Audit d'organisation et d'architecture de cybersécurité (Cybersécurité des systèmes industriels)

Nous auditons votre sécurité sous l'angle du thème Cybersécurité des systèmes industriels : gouvernance, inventaire des actifs, découpage en zones et conduits, accès distants, gestion des comptes, des correctifs et des sauvegardes, rôle des prestataires. La méthode associe revue de documents, relevé de l'architecture, entretiens avec les responsables opérationnels et revue de configurations exportées, sans action sur les systèmes en exploitation.

Le rapport classe les écarts par gravité et par effort, et distingue ce qui relève de l'organisation, de l'architecture et des équipements. Il ne comprend ni test d'intrusion ni audit présenté comme qualifié par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), et ne vaut pas attestation de conformité. Il sert de base à votre plan d'actions, avec l'objectif d'implémenter des mécanismes de détection et de réponse adaptés.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Cybersécurité des systèmes industriels, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.

• Rapport d'audit avec écarts aux référentiels retenus, classés par gravité et par effort
• Cartographie des zones, des flux et des accès distants relevés
• Plan d'actions priorisé, présenté à la direction et au responsable de la cybersécurité

Format et charge : forfait, 6 à 12 jours. Idéal pour : responsable cybersécurité des systèmes industriels et embarqués, responsable sûreté ou ingénieur automatisme qui doit objectiver un niveau de maturité. Prérequis de votre côté : schémas d'architecture, inventaire des équipements, politiques existantes, accès aux responsables d'exploitation et de maintenance pour les entretiens.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.