Architecture et flux
Revoir la segmentation, les interconnexions IT/OT et les services exposés. Identifier les flux nécessaires et les accès inattendus.
Audit de sécurité des systèmes industriels
Examiner les protections du site, des réseaux de contrôle et de leurs interconnexions.
Une prestation adaptée à votre installation
L’audit OT examine l’architecture, les accès, les configurations et les pratiques d’exploitation du système industriel. Il associe analyse documentaire, échanges avec les équipes et vérifications adaptées au site. Les contraintes de disponibilité et les conséquences sur le procédé déterminent les contrôles réalisables.
Équipements et hôtes
Examiner les postes de supervision, les serveurs et les configurations incluses dans la mission. Prendre en compte les versions et les contraintes de support.
Maintenance et accès physiques
Étudier les accès des intervenants, les droits, les outils de maintenance et les protections physiques du périmètre défini.
Organisation et suivi
Relier les observations aux procédures de changement, aux sauvegardes et au maintien en condition de sécurité.
Comment se déroule la mission ?
Préparer avec le site
Partager l’architecture, les fonctions critiques et les fenêtres disponibles. Définir les méthodes acceptées et les équipements exclus.
Examiner les protections
Conduire les entretiens et les contrôles convenus. Privilégier les sources et les observations compatibles avec les conditions d’exploitation.
Prioriser les mesures
Restituer les risques et les écarts avec des recommandations tenant compte du procédé, des arrêts et des responsabilités.
Ce que vous obtenez
- État des lieux de l’architecture, des accès et des protections examinées.
- Rapport avec risques et recommandations adaptées au contexte industriel.
- Plan d’actions distinguant mesures immédiates et évolutions nécessitant une préparation.
Auditer un barrage hydroélectrique
La mission a porté sur les protections physiques et logiques, le réseau industriel, les configurations des hôtes et les droits d’accès. Les observations ont conduit à des recommandations pour renforcer la sécurité de l’installation.
Des constats utilisables par vos équipes
Observation et preuves
Comprendre ce qui a été observé, les accès utilisés et les limites du contrôle.
Impact et priorité
Relier le constat à ses conséquences dans le contexte du système étudié.
Correction et vérification
Proposer une mesure adaptée et les conditions permettant d’en vérifier l’effet.
Vos questions sur cette prestation
Un audit OT nécessite-t-il un arrêt de production ?
Pas systématiquement. Certains contrôles sont documentaires ou réalisables en exploitation ; d’autres nécessitent une fenêtre dédiée. Le cadrage les distingue.
Peut-on auditer des équipements anciens ?
Oui. L’analyse tient compte de leur support, des possibilités de modification et des mesures compensatoires envisageables.
Un audit inclut-il des attaques actives ?
Seulement si elles sont prévues et autorisées. Les essais techniques ciblés disposent d’un périmètre et de conditions spécifiques.
Les cadres de conformité à examiner
IEC 62443 fournit les repères propres aux systèmes industriels. NIS 2 peut concerner l’organisation exploitante ; le CRA peut concerner un produit industriel commercialisé. Exploitant, intégrateur et fabricant n’ont pas le même périmètre.
IEC 62443
Systèmes industriels et composants : choisir les parties de la série adaptées au rôle du fabricant, de l’intégrateur ou de l’exploitant.
Comprendre ce cadreDirective NIS 2
Organisations concernées : relier gouvernance, gestion des risques et mesures de sécurité. Le RéCyF fournit des repères de préparation.
Comprendre ce cadreCyber Resilience Act
Produits comportant des éléments numériques : déterminer le périmètre et les obligations du fabricant sur le cycle de vie.
Comprendre ce cadreLes autres prestations OT
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre