Page 10 - 260804_BACnet_Journals_France_19

Dossier Cybersécurité

Le guide ANSSI GTB/GTC : la doctrine en périphérie tant que cette maturité protocolaire ou à l’intégrateur – cloisonner, filtrer, durcir,
officielle enfin publiée n’est pas atteinte. journaliser – sans qu’aucune n’engage
directement le fabricant du matériel sur des
Une première doctrine publique pour un Au-delà de ce socle réseau, le corps des exigences de sécurité natives dès la conception.
angle mort de la cybersécurité recommandations suit une logique defense- C’est une lecture qui a sa part de justesse : le
Le 27 avril 2026, l’ANSSI a publié son guide in-depth classique – cloisonnement, filtrage guide décrit l’enveloppe de sécurité à construire
« Recommandations de sécurité relatives à la des flux, durcissement des équipements, autour d’un matériel dont la sécurité n’est pas,
gestion technique et centralisée du bâtiment journalisation des événements, isolation des par construction, garantie à la source.
(GTB/GTC) », référencé ANSSI-PA-110. segments sensibles – appliquée spécifiquement
Ce document de quarante pages constitue aux contraintes du monde GTB : équipements Cette limite n’invalide cependant pas l’apport du
la première doctrine publique de l’agence aux capacités de calcul limitées, cycles de document. Pour la première fois, l’État dispose
spécifiquement consacrée à la cybersécurité vie longs (quinze à vingt ans), et disponibilité d’une doctrine publique, opposable en pratique
des GTB/GTC – jusqu’ici traitées, au mieux, continue plus critique que la confidentialité dans les cahiers des charges et les audits, qui
en marge des guides plus généraux sur les stricte des données échangées. structure précisément ce que doit couvrir la
systèmes industriels. Il s’appuie largement sur sécurisation d’une installation GTB – et qui
des exemples issus du monde hospitalier et de Les annexes protocolaires : Modbus et donne aux intégrateurs un langage commun
la santé, tout en restant applicable à d’autres BACnet sous la loupe avec les directions des systèmes d’information,
secteurs – laboratoires, sites manufacturiers, trop souvent absentes des projets GTB jusqu’ici.
tertiaire sensible. Le guide consacre deux annexes détaillées à
l’analyse de sécurité des protocoles de terrain Ce que cela change pour nos membres
Le constat de départ que pose l’ANSSI est moins les plus répandus. L’annexe consacrée à Modbus
technique qu’organisationnel. Contrairement aux part d’un constat sans détour : le protocole Ce guide s’inscrit dans la même dynamique que
systèmes informatiques classiques, pilotés par n’intègre aucune fonction de cybersécurité le référentiel ReCyF publié quelques semaines
un DSI et intégrés aux politiques de sécurité de native par défaut. L’ANSSI recommande en plus tôt pour NIS2 : l’ANSSI construit, guide
l’entreprise, la GTB est très souvent gérée sous conséquence un filtrage strict, en exploitation après guide, l’outillage documentaire d’une
forme de prestation externalisée, confiée à un normale, des codes fonction jugés à risque – conformité qui deviendra obligatoire pour
prestataire de maintenance qui intervient sur un en particulier ceux qui permettent l’écriture de un nombre croissant d’entités régulées. Les
périmètre que les services techniques internes registres ou la modification de paramètres de recommandations R1 à R3 sur l’isolation du
connaissent mal, voire pas du tout. Cette configuration, dont l’usage doit être exceptionnel réseau d’administration et le chiffrement des
externalisation, couplée à une méconnaissance et surveillé en production plutôt que permanent. flux d’exploitation convergent directement avec
du périmètre exact de l’installation par l’entité ce qu’apporte BACnet/SC – authentification
qui en est responsable, constitue selon l’agence L’annexe consacrée à BACnet procède selon mutuelle par certificats, chiffrement natif des
la cause première de la vulnérabilité structurelle la même logique d’analyse par service et code communications – sans attendre le déploiement
du secteur – bien avant les failles protocolaires fonction, avec une attention particulière portée d’un tunnel VPN en complément d’un protocole
elles-mêmes. aux mécanismes de découverte réseau (Who-Is/ qui reste, lui, non sécurisé nativement.
I-Am) et aux écritures de propriétés à distance,
Vingt-six recommandations, une deux surfaces d’exposition classiques sur les Pour les intégrateurs qui répondent à des appels
architecture cible en trois niveaux installations BACnet/IP non segmentées. Cette d’offres GTB dans le secteur de la santé ou sur
approche par filtrage applicatif – plutôt que par des sites sensibles, ce guide devient, de fait, une
Le guide décline vingt-six recommandations, simple isolation réseau – reflète une maturité référence à connaître et à citer : il fixe un niveau
assorties de deux annexes protocolaires d’analyse notable : elle traite le protocole non d’exigence que les maîtres d’ouvrage les mieux
détaillées. L’architecture de sécurité qu’il comme une boîte noire à cloisonner, mais informés commencent déjà à intégrer dans
promeut repose sur un principe central : comme un flux dont chaque fonction doit être leurs cahiers des charges, avant même que la
l’isolation stricte du réseau d’administration. évaluée au regard du risque qu’elle porte. réglementation NIS2 ne rende cette exigence
Les recommandations R1 à R3 en posent le formellement obligatoire.
socle : séparer physiquement ou logiquement le Il est spécifié clairement qu’il y aura une mise
réseau d’administration des automates du reste à jour concernant BACnet/SC dans une version L’action d’information/formation/conseil devient
du système d’information, et, lorsque les outils à suivre. L'ANSSI se propose de faire des tests donc très importante pour l’Association BACnet
d’administration fournis par les constructeurs grandeur nature sur des produits réels des France, et en même temps urgente pour la
n’intègrent pas nativement un chiffrement robuste fabricants pour ce faire. montée en puissance des acteurs économiques
– ce qui reste fréquent sur du matériel GTB –, du bâtiment. La base installée de BACnet
encapsuler ces flux dans un tunnel VPN IPsec Une lecture critique, mais une base de est la plus importante en France comparée à
avec authentification mutuelle par certificats. travail solide l’utilisation d’autres protocoles.
Cette dernière disposition (recommandation
alternative R3) est particulièrement significative La publication de ce guide n’a pas manqué Rejoignez-nous dans cette action, devenant
: elle reconnaît explicitement que le parc installé de susciter des commentaires plus critiques membres de BACnet France. Contactez donc
ne peut pas, dans l’immédiat, se reposer sur la dans la communauté professionnelle, certains notre Délégué Général, Mr Florent Trochu, en
seule sécurité native des protocoles de terrain, observateurs relevant que l’intégralité des vingt- écrivant à florent.trochu@acr-regulation.com. À
et qu’un chiffrement de transport doit être ajouté six recommandations s’adresse à l’exploitant suivre aussi l’espace BACnet/SC sur notre site
web www.bacnetfrance.org.

10 10 BACnet France Journal 19 09/26