Audit de l'architecture de télégestion, de supervision et analyse d'écarts de cybersécurité des ouvrages (Ignition)
Une vision argumentée de votre niveau de maîtrise, présentable à la direction, aux élus ou au prestataire qualifié que vous mandatez.
En bref
- Résultat
- Une vision argumentée de votre niveau de maîtrise, présentable à la direction, aux élus ou au prestataire qualifié que vous mandatez.
- Idéal pour
- Responsable télégestion et supervision, responsable cybersécurité industrielle ou directeur d'un service d'eau et d'assainissement, en intra-entreprise.
- Ce que vous obtenez
- Rapport d'audit documentaire et organisationnel avec cartographie de l'architecture, écarts aux bonnes pratiques retenues et plan d'actions priorisé, sans audit qualifié ni essai intrusif.
- Prérequis de votre côté
- Schémas réseau même partiels, inventaire des automates et des postes de supervision, liste des accès distants et des prestataires, accès aux responsables d'exploitation et d'automatismes.
- Durée et charge
- 5 à 12 jours
- Format
- Forfait
Exemple de situation
Cartographier les accès distants d'un syndicat. Un syndicat découvre que plusieurs prestataires accèdent à ses postes sur le thème Ignition. L'audit recense les accès, les comptes et les moyens de connexion, classe les écarts et propose un plan pour les regrouper.
Sur le thème Ignition, nous cartographions votre système : ouvrages télégérés, automates, passerelles, moyens de communication, postes de supervision, accès distants, sauvegardes, comptes et mots de passe d'exploitation, dans un service d'eau ou d'assainissement dont les ouvrages sont télégérés et dont la continuité dépend de systèmes industriels connectés. L'audit est documentaire et organisationnel : entretiens, revue de schémas et de procédures, observation des pratiques sur site. Il ne comprend aucun essai sur le système en exploitation.
Les écarts sont comparés à un référentiel de bonnes pratiques convenu avec vous, par exemple les guides de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) pour les systèmes industriels ou la série IEC (Commission électrotechnique internationale) 62443, et classés selon leur effet sur la continuité du service. Ce n'est pas un audit qualifié : il ne remplace pas celui qu'un prestataire qualifié par l'ANSSI réaliserait si le cadre juridique l'exige, et il aide vos superviseurs de production à préparer cette échéance.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Ignition, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre maître d'ouvrage ou à l'autorité de contrôle.
- Cartographie documentaire de l'architecture de télégestion et de supervision
- Tableau des écarts aux bonnes pratiques retenues, classés par effet sur la continuité du service
- Plan d'actions priorisé, présentable à la direction et aux élus
Format et charge : forfait, 5 à 12 jours. Idéal pour : responsable télégestion et supervision, responsable cybersécurité industrielle ou directeur d'un service d'eau et d'assainissement, en intra-entreprise. Prérequis de votre côté : schémas réseau même partiels, inventaire des automates et des postes de supervision, liste des accès distants et des prestataires, accès aux responsables d'exploitation et d'automatismes.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Cartographier les accès distants d'un syndicat
Un syndicat découvre que plusieurs prestataires accèdent à ses postes sur le thème Ignition. L'audit recense les accès, les comptes et les moyens de connexion, classe les écarts et propose un plan pour les regrouper.
Préparer l'intervention d'un prestataire qualifié
Une régie doit faire auditer son système par un prestataire qualifié sur le thème Ignition. Notre analyse d'écarts documentaire rassemble schémas, inventaires et procédures, pour que cet audit commence sur une base propre.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 5 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Ignition dans le secteur de l'eau, de l'assainissement ou des déchets, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, contrôle de l'autorité, audit du maître d'ouvrage ou audit de certification, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Ignition, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre maître d'ouvrage. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'une autorité ou d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Réalisez-vous des audits qualifiés ou des tests d'intrusion sur nos systèmes en exploitation ?
Non. Nous ne sommes pas un prestataire d'audit qualifié par l'ANSSI et nous ne réalisons aucun test d'intrusion sur un système en exploitation. Sur le thème Ignition, nous intervenons en amont et en aval : cartographie documentaire, sensibilisation, analyse d'écarts non qualifiée par rapport aux bonnes pratiques et à IEC 62443, cahiers des charges, politiques de sécurité, dossiers de segmentation, puis exploitation des rapports de vos prestataires. Le devis précise ce que nous traitons et ce qui est confié à un prestataire que vous choisissez.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres types de prestation sur le thème Ignition
- Conseil en architecture, en instrumentation et en préparation à la directive NIS 2 (Ignition)
- Rédaction de cahiers des charges, de politiques de sécurité et de dossiers de segmentation (Ignition)
- Déploiement de supervision, de capteurs et de mesures de durcissement (Ignition)
- Configurer les alarmes de base dans Ignition