Diagnostic flash avant audit client, certification ou inspection (Cybersécurité des systèmes industriels)
En trois jours, vous savez ce qui serait regardé en priorité et ce qu'il faut corriger d'abord.
En bref
- Résultat
- En trois jours, vous savez ce qui serait regardé en priorité et ce qu'il faut corriger d'abord.
- Idéal pour
- Responsable qualité, responsable de production ou chef de projet industriel à quelques semaines d'un audit client, d'une surveillance ou d'une inspection sur le thème Cybersécurité des systèmes industriels.
- Ce que vous obtenez
- Note de diagnostic de cinq pages : points solides, points bloquants, actions à mener en priorité avant l'échéance.
- Prérequis de votre côté
- Date et périmètre de l'échéance, accès aux documents principaux, une demi-journée d'entretiens.
- Durée et charge
- 2 à 3 jours
- Format
- Forfait
Exemple de situation
Trois semaines avant un audit client. Un fournisseur apprend qu'un audit client sur le thème Cybersécurité des systèmes industriels aura lieu dans trois semaines. Le diagnostic flash, en deux jours, repère deux documents à mettre à jour et une pratique de terrain à clarifier ; la note les classe par priorité et le plan d'actions est lancé dès la restitution.
Quand l'échéance est proche, un audit complet n'est plus possible. Le diagnostic flash sur le thème Cybersécurité des systèmes industriels se concentre sur ce qui sera regardé : les documents que l'examinateur demandera, les pratiques qu'il observera, les questions qu'il posera, à partir de notre connaissance des audits et des inspections, dans les usines, les ateliers et chez les intégrateurs, où les automates, la supervision et les accès de télémaintenance relient désormais la production au reste du système d'information, et où un arrêt de ligne coûte plus cher qu'un correctif retardé.
En deux à trois jours, nous relisons l'essentiel, interrogeons les ingénieurs sécurité concernés et remettons une note courte : points solides à mettre en avant, points bloquants à corriger sans attendre, points secondaires à traiter ensuite. La note se lit en vingt minutes et se transforme en plan d'actions pour les semaines restantes. Elle n'anticipe pas la décision de l'auditeur.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Cybersécurité des systèmes industriels, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre client ou à un organisme de certification.
- Note de diagnostic de cinq pages
- Liste priorisée des actions avant l'échéance
- Conseils de présentation pour le jour de l'audit
Format et charge : forfait, 2 à 3 jours. Idéal pour : responsable qualité, responsable de production ou chef de projet industriel à quelques semaines d'un audit client, d'une surveillance ou d'une inspection sur le thème Cybersécurité des systèmes industriels. Prérequis de votre côté : date et périmètre de l'échéance, accès aux documents principaux, une demi-journée d'entretiens.
Exemples d'usage
Une situation d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Trois semaines avant un audit client
Un fournisseur apprend qu'un audit client sur le thème Cybersécurité des systèmes industriels aura lieu dans trois semaines. Le diagnostic flash, en deux jours, repère deux documents à mettre à jour et une pratique de terrain à clarifier ; la note les classe par priorité et le plan d'actions est lancé dès la restitution.
Cadre réglementaire
L'IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 62443 est une famille de normes dont les schémas de certification (par exemple ISASecure) portent sur des produits et des processus de développement, délivrés par des organismes accrédités. Optédif ne certifie rien : nous aidons à cartographier, à classifier, à analyser les risques et à planifier les mesures, de façon traçable et présentable à vos parties prenantes.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 2 à 3 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Cybersécurité des systèmes industriels en milieu industriel, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client ou audit de certification, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Cybersécurité des systèmes industriels, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre client. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Pouvez-vous réaliser un audit de conformité NIS2 ou un audit qualifié PASSI ?
Non. La directive NIS2 (directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information) est en cours de transposition en France : aucune obligation d'enregistrement n'est applicable à ce jour et aucun audit de conformité NIS2 reconnu n'existe. La qualification PASSI (prestataire d'audit de la sécurité des systèmes d'information) est réservée aux prestataires que l'ANSSI (Agence nationale de la sécurité des systèmes d'information) a qualifiés, ce qu'Optédif n'est pas. Sur le thème Cybersécurité des systèmes industriels, nous cartographions vos installations, analysons les risques, mesurons les écarts avec les référentiels que vous retenez, planifions et déployons des mesures, et préparons des dossiers que vous présentez à votre donneur d'ordre, à votre direction ou à un prestataire qualifié. Nous ne promettons aucune conformité future.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées ; le devis suit l'échange de cadrage.
Les autres déclinaisons d'audit et diagnostic sur le thème Cybersécurité des systèmes industriels
Les autres types de prestation sur le thème Cybersécurité des systèmes industriels
- Conseil en gouvernance cyber OT, en anticipation de NIS2 et en lecture de l'IEC 62443 (Cybersécurité des systèmes industriels)
- Conception d'architectures OT sécurisées, de segmentation, de zones et de conduits (Cybersécurité des systèmes industriels)
- Déploiement de sondes de détection, de bastions d'accès et de durcissement (Cybersécurité des systèmes industriels)
- Assistance technique en sécurité des systèmes industriels (Cybersécurité des systèmes industriels)
- S'initier à la cybersécurité des systèmes industriels
