Votre client vous a posé une question sur votre cybersécurité. Vous ne pouvez pas encore y répondre.
Ce n'est pas de la négligence. C'est que personne n'a jamais documenté ce que votre réseau bureautique peut atteindre sur votre plancher d'usine.
Ce que ça change Un diagnostic ne vaut rien s'il ne change pas ce que vous pouvez faire. Voici ce qu'il change, selon qui vous êtes.
Un état documenté de votre exposition réelle, à joindre à un questionnaire fournisseur ou à une demande d'attestation.
La cybersécurité cesse d'être un montant inconnu au registre des risques et devient un poste budgétaire séquencé et chiffré.
Un avis indépendant sur qui détient un accès permanent à vos équipements — signé par quelqu'un qui n'est ni votre fournisseur TI, ni votre intégrateur.
Trois livrables Remis en main propre et présentés à votre équipe de direction.
Quels équipements de production sont joignables depuis le réseau bureautique, par quel chemin, et lesquels de ces chemins ne traversent aucun point d'application de politique.
Chaque accès distant permanent vers vos systèmes de production : le fournisseur, la méthode, la cible, le détenteur interne, et la date de la dernière révision.
Actions priorisées par impact sur la production, avec l'effort, le coût estimé, et une réponse explicite à la question : est-ce qu'une fenêtre d'arrêt est nécessaire?
Ce que ce n'est pas
- Un audit de conformité à la Loi 25.
- Un scan automatisé. Aucune analyse active n'est effectuée sous le niveau 2 du modèle Purdue — un balayage réseau peut faire tomber un automate programmable.
- Une évaluation CMMC ou CPCSC formelle. Je détermine la portée et fournis la preuve technique; la certification relève d'un organisme accrédité.
- Un prétexte pour vous vendre une plateforme à six chiffres.
Qui fait le travail
Dan Popescu
ing., CISSP · Membre de l'Ordre des ingénieurs du Québec, no 132929
Trente ans en architecture réseau et sécurité. Segmentation TI/OT en environnement manufacturier et aéronautique, connectivité hybride, pare-feu de périmètre et d'enclave. Baccalauréat en génie électrique.
C'est moi qui viens sur votre plancher d'usine, moi qui rédige le rapport, et moi qui répondrai à vos questions six mois plus tard.
Habilitations Ce qui me permet légalement de travailler dans une usine sous contrat de défense.
CollabPro Expertise inc. est inscrite auprès de Travaux publics et Services gouvernementaux Canada. Je peux donc légalement examiner de la documentation technique contrôlée sur votre site.
Filtrage de sécurité du personnel au niveau Secret.
Membre en règle de l'Ordre des ingénieurs du Québec, no 132929. Certified Information Systems Security Professional (ISC²).