Tests d’intrusion des systèmes industriels
Valider des scénarios ciblés avec des conditions d’essai adaptées au procédé.
Une prestation adaptée à votre installation
Un pentest OT ne se conduit pas comme un test de réseau bureautique. La préparation identifie les conséquences possibles sur les équipements et les opérations. Selon le contexte, les essais sont menés sur un banc, un environnement représentatif, un équipement isolé ou un périmètre de site expressément défini.
Interconnexions IT/OT
Évaluer les chemins d’accès entre zones, les accès distants et les interfaces de maintenance retenus dans le scénario.
Services et comptes
Vérifier les services exposés et les protections des accès d’administration, des postes et des serveurs du périmètre.
Équipements et interfaces
Préparer les essais sur les interfaces et les communications industrielles identifiées. Adapter les techniques aux équipements et à leur fonctionnement.
Impact sur le procédé
Interpréter les résultats avec les équipes du site. Distinguer accès technique, privilèges obtenus et conséquences envisageables sur l’exploitation.
Comment se déroule la mission ?
Définir les conditions d’essai
Choisir les cibles, le lieu, les créneaux et les opérations autorisées. Préparer la surveillance, les contacts et les critères d’arrêt.
Réaliser les scénarios
Valider progressivement les hypothèses en respectant les exclusions. Les scans agressifs et les essais perturbateurs ne sont pas appliqués par défaut.
Relier preuves et remédiation
Expliquer les accès démontrés, leurs limites et les mesures de réduction du risque. Définir les vérifications après correction.
Ce que vous obtenez
- Scénarios, prérequis et conditions des essais réalisés.
- Constats et preuves avec limites d’interprétation.
- Recommandations de cloisonnement, de durcissement et de contrôle des accès.
Des constats utilisables par vos équipes
Observation et preuves
Comprendre ce qui a été observé, les accès utilisés et les limites du contrôle.
Impact et priorité
Relier le constat à ses conséquences dans le contexte du système étudié.
Correction et vérification
Proposer une mesure adaptée et les conditions permettant d’en vérifier l’effet.
Vos questions sur cette prestation
Testez-vous directement les automates en production ?
Pas par défaut. Le choix d’un banc, d’une copie représentative ou d’une intervention sur site dépend des objectifs et de l’analyse du risque opérationnel.
Comment limiter le risque d’interruption ?
En définissant les techniques, les exclusions, les fenêtres, la surveillance et les critères d’arrêt avec l’exploitant. Aucun test actif ne permet de promettre un risque nul.
Que faire si les essais actifs sont impossibles ?
L’audit d’architecture et de configuration permet de travailler sur les protections et les écarts sans imposer un scénario d’exploitation active.
Les cadres de conformité à examiner
IEC 62443 fournit les repères propres aux systèmes industriels. NIS 2 peut concerner l’organisation exploitante ; le CRA peut concerner un produit industriel commercialisé. Exploitant, intégrateur et fabricant n’ont pas le même périmètre.
IEC 62443
Systèmes industriels et composants : choisir les parties de la série adaptées au rôle du fabricant, de l’intégrateur ou de l’exploitant.
Comprendre ce cadreDirective NIS 2
Organisations concernées : relier gouvernance, gestion des risques et mesures de sécurité. Le RéCyF fournit des repères de préparation.
Comprendre ce cadreCyber Resilience Act
Produits comportant des éléments numériques : déterminer le périmètre et les obligations du fabricant sur le cycle de vie.
Comprendre ce cadreLes autres prestations OT
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre