Audit de sécurité des systèmes industriels (Logiciels critiques)
Une vision documentée de votre exposition, opposable à l'exploitant, à l'ANSSI et à votre direction.
En bref
- Résultat
- Une vision documentée de votre exposition, opposable à l'exploitant, à l'ANSSI et à votre direction.
- Idéal pour
- Responsable de la sécurité des systèmes d'information, responsable de systèmes industriels ou directeur technique d'un exploitant ou d'un prestataire opérant des systèmes classés.
- Ce que vous obtenez
- Rapport d'audit : cartographie des actifs et des flux, écarts aux exigences LPM, NIS 2, ANSSI et IEC 62443, risques priorisés et plan de remédiation chiffré.
- Prérequis de votre côté
- Périmètre des systèmes audités, schémas d'architecture et inventaires existants, accès encadré aux équipements, validation du responsable sécurité de l'exploitant.
- Durée et charge
- 8 à 15 jours
- Format
- Forfait
Exemple de situation
Premier état des lieux d'un prestataire. Un intégrateur intervenant sur des systèmes classés n'a jamais fait auditer sa sécurité sur le thème Logiciels critiques. L'audit cartographie les actifs, identifie des accès distants non maîtrisés et propose un plan de remédiation en trois vagues, présenté à la sécurité des systèmes d'information de l'exploitant.
Un système de contrôle-commande ou un réseau industriel classé doit pouvoir démontrer sa sécurité. Nous auditons le vôtre sous l'angle du thème Logiciels critiques : inventaire et cartographie des actifs, segmentation, gestion des accès et des interventions de maintenance, durcissement, détection, réponse à incident, conformité aux exigences de la loi de programmation militaire, de la directive NIS 2, des référentiels de l'ANSSI et de la norme IEC 62443.
L'audit se déroule sans action intrusive sur les systèmes en production, par lecture documentaire, entretiens avec les opérateurs de maintenance industriel et observation encadrée. Le rapport priorise les risques, propose un plan de remédiation chiffré et distingue l'obligation réglementaire de la bonne pratique, avec l'objectif d'évaluer les risques et former les équipes.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Logiciels critiques, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit avec cartographie des actifs et des flux
- Écarts aux exigences LPM, NIS 2, ANSSI et IEC 62443
- Plan de remédiation chiffré et priorisé
Format et charge : forfait, 8 à 15 jours. Idéal pour : responsable de la sécurité des systèmes d'information, responsable de systèmes industriels ou directeur technique d'un exploitant ou d'un prestataire opérant des systèmes classés. Prérequis de votre côté : périmètre des systèmes audités, schémas d'architecture et inventaires existants, accès encadré aux équipements, validation du responsable sécurité de l'exploitant.
Cas d'usage
Deux situations représentatives, anonymisées, dans lesquelles cette prestation a du sens. Les chiffres sont indicatifs et dépendent du site et du périmètre.
Premier état des lieux d'un prestataire
Un intégrateur intervenant sur des systèmes classés n'a jamais fait auditer sa sécurité sur le thème Logiciels critiques. L'audit cartographie les actifs, identifie des accès distants non maîtrisés et propose un plan de remédiation en trois vagues, présenté à la sécurité des systèmes d'information de l'exploitant.
Préparer une déclaration réglementaire
Un exploitant local doit documenter la sécurité d'un système sur le thème Logiciels critiques. L'audit fournit les preuves et les écarts à traiter avant la déclaration.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 8 à 15 jours, au forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Logiciels critiques dans l'industrie nucléaire, indépendant de vos équipes, qui signe les engagements de confidentialité demandés par l'exploitant. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, surveillance, évaluation de fournisseur ou inspection, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts critiques.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Logiciels critiques, l'audit produit un rapport opposable, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, que vous pouvez présenter à votre donneur d'ordre ou à l'ASNR. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
La formation couvre-t-elle les exigences de la LPM et de la directive NIS 2 ?
Oui. La formation Logiciels critiques replace chaque pratique dans le cadre applicable aux opérateurs d'importance vitale et aux entités essentielles : loi de programmation militaire, directive NIS 2 et sa transposition, référentiels de l'ANSSI et norme IEC 62443 pour les systèmes industriels. Nous distinguons ce qui relève de l'obligation réglementaire, de l'exigence contractuelle de l'exploitant et de la bonne pratique. Les exercices s'appuient sur des architectures de contrôle-commande représentatives, jamais sur vos configurations réelles en séance, sauf dans un environnement que vous maîtrisez et avec l'accord de votre responsable de la sécurité des systèmes d'information.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème Logiciels critiques
- Audit de conformité au référentiel de l'exploitant (Logiciels critiques)
- Diagnostic flash avant revue ou inspection (Logiciels critiques)
Les autres types de prestation sur le thème Logiciels critiques
- Conseil en gouvernance et en mise en conformité (Logiciels critiques)
- Conception d'architecture sécurisée et de segmentation (Logiciels critiques)
- Déploiement de mesures de sécurité et migration d'équipements (Logiciels critiques)
- Renfort d'experts en sécurité des systèmes industriels (Logiciels critiques)
- Identifier les risques des logiciels critiques
