Industrie et systèmes techniques

Oui, en changeant de méthode plutôt qu’en renonçant à tester. Sur les réseaux techniques, l’analyse est passive : captures de trafic, inventaire des équipements et des flux, revue de configuration. Aucun automate n’est sollicité en production. Les essais actifs se font sur le côté système d’information de gestion, ou sur une maquette ou un équipement hors production quand il en existe. Le travail se concentre sur la démonstration des chemins qui franchissent la frontière : passerelle de supervision, poste d’ingénierie à double rattachement, accès de maintenance.

L’IEC 62443 est une série de normes internationales sur la sécurité des systèmes d’automatisation et de contrôle, pas une loi. Elle devient exigible lorsqu’un client, un assureur ou un texte sectoriel la cite. Elle sert surtout de grille pour penser les zones et les conduits d’une installation. Nous pouvons évaluer votre architecture par rapport à cette grille et chiffrer l’effort pour cloisonner ; nous ne certifions pas un produit ni un site selon cette norme, cette décision appartenant aux organismes habilités.

Par l’inventaire des flux qui relient les deux mondes : supervision, remontée d’indicateurs, maintenance distante, postes d’ingénierie, échanges de fichiers. On identifie ceux qui sont nécessaires, puis ceux qui existent par héritage. Les accès de télémaintenance des équipementiers se ramènent à un seul point d’entrée contrôlé et journalisé. Ce n’est qu’ensuite qu’on filtre les flux restants, zone par zone. Ce séquencement évite l’erreur classique : poser un pare-feu là où personne ne sait plus ce qui doit passer.