Revue de conformité aux normes ISO 26262, ISO/SAE 21434 et IEC 62443 (Cybersécurité des systèmes industriels)
Une vision traçable des écarts et des preuves manquantes, avant la revue de votre client ou de l'organisme indépendant que vous avez choisi.
En bref
- Résultat
- Une vision traçable des écarts et des preuves manquantes, avant la revue de votre client ou de l'organisme indépendant que vous avez choisi.
- Idéal pour
- Ingénieur sûreté de fonctionnement, ingénieur cybersécurité produit ou responsable de bureau d'études qui doit présenter à son client un dossier sur le thème Cybersécurité des systèmes industriels.
- Ce que vous obtenez
- Rapport de revue avec écarts argumentés au référentiel et aux exigences du client, matrice de couverture des preuves et plan d'actions priorisé.
- Prérequis de votre côté
- Plan de sûreté ou de cybersécurité, dernières versions des analyses et des exigences, accès aux responsables de projet, accord de confidentialité signé.
- Durée et charge
- 5 à 12 jours
- Format
- Forfait
Exemple de situation
Avant la revue d'un client sur un calculateur. Un équipementier automobile de rang 1 prépare la revue de sûreté d'un calculateur sur le thème Cybersécurité des systèmes industriels. La revue suit cinq fils de bout en bout, relève des exigences de sécurité sans test associé et des hypothèses d'intégration non transmises. Le plan d'actions est repris dans le calendrier du programme.
Nous partons du référentiel que votre client ou votre organisme indépendant appliquera : parties de l'ISO (International Organization for Standardization, Organisation internationale de normalisation) 26262, clauses de l'ISO/SAE 21434, exigences de l'IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 62443 pour les systèmes industriels, spécificités du thème Cybersécurité des systèmes industriels. Nous relisons vos plans, analyses, exigences et preuves de vérification, puis nous les confrontons à ces exigences en suivant quelques fils de bout en bout, de la fonction jusqu'au test, plutôt que document par document.
Le rapport classe chaque écart par gravité, indique la preuve attendue et propose un plan d'actions compatible avec votre calendrier de programme. Vous corrigez avant l'échéance et vous abordez la revue d'un tiers avec un dossier cohérent. Cette revue n'est pas une évaluation officielle : nous ne certifions rien, nous ne validons pas votre produit, et nos constats ne préjugent pas de la décision de votre client ou d'un organisme tiers.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Cybersécurité des systèmes industriels, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport de revue avec écarts classés par gravité et preuve attendue
- Matrice de couverture des exigences de la norme et du client par vos preuves
- Plan d'actions priorisé, présenté à la direction du programme
Format et charge : forfait, 5 à 12 jours. Idéal pour : ingénieur sûreté de fonctionnement, ingénieur cybersécurité produit ou responsable de bureau d'études qui doit présenter à son client un dossier sur le thème Cybersécurité des systèmes industriels. Prérequis de votre côté : plan de sûreté ou de cybersécurité, dernières versions des analyses et des exigences, accès aux responsables de projet, accord de confidentialité signé.
Exemples d'usage
Deux situations d'exemple, dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Avant la revue d'un client sur un calculateur
Un équipementier automobile de rang 1 prépare la revue de sûreté d'un calculateur sur le thème Cybersécurité des systèmes industriels. La revue suit cinq fils de bout en bout, relève des exigences de sécurité sans test associé et des hypothèses d'intégration non transmises. Le plan d'actions est repris dans le calendrier du programme.
Harmoniser les pratiques de plusieurs sites
Un groupe dont deux bureaux d'études appliquent le thème Cybersécurité des systèmes industriels différemment demande une revue croisée. Le rapport compare les deux démarches, retient les pratiques les plus complètes et propose un référentiel commun de preuves, que les deux équipes adoptent progressivement sur leurs prochains projets.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 5 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Cybersécurité des systèmes industriels dans l'industrie automobile, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, audit de seconde partie ou audit de certification, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Cybersécurité des systèmes industriels, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre client. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'audit d'un client ou d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Votre intervention remplace-t-elle l'audit ou la décision d'un tiers ?
Non. Sur le thème Cybersécurité des systèmes industriels, nous préparons, documentons et argumentons : analyses, exigences, plans de tests, revues internes, dossier de preuves présentable à votre client, à votre organisme de certification ou à l'autorité compétente. La décision reste à leur titulaire : le certificat d'un système de management est délivré par un organisme reconnu, la réception d'un véhicule par l'autorité de réception, sur la base de ses propres essais et audits. Nous n'auditons pas pour le compte d'un organisme de certification et nous ne promettons aucun certificat, aucun label et aucun résultat d'évaluation.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons d'audit et diagnostic sur le thème Cybersécurité des systèmes industriels
- Audit de conformité aux exigences client et au référentiel applicable (Cybersécurité des systèmes industriels)
- Diagnostic flash avant audit client ou revue de programme (Cybersécurité des systèmes industriels)
Les autres types de prestation sur le thème Cybersécurité des systèmes industriels
- Conseil en organisation de la sûreté fonctionnelle et de la cybersécurité (Cybersécurité des systèmes industriels)
- Analyses de sûreté, TARA, safety case et architectures sécurisées (Cybersécurité des systèmes industriels)
- Renfort d'experts cybersécurité industrielle (OT) (Cybersécurité des systèmes industriels)
- Audit à blanc avant assessment ou audit client, avec évaluation des acquis (Cybersécurité des systèmes industriels)
- S'initier à la cybersécurité des systèmes industriels