Cybersécurité de vos systèmes de sûreté
Caméras IP, contrôleurs d'accès, superviseurs : segmentation réseau, durcissement, mises à jour, NIS2. La sûreté physique traitée comme un système IT.
Indépendant
Délai de réponse
Interlocuteur unique
Convergence cyber-physique et cybersécurité
des systèmes de sûreté
La convergence cyber-physique désigne un constat simple. Les systèmes qui protègent vos bâtiments reposent sur les mêmes technologies que vos serveurs et vos postes de travail. Une attaque informatique peut désormais ouvrir une porte, aveugler une caméra ou effacer des enregistrements. À l'inverse, un équipement de sûreté mal configuré peut servir de point d'entrée vers votre réseau.
Ces équipements restent pourtant souvent hors du périmètre de la DSI. Ils sont installés et maintenus par des prestataires spécialisés, rarement inventoriés et rarement mis à jour. Leur durée de vie dépasse souvent celle des équipements informatiques classiques. C'est ce décalage qui en fait des cibles.
Les menaces concrètes
Identifiants par défaut et comptes partagés
De nombreux équipements sont mis en service avec le mot de passe du fabricant ou un compte unique partagé par tous les techniciens. Ces identifiants sont publics ou se transmettent d'un chantier à l'autre.
Firmwares obsolètes
Les vulnérabilités des caméras IP et des enregistreurs sont régulièrement publiées. Sans politique de mise à jour, un parc reste exposé pendant des années à des failles connues et documentées.
Accès distants des mainteneurs
Pour intervenir plus vite, certains mainteneurs installent un accès distant permanent : routeur 4G, logiciel de prise en main, redirection de port. Ces accès échappent souvent à tout contrôle de l'organisation.
Services cloud non maîtrisés
Certains équipements se connectent par défaut à des services hébergés par le fabricant, pour la consultation mobile ou la configuration. Les flux sortants, la localisation des données et les conditions d'accès ne sont pas toujours connus.
Réseau à plat
Lorsque caméras, contrôleurs et postes bureautiques partagent le même réseau, la compromission d'un seul équipement ouvre l'accès à l'ensemble.
Les mesures de cybersécurité
des systèmes de sûreté
| Domaine | Mesures prescrites |
|---|---|
| Réseau | Réseau dédié ou segmenté, filtrage des flux entre zones, aucune exposition directe sur internet |
| Chiffrement | Protocoles chiffrés pour l'administration, les flux vidéo et la liaison lecteur-contrôleur |
| Comptes | Suppression des comptes par défaut, comptes nominatifs, mots de passe robustes, droits minimaux |
| Mises à jour | Inventaire des versions, veille sur les vulnérabilités, procédure de mise à jour testée |
| Journalisation | Conservation et centralisation des journaux d'administration et de connexion |
| Accès prestataires | Passerelle maîtrisée, ouverture à la demande, authentification forte, traçabilité des sessions |
| Sauvegarde | Sauvegarde des configurations et des bases de droits, restauration testée |
| Durcissement | Désactivation des services inutiles et des connexions cloud non validées |
Pour la vidéo, ces mesures s'intègrent dès la conception, au stade du bureau d'études vidéoprotection. La remontée des événements dans une plateforme d'hypervision suppose les mêmes précautions, puisque le superviseur concentre l'accès à tous les sous-systèmes.
Écrire la cybersécurité des systèmes de sûreté
dans le CCTP
Les opérations préalables à la réception comportent un contrôle de ces réglages. Un équipement non conforme fait l'objet d'une réserve, au même titre qu'une caméra mal cadrée. Cette méthode s'inscrit dans notre mission d'assistance à maîtrise d'ouvrage.
Un travail commun avec la DSI
et le RSSI
NIS2 et entités concernées
Audit de cybersécurité des systèmes
de sûreté existants
Inventaire des équipements, de leurs versions et de leurs raccordements.
Revue de l'architecture réseau et des flux autorisés.
Contrôle des comptes, des mots de passe et des droits.
Examen des accès distants et des connexions cloud.
Vérification de la journalisation, des sauvegardes et des procédures.
Plan de remédiation hiérarchisé et chiffré.
Exemple de déroulé d'une mission
Livrables
Vos questions
Les réponses aux questions que nous posent le plus souvent les maîtres d'ouvrage.
Une caméra IP peut-elle vraiment compromettre le réseau de l'organisation ?
Oui. Une caméra IP est un ordinateur doté d'un système d'exploitation, de services réseau et de comptes d'administration. Si elle conserve son mot de passe d'origine, un firmware ancien ou un accès ouvert sur internet, elle peut être prise en main à distance. Sur un réseau non cloisonné, elle devient alors un point d'entrée vers les serveurs et les postes de travail de l'organisation.
Faut-il un réseau physiquement séparé pour la vidéoprotection ?
Pas nécessairement. Un réseau physiquement dédié offre le cloisonnement le plus strict. Selon le niveau de risque, une segmentation logique rigoureuse peut suffire : réseaux virtuels distincts, filtrage entre zones, interdiction des flux non nécessaires, administration depuis des postes dédiés. Le choix se fait avec la DSI et le RSSI, en fonction de l'existant, du budget et de la sensibilité du site.
Comment encadrer l'accès distant des mainteneurs ?
L'accès distant permanent, ouvert par le mainteneur sans contrôle, est l'une des failles les plus fréquentes. Nous prescrivons un accès ouvert à la demande, par une passerelle maîtrisée par l'organisation, avec une authentification forte, des comptes nominatifs, une journalisation des sessions et une fermeture automatique. Ces règles sont écrites dans le marché de maintenance et vérifiées lors des revues périodiques.
Notre organisation est-elle concernée par NIS2 ?
La directive NIS2 élargit fortement le nombre d'organisations soumises à des obligations de cybersécurité, réparties entre entités essentielles et entités importantes selon le secteur et la taille. Si votre organisation est concernée, vos systèmes de sûreté entrent dans le périmètre de la gestion des risques. La qualification de votre statut relève de votre direction juridique. Nous intégrons ces systèmes dans la démarche conduite par votre RSSI.
Que contient un audit de cybersécurité d'un système de sûreté existant ?
L'audit comprend l'inventaire des équipements et de leurs versions, la revue de l'architecture réseau et des flux, le contrôle des comptes et des mots de passe, l'examen des accès distants et des services cloud, la vérification de la journalisation et des sauvegardes. Le rapport classe les écarts par gravité et propose un plan de remédiation réaliste, coordonné avec la DSI et les prestataires.
Les exigences de cybersécurité peuvent-elles être imposées à l'installateur ?
Oui, à condition d'être écrites dans le CCTP et vérifiées à la réception. Nous rédigeons des exigences précises : suppression des comptes par défaut, versions de firmware à jour, protocoles chiffrés, désactivation des services inutiles, remise des configurations. Les opérations préalables à la réception comportent un contrôle de ces réglages. Une exigence non écrite reste à la discrétion de l'installateur.
Parlons de votre projet
Décrivez votre projet : réponse personnalisée sous 24 heures, sans engagement et sans lien avec un fabricant.
Demander un devis gratuit