Mener un audit de data governance : de la politique à la preuve sur le terrain

Un directeur d'usine en Ohio ouvre le dashboard du MES (Manufacturing Execution System) et découvre trois ans d'historique de connexions opérateurs encore stockés en actif, quatre ans après la limite de rétention fixée par la politique interne de l'entreprise. Personne ne les a supprimés parce que personne n'était chargé de vérifier. Ce simple manquement, découvert lors d'un audit de routine, est exactement le genre de chose qui transforme une politique de gouvernance d'apparence irrirrLe taux de rendement interne est le taux d'actualisation qui annule la valeur actuelle nette d'un projet. Il exprime le rendement annualisé attendu d'un investissement.Voir la définition complète →éprochable en risque bien réel.

Les politiques de data governancedata governanceLa data governance est l'ensemble des politiques, rôles et processus qui garantissent que les données sont exactes, sécurisées, bien définies et utilisées de façon responsable dans toute l'organisation.Voir la définition complète → se lisent bien dans un deck de comité de direction. Le véritable test, c'est de savoir si elles résistent au contact d'un atelier qui tourne en trois équipes, avec trois fournisseurs de PLC (Programmable Logic Controller) et une liste de sous-traitants qui change chaque trimestre. L'audit, c'est la façon de le découvrir avant qu'un régulateur, un client ou un attaquant ne le fasse.

Pourquoi les audits de gouvernance en industrie sont différents

Les données industrielles vivent dans plus d'endroits que les données de bureau. Vous auditez :

• Les enregistrements MES (comptages de production, blocages qualité, identifiants opérateurs, horodatages)
• Les logs SCADA/PLC (Supervisory Control and Data Acquisition / Programmable Logic Controller) issus des automates
• Les systèmes ERPERPUn système intégré unique qui gère les opérations clés : finance, achats, supply chain, RH et production sur des données partagées.Voir la définition complète → (Enterprise Resource Planning) qui contiennent les données fournisseurs et clients
• Les flux de capteurs IIoT (Industrial Internet of Things) des systèmes de maintenance prédictive
• Les systèmes de contrôle d'accès pour les badges et l'accès réseau

Chaque système a des propriétaires différents, des règles de rétention différentes, et souvent des fournisseurs différents, dont certains équipements ont plusieurs décennies et n'ont jamais été conçus avec la protection des données en tête. Un PLC de 2015 qui pilote une presse à emboutir n'a pas été construit en pensant au RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (Règlement Général sur la Protection des Données, la loi européenne de 2018 sur la protection des données).

Le contexte réglementaire, en bref

Vous n'avez pas besoin d'être juriste, mais vous devez savoir par rapport à quoi un audit vérifie :

• RGPD (UE, en vigueur depuis 2018) : encadre les données personnelles des salariés et clients de l'UE, y compris les noms d'opérateurs associés aux logs machines. Impose la minimisation des données et des limites de rétention définies.
• CCPA/CPRA (California Consumer Privacy Act / Privacy Rights Act) : protections comparables des données personnelles pour les personnes concernées liées à la Californie, pertinent si un industriel américain vend à des clients californiens ou emploie des résidents californiens.
• NIST Cybersecurity Framework (États-Unis, volontaire mais largement adopté, en particulier par les industriels liés à la défense) : nist.gov/cyberframework définit des catégories de contrôles opérationnelles : Identify, Protect, Detect, Respond, Recover.
• IEC 62443 : la principale norme internationale spécifiquement dédiée à la sécurité des systèmes de contrôle industriel (ICS), celle à laquelle les auditeurs se réfèrent pour vérifier la segmentationsegmentationDécouper un marché en groupes distincts de clients partageant des besoins, des caractéristiques ou des comportements similaires, afin de traiter chaque groupe avec une approche dédiée.Voir la définition complète → réseau des PLC et SCADA.
• CMMC (Cybersecurity Maturity Model Certification) : exigé pour les fournisseurs du Department of Defense américain, de plus en plus un benchmark de fait même pour les industriels hors défense.

Aucun de ces textes ne vous dit précisément comment faire tourner votre usine. Ils fixent le niveau. L'audit, c'est là où vous mesurez votre usine par rapport à ce niveau.

La checklist d'audit : trois tests concrets

Test 1 : échantillonner les enregistrements MES pour vérifier la conformité de rétention

Prenez un échantillon aléatoire d'enregistrements MES (disons 50 lots sur les deux dernières années). Pour chacun, vérifiez :

• Existe-t-il une règle de rétention documentée pour ce type d'enregistrement (par exemple « enregistrements qualité : 7 ans », « logs de connexion opérateurs : 90 jours ») ?
• L'ancienneté réelle de la donnée est-elle dans cette limite ?
• Si une suppression aurait dû avoir lieu, existe-t-il un log de suppression qui le prouve ?

Exemple chiffré : la politique dit que les logs d'accès par badge sont conservés 180 jours. Vous échantillonnez 50 enregistrements. 42 sont dans les 180 jours. 8 sont plus anciens, dont un de 14 mois. Cela fait un taux de conformité de 84 % sur cet échantillon, bien en dessous d'un seuil acceptable (la plupart des standards d'audit interne attendent 95 % ou plus avant de qualifier un contrôle d'« efficace »). Le constat : la suppression liée à la rétention n'est pas automatisée, elle dépend de quelqu'un qui y pense.

SchémamaUtiliser un logiciel pour automatiser les tâches et campagnes marketing répétitives, afin de personnaliser à grande échelle sur des canaux comme l'email, le web et le social.Voir la définition complète → de correction : automatiser la suppression via une tâche planifiée plutôt qu'une revue manuelle, et journaliser chaque événement de suppression comme élément de preuve.

Test 2 : confronter les logs d'accès aux définitions de rôles

C'est là que la politique de gouvernance rencontre la réalité. Sortez la matrice de contrôle d'accès basé sur les rôles (RBAC), le document qui définit qui doit accéder à quoi, et comparez-la aux logs réels des systèmes.

Concrètement :

1. Exportez les 30 derniers jours d'événements de connexion du MES et du historian SCADA.
2. Recoupez chaque utilisateur avec le rôle qui lui est attribué (opérateur, ingénieur qualité, sous-traitant maintenance, IT usine).
3. Signalez tout accès hors du rôle défini, par exemple un compte de sous-traitant avec un accès en écriture aux paramètres de recette alors que son contrat n'autorisait que du diagnostic en lecture seule.

# Simplified access-audit logic (pseudocode)
for user in access_log:
    role = role_registry.get(user.id)
    if user.action not in role.permitted_actions:
        flag_finding(user, role, user.action, timestamp)

Ce type de requête est trivial dès lors que les logs sont centralisés, mais beaucoup d'usines ont encore des accès au niveau PLC qui n'atteignent jamais un log central, ce qui constitue en soi un constat à documenter.

Test 3 : réaliser un exercice de réponse à incident sur une compromission de PLC simulée

Exercice sur table : supposez qu'un attaquant a obtenu un accès distant à un PLC pilotant un procédé critique (un four, un mélangeur chimique, une cellule de soudage robotisée). Chronométrez le temps que met l'équipe à :

• Détecter l'anomalie (schéma de commandes inhabituel, changement de paramètre inattendu)
• Isoler le segment réseau concerné
• Notifier les parties requises (sécurité interne, et si des données personnelles ou de sécurité sont impliquées, les régulateurs dans la fenêtre de notification de 72 heures du RGPD)
• Restaurer depuis une sauvegarde saine connue

Point de repère réel : l'incident de ransomware Colonial PipelinePipelineL'ensemble des opportunités commerciales actives réparties selon les étapes du processus de vente, avec leur valeur potentielle cumulée et leur probabilité de conclusion.Voir la définition complète → de 2021 (États-Unis) a montré à quel point l'operational technology (OT) et l'information technology (IT) peuvent être étroitement couplées, au point qu'une compromission IT provoque un arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êt de production. Les usines dont la segmentation réseau IT/OT est faible sont exposées de la même façon.

🎬 [VIDEO: "Industrial Control Systems Security Basics" - youtube.com/@CISAgov - Panorama par la CISA des fondamentaux de la sécurité ICS/SCADA pour les infrastructures critiques et les environnements industriels]

Construire un rapport d'audit qui sert vraiment

Un audit qui produit un PDF de 40 pages que personne ne lit est pire qu'aucun audit. Structurez les constats de sorte que les directeurs d'usine et les responsables conformité puissent agir :

Chaque ligne a besoin d'un propriétaire nommé et d'une date. Dans les faits, les audits de gouvernance échouent non pas parce que personne ne trouve de problèmes, mais parce que les constats restent dans un rapport sans propriétaire responsable.

Les schémas d'échec qu'il faut nommer

• Shadow IT sur l'atelier : des ingénieurs qui branchent un portable directement sur un PLC pour dépanner, en contournant complètement les accès journalisés.
• Angles morts fournisseurs : des contrats de service OEM (Original Equipment Manufacturer) qui accordent un accès distant pour la maintenance, rarement revus après la signature initiale.
• Politique de rétention qui n'existe que sur le papier : écrite dans le manuel de gouvernance, jamais implémentée sous forme de contrôle automatisé.
• Revues d'accès annuelles au lieu de continues : l'accès d'un sous-traitant survit plusieurs mois à son contrat.

Le guide de l'ENISA (Agence de l'Union européenne pour la cybersécurité) sur les systèmes de contrôle industriel est une référence gratuite utile pour benchmarker les contrôles spécifiques à l'OT par rapport aux attentes européennes.

Points clés

• L'audit est la couche de preuve de la politique de gouvernance : échantillonnez de vrais enregistrements MES et d'accès plutôt que de vous fier au seul document de politique.
• La conformité de rétention doit se mesurer sur un échantillon concret avec un seuil de réussite (visez 95 % ou plus) ; tout ce qui est en dessous signale un processus manuel et peu fiable.
• Les audits d'accès exigent de comparer les logs à une matrice RBAC documentée, et un accès au niveau PLC qui n'atteint jamais la journalisation centrale constitue en soi une faille de gouvernance.
• Les exercices de réponse à incident ont besoin d'un benchmark chronométré (détection, isolation, notification, restauration) puisque le RGPD et les régimes équivalents imposent des fenêtres de notification fixes.
• Chaque constat d'audit a besoin d'un propriétaire nommé et d'une échéance ; les constats non traités sont la première raison pour laquelle les audits ne changent pas les comportements en atelier.