Accès distants des prestataires : le maillon faible des sites industriels

Un site industriel fait intervenir de nombreux acteurs extérieurs : fabricants de machines, intégrateurs, mainteneurs. Pour gagner du temps, beaucoup ont installé au fil des années leur propre moyen d’accès à distance. Résultat : des chemins d’entrée multiples, souvent inconnus de l’équipe informatique et rarement surveillés.

Les situations que l’on rencontre le plus souvent

• Un modem 4G branché directement sur un automate pour la télémaintenance d’une machine.
• Un logiciel de prise en main à distance installé sur un poste de supervision, avec un mot de passe partagé.
• Un VPN ouvert en permanence vers le réseau industriel, pour un prestataire qui n’intervient que quelques fois par an.
• Des comptes de maintenance jamais désactivés après la fin d’un contrat.

Les principes d’un accès distant maîtrisé

• Un point d’entrée unique : une passerelle ou un bastion d’accès, plutôt qu’un moyen par prestataire.
• Des comptes nominatifs avec authentification forte, jamais de compte partagé.
• Un accès à la demande : ouvert pour une intervention, validé par l’exploitant, refermé ensuite.
• Un périmètre limité : le prestataire n’atteint que les équipements de sa machine, pas tout le réseau.
• La traçabilité : qui s’est connecté, quand, sur quoi, et idéalement l’enregistrement de la session.

Par où commencer

La première étape est un inventaire : repérer physiquement les modems et routeurs, lister les logiciels d’accès installés, recenser les contrats de maintenance à distance. C’est l’un des premiers points de notre diagnostic de cybersécurité OT, et un sujet central pour les sites concernés par la directive NIS2, qui demande de maîtriser la sécurité de la chaîne d’approvisionnement.

Pour les secteurs où les sites sont nombreux et dispersés, comme l’eau et l’énergie, c’est souvent le chantier le plus rentable.