Que s'est-il passé ?
Dans un article invité pour le magazine Protector, Uwe Greunke, responsable du segment métier infrastructures critiques (KRITIS) chez Rohde & Schwarz Networks and Cybersecurity, décrit cinq règles pour l'intégration sécurisée de la technique de sécurité dans les réseaux IT. L'article s'adresse en particulier aux exploitants d'infrastructures critiques (KRITIS), pour lesquels les systèmes de sécurité tels que les caméras de surveillance, les contrôles d'accès, les mécanismes de fermeture ou les systèmes d'alarme et de notification deviennent de plus en plus partie intégrante de l'architecture des réseaux IT.
Message clé : lorsque des systèmes de sécurité sont intégrés dans des réseaux IT, ils doivent collaborer efficacement, sans que le niveau de protection réel ne soit réduit ou compromis.
Les détails
Selon l'article, les systèmes de sécurité dans les domaines KRITIS et OT sont soumis aux réglementations de la loi-cadre KRITIS, de la loi BSI ainsi qu'à d'autres normes pertinentes telles que le BSI IT-Grundschutz et la norme IEC 62443. Greunke en déduit la nécessité de concevoir la mise en réseau de ces systèmes selon un concept de sécurité et de zonage clairement défini et contraignant. Une attention particulière est accordée aux voies de communication entre les installations de sécurité, les centres de contrôle, les systèmes de gestion et les réseaux IT voisins, qui doivent être strictement réglementées.
L'article énonce cinq règles concrètes :
- Créer des zones bien définies : les systèmes de caméras, les capteurs et les composants de contrôle d'accès devraient être exploités dans des zones logiquement ou physiquement séparées. Les systèmes de caméras, par exemple, ne devraient interagir qu'avec les systèmes associés tels que le NVR (Network Video Recorder) ou le VMS (Video Management System). Des pare-feux ou des passerelles de segmentation surveillent et sécurisent les transitions entre les zones.
- Séparer l'informatique de bureau et les réseaux externes : les systèmes de sécurité devraient en principe fonctionner en dehors de l'informatique classique de l'entreprise. Les transitions passent par des points définis tels que des zones DMZ ou NAT, qui permettent une utilisation contrôlée de services tels qu'Active Directory, DNS ou PKI, sans compromettre les segments de sécurité.
- Assurer un fonctionnement résilient et autonome : un réseau de sécurité OT doit rester opérationnel de manière autonome, même en cas de perturbations de l'informatique environnante, de pannes WAN ou de menaces externes. Des mécanismes tels que des sondes réseau, des systèmes de surveillance (watchdogs) pour caméras ou des redémarrages basés sur le PoE peuvent résoudre automatiquement les perturbations courantes.
- Chiffrer et surveiller les voies de communication : les données vidéo, d'alarme et de contrôle doivent être transmises de manière chiffrée. Sont mentionnés les VPN (client-à-site ou site-à-site) pour les accès de maintenance et les connexions de sites, ainsi que les proxys inverses avec chiffrement TLS de bout en bout contre les attaques de type « homme du milieu ».
- Garantir modularité et extensibilité : de nouvelles caméras IP ou points d'accès doivent pouvoir s'intégrer sans modifications substantielles de l'architecture existante. Les architectures basées sur des zones permettent l'intégration de nouveaux sites comme segments distincts, sans modifier les zones existantes.
Mise en contexte
L'article montre clairement que la technique de sécurité dans les environnements KRITIS ne peut plus être considérée de manière isolée, mais fait partie intégrante de la structure du réseau IT. Cela signifie que les responsables de la technique de sécurité et de l'informatique doivent collaborer plus étroitement qu'auparavant. Selon Greunke, les connexions historiquement établies ou non contrôlées entre les systèmes de sécurité et d'autres réseaux entrent en conflit avec les exigences réglementaires et posent également problème en termes de traçabilité et d'auditabilité.
Pour les exploitants d'infrastructures critiques – par exemple dans le domaine du contrôle d'accès, de la vidéosurveillance ou des systèmes d'alarme – il en résulte une pression réglementaire claire à agir : quiconque intègre des caméras, des systèmes de contrôle d'accès ou des dispositifs d'alarme dans des paysages informatiques existants doit le faire selon un concept de zonage et de sécurité documenté, conforme aux normes et lois mentionnées.
Conseils pratiques
- Exploiter les systèmes de sécurité (caméras, contrôle d'accès, systèmes d'alarme) dans des zones réseau propres et clairement délimitées, sans les mélanger de manière indifférenciée avec l'informatique de bureau.
- Faire passer les transitions entre les zones de sécurité et l'informatique d'entreprise exclusivement par des points définis tels que des zones DMZ ou NAT, et les surveiller techniquement.
- Prévoir des mécanismes de surveillance automatisés tels que des systèmes de surveillance pour caméras ou des redémarrages basés sur le PoE, afin de garantir la disponibilité même sans intervention manuelle.
- Chiffrer systématiquement les voies de communication – par exemple via des connexions VPN et un chiffrement TLS de bout en bout – afin d'empêcher toute manipulation ou tentative d'écoute.
- Privilégier dès la planification de nouvelles installations des architectures modulaires basées sur des zones, afin de permettre des extensions futures sans intervention sur les segments existants.
Perspectives
Face aux cadres réglementaires mentionnés dans l'article – loi-cadre KRITIS, loi BSI, BSI IT-Grundschutz et IEC 62443 – la pression sur les exploitants d'infrastructures critiques devrait continuer à augmenter pour concevoir leurs réseaux de technique de sécurité de manière conforme aux normes et auditable. La conclusion de Greunke résume bien la situation : ce n'est qu'un réseau souverain, conforme aux normes et auditable qui crée les bases permettant d'exploiter les systèmes de sécurité de manière conforme et structurée. Pour les concepteurs, installateurs et exploitants de technique de sécurité, cela signifie qu'il faut désormais intégrer l'architecture réseau IT comme une composante fixe de toute conception de sécurité – de la planification des zones jusqu'au chiffrement des voies de communication.
