Audit de sécurité des systèmes industriels et des réseaux OT (MITRE ATT&CK)
Une vision argumentée de l'exposition de vos installations, présentable à votre direction et à vos donneurs d'ordre.
En bref
- Résultat
- Une vision argumentée de l'exposition de vos installations, présentable à votre direction et à vos donneurs d'ordre.
- Idéal pour
- RSSI (responsable de la sécurité des systèmes d'information) industriel, responsable informatique industrielle ou responsable automatisme qui prépare une revue interne ou répond à la demande d'un client.
- Ce que vous obtenez
- Rapport d'audit avec constats classés par criticité, cartographie des flux et des accès, et plan d'actions priorisé selon l'effet sur la production.
- Prérequis de votre côté
- Accès aux schémas d'architecture, à l'inventaire des équipements, aux procédures d'accès distant et aux équipes d'exploitation, avec des fenêtres d'intervention validées par la production.
- Durée et charge
- 5 à 12 jours
- Format
- Forfait
Exemple de situation
Préparer la réponse à un questionnaire cyber d'un donneur d'ordre. Un sous-traitant industriel doit répondre au questionnaire de sécurité de son client sur le thème MITRE ATT&CK. L'audit, en six jours, relève les flux et les accès distants réels, écarte les réponses non étayées et produit un plan d'actions que la direction valide avant l'envoi.
Nous auditons, sur le thème MITRE ATT&CK, ce qui fait réellement tourner l'usine : inventaire des automates, des postes de supervision et des équipements réseau, flux entre l'atelier et le reste du système d'information, comptes et mots de passe, accès de télémaintenance, sauvegarde des programmes, gestion des correctifs. Nous privilégions l'observation, la revue documentaire et les entretiens, et nous ne lançons aucun test actif sur un équipement de production sans accord écrit et fenêtre d'arrêt. Les constats sont lus avec la grille de l'IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 62443 ou avec les guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) sur les systèmes industriels, selon le référentiel que vous retenez.
Le rapport hiérarchise les constats, en indique les causes probables et propose un ordre de traitement compatible avec les arrêts planifiés. Il n'est ni un audit conduit par un prestataire qualifié PASSI (prestataire d'audit de la sécurité des systèmes d'information), ni un audit de conformité NIS2 (directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information) reconnu, ni une certification : il vous aide à décider et à présenter votre démarche, notamment pour structurer vos pratiques sur ce thème.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème MITRE ATT&CK, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre client ou à un organisme de certification.
- Rapport d'audit avec constats classés par criticité et rattachés au référentiel retenu
- Cartographie des flux, des accès distants et des comptes à privilèges
- Plan d'actions priorisé, présenté à la direction et au responsable de production
Format et charge : forfait, 5 à 12 jours. Idéal pour : RSSI industriel, responsable informatique industrielle ou responsable automatisme qui prépare une revue interne ou répond à la demande d'un client. Prérequis de votre côté : accès aux schémas d'architecture, à l'inventaire des équipements, aux procédures d'accès distant et aux équipes d'exploitation, avec des fenêtres d'intervention validées par la production.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Préparer la réponse à un questionnaire cyber d'un donneur d'ordre
Un sous-traitant industriel doit répondre au questionnaire de sécurité de son client sur le thème MITRE ATT&CK. L'audit, en six jours, relève les flux et les accès distants réels, écarte les réponses non étayées et produit un plan d'actions que la direction valide avant l'envoi.
Comparer la sécurité de deux ateliers d'un même site
Un site exploite deux ateliers qui appliquent le thème MITRE ATT&CK de façon différente. L'audit compare inventaires, sauvegardes et accès de télémaintenance, puis propose une pratique commune et un calendrier de convergence sur neuf mois, présentés aux deux responsables d'atelier.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 5 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème MITRE ATT&CK en milieu industriel, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client ou audit de certification, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème MITRE ATT&CK, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre client. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Pouvez-vous réaliser un audit de conformité NIS2 ou un audit qualifié PASSI ?
Non. La directive NIS2 est en cours de transposition en France : aucune obligation d'enregistrement n'est applicable à ce jour et aucun audit de conformité NIS2 reconnu n'existe. La qualification PASSI est réservée aux prestataires que l'ANSSI a qualifiés, ce qu'Optédif n'est pas. Sur le thème MITRE ATT&CK, nous cartographions vos installations, analysons les risques, mesurons les écarts avec les référentiels que vous retenez, planifions et déployons des mesures, et préparons des dossiers que vous présentez à votre donneur d'ordre, à votre direction ou à un prestataire qualifié. Nous ne promettons aucune conformité future.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées ; le devis suit l'échange de cadrage.
Les autres déclinaisons d'audit et diagnostic sur le thème MITRE ATT&CK
Les autres types de prestation sur le thème MITRE ATT&CK
- Conseil en gouvernance cyber OT, en anticipation de NIS2 et en lecture de l'IEC 62443 (MITRE ATT&CK)
- Conception d'architectures OT sécurisées, de segmentation, de zones et de conduits (MITRE ATT&CK)
- Déploiement de sondes de détection, de bastions d'accès et de durcissement (MITRE ATT&CK)
- Assistance technique en sécurité des systèmes industriels (MITRE ATT&CK)
- Formation MITRE ATT&CK
