REFERENT CYBERSECURITE ET HOMOLOGATION IT/OT LYON

Le Référent Cybersécurité ("RC" dans la suite de cette exigence) accompagne l’analyse des risques, l'homologation et la mise en oeuvre de la cybersécurité d’un système d’information réglementé en interface avec des systèmes OT, dans un contexte de conception assistée par ordinateur (CAO). Elle contribue à garantir la conformité du projet avec les politiques, référentiels, exigences réglementaires et principes directeurs de cybersécurité applicables.

La prestation de RC assure en particulier la réalisation des analyses de risques EBIOS RM, la constitution et la mise à jour des dossiers d’homologation.

Elle exerce un rôle de conseil auprès des équipes projet, métiers et techniques. Elle assure l’interface avec le pôle Cyber de la Division Numérique, les RSSI, les architectes, les équipes MOA et MOE et les autres parties prenantes de la sécurité de l’information.

La prestation de RC dispose d’une expertise méthodologique en cybersécurité et d’une expertise technique lui permettant d'appréhender des environnements mixtes IT et OT associés à des systèmes industriels.

Activités à couvrir

Le dispositif intervient sur un ou plusieurs systèmes d'information réglementés. Les activités attendues sont structurées selon les quatre axes suivants.

Analyse de risques et démarche EBIOS RM

▪réalise les analyses de risques selon la méthode EBIOS RM, incluant la préparation, l’animation et la restitution des ateliers ;

▪collecte, analyse et consolide les éléments métiers, techniques, d’architecture et de sécurité nécessaires aux analyses ;

▪identifie les risques, scénarios de menace, écarts de conformité et mesures de sécurité ;

▪définit, formalise et maintient les plans de traitement des risques ;

▪contribue aux études cybersécurité spécifiques liées aux architectures, aux accès d’administration, au cloisonnement, aux vulnérabilités, au maintien en condition de sécurité et à la continuité d’activité.

Homologation et dossiers d’homologation

▪réalise les travaux nécessaires à la constitution et à la mise à jour des dossiers d’homologation ;

▪prépare les éléments cybersécurité nécessaires aux instances de validation, d’arbitrage et d’homologation ;

▪contribue à la préparation, à l’organisation et à la présentation des dossiers dans les instances cyber DPNT et Groupe.

Accompagnement cybersécurité des projets

▪accompagne la conception, les évolutions et les transformations du système sous l’angle cybersécurité ;

▪challenge les choix techniques et d’architecture avec un regard cybersécurité ;

▪apporte une expertise cybersécurité IT/OT aux équipes projet, métiers et techniques ;

▪accompagne la déclinaison des politiques de sécurité, des référentiels et des exigences réglementaires applicables ;

▪assure l’interface avec les RSSI, architectes, équipes MOA/MOE et parties prenantes cybersécurité ;

▪veille à la capitalisation des connaissances, à la traçabilité des décisions et à la maîtrise de la documentation cybersécurité.

Pilotage, reporting et suivi

▪définit, maintient et suit les plans d’actions cybersécurité ;

▪assure le suivi des actions issues des analyses de risques, audits, contrôles et décisions d’instances ;

▪produit et tient à jour les indicateurs nécessaires au pilotage cyber du projet ;

▪remonte les alertes, risques, dérives et non-conformités auprès du pilote de la prestation et des responsables projet ;

▪fournit une visibilité régulière sur l’avancement, les risques et les décisions nécessitant arbitrage

Le dispositif doit démontrer une capacité à accompagner la cybersécurité de systèmes d’information réglementés, incluant la réalisation d'analyses de risques EBIOS RM, la constitution de dossiers d'homologation et l'accompagnement de projets de transformation technique dans des environnements mixtes IT/OT.

Compétences en analyse de risques et EBIOS RM :

▪maîtrise de la méthode EBIOS RM ;

▪expertise méthodologique en analyse de risques, traitement des risques et conformité ;

▪capacité à identifier les scénarios de menaces, chemins d’attaque, vulnérabilités et mesures de protection ;

▪capacité à construire des plans de traitement des risques réalistes et priorisés.

Compétences en homologation

▪expérience dans la constitution, la mise à jour et la présentation de dossiers d’homologation ;

▪maîtrise des démarches de conformité et d’homologation ;

▪capacité à préparer les éléments attendus en instances cyber et d’homologation ;

▪connaissance approfondie des référentiels et guides de l’ANSSI ;

▪capacité à analyser les résultats d’audit et à piloter les actions correctives associées.

Compétences d’accompagnement des projets

▪Compétence en sécurisation des systèmes IT et sécurisation des interfaces entre systèmes IT et OT.

▪connaissance des problématiques de segmentation, cloisonnement, filtrage, administration sécurisée, gestion des identités et habilitations ;

Compétences de pilotage et reporting

▪capacité à structurer et suivre des plans d’actions ;

▪capacité à préparer des supports de gouvernance et d’aide à la décision ;

▪fortes capacités rédactionnelles, de synthèse et de restitution ;

▪maîtrise du reporting opérationnel et stratégique.

Compétences ou certifications souhaitées :

▪expérience significative sur des systèmes en interface avec des systèmes industriels à enjeu ou des périmètres soumis à homologation.

▪certification EBIOS Risk Manager

▪certification ISO/IEC 27001, ISO/IEC 27005 ou équivalente

▪certification ou expérience significative en cybersécurité industrielle, par exemple IEC 62443, GICSP ou équivalente (5 ans d'expérience minimum)

Environnement technique (liste non-exhaustive)

▪SI de gestion en interface avec un SI industriel

▪sécurisation des infrastructures et des d'applicatifs dans un contexte de conception assistée par ordinateur (CAO)

▪mécanisme de protection de l’intégrité de l’information

▪connaissance des attaques par supply chain