OT Vendor Assessment (Évaluation fournisseurs OT)

Définition

L'OT Vendor Assessment (évaluation de la sécurité des fournisseurs OT) est le processus structuré par lequel un Asset Owner évalue la maturité de cybersécurité des fabricants d'équipements industriels, des éditeurs de logiciels SCADA, et des intégrateurs systèmes avant de leur confier des projets ou d'acquérir leurs produits. Cette évaluation est un composant critique du Third Party Risk Management OT et vise à s'assurer que les fournisseurs ne constituent pas un maillon faible dans la chaîne de cybersécurité industrielle. L'évaluation des fournisseurs OT couvre plusieurs dimensions : la maturité du processus de développement sécurisé des produits (Secure Development Lifecycle - SDL), l'existence et la qualité du processus de gestion des vulnérabilités (PSIRT - Product Security Incident Response Team, engagement à publier et corriger les CVE), la politique de support et de mise à jour (durée de support garantie, délais de correction des vulnérabilités critiques), les pratiques de sécurité opérationnelle du fournisseur (comment ses équipes accèdent-elles aux systèmes des clients ?), et la conformité aux normes de sécurité industrielle (IEC 62443-4-1 pour le processus de développement, IEC 62443-4-2 pour les produits). Des questionnaires standardisés d'évaluation des fournisseurs OT sont disponibles : ISA/IEC 62443 Supplier Assessment Questionnaire, le questionnaire de l'ONG-ISAC pour les fournisseurs du secteur pétrole/gaz, et des questionnaires propriétaires développés par de grandes organisations industrielles (EDF, Total, BASF) qui ont formalisé leurs processus d'évaluation fournisseurs OT. La certification IEC 62443-4-1 d'un fournisseur (certification du processus de développement sécurisé) est un indicateur objectif de maturité : elle garantit que le fournisseur suit un processus de développement incluant la modélisation des menaces, les tests de sécurité, la gestion des vulnérabilités, et le suivi des mises à jour de sécurité pendant la durée de vie des produits. Les certifications réalisées par TÜV, exida, ou LSTI sont vérifiables indépendamment.

Fonctionnement d'un processus d'OT Vendor Assessment

Un processus d'OT Vendor Assessment structuré comprend : (1) Questionnaire de sécurité initial : envoi d'un questionnaire standardisé couvrant les pratiques SDL, la politique PSIRT, les accès clients, et la conformité IEC 62443, (2) Analyse documentaire : revue de la politique de sécurité du fournisseur, des processus de gestion des vulnérabilités, des certifications disponibles, et des références clients sur la gestion de la cybersécurité, (3) Démonstration ou audit (pour les fournisseurs critiques) : session de démonstration des pratiques de sécurité ou audit sur site des processus de développement, (4) Notation et classification : scoring du fournisseur selon une grille d'évaluation, classification en niveaux de risque (faible/moyen/élevé), (5) Conditions contractuelles : intégration des exigences de cybersécurité dans les contrats (SLA de correction des CVE, obligations de notification d'incidents, exigences sur les accès distants). Une revue annuelle maintient l'évaluation à jour.

Contexte OT/ICS et fournisseurs PSIRT

La présence d'un PSIRT (Product Security Incident Response Team) dédié et actif est l'un des indicateurs les plus importants de maturité cybersécurité d'un fournisseur OT : Siemens (ProductCERT), Schneider Electric (CPCERT), Rockwell Automation (RACSIRT), ABB (PSIRT), GE (PSIRT), Emerson (PSIRT) ont tous des équipes PSIRT dédiées qui publient des avis de sécurité réguliers et coordonnent avec les chercheurs en sécurité pour la divulgation responsable des vulnérabilités. À l'inverse, de nombreux fournisseurs d'équipements OT spécialisés (petits fabricants de systèmes SCADA sectoriels, fabricants de RTU régionaux) n'ont pas de processus PSIRT formalisé, créant un risque de non-divulgation et de non-correction des vulnérabilités découvertes.

Sécurité et mitigation

Programme d'OT Vendor Assessment efficace : exiger un minimum de maturité cybersécurité définie dans les cahiers des charges (PSIRT actif, politique de support de 10 ans minimum, engagement de correction CVE critiques dans 30 jours), utiliser les certifications IEC 62443-4-1 et -4-2 comme critères de sélection objectifs, réaliser une évaluation approfondie pour les fournisseurs de systèmes critiques (DCS, SIS), suivre la performance cybersécurité des fournisseurs dans le temps (suivi des CVE publiées, délais de correction effectifs), et réviser les évaluations après les incidents affectant les fournisseurs (une compromission chez un fournisseur nécessite une revue urgente de l'exposition).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis