Page 8 - 260804_BACnet_Journals_France_19

Dossier Cybersécurité

exigée par BACnet/SC, et lesquels ne le suppor- classiques et des segments BACnet/SC, reliés Le budget temps est systématiquement sous-
teront jamais faute de puissance de calcul suf- par des routeurs de passerelle assurant la tra- estimé côté organisation, jamais côté tech-
fisante. Cet inventaire doit être croisé avec une duction entre les deux mondes. Cette période nique. Le remplacement matériel et la configu-
cartographie réseau réelle – et non la cartogra- transitoire peut s’étendre sur plusieurs années ration des hubs se planifient bien ; la mise en
phie théorique du schéma d’installation d’ori- pour un patrimoine immobilier de taille signifi- place d’une gouvernance de certificats pérenne,
gine, souvent obsolète après plusieurs années cative, au rythme des remplacements de parc et elle, est presque toujours découverte en cours
d’exploitation et d’ajouts successifs. des disponibilités budgétaires. de route.

Cet audit révèle presque systématiquement trois Cette cohabitation impose une vigilance par- Une migration pilote sur un bâtiment ou une
catégories d’équipements : ceux qui peuvent ticulière sur un point souvent négligé : le seg- aile limitée vaut mieux qu’un déploiement mas-
migrer par simple mise à jour de firmware, ment BACnet/IP restant, tant qu’il n’a pas sif d’emblée. Elle permet de calibrer les procé-
ceux qui nécessitent un remplacement de carte migré, conserve l’intégralité des vulnérabilités dures de certificats et la charge d’exploitation
de communication, et ceux – souvent les plus qui ont motivé le projet – absence de chiffre- réelle avant de généraliser, et d’ajuster le bud-
anciens – qui ne migreront jamais et devront être ment, absence d’authentification. La segmenta- get prévisionnel sur des bases mesurées plutôt
traités par une passerelle de protocole jusqu’à tion réseau du segment non encore migré, via qu’estimées.
leur remplacement en fin de vie. Établir cette des VLAN dédiés et un contrôle d’accès strict
cartographie avant de fixer un calendrier de pro- aux passerelles, devient donc une mesure com- L’implication du service IT dès la phase de
jet évite l’écueil le plus fréquent : découvrir, en pensatoire indispensable pendant toute la durée conception, et non au moment du déploiement,
cours de déploiement, qu’un tiers du parc est de la transition, et non une option secondaire. conditionne la fluidité du projet. Les migra-
incompatible et remettre en cause le budget et tions qui échouent à obtenir cette implication
le planning initiaux. Phase 4 – Gouverner le régime permanent en amont se heurtent, en aval, à des blocages
sur l’ouverture de ports, la gestion de la PKI ou
Phase 2 – Concevoir l’architecture cible Une fois le déploiement achevé, la migration la supervision réseau – des sujets que l’équipe
ne s’arrête pas : elle entre dans un régime de GTB seule ne peut pas trancher.
BACnet/SC repose sur un modèle hub-and- gouvernance continue que le monde BACnet/IP
spoke : un hub central – avec, recommandé pour n’exigeait pas. Les certificats ont une durée de Conclusion : une migration qui se pilote
toute installation critique, un hub de secours en vie limitée et doivent être renouvelés avant expi- comme un projet d’infrastructure
redondance – distribue les messages entre les ration, sous peine de coupure de communica-
nœuds du réseau. Concevoir cette architecture tion d’un équipement critique. Une procédure de Migrer vers BACnet/SC n’est pas un bascule-
cible suppose de répondre à plusieurs questions révocation rapide doit être opérationnelle pour ment binaire mais une trajectoire, dont la durée
structurantes avant tout déploiement : combien retirer immédiatement la confiance à un équi- et la complexité dépendent directement de la
de hubs faut-il par site ou par bâtiment ? Où pement suspecté compromis ou physiquement qualité de préparation initiale. Les organisa-
sont-ils hébergés – sur une infrastructure ser- remplacé sans désinstallation propre. Cette gou- tions qui réussissent ce chantier sont celles qui
veur dédiée à la GTB ou mutualisée avec l’infras- vernance suppose des outils de suivi – le moni- l’abordent avec les réflexes d’un projet d’infras-
tructure IT générale ? Qui porte la responsabilité toring des dates d’expiration à l’échelle du parc tructure IT – audit préalable, architecture cible
de leur disponibilité ? devient vite ingérable sans outillage dédié dès documentée, déploiement progressif maîtrisé,
lors que le nombre de nœuds dépasse quelques gouvernance pérenne – plutôt qu’avec ceux
La question de l’autorité de certification est ici dizaines d’unités. d’une simple campagne de mise à jour d’équipe-
centrale et trop souvent traitée en fin de projet ments. C’est cette rigueur méthodologique, plus
plutôt qu’en amont. Chaque nœud et chaque hub C’est à ce stade que la question du partage de que la seule disponibilité technique du protocole,
du réseau BACnet/SC doit disposer d’un certifi- responsabilités entre l’équipe GTB et le service qui déterminera la vitesse à laquelle notre filière
cat X.509 signé par une autorité de confiance IT se pose avec le plus d’acuité. La gestion d’une achèvera cette transition.
commune. Deux options s’offrent aux organisa- autorité de certification, la supervision des expi-
tions : s’appuyer sur une PKI d’entreprise déjà rations, la procédure de révocation : ce sont des L’action d’information/formation/conseil est
existante – lorsque le service IT en dispose et compétences historiquement IT, que l’équipe donc une action prioritaire pour l’association
accepte d’ouvrir un usage GTB – ou déployer bâtiment doit soit acquérir, soit déléguer for- BACnet France, en vue du parc installé en
une autorité de certification dédiée au périmètre mellement par une convention de service claire France en BACnet.
bâtiment. La seconde option, plus autonome avec la DSI. Les projets qui laissent cette ques-
pour l’équipe GTB, exige néanmoins une com- tion non tranchée accumulent, avec le temps, Rejoignez-nous dans cette action, devenant
pétence de gestion de cycle de vie de certifi- une dette opérationnelle qui finit par se traduire membres de BACnet France. Contactez donc
cats qui n’existait pas dans le monde BACnet/ par des pannes de communication au moment notre Délégué Général, Mr Florent Trochu, en
IP traditionnel. le moins opportun – un certificat expiré un ven- écrivant à florent.trochu@acr-regulation.com. À
dredi soir n’attend pas la prochaine réunion de suivre aussi l’espace BACnet/SC sur notre site
Phase 3 – Déployer en cohabitation comité de pilotage. web www.bacnetfrance.org

Un basculement intégral d’un site en une seule Ce que les retours de terrain enseignent
opération est rarement réaliste, sauf sur une ins-
tallation neuve. La quasi-totalité des migrations Trois enseignements reviennent, projet après
réelles passe par une phase de cohabitation projet, chez les intégrateurs qui ont mené des
hybride, où coexistent des segments BACnet/IP migrations BACnet/SC à terme :

8 8 BACnet France Journal 19 09/26