Cybersécurité des systèmes de sécurité

La transformation numérique a fait tomber les frontières entre cybersécurité et sécurité physique. Caméras, contrôle d’accès, GTB ou sécurité incendie sont désormais connectés et exposés aux cybermenaces. La cybersécurité des systèmes de sécurité ne concerne pas que le responsable des systèmes d’information.

Les menaces ne sont plus confinées à un seul domaine. Une cyberattaque peut avoir des conséquences physiques, et une violation physique peut compromettre les données numériques. En mars 2021, un groupe de hackeurs avait par exemple réussi à accéder aux images de 150 000 caméras de vidéosurveillance installées par l’entreprise américaine Verkada dans des hôpitaux, prisons, écoles, commissariats, entreprises et sites industriels.

La collaboration entre les équipes de sécurité physique et de cybersécurité est essentielle, d’autant plus à l’ère de l’IA. En 2024, 44 % des utilisateurs finaux de technologies de sécurité physique déclaraient qu’au moins un quart de leurs systèmes de sécurité physique était déjà dans le cloud ou en architecture hybride.

Caméras, contrôle d’accès, détection d’intrusion, sécurité incendie, gestion technique des bâtiments (GTB), applications de rondes ou HSE reposent au minimum sur des logiciels et souvent sur des réseaux IP ou des services connectés, et sont donc exposés aux cybermenaces. Face à ce risque hybride, entreprises et experts doivent construire une vision commune du risque et de la résilience.

Il est devenu impossible pour une seule personne de maîtriser à la fois cybersécurité, sûreté, sécurité incendie, HSE, réglementation et protection des données. Il est nécessaire de faciliter la collaboration des spécialistes autour d’une vision commune du risque, car les attaquants ne distinguent plus le monde physique du monde numérique.

Comment procéder pour sécuriser les équipements de sécurité ? Dominique Gueguen, référent cybersécurité chez Axis Communications, a répondu à nos questions. Installer une protection cyber sur un système de sécurité est nécessaire non seulement pour protéger le système physique et éviter qu’il ne serve de vecteur d’attaque, mais aussi pour assurer l’intégrité et la confidentialité des données et anticiper les obligations réglementaires.

Des cadres européens imposent désormais des exigences strictes en matière de cybersécurité pour l’ensemble des chaînes de valeur de la sécurité. Quatre textes concernent directement les responsables sécurité et sûreté et leurs systèmes de sécurité et de sûreté (vidéoprotection, contrôle d’accès, système de sécurité incendie (SSI), détection intrusion…) :

• le règlement général sur la protection des données (RGPD);
• la directive NIS2;
• le règlement Dora;
• la Cyber Resilience Act (CRA).

Le responsable sécurité/sûreté est concerné par tous ces textes, pas seulement le responsable des systèmes d’information (RSSI). Il doit être à la table des discussions : il connaît les équipements, les contraintes opérationnelles, les fournisseurs. Le dialogue avec le RSSI devient indispensable.