Un enregistrement d'incident dans l'industrie des métaux et de la fabrication décrit au minimum quatre éléments : ce qui s'est passé, quels systèmes ont été affectés, qui est intervenu et quand la situation a été maîtrisée à nouveau. Cela semble simple, mais dans un environnement de production, il y a une couche supplémentaire : en plus de l'automatisation des bureaux, des systèmes de commande de machines, des équipements CNC et des chaînes de production fonctionnent souvent sur les mêmes réseaux que l'informatique de bureau.
Celui qui relève de l'obligation de diligence requise de la NIS2 ou qui est invité par un donneur d'ordre à démontrer de manière probante comment les incidents sont traités ne peut se contenter d'un simple fichier Excel qui ne suit que les défaillances informatiques. Un arrêt de production dû à un serveur chiffré, une armoire de commande qui ne répond plus, ou un fournisseur qui se connecte à distance sur une machine et ouvre involontairement l'accès : ce sont tous des événements qui appartiennent au même enregistrement, même si la cause n'est pas immédiatement claire.
Pourquoi c'est plus qu'un ticket à la table d'aide
L'enregistrement des incidents est l'une des mesures découlant de l'obligation de diligence requise de la Directive NIS2, pour les organisations qui sont elles-mêmes essentielles ou importantes. Pour les entreprises touchées par un donneur d'ordre, c'est désormais aussi simplement une question dans le questionnaire : comment enregistrez-vous ce qui s'est passé, et pouvez-vous le montrer. Un aperçu de la manière dont cette mesure s'articule avec les autres obligations découlant de l'obligation de diligence requise se trouve dans l'aperçu de tous les sujets, avec pour chaque thème une brève réponse et la source dans le texte officiel.
La différence entre une entreprise qui maîtrise cela et une entreprise qui ne la maîtrise pas réside rarement dans la technique. Elle réside dans l'habitude de noter quelque chose dès qu'elle se produit, plutôt que de reconstruire après coup ce qui s'est exactement passé.
Les systèmes de production exigent une approche différente
Un incident au bureau est relativement facile à suivre : un ordinateur portable, une boîte aux lettres, un lecteur partagé. Dans l'industrie des métaux et de la fabrication, les systèmes de production fonctionnent souvent pendant des années sans que personne ne s'en occupe, avec un accès pour le fournisseur de la machine, une partie de maintenance ou un prestataire technique qui suit à distance. Cela rend la distinction entre une défaillance et un incident de cybersécurité parfois difficile à faire sur le moment : une ligne s'arrête-t-elle à cause de l'usure, d'une mise à jour défectueuse, ou parce que quelqu'un a pénétré sans autorisation.
C'est précisément pour cette raison qu'il est utile d'avoir un champ séparé dans l'enregistrement pour le type de système : automatisation des bureaux, système de production connecté au réseau d'entreprise, ou système géré à distance par un tiers. Cette classification aide non seulement à l'analyse après coup, mais aussi à répondre à la question qu'un donneur d'ordre pose souvent : comment votre environnement de production est-il séparé de votre informatique de bureau.
Ce qui doit figurer au minimum dans l'enregistrement
Un enregistrement utile décrit le moment où l'incident a été remarqué et par qui, une brève description de ce qui a été observé, quels systèmes ou chaînes de production ont réellement été affectés, quelles mesures ont été prises pour limiter les dégâts, et le moment où la situation normale a été rétablie. Il faut également ajouter une brève conclusion : s'agissait-il d'un incident de cybersécurité, d'une défaillance technique, ou restait-il flou ce qu'était la cause. Cette dernière catégorie est parfaitement acceptable ; tous les incidents ne peuvent pas être expliqués en un jour, et un enregistrement honnête le dit aussi.
La différence entre enregistrer et signaler
L'enregistrement est différent de la notification. Les organismes qui sont eux-mêmes entités essentielles ou entités importantes en vertu de la Directive NIS2 doivent notifier leur autorité de contrôle, selon des délais fixés par la loi elle-même. Pour les délais précis et les modalités de notification, nous vous renvoyons au texte officiel et à l'autorité de contrôle de votre pays ; nous n'en faisons pas une évaluation ici. Ceux qui sont affectés par la chaîne d'approvisionnement n'ont généralement pas d'obligation légale de notification, mais souvent un accord contractuel avec le donneur d'ordre pour signaler les incidents dans un délai convenu. Un bon enregistrement est le point de départ dans les deux cas : sans documentation, il n'y a rien pour se référencer dès que quelqu'un vous demande une explication.
Qui en assure le suivi dans votre entreprise
Dans beaucoup d'entreprises d'installation et de fabrication, la responsabilité des systèmes de production incombe à la direction de la production, tandis que le responsable informatique se concentre principalement sur l'informatique de bureau. Cela rend important de déterminer à l'avance qui est propriétaire de l'enregistrement des incidents dans son ensemble, et qui est appelé en premier en cas d'incident concret. Un enregistrement maintenu dans deux systèmes distincts, l'un pour l'informatique et l'un pour la production, crée surtout des retards au moment critique.
Ce que secria fait et ne fait pas pour vous
Secria vous aide à mettre en place le dossier dans lequel cet enregistrement trouve une place permanente, avec un statut, une pièce justificative et un propriétaire par mesure, et avec des textes préparés pour le moment où une notification devient nécessaire. Ce que nous ne faisons pas, c'est résoudre l'incident lui-même : pas de réponse aux incidents, pas de SOC, pas d'investigation numérique. Cela reste du travail spécialisé de parties qualifiées, et nous nous préparons afin que, le cas échéant, vous ne commenciez pas à zéro. Vous pouvez en savoir plus sur la façon dont nous collectons nos informations et les sources que nous utilisons sur la page expliquant comment cela fonctionne. Ce que le dossier et les modèles coûtent se trouve sur la page des tarifs.
Vous voulez d'abord savoir si et comment votre entreprise y figure exactement, en tant qu'entité essentielle ou entité importante ou en tant que fournisseur affecté par la chaîne d'approvisionnement ? Effectuez la vérification NIS2 gratuite et découvrez en quelques questions où vous en êtesou continuez à lire dans la base de connaissances pour plus d'informations de base sur ce sujet.