Question 1

Mon entreprise est-elle concernée par NIS2 ?

Accepted Answer

NIS2 s'applique aux entreprises de taille moyenne et grande dans les secteurs dits "essentiels" (énergie, eau, transport, santé, alimentation, infrastructures numériques) et "importants" (fabrication, chimie, services postaux, gestion des déchets). Si vous opérez des équipements industriels connectés dans ces secteurs, vous êtes probablement concerné. Consultez le site de l'ANSSI pour la liste complète ou demandez une évaluation à notre équipe.

Question 2

La gateway Eziwan doit-elle être certifiée CRA ?

Accepted Answer

Oui. Le CRA (applicable dès décembre 2027) impose un marquage CE cybersécurité pour tout produit comportant des éléments numériques, dont les routeurs et gateways IoT. Eziwan s'engage sur une roadmap de conformité CRA complète avant l'échéance. La gateway est déjà conçue selon les principes Secure by Design requis par le règlement.

Question 3

Qu'est-ce que le "Zero Trust" appliqué à l'OT ?

Accepted Answer

Le modèle Zero Trust OT signifie qu'aucun équipement n'est considéré comme de confiance par défaut, même à l'intérieur du réseau. Concrètement avec Eziwan : aucun port ouvert vers Internet (zero inbound port), authentification de chaque gateway par certificat asymétrique, accès utilisateur strictement contrôlé (MFA, RBAC, expiration), et segmentation de chaque site dans son propre tunnel VPN.

Question 4

Comment documenter la conformité Eziwan pour mon audit NIS2 ?

Accepted Answer

Eziwan Cloud fournit des exports d'audit complets : inventaire des équipements, logs d'accès, événements réseau, configurations VPN. Notre équipe peut fournir un dossier de conformité technique adapté aux exigences NIS2 et aux référentiels ANSSI. Contactez notre équipe sécurité pour préparer votre audit.

Question 5

Quelle est la correspondance entre Eziwan et IEC 62443 ?

Accepted Answer

L'architecture Eziwan est alignée sur les exigences IEC 62443-3-3 au Security Level 2 (SL2) : authentification, chiffrement, audit trail, contrôle des flux, intégrité logicielle. Pour les clients souhaitant atteindre SL3, des configurations renforcées sont disponibles (isolation physique, authentification hardware tokens).

Question 6

Comment mettre en place la segmentation réseau IT OT dans mon usine ?

Accepted Answer

La segmentation réseau IT/OT est la mesure prioritaire recommandée par l'IEC 62443 et l'ANSSI pour protéger les systèmes industriels. L'architecture de référence est le modèle de Purdue (ISA-95/ISA-99) qui définit 5 niveaux : niveau 0 (terrain, capteurs, actionneurs), niveau 1 (automates PLC, variateurs), niveau 2 (supervision SCADA, HMI), niveau 3 (MES, historisation), niveau 4 (ERP, bureautique IT). La règle fondamentale est qu'aucun flux ne doit traverser deux niveaux sans passer par une DMZ (zone démilitarisée) avec filtrage applicatif. En pratique, la segmentation IT/OT se met en œuvre avec un pare-feu industriel (Fortinet FortiGate, Palo Alto PA-400, Cisco FirePower) configuré en mode applicatif pour inspecter les protocoles OT (Modbus, OPC-UA, EtherNet/IP). Des VLAN dédiés isolent chaque zone : VLAN 10 pour les automates, VLAN 20 pour la supervision, VLAN 30 pour les accès distants. Avec Eziwan, la segmentation est native : la gateway OT initie une connexion OpenVPN sortante vers le cloud (zéro port entrant), et le tunnel VPN constitue lui-même un conduit isolé conforme IEC 62443-3-2. Le réseau OT ne voit jamais le réseau IT corporate — chaque site Eziwan dispose de son propre tunnel chiffré.

Question 7

Comment se déroule un audit de cybersécurité de systèmes industriels OT ?

Accepted Answer

Un audit de cybersécurité OT se distingue fondamentalement d'un audit IT classique par la contrainte de non-interruption de production. La méthodologie standard suit quatre phases. Phase 1 — Cartographie passive (2-3 jours) : identification des équipements présents sur le réseau OT sans trafic actif injecté. Les outils utilisés sont Nmap en mode passif (écoute du trafic existant uniquement), Claroty, Nozomi Networks Guardian ou Dragos Platform qui analysent le trafic réseau capturé via port SPAN. Cette phase produit un inventaire complet : automates, HMI, engineering workstations, switches industriels, avec versions firmware. Phase 2 — Analyse des vulnérabilités (3-5 jours) : croisement de l'inventaire avec les bases CVE (NVD, ICS-CERT) pour identifier les CVE actives sur vos équipements. Exemples typiques : Siemens SINEMA (CVE-2022-43767, score CVSS 9.8), Schneider EcoStruxure (CVE-2023-37196), Rockwell ControlLogix (CVE-2022-1159). Phase 3 — Tests intrusifs contrôlés (optionnel, hors production) : tests de pénétration sur une fenêtre de maintenance planifiée pour vérifier l'exploitabilité réelle des CVE identifiées. Phase 4 — Rapport et feuille de route (5-10 jours) : livrable final avec criticité CVSS, cartographie des flux, recommandations priorisées et plan de remédiation sur 12 mois. La durée totale d'un audit OT complet est de 4 à 8 semaines selon la taille du périmètre (nombre de sites, nombre d'automates). Le coût varie entre 15 000 et 80 000 € selon la complexité.

Question 8

Quels automates PLC sont les plus vulnérables aux cyberattaques aujourd'hui ?

Accepted Answer

Les automates industriels présentent structurellement des vulnérabilités importantes car ils ont été conçus à une époque où la connectivité n'était pas une priorité. Les trois gammes les plus ciblées en 2024-2025 sont les suivantes. Siemens S7-1500 : la CVE-2022-43767 (score CVSS 9.8) permet une exécution de code à distance via le serveur web intégré sur les versions firmware antérieures à V2.9.4. La CVE-2023-46280 affecte les communications OPC-UA. Schneider Electric Modicon M340 : la CVE-2022-45788 (CVSS 9.8) permet un déni de service via le port Modbus TCP 502 non authentifié. Les versions firmware antérieures à V3.60 de l'Unity Pro sont également concernées par des vulnérabilités d'escalade de privilèges. Rockwell Automation ControlLogix : les CVE-2023-3595 et CVE-2023-3596 (CVSS 9.8), révélées en juillet 2023, permettent la modification non autorisée des programmes ladder depuis le réseau. Ces CVE ont été exploitées dans des attaques ciblant l'infrastructure critique américaine. Le processus de mise à jour firmware recommandé pour tous ces automates est : (1) consultation des bulletins PSIRT (Product Security Incident Response Team) de chaque fabricant, (2) test du firmware en environnement de simulation avant déploiement en production, (3) déploiement lors d'une fenêtre de maintenance programmée avec plan de retour arrière, (4) vérification de l'intégrité du firmware téléchargé (hash SHA-256 publié par le fabricant). Eziwan s'abonne aux bulletins PSIRT Siemens, Schneider et Rockwell pour alerter ses clients concernés dans les 24h suivant la publication d'une CVE critique.

Conformité cybersécurité
industrielle intégrée

Ce que chaque réglementation
exige de vous

6 couches de sécurité
Zero Trust OT

Zero Inbound Port

Chiffrement bout-en-bout

Authentification forte

RBAC & contrôle d'accès

Ségrégation OT/IT

Firmware sécurisé & OTA

Eziwan couvre les exigences clés

Certifiée. Documentée.
Auditable.

Questions fréquentes

Prêt à préparer votre conformité
cybersécurité industrielle ?

Exigence de sécurité	CRA	NIS2	IEC 62443	ANSSI
Authentification forte (MFA)
Chiffrement en transit (TLS 1.3)
Chiffrement au repos (AES-256)		—
Zero inbound ports (Zero Trust)
RBAC granulaire	—
Logs d'audit immuables
Firmware signé (OTA)		—		—
Gestion vulnérabilités (CVE)		—	—	—
Ségrégation OT/IT	—
Continuité (Dual SIM failover)	—		—
Hébergement souverain France	—	—	—
Documentation technique complète

Conformité cybersécuritéindustrielle intégrée

Ce que chaque réglementationexige de vous

6 couches de sécuritéZero Trust OT