vulnérabilités OT dans l'industrie électrique ou électronique, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, vérification réglementaire ou revue de conception, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Gestion des vulnérabilités OT, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus la vérification d'un organisme accrédité ni l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Intervenez-vous sur des installations en production et à distance ?
Oui, dans un cadre écrit. Sur le thème Gestion des vulnérabilités OT, la plupart des travaux se font hors production : revue des plans, des flux et des procédures, entretiens, observation passive du réseau. Nous n'effectuons aucune analyse active ni aucun essai d'intrusion sur un équipement en production sans autorisation écrite de l'exploitant, périmètre et fenêtre définis, car ces opérations peuvent arrêter un procédé et relèvent du code pénal en l'absence d'accord. Pour les accès à distance, nous passons par les moyens que vous avez validés, avec comptes nominatifs et traçabilité des sessions. Le devis distingue ce qui se déroule sur site de ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème Gestion des vulnérabilités OT
Les autres types de prestation sur le thème Gestion des vulnérabilités OT
- Conseil en gouvernance cyber OT (Gestion des vulnérabilités OT)
- Architectures sécurisées et segmentation des réseaux industriels (Gestion des vulnérabilités OT)
- Déploiement de mesures de sécurité OT (Gestion des vulnérabilités OT)
- Analyse de risque, segmentation ou durcissement documenté en assistance technique (Gestion des vulnérabilités OT)
- S'initier à la gestion des vulnérabilités OT