ENGINEERING NOTES · Mai 2026

Trois erreurs courantes dans un Gap Assessment ICS

Après des années à réaliser et à réviser des évaluations d'écart en environnement industriel, ces trois erreurs reviennent plus que toutes les autres.

Traiter l'inventaire des actifs comme un exercice ponctuel. En OT, l'inventaire se dégrade vite — un prestataire ajoute un équipement, une mise à jour de firmware change une version — et un gap assessment basé sur un inventaire vieux de huit mois mesure déjà un réseau qui n'existe plus.
Copier des contrôles IT sans les adapter à la disponibilité de l'OT. « Redémarrage immédiat après un correctif critique » sonne bien sur une checklist, mais sur un site qui ne peut pas s'arrêter sans coordination avec la production, ce contrôle reste sur le papier, pas dans la pratique réelle.
Mesurer la maturité uniquement sur la technologie, pas sur le processus et les personnes. Un pare-feu industriel bien configuré ne sert pas à grand-chose si personne ne sait clairement qui approuve un changement de règle, ou si la procédure de réponse aux incidents vit dans un document que personne n'a relu depuis sa signature.

Le point commun des trois : un gap assessment qui ne regarde que la technologie produit une belle photo et un faux sentiment de sécurité. Celui qui regarde aussi le processus, les personnes et la date de péremption de ses propres données produit quelque chose qui réduit vraiment le risque.