Sommaire de l’article
Un automate qui se met en défaut un dimanche soir, une IHM à reparamétrer chez un client à l’autre bout du pays, un intégrateur qui doit livrer une évolution : sur un site industriel, l’accès distant n’est plus une exception. C’est aussi, très souvent, la porte la moins surveillée du site.
Ports redirigés vers un automate, VPN par site, logiciel de prise en main installé sur un poste de conduite, mot de passe partagé avec tous les prestataires : ces solutions fonctionnent, et c’est bien le problème. Elles restent en place des années après l’intervention qui les a justifiées.
Pourquoi l’accès distant fragilise les sites industriels
Le port ouvert, une porte qu’on oublie de refermer
Une redirection de port rend un équipement joignable depuis Internet. Sur un site industriel, l’obtenir demande souvent plusieurs validations : l’informatique du client, son prestataire réseau, parfois l’opérateur télécom. Une fois créée pour une intervention, la règle reste rarement datée : quelques années plus tard, plus personne ne sait pourquoi elle existe, et elle ne figure dans aucun inventaire.
Le VPN donne un réseau, pas une machine
Un VPN établit une liaison vers un réseau entier. Ce que l’intervenant peut ensuite atteindre dépend du cloisonnement posé derrière, quand il existe. Les droits par équipement, l’approbation d’un accès et la preuve de ce qui a été fait demandent des contrôles complémentaires que le VPN ne porte pas.
Des comptes partagés, et peu de traces
Le même identifiant circule entre les équipes et les prestataires, parfois depuis la mise en service. Quand un incident survient, il devient difficile de dire qui est intervenu, sur quoi, et combien de temps.
Ce que disent les référentiels
La série IEC 62443 découpe un système industriel en zones reliées par des conduits. Un accès distant est un conduit à part entière : il doit être identifié, ses utilisateurs authentifiés, ses usages limités et surveillés. L’IEC 62443-3-3 consacre une exigence dédiée à l’accès depuis des réseaux non maîtrisés (SR 1.13), en plus des exigences d’identification, d’authentification et de journalisation.
En France, l’ANSSI traite la télémaintenance dans ses mesures détaillées pour la cybersécurité des systèmes industriels : accès maîtrisés, authentifiés et journalisés, plutôt que des liaisons permanentes et ouvertes.
Trois principes pour un accès distant maîtrisé
1. Aucun port entrant sur le site
Plutôt que d’exposer un équipement, on inverse le sens : un composant installé sur le site ouvre lui-même une connexion sortante vers un point de contrôle, et la garde. Rien n’écoute sur le site, et il n’y a pas de règle de pare-feu entrante à faire vivre. Une connexion 4G ou 5G suffit, ce qui change tout pour un constructeur de machines installées chez ses clients.
2. Une cible, pas un réseau
C’est le sens du Zero Trust appliqué à l’accès distant (ZTNA) : rien n’est joignable par défaut, et chaque accès est une autorisation nommée. Telle personne, sur tel service de tel équipement, pendant telle période. Un prestataire reçoit ce qu’il lui faut pour son chantier, et le perd à la fin.
3. Tracer, et pouvoir le montrer
Un bastion est le point de passage obligé : on s’y authentifie, il décide de ce qu’on peut atteindre et il garde la trace de ce qui a été fait. Un journal qui dit qui est entré, sur quelle machine et combien de temps, et des sessions enregistrées qu’on peut rejouer, c’est ce qu’on sort pour répondre à un auditeur ou instruire un incident.
Un quatrième point compte souvent sur un site industriel : héberger ce point de contrôle chez soi. Les données du parc et les journaux d’accès restent sous la main de l’exploitant, et une panne chez un éditeur ne coupe pas l’accès aux sites.
Bastion, VPN, ZTNA : ce qui les distingue
- Le VPN relie un poste à un réseau. Il chiffre le transport, mais les droits précis sur les équipements restent à construire derrière.
- Le ZTNA autorise une cible précise pour une personne précise, et rien d’autre.
- Le bastion est l’endroit où ces règles s’appliquent et où les traces sont conservées. Le mot désigne le lieu, le Zero Trust désigne la règle.
Un exemple concret : PipeLinker
En toute transparence : PipeLinker est un logiciel édité par Lootus Security.
Nous avons conçu PipeLinker pour appliquer ces principes aux parcs IT, OT et IoT. Un agent installé sur une machine du site ouvre une connexion sortante vers un hub que l’exploitant héberge lui-même. Depuis ce hub, chaque intervenant n’ouvre que les équipements et les services qui lui ont été autorisés : terminal, fichiers, écran, interface web.
- Sans port entrant : le détail du fonctionnement est décrit sur la page accéder à ses équipements industriels sans ouvrir de port.
- Automates et IHM : les équipements qui ne peuvent pas porter d’agent sont joints à travers l’agent d’une machine voisine, et l’outil du constructeur continue de fonctionner tel quel. Voir l’accès distant aux automates et IHM.
- Bastion et traçabilité : droits par rôle, par parc et par équipement, sessions enregistrées et rejouables, identifiants des équipements conservés dans le hub et jamais remis aux prestataires. Voir le bastion OT auto-hébergé.
Un outil ne remplace pas l’architecture
Un accès distant bien conçu ne compense pas un réseau à plat. La première étape reste de cartographier le site, le découper en zones et définir les conduits autorisés entre elles. C’est ce que nous faisons en architecture et segmentation industrielle, avant de vérifier en conditions réelles, lors d’un audit de sécurité industrielle ou de tests techniques et pentest OT, que les accès distants ne contournent pas cette segmentation.
Vous voulez faire le point sur les accès distants de vos sites ? Échangeons sur votre contexte.
Partager : LinkedIn Facebook E-mail
Un projet à sécuriser ?
Échangeons sur votre périmètre, vos usages et vos priorités de sécurité.
Échanger avec un expert
Expertise cybersécurité IoT, IT, OT et Web.
Découvrir notre équipe
