Audit de sécurité des systèmes industriels et des réseaux OT (IIoT : sécurité des objets connectés)

Nous auditons, sur le thème IIoT : sécurité des objets connectés, ce qui fait réellement tourner l'usine : inventaire des automates, des postes de supervision et des équipements réseau, flux entre l'atelier et le reste du système d'information, comptes et mots de passe, accès de télémaintenance, sauvegarde des programmes, gestion des correctifs. Nous privilégions l'observation, la revue documentaire et les entretiens, et nous ne lançons aucun test actif sur un équipement de production sans accord écrit et fenêtre d'arrêt. Les constats sont lus avec la grille de l'IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 62443 ou avec les guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) sur les systèmes industriels, selon le référentiel que vous retenez.

Le rapport hiérarchise les constats, en indique les causes probables et propose un ordre de traitement compatible avec les arrêts planifiés. Il n'est ni un audit conduit par un prestataire qualifié PASSI (prestataire d'audit de la sécurité des systèmes d'information), ni un audit de conformité NIS2 (directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information) reconnu, ni une certification : il vous aide à décider et à présenter votre démarche, notamment pour maîtriser la sécurité IIoT et la cybersécurité réseau.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème IIoT : sécurité des objets connectés, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre client ou à un organisme de certification.

• Rapport d'audit avec constats classés par criticité et rattachés au référentiel retenu
• Cartographie des flux, des accès distants et des comptes à privilèges
• Plan d'actions priorisé, présenté à la direction et au responsable de production

Format et charge : forfait, 5 à 12 jours. Idéal pour : RSSI industriel, responsable informatique industrielle ou responsable automatisme qui prépare une revue interne ou répond à la demande d'un client. Prérequis de votre côté : accès aux schémas d'architecture, à l'inventaire des équipements, aux procédures d'accès distant et aux équipes d'exploitation, avec des fenêtres d'intervention validées par la production.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.