L'entreprise
Un groupe manufacturier canadien de 800 personnes, trois sites de production, une informatique de gestion classique et un parc industriel qui a grandi par couches successives depuis vingt ans. L'équipe sécurité tient en deux personnes, épaulées par une équipe TI de huit.
Le profil est courant dans le secteur : une organisation dont le métier est de produire, pas de faire de la cybersécurité, mais dont les clients et les assureurs exigent désormais des preuves. Personne n'y est hostile à la sécurité ; simplement, chaque heure passée sur un tableur de conformité est une heure qui ne va pas à la production.
Le problème : la donnée existait, la vision non
Le déclencheur est commercial. Un client majeur demande une preuve de posture avant le renouvellement du contrat, avec un délai de trois semaines. En parallèle, une démarche ISO 27001 est engagée depuis dix-huit mois sans jalon clair : tout le monde sait qu'elle avance, personne ne sait où elle en est.
Tout ce qu'il faut pour répondre existe déjà, mais réparti dans cinq endroits : le scanner de vulnérabilités, un tableur de conformité maintenu par une seule personne, des questionnaires fournisseurs échangés par courriel, l'EDR, et le système de billets. Aucun registre de risque unique, donc aucune réponse rapide à la seule question qui compte : où en est-on ?
Produire un état des lieux pour la direction demande trois à quatre jours de recollement manuel, et le résultat est périmé avant d'être présenté. Le coût réel n'est pas le temps passé : c'est que personne ne peut dire, un mardi ordinaire, quel est le risque de l'entreprise.
Sur la partie industrielle, l'angle mort est plus net encore. Aucune visibilité sur ce qui est réellement joignable depuis Internet. Les automates sont réputés isolés — la conviction repose sur un schéma réseau de 2019 et sur la parole d'un intégrateur qui n'intervient plus.
Ce qui est mis en place
Une évaluation, deux référentiels
La baseline est menée sur NIST CSF 2.0 et ISO 27001 simultanément, portée par le socle de 1 534 contrôles SCF : une seule saisie alimente les deux, et chaque contrôle validé fait avancer tout ce qui s'y rattache. C'est ce qui transforme dix-huit mois de préparation dispersée en une trajectoire mesurable. La maturité est notée sur une échelle CMMI de 0 à 5, donc l'équipe cesse de discuter en « conforme / non conforme » et commence à discuter en niveaux.
Un registre qui se remplit tout seul
Les constats de chaque module alimentent les 9 domaines et 52 sous-domaines du registre de risque, en inhérent et en résiduel. L'état des lieux cesse d'être un livrable trimestriel pour devenir un état permanent, que la direction peut consulter sans le demander.
La vue de l'extérieur, OT compris
La surface d'attaque externe est cartographiée en lecture seule, protocoles industriels fingerprintés inclus, sans jamais toucher à la production. Le premier scan remonte quatorze expositions critiques, dont cinq sur des actifs que personne ne savait exposés : un portail fournisseur d'un projet abandonné, deux interfaces d'administration laissées ouvertes après une migration, un certificat expiré sur un service de production, et une interface de supervision industrielle joignable depuis Internet — précisément ce que le schéma de 2019 disait impossible.
Les tiers, en continu plutôt qu'une fois par an
Les quarante fournisseurs critiques passent sous surveillance continue. Leur posture observée par scan externe est confrontée à leur posture déclarée au questionnaire, et l'écart entre les deux est signalé. Le scan porte sur un périmètre que le fournisseur a lui-même validé, ce qui rend le constat discutable en revue plutôt qu'accusatoire.
Ce que ça donne
Première mesure défendable en quatre jours : pas un audit complet, mais un point de départ chiffré que l'on peut présenter sans le justifier ligne à ligne. La conformité ISO 27001 passe de 41 % à 84 % en huit mois, non pas parce que la plateforme corrige quoi que ce soit, mais parce que l'ordre de traitement cesse d'être arbitraire.
Le rapport de direction se produit en moins d'une heure au lieu de trois jours, et chaque chiffre y est sourcé dans la plateforme. Le dossier auditeur est exportable à tout moment. L'équipe GRC récupère les semaines qu'elle passait à recoller des tableaux — l'essentiel de son temps repasse sur le fond.
Sur le plan commercial, la preuve de posture demandée par le client est fournie en trois jours au lieu du mois estimé initialement. C'est souvent ce genre de délai, plus que le score lui-même, qui décide du renouvellement.
Ce que ça ne règle pas
La plateforme ne réduit pas l'effort de remédiation. Les quatorze expositions critiques demandent un vrai travail d'équipe sur six semaines, dont deux interventions en fenêtre de maintenance sur la partie industrielle. Ce qui change, c'est qu'on sait lesquelles traiter en premier et pourquoi — pas que le travail disparaît. Une organisation qui n'a personne pour corriger n'obtiendra qu'une liste mieux classée.
Chiffres représentatifs de déploiements réels. Organisations composites et anonymisées.