Page 7 - 260804_BACnet_Journals_France_19

Dossier Cybersécurité

Sécuriser BACnet n’est plus une option,

c’est une obligation d’ingénierie

Il faut le dire sans détour : une part significative Concrètement, cela signifie la fin des BBMD des dispositifs hérités incapables de supporter
du parc de superviseurs et d’automates déployés non authentifiés et la possibilité réelle de faire TLS, et bien souvent une architecture hybride
aujourd’hui communique encore en clair, transiter le trafic BACnet sur des infrastructures BACnet/IP classique et BACnet/SC coexistant
sur des réseaux BACnet/IP non segmentés, IP partagées, y compris via des passerelles via des routeurs de passerelle le temps de la
sans authentification des équipements ni cloud, sans exposer le protocole nu. transition. C’est un chantier d’ingénierie réseau
chiffrement des trames. Ce constat n’est pas à part entière, pas une simple mise à jour de
une hypothèse théorique – c’est l’état réel de Cette évolution s’inscrit dans un cadre normatif firmware.
nombreuses installations tertiaires, hospitalières plus large que nos membres ne peuvent plus
et industrielles que nos membres auditent ignorer. La norme IEC 62443, référentiel de L’association BACnet France a engagé depuis
chaque année. Un attaquant disposant d’un cybersécurité des systèmes d’automatisation mars 2024 un effort renforcé d’information
accès réseau – via un poste de télémaintenance et de contrôle industriels (IACS), impose une et d’accompagnement sur le déploiement de
mal isolé, un réseau invité mal cloisonné ou un logique de zones et conduits, de niveaux BACnet/SC et sur la lecture opérationnelle d’IEC
automate exposé sur Internet – peut lire, rejouer de sécurité (SL 1 à 4) et d’exigences par 62443 à l’usage des intégrateurs. Ce numéro
ou falsifier des trames BACnet sans rencontrer composant (IEC 62443-4-2) que les fabricants en présente aussi les premiers retours de
aucune résistance protocolaire. Ce n’est plus d’équipements BACnet doivent désormais terrain. Notre conviction est simple : un système
un risque résiduel, c’est une surface d’attaque intégrer dès la conception. La directive NIS2, d’automatisation du bâtiment qui ne peut pas
documentée. élargit par ailleurs le périmètre des entités prouver l’identité de ses propres nœuds n’est
soumises à obligation de sécurité des réseaux à plus un système fiable, quelle que soit par
BACnet/SC (Secure Connect), normalisé dans nombre de gestionnaires de bâtiments tertiaires ailleurs la qualité de sa régulation.
l’Addendum BACnet 135-2020, change cette et d’exploitants d’infrastructures critiques –
donne structurellement. Il ne s’agit pas d’un hôpitaux, data centers, sites industriels classés. Rejoignez-nous dans cette action, devenant
correctif superficiel mais d’un changement de La conformité protocolaire n’est plus dissociable membres de BACnet France. Contactez donc
couche de transport : abandon de la diffusion de la conformité réglementaire. notre Délégué Général, Mr Florent Trochu, en
UDP au profit de connexions WebSocket sur écrivant à florent.trochu@acr-regulation.com. À
TLS 1.3, authentification mutuelle par certificats Or la migration vers BACnet/SC ne se décrète suivre aussi l’espace BACnet/SC sur notre site
X.509 entre chaque nœud, et une architecture pas au niveau du seul protocole. Elle exige une web www.bacnetfrance.org.
de confiance reposant sur une autorité de gestion du cycle de vie des certificats (émission,
certification propre au site ou à l’organisation. renouvellement, révocation), un inventaire précis

Migration vers BACnet/SC :

méthode et retours de terrain

Un chantier réseau, pas une mise à jour souvent présenté, à tort, comme une opération Ce constat appelle une méthode structurée, que
de firmware de mise à niveau logicielle. Dans les faits, c’est l’on peut décomposer en quatre phases : l’audit
un projet d’architecture réseau à part entière, du parc existant, la conception de l’architecture
La migration de BACnet/IP vers BACnet/SC est qui touche à la fois le terrain (automates, contrô- cible, le déploiement progressif en cohabitation,
assurée par conception ! leurs, passerelles), l’infrastructure IT (autorité de puis la gouvernance du régime permanent.
certification, segmentation, supervision) et l’or-
La seule condition de bon sens et conseillée est ganisation (répartition des responsabilités entre Phase 1 – Auditer avant de migrer
de faire la migration après que le projet fonc- exploitant, intégrateur et service informatique).
tionne selon le cahier de charge en BACnet/IP ! Les retours d’expérience convergent sur un point : Aucune migration sérieuse ne commence par
Ceci évite des heures d’ingénierie et efforts cou- les projets qui échouent ou qui s’enlisent sont l’achat de certificats. Elle commence par un
teuses et inutiles ! presque toujours ceux qui ont sous-estimé cette inventaire précis du parc : quels automates,
dimension d’ingénierie au profit d’une approche quelles versions de firmware, quels fabricants
Migrer un parc BACnet/IP vers BACnet/SC est « on bascule un équipement à la fois ». supportent nativement TLS et la pile WebSocket

7
BACnet France Journal 19 09/26 7