Positionnement
La sécurité informatique et la sécurité industrielle, pensées ensemble
QSDF.CH accompagne les organisations exposées à des menaces hétérogènes — systèmes d'information de gestion, systèmes de contrôle industriels, infrastructures critiques — sur une même exigence : faire tenir la sécurité dans la durée, sans jamais perdre de vue la continuité de la production. L'approche croise la gouvernance du risque (méthode EBIOS RM, mise en conformité ISO 27001) et une pratique technique directe des environnements OT/ICS, plutôt que de traiter la cybersécurité IT et la sécurité industrielle comme deux mondes séparés.
Cette double lecture compte de plus en plus : la convergence IT/OT et la fin programmée des réseaux industriels isolés (air gap) exposent aujourd'hui les automates, les SCADA et les réseaux de terrain aux mêmes attaquants que l'informatique de gestion — avec un impératif de disponibilité et de sûreté que l'IT classique ne connaît pas.
Domaines d'intervention
Quatre anneaux de défense, une même méthode
Chaque mission s'inscrit dans l'un de ces quatre domaines — parfois plusieurs à la fois, quand la gouvernance et le terrain se rejoignent.
Gouvernance, risque et conformité (GRC)
EBIOS RM · ISO 27001 · Analyse de risqueCartographie des risques cyber, analyse de risque selon la méthode EBIOS Risk Manager, accompagnement à la mise en conformité ISO 27001, et priorisation des scénarios de menace pour la direction et les métiers.
Cybersécurité industrielle (OT/ICS)
IEC 62443 · Modèle de Purdue · SCADASécurisation des systèmes de contrôle industriels selon la norme IEC 62443 et le modèle de Purdue : segmentation réseau, durcissement d'automates, audit de terrain sur protocoles industriels (Modbus, PLC Schneider et équivalents) et environnements SCADA.
Formation et sensibilisation à la cybersécurité
IoT · Réseaux · Forensics · Threat modelingModules sur mesure en sécurité IoT, réseaux, forensics et threat modeling, construits sur du matériel réel plutôt que sur des simulations — pour les équipes techniques comme pour les directions.
Gestion de crise cyber
PCA/PRA · Exercices de crise · Retour d'expériencePréparation et pilotage de crise cyber, structuration d'un plan de continuité et de reprise d'activité (PCA/PRA), exercices de crise et retour d'expérience adaptés aux environnements industriels, où l'arrêt de production n'est pas une option.
Réglementation
Se préparer à NIS2 et à la loi Résilience
La directive européenne NIS2 est en cours de transposition en France via le projet de loi Résilience, dont l'examen parlementaire se poursuit en 2026. L'ANSSI, autorité compétente désignée, a déjà publié le Référentiel Cyber France (ReCyF) : 20 objectifs de sécurité pour les entités essentielles, 15 pour les entités importantes. Ce référentiel n'est pas encore juridiquement contraignant, mais il est d'ores et déjà la feuille de route de fait pour toute organisation concernée.
Identifier son statut
Déterminer si votre organisation entre dans le périmètre NIS2 (secteur d'activité, taille, criticité) via le parcours d'identification de l'ANSSI.
Cartographier et analyser le risque
Cartographie des actifs et des processus, analyse de risque EBIOS RM, élaboration d'une PSSI et d'un plan de traitement priorisé.
Déployer les mesures
Authentification forte, sauvegardes, détection, plan de continuité — alignés sur les objectifs de sécurité du ReCyF.
Tester et notifier
Procédure de notification d'incident testée (délais 24h/72h), exercices de crise, revue annuelle du dispositif.
À titre indicatif : le régime de sanctions prévu reprend les plafonds européens — jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles. Le calendrier légal reste soumis à l'adoption définitive de la loi Résilience ; se préparer dès maintenant sur la base du ReCyF évite de découvrir ses obligations au dernier moment.
Références & pratique
Des environnements exigeants, en conditions réelles
-
Grand Paris Express — Ligne 18
Analyse de risque EBIOS RM sur un projet d'infrastructure de transport de grande ampleur.
-
Défense
Projets menés sous exigences DR / LPM (loi de programmation militaire).
-
Ferroviaire
Cybersécurité selon le référentiel CLC/TS 50701, spécifique au secteur ferroviaire.
-
Automobile
Conformité ISO/SAE 21434 (cybersécurité des véhicules connectés).
-
ECAM LaSalle Lyon
Enseignant en cybersécurité OT/ICS, IoT, réseaux et forensics pour les futurs ingénieurs.
Formation
Mastère Spécialisé Cybersécurité — INSA Lyon (label SecNumEdu)
Certifications en cours / à venir
Questions fréquentes
Sécurité OT, GRC, NIS2 : les bases
Qu'est-ce que la sécurité OT ?
La sécurité OT (Operational Technology) protège les systèmes industriels, les automates et les processus physiques qui pilotent la production — contrairement à la sécurité IT classique, centrée sur la confidentialité des données, la sécurité OT priorise la disponibilité, la fiabilité et la sûreté des opérations physiques.
Quelle différence entre sécurité IT et sécurité OT ?
L'IT protège des données sur des cycles de renouvellement rapides ; l'OT protège des équipements physiques (turbines, automates, vannes) conçus pour fonctionner sans interruption pendant des décennies. La convergence IT/OT expose désormais ces environnements historiquement isolés aux mêmes menaces que l'informatique de gestion, avec des contraintes de disponibilité que l'IT ne connaît pas.
Qu'est-ce qu'EBIOS RM ?
EBIOS Risk Manager est la méthode d'analyse de risque cyber publiée par l'ANSSI. Elle permet de cartographier les scénarios de menace les plus critiques pour une organisation et de prioriser les mesures de sécurité en fonction du risque réel, plutôt que d'appliquer une check-list générique.
Qu'est-ce que la norme IEC 62443 ?
IEC 62443 est la norme internationale de référence pour la cybersécurité des systèmes d'automatisation et de contrôle industriels. Elle structure la sécurité par zones et conduits, s'appuie sur le modèle de Purdue pour segmenter les niveaux (terrain, supervision, gestion), et définit des niveaux de sécurité (SL) selon la criticité de chaque zone.
Mon entreprise est-elle concernée par NIS2 ?
Cela dépend de votre secteur d'activité, de la taille de votre organisation et de votre rôle dans une chaîne d'approvisionnement critique. La directive NIS2 élargit fortement le périmètre par rapport au texte précédent, incluant de nombreuses PME sous-traitantes de secteurs régulés. L'ANSSI propose un parcours d'identification en ligne ; un diagnostic rapide permet de lever le doute.