« Allez-vous toucher à nos automates ? »
Non. Notre intervention est documentaire et organisationnelle :
entretiens, schémas, inventaires, procédures. Aucune sonde à installer,
aucun agent à déployer, aucun accès à votre réseau industriel
n'est nécessaire pour démarrer. C'est précisément ce qui permet
de commencer sans passer six mois en validation de sûreté.
Le détail de ce que nous ne faisons pas →
« Nous avons déjà une solution de détection sur le réseau OT. »
Tant mieux, et nous ne la remplaçons pas. Un outil de détection vous dit
ce qui est présent sur votre réseau. Nous transformons cette donnée en
programme : découpage en zones et conduits, écarts par rapport à la norme,
plan d'action avec responsables et échéances, preuves opposables en audit.
Nous importons son inventaire plutôt que de le concurrencer.
« Nous sommes trop petits pour l'IEC 62443. »
La norme ne s'applique pas uniformément. Elle se décline en niveaux de
sécurité cibles, zone par zone : un poste de relevage n'appelle pas les
mêmes exigences qu'une unité de procédé continue. Déterminer ce qui est
proportionné chez vous, c'est justement l'objet de l'exercice — pas de
vous imposer le programme d'un site Seveso.
« Notre DSI s'occupe déjà de la cybersécurité. »
En informatique de gestion, et c'est très bien ainsi. Mais un plan de
réponse qui prescrit d'isoler et de réinstaller peut arrêter un procédé,
voire créer une situation dangereuse. L'OT impose d'autres priorités — la
disponibilité avant la confidentialité — d'autres réflexes et d'autres
interlocuteurs.
Les deux mondes se complètent, ils ne se remplacent pas. Nous travaillons
avec votre DSI, pas à sa place.
« Nous n'avons pas d'inventaire à jour de nos équipements. »
C'est le cas de la quasi-totalité des sites que nous voyons, y compris
chez des opérateurs importants. Le constituer est le premier
livrable de la mission, pas un prérequis pour la commencer.
