Audit de sécurité d'une chaîne de données connectée (IIoT)
Une vision hiérarchisée des risques d'une chaîne qui relie capteurs, automates et plateforme, présentable à votre direction ou à votre donneur d'ordre.
En bref
- Résultat
- Une vision hiérarchisée des risques d'une chaîne qui relie capteurs, automates et plateforme, présentable à votre direction ou à votre donneur d'ordre.
- Idéal pour
- Responsable maintenance, responsable d'exploitation ou ingénieur en automatismes dont le site relie ses automates ou ses capteurs à une plateforme de données.
- Ce que vous obtenez
- Rapport d'audit de la chaîne de données, avec constats reliés à leurs preuves, classés par risque, et plan d'actions ordonné.
- Prérequis de votre côté
- Schéma de la chaîne de données, inventaire des équipements, comptes de service et droits, accès aux configurations et entretiens avec l'exploitation et l'informatique.
- Durée et charge
- 5 à 12 jours
- Format
- Forfait
Exemple de situation, cas construit, chiffres indicatifs
Auditer la liaison entre des automates et une plateforme. Un exploitant relie ses automates à une plateforme de données sur le thème IIoT (Industrial Internet of Things, internet des objets industriels). L'audit relève un compte de service aux droits trop larges et un flux ouvert dans les deux sens, puis propose de limiter les échanges au sens montant et de restreindre le compte.
Nous auditons la chaîne de données qui relie vos capteurs, vos automates et votre plateforme, sous l'angle du thème IIoT. La revue porte sur le sens des flux, l'authentification des échanges, les comptes de service et leurs droits, la segmentation, la journalisation et la gestion des correctifs. Nous relisons la configuration de l'outil et des passerelles, et nous observons le réseau en mode passif.
Le rapport classe les constats par risque, relie chacun à sa preuve et propose des actions compatibles avec vos arrêts. Nous travaillons avec l'outil que vous utilisez, sans dépendre d'un éditeur ni en promouvoir un. Le rapport décrit un état des lieux : il ne prononce ni conformité ni niveau de sécurité atteint.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème IIoT, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit de la chaîne de données avec constats reliés à leurs preuves
- Revue des comptes de service, des droits et du sens des flux
- Plan d'actions ordonné, compatible avec les arrêts
Format et charge : forfait, 5 à 12 jours. Idéal pour : responsable maintenance, responsable d'exploitation ou ingénieur en automatismes dont le site relie ses automates ou ses capteurs à une plateforme de données. Prérequis de votre côté : schéma de la chaîne de données, inventaire des équipements, comptes de service et droits, accès aux configurations et entretiens avec l'exploitation et l'informatique.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Auditer la liaison entre des automates et une plateforme
Un exploitant relie ses automates à une plateforme de données sur le thème IIoT. L'audit relève un compte de service aux droits trop larges et un flux ouvert dans les deux sens, puis propose de limiter les échanges au sens montant et de restreindre le compte.
Relire la configuration d'un serveur de connectivité
Un site utilise un serveur de connectivité pour collecter les données de ses équipements sur le thème IIoT. L'audit revoit les accès, la journalisation et les correctifs appliqués, et classe les écarts selon l'effet possible sur la production.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 5 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème IIoT dans l'industrie électrique ou électronique, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, vérification réglementaire ou revue de conception, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème IIoT, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus la vérification d'un organisme accrédité ni l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Intervenez-vous sur des installations en production et à distance ?
Oui, dans un cadre écrit. Sur le thème IIoT, la plupart des travaux se font hors production : revue des plans, des flux et des procédures, entretiens, observation passive du réseau. Nous n'effectuons aucune analyse active ni aucun essai d'intrusion sur un équipement en production sans autorisation écrite de l'exploitant, périmètre et fenêtre définis, car ces opérations peuvent arrêter un procédé et relèvent du code pénal en l'absence d'accord. Pour les accès à distance, nous passons par les moyens que vous avez validés, avec comptes nominatifs et traçabilité des sessions. Le devis distingue ce qui se déroule sur site de ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème IIoT
Les autres types de prestation sur le thème IIoT
- Conseil pour choisir et cadrer une architecture connectée (IIoT)
- Architecture sécurisée d'une chaîne de données connectée (IIoT)
- Mise en service sécurisée d'une chaîne de données connectée (IIoT)
- Architecture de remontée de données et configuration documentée en assistance technique (IIoT)
- Découvrir les principes de l'IIoT