Savez-vous quels équipements de votre entreprise sont connectés à Internet ?

Les récentes cyberattaques visant les systèmes de réfrigération de supermarchés européens montrent à quel point un accès numérique peut avoir des conséquences directes sur les activités d’une entreprise. En France, des installations frigorifiques ont été manipulées à distance. Depuis, des incidents ont également été signalés dans d’autres pays européens, dont la Belgique.

Pour les dirigeants d’entreprise, la question essentielle se pose au sein même de leur organisation :

Savons-nous quels appareils et installations sont connectés, qui y a accès et ce qui peut se passer si ces accès sont utilisés à mauvais escient ?

Votre routeur ne révèle qu’une partie de la situation

Disposer d’une vue d’ensemble du réseau de votre entreprise est un bon point de départ. Mais cela ne permet pas nécessairement d’identifier toutes les connexions présentes sur votre site.

Un appareil peut disposer de son propre modem mobile, équipé d’une carte SIM, d’une eSIM ou d’une iSIM intégrée. Il communique alors via le réseau mobile, indépendamment de votre connexion Internet fixe. Ce trafic n’apparaît pas dans les journaux de votre routeur d’entreprise. Avec une eSIM ou une iSIM, il n’y a d’ailleurs pas nécessairement de carte SIM amovible.

Même un équipement sans connexion Internet propre peut être accessible via une passerelle ou un dispositif de maintenance. Un inventaire doit donc recenser les appareils, mais aussi leurs connexions et leurs interdépendances.

Examiner uniquement le réseau ne suffit pas. Vous devez également savoir ce que vos fournisseurs ont installé et comment ils assurent leur assistance technique.

Commencez par identifier vos équipements et vos besoins

Une liste de noms d’appareils et d’adresses IP est encore peu utile lorsqu’un incident survient.

Pour chaque installation importante, votre inventaire doit permettre de répondre à plusieurs questions concrètes :

• Quel processus de l’entreprise prend-elle en charge ?
• Quelles connexions et quels services externes utilise-t-elle ?
• Qui peut consulter les données, modifier les paramètres ou installer des logiciels ?
• Qui en est responsable en interne ?
• Qui assure la maintenance et les mises à jour de sécurité, et jusqu’à quand ?
• Que se passe-t-il si l’appareil ou la connexion tombe en panne ?
• Comment peut-on révoquer un accès sans créer de situation dangereuse ?

Ces questions permettent de relier l’inventaire technique aux responsabilités opérationnelles. Elles s’inscrivent dans les recommandations de la CISA relatives aux technologies opérationnelles et dans les exigences de sécurité de base définies par le NIST pour les appareils connectés.

Il est essentiel de définir clairement les responsabilités. Une installation peut avoir été achetée par le service Facility, être gérée par un fournisseur et être indispensable aux opérations quotidiennes. Sans responsable interne clairement désigné, la sécurité risque de passer entre les mailles du filet.

Préservez les avantages des équipements connectés

L’accès à distance présente de réels avantages. Un partenaire chargé de la maintenance peut analyser les pannes et surveiller les installations sans devoir systématiquement se déplacer. Pour les installations frigorifiques aussi, la surveillance à distance répond à un besoin opérationnel légitime.

La question est donc de déterminer quels accès sont nécessaires et à quelles conditions.

• Le fournisseur peut-il uniquement consulter les données de mesure ou également modifier les paramètres ?
• L’accès pour la maintenance est-il disponible en permanence ?
• Qui approuve les modifications ?
• Quelles informations recevez-vous lorsqu’un problème survient ?

Un appareil connecté à la fois à votre réseau interne et à un service mobile mérite une attention particulière. Vérifiez quels systèmes sont accessibles via cet appareil et limitez les accès au strict nécessaire. Un segment de réseau distinct peut protéger votre environnement interne, mais il n’empêche pas les communications directes via le réseau mobile.

Établissez une base solide, puis organisez son suivi

Pour de nombreuses entreprises, dresser un premier inventaire demande un effort ciblé : examiner les sites et les installations, interroger les fournisseurs, rassembler la documentation et définir les responsabilités.

Cet inventaire peut ensuite être tenu à jour en interne, à condition que son actualisation fasse partie du fonctionnement habituel de l’entreprise. Selon la CISA, l’inventaire est un processus continu : une analyse ponctuelle ne suffit pas.

Voici un modèle de fonctionnement pratique :

Appuyez-vous autant que possible sur vos processus existants d’achat, de maintenance et de gestion des actifs. Déterminez ensuite quels outils complémentaires sont nécessaires.

Intégrez la sécurité dès la demande d’offre

Si vous attendez l’installation d’un équipement pour demander comment il communique, certaines décisions importantes auront déjà été prises.

Demandez donc au préalable une vue d’ensemble des éléments suivants :

• Toutes les possibilités de communication réseau et mobile, y compris SIM, eSIM et iSIM.
• Les plateformes externes utilisées et les données transmises.
• Les accès accordés au fabricant, à l’installateur et aux prestataires de maintenance.
• Les mécanismes d’authentification, les droits d’accès et les possibilités de journalisation.
• Les mises à jour de sécurité, la durée du support et la date de fin de prise en charge.
• Les procédures à suivre en cas de vulnérabilité ou d’incident.
• Les possibilités de désactiver les accès et les connexions.
• Les modalités prévues en cas de changement de fournisseur ou de mise hors service.

Il s’agit de points recommandés dans le cadre des achats, sur la base des fonctionnalités de sécurité et des exigences applicables aux fournisseurs décrites par le NIST. Les exigences précises doivent être adaptées à l’impact potentiel de l’équipement sur l’activité de l’entreprise.

Précisez également comment vous vérifierez la conformité de l’installation lors de sa réception. Une simple promesse selon laquelle un produit est « sécurisé » ne remplace pas des engagements concrets et vérifiables.

Cette démarche peut aussi générer des avantages pour votre entreprise

Un inventaire fiable ne sert pas uniquement à renforcer la sécurité. Il peut également faire apparaître de nouvelles opportunités :

Il s’agit d’opportunités mesurables, et non d’économies garanties. Elles montrent néanmoins pourquoi les équipes opérationnelles, les achats et les finances ont tout intérêt à disposer des mêmes informations de base.

La réglementation renforce cette nécessité

Pour les organisations belges qui entrent dans le champ d’application de NIS2, la mise en place de mesures appropriées de gestion des cyberrisques et de sécurisation des relations avec les fournisseurs est obligatoire. L’organe de direction doit approuver ces mesures et superviser leur mise en œuvre. NIS2 ne s’applique toutefois pas automatiquement à toutes les entreprises : les activités, la taille de l’organisation et les exceptions prévues par la loi déterminent son applicabilité.

Lorsque des données à caractère personnel sont traitées, l’article 32 du RGPD impose des mesures techniques et organisationnelles appropriées, adaptées aux risques. Cela ne signifie pas pour autant que toute défaillance technique constitue automatiquement une violation de données personnelles.

Par ailleurs, le règlement européen sur la cyberrésilience (Cyber Resilience Act) impose des obligations aux fabricants de produits comportant des éléments numériques. Les principales obligations s’appliqueront à partir du 11 décembre 2027, tandis que certaines obligations de notification sont déjà en vigueur depuis le 11 septembre 2026. Cela ne garantit pas que tous les équipements existants sont aujourd’hui sécurisés.

Commencez par les installations essentielles à votre activité

Tous les appareils ne nécessitent pas le même niveau d’analyse. Donnez la priorité aux installations dont la panne, la manipulation ou l’utilisation abusive pourrait avoir les conséquences les plus importantes. Un inventaire fondé sur les risques permet de définir ces priorités.

La première étape consiste à disposer d’une vue d’ensemble exploitable : quels équipements possédons-nous, à quoi servent-ils, qui y a accès et qui en assume la responsabilité ?

Établissez cette base de manière rigoureuse dès le départ. Veillez ensuite à la maintenir à jour lors de chaque achat, modification ou remplacement. La cybersécurité devient ainsi une composante maîtrisable de la gestion de votre entreprise.