Cas pratique - Anssi

2 - LA DÉMARCHE CHOISIE
La première étape consiste à comprendre les besoins métier, inventorier les équipements et
les services. L’objectif est de constituer une cartographie physique et logique des installations
et des flux d’informations entre les différents éléments, puis d’établir les niveaux de criticité
de chacun.
Ce travail conséquent sera réalisé avec les différents responsables d’installations. Certains
disposent déjà d’éléments, par exemple dans les analyses de sûreté de fonctionnement
(AMDEC).
Cette cartographie permettra lors de la seconde étape d’établir une évaluation des besoins de
sécurité et de réaliser une première analyse des vulnérabilités de l’existant.
Dans un troisième temps, l’analyse des nouveaux besoins permettra d’identifier les mesures
de sécurité nécessaires (éléments techniques ou organisationnels) à déployer pour réduire les
écarts avec l’existant ainsi que les impacts potentiels sur les installations.
Ces trois étapes sont formalisées dans un plan d’amélioration de la sécurité que le coordinateur
proposera à la direction.
Il a conscience de l’ampleur du travail, mais aussi du poids de ses actions sur le travail
quotidien de ses collègues : « Encore de nouvelles règles à suivre, il y en a déjà beaucoup,
cela va encore nous compliquer le travail. »
Il décide de commencer par communiquer sur son projet, d’en expliquer
simplement le but et la façon doit il souhaite procéder. Il organise une
présentation aux principaux responsables et les informe de son intention de
réaliser une visite des installations, pour qu’ils relaient l’information auprès de
leurs équipes. De cette façon il pourra établir le contact avec le personnel et faire
passer directement les messages sur l’intérêt de la SSI dans leur travail quotidien.
Le rôle pédagogique dans sa démarche est fondamental. Son public étant très
préoccupé par la disponibilité et la sûreté, il insiste sur le fait que la sécurité
des systèmes d’information ne va pas à l’encontre de la disponibilité, mais au
contraire contribue à la renforcer.
La cybersécurité des systèmes industriels - Cas pratique 9