Audit d'organisation et d'architecture de cybersécurité (Norme ISO 27001 Système de management de la sécurité de l'information)
Une vue argumentée de l'exposition réelle et des mesures à engager en premier, présentable à la direction et au donneur d'ordre.
En bref
- Résultat
- Une vue argumentée de l'exposition réelle et des mesures à engager en premier, présentable à la direction et au donneur d'ordre.
- Idéal pour
- Responsable cybersécurité des systèmes industriels et embarqués, responsable sûreté ou ingénieur automatisme qui doit objectiver un niveau de maturité.
- Ce que vous obtenez
- Rapport d'audit avec écarts aux référentiels retenus (IEC 62443, ISO/IEC 27001, exigences du donneur d'ordre) et plan d'actions priorisé.
- Prérequis de votre côté
- Schémas d'architecture, inventaire des équipements, politiques existantes, accès aux responsables d'exploitation et de maintenance pour les entretiens.
- Durée et charge
- 6 à 12 jours
- Format
- Forfait
Exemple de situation
Avant une revue de cybersécurité chez le donneur d'ordre. Un équipementier prépare la revue cyber d'un client sur le thème Norme ISO 27001 Système de management de la sécurité de l'information. L'audit, mené sur documents et entretiens, relève cinq écarts entre ses pratiques et les exigences contractuelles, dont deux sont traités avant la revue par l'équipe.
Nous auditons votre sécurité sous l'angle du thème Norme ISO 27001 Système de management de la sécurité de l'information : gouvernance, inventaire des actifs, découpage en zones et conduits, accès distants, gestion des comptes, des correctifs et des sauvegardes, rôle des prestataires. La méthode associe revue de documents, relevé de l'architecture, entretiens avec les managers de systèmes d'information et revue de configurations exportées, sans action sur les systèmes en exploitation.
Le rapport classe les écarts par gravité et par effort, et distingue ce qui relève de l'organisation, de l'architecture et des équipements. Il ne comprend ni test d'intrusion ni audit présenté comme qualifié par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), et ne vaut pas attestation de conformité. Il sert de base à votre plan d'actions, avec l'objectif de surveiller les risques liés à la sécurité de l'information avec Base de données.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Norme ISO 27001 Système de management de la sécurité de l'information, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit avec écarts aux référentiels retenus, classés par gravité et par effort
- Cartographie des zones, des flux et des accès distants relevés
- Plan d'actions priorisé, présenté à la direction et au responsable de la cybersécurité
Format et charge : forfait, 6 à 12 jours. Idéal pour : responsable cybersécurité des systèmes industriels et embarqués, responsable sûreté ou ingénieur automatisme qui doit objectiver un niveau de maturité. Prérequis de votre côté : schémas d'architecture, inventaire des équipements, politiques existantes, accès aux responsables d'exploitation et de maintenance pour les entretiens.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Avant une revue de cybersécurité chez le donneur d'ordre
Un équipementier prépare la revue cyber d'un client sur le thème Norme ISO 27001 Système de management de la sécurité de l'information. L'audit, mené sur documents et entretiens, relève cinq écarts entre ses pratiques et les exigences contractuelles, dont deux sont traités avant la revue par l'équipe.
État des lieux d'un atelier de maintenance
Un atelier de maintenance ferroviaire veut connaître son exposition sur le thème Norme ISO 27001 Système de management de la sécurité de l'information. L'audit recense les équipements, schématise les flux vers le système d'information et identifie les accès de prestataires à encadrer en priorité.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Norme ISO 27001 Système de management de la sécurité de l'information dans l'industrie ferroviaire ou navale, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, inspection de l'autorité, visite de classification ou évaluation d'un organisme tiers, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Norme ISO 27001 Système de management de la sécurité de l'information, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'une autorité, d'une société de classification ou d'un organisme tiers, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Intervenez-vous sur des systèmes en exploitation, sur un navire ou sur une ligne ?
Notre travail se déroule d'abord hors production : documents, schémas, configurations exportées, entretiens et environnements de test. Sur le thème Norme ISO 27001 Système de management de la sécurité de l'information, une intervention sur site n'a lieu qu'avec l'autorisation de l'exploitant, en appliquant les règles d'accès et de sécurité du site ou du chantier. Nous n'assurons pas d'intervention embarquée en mer. Toute modification d'un équipement qui concourt à la sécurité reste décidée et évaluée par vous et, si nécessaire, par l'organisme tiers compétent.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous répondons sous 48 h ouvrées et le devis est établi après l'échange.
Les autres déclinaisons d'audit et diagnostic sur le thème Norme ISO 27001 Système de management de la sécurité de l'information
Les autres types de prestation sur le thème Norme ISO 27001 Système de management de la sécurité de l'information
- Conseil en gouvernance cyber OT et conformité (Norme ISO 27001 Système de management de la sécurité de l'information)
- Conception d'architectures sécurisées, de segmentation et de politiques (Norme ISO 27001 Système de management de la sécurité de l'information)
- Découvrir la norme ISO 27001 et son système de management