Audit de sécurité des SI GxP et des systèmes industriels (CISA)
Une vision argumentée des risques cyber sur les systèmes qualité, la production et les données, présentable à un audit client ou à votre direction.
En bref
- Résultat
- Une vision argumentée des risques cyber sur les systèmes qualité, la production et les données, présentable à un audit client ou à votre direction.
- Idéal pour
- RSSI (responsable de la sécurité des systèmes d'information), responsable des systèmes d'information ou responsable assurance qualité des systèmes informatisés d'un site pharmaceutique ou d'un fabricant de dispositifs médicaux.
- Ce que vous obtenez
- Rapport d'écarts aux référentiels retenus (ISO/IEC 27001, IEC 62443, annexe 11, RGPD), classé par criticité, avec plan d'actions.
- Prérequis de votre côté
- Inventaire des systèmes et des réseaux, politiques de sécurité en vigueur, accès aux responsables concernés et accord écrit sur le périmètre et les méthodes.
- Durée et charge
- 6 à 12 jours
- Format
- Forfait
Exemple de situation
Préparer un audit de sécurité demandé par un donneur d'ordre. Un sous-traitant de fabrication reçoit un questionnaire de sécurité de son client sur le thème CISA. L'audit, en huit jours, relit les politiques, les accès et les sauvegardes, puis classe quatorze écarts par criticité. Le plan d'actions est présenté à la direction avant la réponse au client, et le RSSI en suit l'avancement.
Nous auditons votre dispositif sous l'angle du thème CISA : gouvernance, inventaire des actifs, gestion des accès et des comptes nominatifs, sauvegardes, journalisation, séparation entre réseau bureautique et réseau industriel, traitement des incidents, relations avec les prestataires. L'audit repose sur des entretiens, la lecture des documents et des revues de configuration réalisées avec vos équipes, sur échantillon et avec votre accord.
Nous ne conduisons pas de test d'intrusion sur un système réel et nous ne nous présentons pas comme prestataire d'audit qualifié par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) : le rapport est une analyse d'écarts, non une qualification. Les constats sont classés par criticité et reliés aux exigences de l'annexe 11, du RGPD (règlement général sur la protection des données) ou des référentiels que vous avez retenus. L'objectif de gérer les risques SI (système d'information) en optimisant les contrôles internes structure la restitution présentée à votre direction et à votre RSSI.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème CISA, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les intervenants, et nous observons les pratiques en zone de production ou en laboratoire lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par criticité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'écarts aux référentiels retenus, classé par criticité
- Revue de l'architecture réseau, des accès et des sauvegardes sur le périmètre convenu
- Plan d'actions priorisé, présenté à la direction et au RSSI
Format et charge : forfait, 6 à 12 jours. Idéal pour : RSSI, responsable des systèmes d'information ou responsable assurance qualité des systèmes informatisés d'un site pharmaceutique ou d'un fabricant de dispositifs médicaux. Prérequis de votre côté : inventaire des systèmes et des réseaux, politiques de sécurité en vigueur, accès aux responsables concernés et accord écrit sur le périmètre et les méthodes.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Préparer un audit de sécurité demandé par un donneur d'ordre
Un sous-traitant de fabrication reçoit un questionnaire de sécurité de son client sur le thème CISA. L'audit, en huit jours, relit les politiques, les accès et les sauvegardes, puis classe quatorze écarts par criticité. Le plan d'actions est présenté à la direction avant la réponse au client, et le RSSI en suit l'avancement.
Évaluer la séparation entre bureautique et ateliers
Un site de fabrication de dispositifs médicaux relie son MES (Manufacturing Execution System, système d'exécution de la production) au réseau d'entreprise. L'audit, sur le thème CISA, revoit les flux autorisés et les accès distants des prestataires, et propose trois mesures de séparation, à étudier avec la production et l'assurance qualité avant toute modification.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème CISA dans l'industrie pharmaceutique, biotechnologique ou des dispositifs médicaux, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, audit client, inspection ou audit de certification, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème CISA, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre client. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'inspection d'une autorité ni l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Réalisez-vous des tests d'intrusion ou un audit de sécurité qualifié ?
Non. Un test d'intrusion sur un système réel exige une autorisation contractuelle préalable et un prestataire dédié, et les audits de sécurité demandés à certains organismes relèvent de prestataires qualifiés par l'ANSSI (qualification PASSI). Optédif n'a pas cette qualification. Sur le thème CISA, nous menons des audits documentaires et organisationnels, des revues d'architecture et des analyses d'écarts, avec vos équipes. Si votre contexte impose un audit qualifié ou un test d'intrusion, nous vous aidons à rédiger le cahier des charges, puis à lire le rapport du prestataire que vous choisissez et à en tirer un plan d'actions.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées ; le devis est établi après l'échange de cadrage.
Les autres déclinaisons d'audit et diagnostic sur le thème CISA
- Audit de conformité aux référentiels GxP applicables (CISA)
- Diagnostic flash avant inspection ou audit client (CISA)
Les autres types de prestation sur le thème CISA
- Conseil en gouvernance cyber et protection des données de santé (CISA)
- Conception d'architectures sécurisées et de politiques de sécurité (CISA)
- Déploiement de mesures de sécurité et segmentation des réseaux OT (CISA)
- Assistance technique en sécurité des SI, de l'OT et des données (CISA)
- Créer ses premiers rapports d'audit informatique