Segmenter votre réseau industriel, sans arrêter la production.
Je travaille sur la partie informatique qui dessert vos ateliers : pare-feux, accès distants, annuaire, serveurs partagés. Rien n'est émis sur vos réseaux de production, et vos équipes OT ne sont sollicitées que quelques heures. Le but : vous aider à construire une segmentation qui tient, pas noter votre réseau.
Passez à l'action — contactez-moiRéponse sous 48 h ouvrées.
Vos contraintes sont le point de départ
Sur un site industriel, la disponibilité passe avant tout. Une ligne arrêtée coûte souvent plus cher que l'incident qu'on cherche à éviter. Les équipes qui exploitent le réseau OT sont peu nombreuses, déjà très prises, et connaissent leurs installations mieux que personne.
Je pars de là. Je n'interviens ni sur les automates ni sur les réseaux de terrain. Je prends en charge ce qui relève de l'informatique : la frontière entre bureautique et production, les flux qui la traversent, les accès distants des prestataires, les comptes et les serveurs communs aux deux mondes. C'est souvent là que la segmentation se joue, et c'est là que je peux décharger vos équipes.
Un balayage de ports a déjà fait tomber des automates : leur pile réseau n'est pas conçue pour du trafic inattendu. Je n'utilise donc aucun scanner sur un réseau industriel. Tout ce que je collecte est passif et ne peut rien perturber.
Un appui, pas un contrôle
Peu de temps pris à vos équipes OT
Un cadrage, une présence lors de la mise en place de l'écoute, puis la restitution. Le reste du travail se fait de mon côté, hors ligne.
L'informatique au service de la production
Pare-feux, zone d'échange, annuaire, télémaintenance, sauvegardes. Je parle le langage de l'équipe informatique et je connais les exigences de la production. Je fais le lien entre les deux.
Des recommandations applicables
Chaque proposition tient compte de vos fenêtres d'arrêt, de vos intégrateurs et des contraintes des constructeurs. Ce qui peut attendre est présenté comme tel.
Ce que j'examine, sans rien toucher
Vos exports de configuration
Commutateurs, routeurs, pare-feux. Vos équipes me les transmettent, je les lis hors ligne : VLAN, règles de filtrage, protocoles d'administration actifs.
Les tables de vos équipements
Adresses MAC, ARP, voisinage. Elles indiquent qui est branché où, sans émettre une seule trame.
Une écoute passive du trafic
Une copie du trafic, sur un port miroir activé avec votre exploitant, sans coupure. Idéalement sur vingt-quatre heures, pour couvrir un changement d'équipe. Elle montre les flux réels, protocoles industriels compris.
Je compare ensuite les flux observés aux règles de filtrage configurées. C'est un travail long, que vos équipes n'ont pas le temps de mener à la main sur des centaines de règles. C'est lui qui fait ressortir les points utiles à traiter.
Ce que vous recevez
- L'inventaire des équipements réellement présents, constructeur identifié, y compris ceux qui manquent aux inventaires.
- La matrice des flux observés, protocoles industriels compris, à qualifier avec vos équipes pour distinguer les flux nécessaires des autres.
- L'analyse de la segmentation au regard des zones et conduits (IEC 62443) et des exigences d'architecture du Référentiel Cyber France.
- Les chemins d'accès du réseau bureautique vers la production, avec les règles qui les ouvrent.
- Les points de configuration à reprendre : protocoles en clair, mots de passe par défaut, journalisation absente, règles trop larges.
- Un plan de segmentation par étapes, qui sépare ce qui se fait sans arrêt de ce qui attend une fenêtre d'arrêt.
Déroulé et conditions
- Cadrage, à distance
Un échange avec vos responsables informatique et production : périmètre, sites, exports à préparer, emplacement de l'écoute.
- Un à deux jours sur site
Mise en place de l'écoute avec votre exploitant, récupération des exports, visite des locaux techniques. Aucune coupure, aucune intervention sur les automates. Les dates sont fixées ensemble, hors de vos périodes sensibles.
- Analyse
Je travaille hors ligne. Vos équipes ne sont pas mobilisées pendant cette phase, sauf pour une question ponctuelle. Rien ne reste branché sur votre réseau.
- Restitution
Une séance commune avec la production et l'informatique. Les constats sont présentés comme des pistes de travail partagées : la segmentation est un chantier commun aux deux équipes.
La durée et le prix dépendent du nombre de sites et d'équipements. Après un premier échange, je vous envoie une proposition sous 48 h ouvrées, avec le délai de restitution.
Je ne modifie aucune configuration. Les corrections restent entre les mains de vos équipes et de vos intégrateurs, au rythme de vos fenêtres d'arrêt. Si vous le souhaitez, je les accompagne dans leur mise en œuvre.