Audits de cybersécurité des systèmes de transport ferroviaire

Périmètre des audits

• Quatre missions principales :
  • Audit d'architecture : revue des cartographies des sous-systèmes, trajectoire d'information et interconnexions ; évaluation de l'adéquation des modèles d'architecture avec les bonnes pratiques de sécurité.
  • Audit de configuration : vérification des paramétrages, durcissements et versions des composants critiques ; analyse des configurations réseau et applicatives.
  • Audit organisationnel et physique : examen des procédures, responsabilités, gestion des accès, contrôles d'accès physiques et protections des locaux et équipements sensibles.
  • Test d'intrusion (pentest) : démarche exploratoire ciblée sur actifs critiques pour valider la robustesse opérationnelle et exploiter vulnérabilités identifiées.

Actifs et zones d'analyse

• Analyse ciblée sur l'ensemble des grands sous-systèmes listés (ex. systèmes de conduite, automatisme, postes de contrôle/commandes, infrastructures et équipement d'interface) avec alignement sur la cartographie ANSSI.

Méthodologie et référentiels

• Réalisation selon référentiels PASSI pour les audits techniques et guides ANSSI/fournisseurs pour durcissement et bonnes pratiques.
• Production de preuves d'audit (logs, captures de configuration, captures d'écran, preuves d'exploitation) et classement des non-conformités selon niveaux de gravité.

Livrables et modalités de restitution

• Rapports unitaires pour chaque type d'audit et rapports finaux consolidés comportant : synthèse managériale, inventaire des non-conformités, preuves, évaluation des risques, recommandations techniques et priorisation des mesures.
• Rapports de tests d'intrusion détaillant vecteurs d'attaque, preuves d'exploitation et mesures correctives.
• Statistiques et analyses par sous-système, réunions de restitution à jalons, et point de contact unique pour coordination et suivis.

Organisation et gouvernance

• Coordination avec le maître d'ouvrage et parties prenantes pour définition fine des périmètres d'actifs avant chaque phase, collecte des livrables documentaires et validation des restitutions.
• Planning prévisionnel structuré en jalons, livrables intermédiaires et réunions de validation, avec mécanismes de suivi et remise des livrables attendus.