Sécuriser une GTB : les questions à poser en phase PRO

Une GTB est un système informatique connecté au réseau du bâtiment. Elle pilote le chauffage, la ventilation, parfois l'éclairage et les occultations. Pourtant, dans la plupart des CCTP, la partie sécurité informatique se résume à quelques lignes — voire à rien. Le décret BACS accélère le déploiement des GTB dans le parc tertiaire : autant poser les bonnes questions dès la phase PRO, pendant que les choix sont encore ouverts et que leur coût est marginal.

Pourquoi la question se pose maintenant

Les GTB d'ancienne génération étaient isolées : un bus propriétaire, un poste de supervision local, aucune connexion vers l'extérieur. Trois évolutions ont changé la donne.

• L'IP a remplacé les bus propriétaires. BACnet/IP et Modbus TCP font circuler la GTB sur le même type de réseau que la bureautique.
• La maintenance se fait à distance. L'exploitant et l'installateur veulent accéder au superviseur sans se déplacer — donc une porte d'entrée depuis l'extérieur.
• Le nombre d'équipements a explosé. Automates, passerelles, capteurs communicants, compteurs : autant de matériels avec leur propre firmware et leurs propres identifiants.

Aucun de ces protocoles n'a été conçu avec la sécurité comme objectif. BACnet et Modbus, dans leurs versions courantes, ne chiffrent pas les échanges et n'authentifient pas l'émetteur d'une commande. Ce n'est pas un défaut d'implémentation : c'est leur conception d'origine, à une époque où le réseau était physiquement fermé.

Les six questions à poser en phase PRO

1. Le réseau technique est-il séparé du réseau bureautique ?

C'est la question la plus importante, et celle qui coûte le moins cher à traiter en conception. La GTB doit vivre sur un réseau dédié — VLAN séparé au minimum, avec des règles de filtrage explicites entre les deux. Un poste bureautique compromis ne doit pas pouvoir atteindre un automate.

À inscrire au CCTP : le lot GTB précise le plan d'adressage, le VLAN dédié et les flux autorisés vers le reste du réseau. Ce point se coordonne avec le lot courants faibles et avec la DSI du maître d'ouvrage — c'est souvent là que ça coince, parce que personne ne s'estime responsable.

2. Quelque chose est-il exposé directement sur Internet ?

La réponse doit être non. Un superviseur ou un automate joignable depuis une adresse publique finit par être découvert : des moteurs de recherche spécialisés indexent en permanence les équipements industriels accessibles, et un automate GTB s'y retrouve comme le reste.

À inscrire au CCTP : aucun équipement du lot GTB n'est directement accessible depuis Internet. Les accès distants passent exclusivement par un tunnel chiffré, avec authentification à deux facteurs pour les comptes concernés.

3. Comment le mainteneur accède-t-il à l'installation ?

C'est le point que l'exploitation impose et que la conception oublie. L'installateur aura besoin d'intervenir à distance ; s'il n'a pas de moyen prévu, il en improvisera un — un boîtier 4G branché derrière un automate, un logiciel de prise en main à distance installé sur le poste de supervision. Ces solutions contournent tout ce qui aura été construit par ailleurs.

À inscrire au CCTP : le mode d'accès distant est défini dès la conception, avec un compte nominatif par intervenant, une journalisation des connexions et une procédure de révocation à la fin du marché de maintenance.

4. Que deviennent les comptes et mots de passe par défaut ?

Les automates et passerelles sortent d'usine avec des identifiants documentés publiquement. Sur une installation livrée dans l'urgence, ils restent en place. S'y ajoutent souvent un compte partagé par toute l'équipe d'exploitation et le compte constructeur du mainteneur.

À inscrire au CCTP : la réception inclut la preuve que tous les comptes par défaut ont été changés ou désactivés, et la remise d'une liste nominative des comptes actifs. Un compte partagé rend toute traçabilité impossible — quand une commande erronée arrête une centrale, personne ne sait qui.

5. Qui met à jour les firmwares, et quand ?

Un automate installé aujourd'hui fonctionnera quinze ans. Son firmware, lui, recevra des correctifs — si quelqu'un les applique. Dans les faits, la mise à jour n'est ni prévue au marché de maintenance, ni budgétée, ni planifiée, parce qu'elle suppose d'arrêter brièvement une régulation en service.

À inscrire au CCTP : le marché de maintenance mentionne explicitement la veille sur les vulnérabilités des équipements installés et une fenêtre d'intervention annuelle pour les mises à jour, planifiée hors période critique.

6. Que se passe-t-il si la GTB tombe ?

Question de conception autant que de sécurité. Si le superviseur est indisponible — panne, incident, intervention — les équipements doivent continuer à fonctionner en mode dégradé plutôt que de s'arrêter. Une régulation locale autonome sur les organes critiques évite qu'un incident informatique se transforme en arrêt de chauffage.

À inscrire au CCTP : le comportement de chaque équipement en cas de perte de communication avec le superviseur est décrit, et vérifié à la réception.

Ce que ça change en pratique

Aucun de ces six points ne demande une compétence de spécialiste pour être posé. Ils demandent d'être écrits au bon moment. Traités en phase PRO, ils coûtent quelques lignes de CCTP et une réunion de coordination avec le lot courants faibles. Traités après la réception, ils supposent de reprendre l'architecture réseau d'une installation en service.

Le rôle du BE n'est pas de concevoir la sécurité informatique du bâtiment — c'est celui de la DSI du maître d'ouvrage ou d'un prestataire spécialisé. Il est de s'assurer que la question a été posée à quelqu'un, et que la réponse figure quelque part.

En résumé

• Un réseau dédié à la GTB, séparé de la bureautique, avec des flux explicites.
• Aucun équipement exposé directement sur Internet.
• Un accès distant prévu dès la conception, sinon il sera improvisé.
• Des comptes nominatifs, pas de mot de passe par défaut à la réception.
• Des mises à jour prévues au marché de maintenance.
• Un mode dégradé défini pour chaque équipement critique.

Six questions, six lignes de CCTP. C'est peu comparé au coût de les poser trois ans après la livraison.