Cybersécurité du contrôle d’accès et de la vidéoprotection : sécuriser dès la conception

Les systèmes de contrôle d’accès et de vidéoprotection occupent une place centrale dans la sécurité des bâtiments. Caméras IP, lecteurs de badges, interphonie, enregistreurs et logiciels de supervision sont aujourd’hui de plus en plus connectés au réseau informatique de l’entreprise.

Cette interconnexion apporte de nouvelles possibilités, mais elle crée aussi de nouveaux risques. Une faille peut par exemple compromettre des images, perturber les accès à un site ou permettre une prise de contrôle d’un équipement. La cybersécurité devient donc un enjeu à part entière des projets de sûreté.

Pour être réellement efficace, elle ne peut pas être traitée comme une étape ajoutée à la fin du projet. Elle doit être prise en compte dès la conception, dans l’architecture du système, les choix techniques et les conditions d’exploitation.

Partir d’une analyse de risques commune à la sûreté et à la DSI

La première étape consiste à réunir les responsables sûreté, la DSI, les exploitants et l’intégrateur autour d’un même périmètre. Quelles fonctions doivent rester disponibles en permanence ? Quels accès, images ou historiques sont sensibles ? Quelles conséquences aurait une perte de réseau, un compte compromis ou un équipement indisponible ?

Cette analyse complète l’audit de sûreté du site. Elle permet de distinguer les fonctions critiques, de définir les modes dégradés acceptables et de répartir clairement les responsabilités entre administration technique, exploitation métier et maintenance. Le niveau de protection peut alors être adapté aux risques réels, plutôt qu’appliqué de manière uniforme à tous les équipements.

Cartographier les équipements, les flux et les dépendances

Lecteurs, unités de traitement, caméras, enregistreurs, serveurs, postes opérateurs, applications mobiles, services cloud, annuaires et passerelles de maintenance forment un système complet. Un inventaire fiable doit préciser leur rôle, leur version, leur localisation, leur responsable et les données qu’ils échangent.

Le guide ANSSI-CNPP sur la sécurisation des systèmes de contrôle d’accès physique et de vidéoprotection recommande d’intégrer ces équipements au système d’information de l’organisation. Pour chaque flux, il faut identifier la source, la destination, le protocole, l’usage attendu et le niveau de confiance. Cette cartographie révèle rapidement les accès distants oubliés, les dépendances non documentées et les communications qui peuvent être supprimées.

Segmenter le réseau et protéger chaque interconnexion

La segmentation ne consiste pas seulement à placer les équipements dans un VLAN dédié. Elle doit créer des zones cohérentes selon leur sensibilité, séparer les postes d’administration des usages courants et filtrer les échanges entre les caméras, les contrôleurs, les serveurs, les réseaux bureautiques et les services externes. Par défaut, seuls les flux nécessaires doivent être autorisés.

Une caméra extérieure, un serveur de gestion des accès et une passerelle cloud n’exposent pas les mêmes risques. Les accès Internet directs doivent être évités lorsqu’ils ne sont pas indispensables ; les communications distantes doivent être authentifiées, chiffrées et journalisées. Cette exigence vaut aussi pour un projet de sécurité cloud appliquée aux bâtiments professionnels : la souplesse d’administration ne doit pas élargir inutilement la surface d’exposition.

Sécuriser les comptes, l’administration et la télémaintenance

Les comptes génériques, les mots de passe par défaut et les droits trop larges restent des points de faiblesse majeurs. Les rôles doivent être séparés entre consultation, exploitation, administration métier, administration technique et maintenance. Les comptes sensibles doivent être nominatifs, protégés par une authentification renforcée lorsque la solution le permet, et supprimés dès qu’ils ne sont plus nécessaires.

L’administration doit s’effectuer depuis des postes ou des réseaux dédiés. La télémaintenance, utile pour réduire les délais d’intervention, ne doit pas rester ouverte en permanence : accès validé, limité dans le temps, réalisé via un canal sécurisé et associé à des journaux exploitables. Les changements de configuration doivent également être tracés afin de pouvoir comprendre un incident et revenir à un état maîtrisé.

Maintenir la sécurité pendant toute la vie du système

Une installation conforme le jour de sa mise en service peut devenir vulnérable si les versions logicielles, les correctifs, les certificats ou les comptes ne sont plus suivis. Le maintien en condition opérationnelle doit donc être complété par un maintien en condition de sécurité : inventaire à jour, veille sur les vulnérabilités, procédure de mise à jour, sauvegardes vérifiées et tests de restauration.

Les journaux doivent permettre de suivre les connexions, les changements de droits, les défauts de communication et les actions d’administration. Leur remontée dans une hypervision des systèmes de sécurité ou dans les outils de supervision de la DSI facilite la détection d’un comportement anormal. Les scénarios de panne, de compromission et de perte de connectivité doivent enfin être testés sans neutraliser les fonctions essentielles du bâtiment.

Faire évoluer l’existant sans imposer un remplacement global

Cybersécuriser un système de contrôle d’accès ou de vidéoprotection ne signifie pas nécessairement repartir de zéro. L’outil OASIS associé au guide ANSSI aide à classer les recommandations, à définir des priorités et à suivre leur mise en œuvre. Une organisation peut ainsi traiter d’abord les expositions les plus critiques, conserver les équipements encore adaptés et programmer les évolutions d’architecture.

IMTECH Engineering intègre cette logique à ses missions d’audit, de conception, d’intégration et de maintenance. L’objectif est de construire une architecture de sûreté à la fois protégée, exploitable et évolutive, en coordination avec les équipes sûreté et la DSI.

Vous préparez un projet ou souhaitez évaluer une installation existante ? Échangez avec IMTECH Engineering pour définir les risques, les priorités et la trajectoire de sécurisation adaptée à votre site.