L’ANSSI a publié fin avril son premier guide consacré à la sécurisation de la gestion technique du bâtiment : la GTB, ou Building Automation and Control Systems (BACS) en anglais (1). Quarante pages, vingt-six recommandations, deux annexes protocolaires. Je l’ai lu en entier.
Le travail est sérieux. L’annexe sur le protocole BACnet est propre, les tableaux de codes de fonction à filtrer sont directement utilisables, et les auteurs connaissent manifestement leur sujet. J’ai quand même refermé le document agacé.
Parce qu’en quarante pages, une question n’est jamais posée. Pas « comment se protéger », qui est traitée en détail. Mais : pourquoi faut-il en arriver là ?
Le guide vous explique comment construire un mur d’enceinte. Il ne demande jamais au menuisier pourquoi il vous a vendu une porte sans serrure.
Le mot de passe du bâtiment de Google était « anyonesguess »
Mai 2013, Sydney. Deux chercheurs en sécurité tapent une requête dans Shodan, le moteur de recherche des objets connectés, et tombent sur le système de gestion technique du Wharf 7, le siège australien de Google. Le logiciel est une version non corrigée de Tridium Niagara.
Ils récupèrent le fichier de configuration. Dedans, le mot de passe administrateur : anyonesguess (2). Au sens propre : à la portée du premier venu. Derrière, les conduites d’eau, la ventilation, les plans du bâtiment. Google a confirmé, débranché, et l’affaire s’est refermée.
C’est une bonne anecdote de conférence. On la raconte volontiers, avec la distance confortable qu’autorisent treize ans d’écart.
Sauf que le sujet n’a rien d’historique.
Le 10 mars 2026, il y a quatre mois, l’agence américaine de cybersécurité publiait un avis noté 10 sur 10, la note maximale, sur une gamme de contrôleurs de GTB largement déployée en Europe (3). Le défaut : en configuration d’usine, l’interface web du contrôleur s’ouvre sans aucune authentification, avec les pleins droits. N’importe quel visiteur peut se créer un compte administrateur et, accessoirement, verrouiller l’exploitant hors de son propre bâtiment. Le code de démonstration est public.
Le fabricant vous répond que ce n’est pas fait pour être branché sur Internet
La réponse officielle du fabricant à cette note de 10 sur 10 tient en une phrase. Le produit, dit-il, « is an on-premise product not intended for direct internet exposure », un produit sur site, non destiné à une exposition directe à Internet.
Traduisons. Le produit n’a pas de serrure, et c’est à vous de construire les murs.
Ce n’est pas un dérapage isolé, c’est un modèle économique. En 2022, les chercheurs de Forescout ont publié un travail resté célèbre sous le nom d’OT:ICEFALL : 56 vulnérabilités chez 10 constructeurs de systèmes industriels, dont plusieurs fabricants de GTB (4). Leur conclusion est la partie intéressante. Ce ne sont pas des bugs, ce sont des choix de conception. Un bug, on le corrige. Un choix de conception, on le compense, et c’est à l’exploitant de le faire.
Le paysage actuel confirme l’analyse, et il est franchement inconfortable à lire :
- Chez Siemens, cinq vulnérabilités affectent des automates de GTB toujours commercialisés, dont une clé de chiffrement écrite en dur dans le firmware. Toutes portent la même mention dans l’avis constructeur : « Currently no fix is available », aucun correctif disponible. Et les produits sont déclarés affectés en « toutes versions » (5).
- Chez Schneider Electric, une faille critique a été publiée en juillet 2024 sur un contrôleur domotique arrêté fin 2015. Huit ans et demi d’écart. L’unique remédiation officielle est de retirer le produit du service (6).
- Chez Sauter, une gamme entière de superviseurs est affectée en toutes versions, sans correctif. La remédiation proposée consiste à migrer vers la génération suivante. Autrement dit : le correctif s’achète.
- Au SSTIC 2025, la conférence française de référence en sécurité, une chercheuse d’Orange Cyberdefense racontait une faille qu’elle avait publiée sur une passerelle industrielle. Le correctif proposé par le fabricant était de remplacer l’équipement (7).
Je n’invente rien et je ne force pas le trait : ce sont des citations d’avis publics, tous consultables.
Certains correctifs ne manquent pas, ils se vendent
Il existe un second mécanisme, plus discret, et à mon avis plus problématique encore, parce qu’il ne relève pas de la technique mais du contrat.
Niagara, de Tridium, filiale de Honeywell, est l’un des socles logiciels les plus déployés au monde en GTB. Son contrat de maintenance, le Software Maintenance Agreement, est décrit dans une fiche commerciale publique. Le document énonce que le titulaire d’un contrat actif « is entitled to download the latest Niagara Framework releases ». Et la liste des contreparties du contrat comporte cette ligne, telle quelle : « Access to cybersecurity updates » (8).
Soyons précis, parce que la nuance compte et qu’il ne faut pas faire dire aux textes plus qu’ils ne disent. Aucun document Tridium n’écrit « pas de contrat, pas de correctif ». Ce qui est écrit, c’est que le contrat donne droit aux nouvelles versions, et que les correctifs de sécurité sont livrés sous forme de nouvelles versions. Le couplage n’est pas proclamé. Il est mécanique.
La documentation de fin de vie de la génération précédente est plus directe encore : « Tridium will not address defects or cyber security issues after July 1, 2021 », et les versions existantes ne seront plus disponibles au téléchargement (9). Non seulement plus de correctifs, mais plus d’accès aux binaires que vous exploitez déjà.
Ailleurs, c’est la fonction de sécurité elle-même qui se facture. Pour activer BACnet/SC, la version chiffrée et authentifiée du protocole BACnet, sur la plateforme Metasys de Johnson Controls, la documentation constructeur indique qu’il faut acheter une licence dédiée, les certificats étant vendus séparément (10).
Vous avez bien lu. On peut payer un supplément pour obtenir le chiffrement qu’on croyait avoir acheté avec le système.
Rendons justice à ceux qui font autrement, sinon le procès devient malhonnête : Delta Controls, WAGO et Beckhoff distribuent leurs correctifs publiquement, sans condition contractuelle. WAGO va jusqu’à publier ses firmwares sur un dépôt GitHub officiel. Carrier a même corrigé une version de son superviseur alors qu’elle était officiellement en fin de support. Le problème n’est donc pas une fatalité du secteur. C’est une politique d’entreprise.
L’ANSSI constate le défaut et vous présente la facture
Arrive donc le guide, fin avril 2026. Il constate la situation sans détour, page 9 :
« de par leur conception, les équipements constituant le système de GTB intègrent des protocoles peu ou pas sécurisés par défaut »
C’est exact. C’est même remarquablement lucide.
Suivent vingt-six recommandations. Toutes s’adressent à celui qui a acheté le matériel. Aucune à celui qui l’a fabriqué. Cloisonner, filtrer, durcir, journaliser, isoler : le lecteur doit construire, à ses frais, l’enveloppe de sécurité que le produit n’apporte pas. Et il doit acheter pour cela un pare-feu supplémentaire, dont le guide détaille la configuration sur quatre annexes avec captures d’écran.
Vous payez donc deux fois. Une fois le produit, une fois ce qui compense ses défauts.
Il y a plus gênant. Le guide ne pose jamais la première question de toute démarche de sécurité : contre qui ? Pas de modèle de menace, pas de scénario, pas de hiérarchisation par impact. Un EHPAD de quarante lits et un bloc opératoire reçoivent les mêmes vingt-six mesures, dans le même ordre.
Ce n’est pas faute d’outil. L’ANSSI a publié en mars 2025, un an plus tôt, une méthode de classification des systèmes industriels par criticité (11). Elle n’est pas citée dans la bibliographie du guide GTB. EBIOS Risk Manager, sa propre méthode d’analyse de risque, non plus.
Et page 6, cette phrase qu’il faut relire deux fois : « Ce guide ne traite pas des architectures d’authentification des utilisateurs sur l’environnement GTB/GTC. » Un guide de sécurité qui place l’identité hors de son périmètre, alors que c’est précisément là que se joue la sécurité moderne.
Détail que je trouve révélateur, pour finir sur ce point : la référence la plus récente de la bibliographie date de janvier 2022. Le guide Wi-Fi auquel renvoie le document a été publié en septembre 2013, l’iPhone 5s venait de sortir. Et deux références de la liste, les numéros 15 et 16, sont le même document.
Trois recommandations se mordent la queue
Au-delà de la question de fond, plusieurs mesures produisent l’inverse de leur intention. J’en retiens trois.
L’isolement fabrique le vecteur qu’il prétend supprimer. La première recommandation impose un poste d’ingénierie sans accès à Internet. Conséquence mécanique : ce poste ne recevra plus jamais de mise à jour autrement que par clé USB. Le guide dépense alors trois recommandations à colmater ce vecteur : bloquer les ports USB, verrouiller le BIOS, installer une station blanche. Rappel utile : l’usine d’enrichissement iranienne de Natanz était coupée d’Internet. C’est précisément pour cela que Stuxnet est passé par une clé USB.
Le cloisonnement se déboulonne lui-même. Le guide impose de séparer les équipements en réseaux virtuels distincts. Puis il admet, page 22, que « l’architecture BACnet/IP de base n’est donc pas adaptée à un cloisonnement logique ou physique », le protocole reposant sur la diffusion générale. Il faut alors déployer des équipements relais dont la fonction est de retransmettre exactement les messages que le cloisonnement devait bloquer. On double le nombre de points de panne pour revenir au point de départ.
Le filtrage s’éteint au pire moment. Le guide précise que pendant les phases de maintenance, les flux non prévus doivent lever une alerte mais ne pas être bloqués. Le filtrage cesse donc précisément quand un prestataire extérieur, sur un poste que vous ne maîtrisez pas, est aux commandes de votre installation.
J’ajoute un détail pour les lecteurs techniques. La seule solution de détection libre proposée par le guide ne sait pas interpréter BACnet, le document le reconnaît. Il propose donc d’écrire les règles de détection en octets hexadécimaux, à la main. En 2026. Heureusement que les LLM sont là.
Cloisonner l’air et l’eau détruit ce que vous êtes venu chercher
C’est le point qui me paraît le plus grave, et curieusement le moins discuté.
La recommandation R4 demande de cloisonner les constituants de la GTB par fonction technique. L’exemple donné par le guide est explicite : « la gestion du traitement de l’air doit être cloisonnée de la gestion de l’eau chaude et eau froide ». Si deux lots doivent échanger, les flux doivent traverser un pare-feu configuré pour ne laisser passer « que les seuls flux strictement nécessaires aux besoins fonctionnels ».
Ce n’est pas une interdiction. C’est pire, selon moi : c’est l’obligation de déclarer à l’avance tous les croisements de données que vous voudrez faire un jour.
Or une GTB moderne ne tire aucune valeur de la surveillance d’un lot isolé. Elle en tire du croisement, et surtout de croisements qu’on n’avait pas anticipés au moment du déploiement :
- La présence commande l’éclairage, le chauffage et le renouvellement d’air. Trois lots, trois « fonctions de GTC », trois réseaux séparés.
- La production solaire doit arbitrer en temps réel entre recharger les véhicules, climatiser et produire l’eau chaude sanitaire. Production électrique, mobilité, froid, plomberie : quatre domaines qui, selon R4, ne devraient pas se parler.
- Le free cooling croise température extérieure, centrales de traitement d’air et groupes froids.
- Détecter une fuite d’eau suppose de comparer un débit nocturne à l’occupation réelle.
- Une fenêtre ouverte doit couper le radiateur placé dessous. Menuiserie et chauffage.
- Détecter une dérive : le cœur du métier, c’est croiser consommation, météo, occupation et horaires d’usage. Aucune de ces données n’appartient au même lot.
Le modèle proposé suppose qu’on connaisse les besoins fonctionnels à l’avance. Mais l’intelligence du bâtiment consiste exactement à découvrir des besoins fonctionnels qu’on n’avait pas prévus. Dans ce cadre, chaque idée d’optimisation devient une demande de modification de règle de pare-feu, arbitrée par quelqu’un qui n’a ni le contexte métier ni le temps. En pratique, elle ne sera pas faite. Vous aurez payé un système d’optimisation pour obtenir un système de supervision.
Il y a une seconde moitié à ce raisonnement, et elle pèse peut-être plus lourd que la première : les économies d’énergie ne viennent pas de la conception, elles viennent de l’usage quotidien.
Un exploitant qui ouvre sa GTB dans son navigateur, entre deux rondes, ajustera un horaire de chaufferie le lundi, une consigne de centrale de traitement d’air le mercredi, une courbe de chauffe le vendredi parce qu’il a reçu trois plaintes. Ces micro-corrections, accumulées sur une année, pèsent bien plus lourd que le paramétrage initial. C’est l’exploitant qui fait les économies, pas l’intégrateur.
Le même exploitant, s’il doit traverser le bâtiment, ouvrir un local technique, s’authentifier sur un poste d’ingénierie dédié et privé d’accès à Internet, puis monter un tunnel chiffré pour atteindre l’automate, ne le fera pas. Il le fera une fois, en avril. Puis plus jamais.
C’est exactement ce que produisent les recommandations R1, R2 et R6 mises bout à bout : chaque modification devient une expédition. Et une GTB qu’on ne touche plus dérive. Les horaires cessent de suivre l’occupation réelle, les consignes restent calées sur l’hiver précédent, et les économies promises s’évaporent en dix-huit mois.
Pire : la friction ne supprime pas le besoin, elle le déplace. L’exploitant qui doit sortir un historique de températures que personne n’avait prévu d’exporter trouvera un moyen. Ports USB bloqués ou non, il trouvera. Et le moyen qu’il trouvera sera toujours moins sûr que celui qu’on lui a refusé.
C’est la loi d’airain de la sécurité opérationnelle, et elle vaut pour la GTB comme ailleurs. Une mesure qui empêche de travailler n’est pas appliquée. Elle est contournée.
Et le guide se contredit à quatre pages d’écart. Page 5, dans la liste de ce que la GTB doit surveiller en milieu hospitalier, il cite la température de l’eau chaude, celle qui conditionne le risque de légionelle. Prévenir ce risque suppose de corréler la production de chaleur, la distribution, les températures aux points terminaux et le débit lié à l’occupation. Trois à quatre « fonctions de GTC ».
Le guide décrit le cas d’usage page 5, et recommande page 9 l’architecture qui l’empêche.
Cette tension n’est pas seulement technique, elle est réglementaire. Le décret BACS impose aux bâtiments tertiaires de 70 à 290 kW de s’équiper d’ici le 1er janvier 2030 (12), avec obligation de détecter les pertes d’efficacité et d’alerter l’exploitant. Détecter une perte d’efficacité, c’est comparer des lots entre eux. Un texte impose donc la corrélation, l’autre recommande la séparation, et aucun des deux ne cite l’autre.
Ajoutons le règlement européen sur la cyber-résilience, qui imposera aux fabricants, à partir de décembre 2027, cinq ans de support minimum et des correctifs de sécurité gratuits (13). C’est un vrai progrès. Mais cinq ans, pour un automate qui restera en place quinze à vingt ans, ressemble surtout à une date de péremption officialisée. Le guide de l’ANSSI ne le mentionne pas davantage.
Ce que nous faisons chez Foorier, et pourquoi
Je ne vais pas prétendre que nous avons résolu un problème que l’industrie entière porte depuis trente ans. Mais nous concevons à partir d’un principe différent, et je pense qu’il change tout : la bonne question n’est pas comment empêcher la panne, c’est ce qui continue de fonctionner quand elle arrive.
- Une seule couche de données, tous les lots dedans. Le solaire arbitre entre la recharge, le froid et l’eau chaude ; la présence pilote lumière, chauffage et ventilation. Croiser une donnée nouvelle prend une heure, pas un ticket. La confiance repose sur l’identité et le chiffrement de bout en bout, pas sur des murs entre l’air et l’eau.
- Le chauffage ne dépend pas ni du réseau ni de la supervision. Thermostat et relais disposent d’une intelligence locale et mettent à jour leurs consignes sur ordre de la supervision. Si celle-ci venait à disparaître, la dernière consigne tient et le bâtiment continue de chauffer. C’est le point dont le guide de l’ANSSI ne dit rien : il traite l’attaque, jamais la dégradation maîtrisée.
- Des standards ouverts, et des composants du W3C. Quand nous cessons d’être payés, le système continue d’être corrigé par la communauté qui le maintient. C’est exactement l’inverse d’un correctif adossé à un contrat.
- Des mises à jour automatiques de sécurité, appliquées en continu, avec redémarrage nocturne programmé. Un canal maîtrisé vaut mieux qu’un canal interdit puis contourné par clé USB.
- Un accès distant par réseau maillé chiffré, sans ouvrir le moindre port sur Internet. Les 20 646 systèmes Niagara et 11 449 équipements BACnet visibles depuis Internet (décompte d’avril 2024, leurres exclus (14))sont autant de démonstrations de ce qu’il ne faut pas faire.
Je précise que la France est le seul grand pays occidental où le nombre de systèmes industriels exposés augmente. Plus 26 % entre 2017 et 2024, quand les États-Unis en retirent 47 % (15). Nous ne sommes pas en train de rattraper un retard. Nous sommes en train de le creuser.
Conclusion : la sécurité informatique ne vaut rien sans la sécurité physique
Il y a une limite à tout ce qui précède, et je préfère le dire moi-même.
Quand nous avons livré une installation propre (données croisées, mises à jour automatiques, mode dégradé filaire, accès chiffré, aucun port ouvert) il reste un risque que nous ne maîtrisons pas. Les locaux techniques.
Un local qui ne ferme pas à clé, une armoire réseau ouverte dans un couloir de passage, et tout l’édifice devient décoratif. Le jour où quelqu’un sort la box de l’armoire pour brancher un chargeur de téléphone et la laisse débranchée sur une chaise, aucune des vingt-six recommandations de l’ANSSI ne le retiendra. Aucune des nôtres non plus.
Comme le dit Jean-Paul Figer, il n’y a pas de cybersécurité sans sécurité physique. Nous avons commencé cet article avec une porte sans serrure, au sens figuré. Il se termine sur une serrure au sens propre, celle du local technique, qui coûte quarante euros et que personne ne vérifie en réception de travaux.
Quatre choses à faire cette semaine, si le sujet vous concerne :
- Demandez par écrit à votre fournisseur la date de fin de support de votre système. Le règlement européen l’imposera en 2027. Rien ne vous empêche de l’exiger maintenant.
- Vérifiez si vos correctifs de sécurité dépendent d’un contrat de maintenance actif. C’est une clause de marché, pas un sujet technique, et cela se négocie avant la signature, jamais après.
- Avant de cloisonner par lot, listez les croisements de données que vous voudrez faire dans trois ans. Ce sont eux qui portent le retour sur investissement, pas la supervision.
- Allez ouvrir la porte de votre local technique. Si elle s’ouvre, vous connaissez votre priorité.
À mon avis, tant que la réponse à « qui aurait dû empêcher cela » restera « l’exploitant », nous continuerons d’écrire des guides de plus en plus épais pour des systèmes de moins en moins sûrs.
Et vous, si je débranche votre GTB ce soir, votre bâtiment chauffe-t-il encore demain matin ?
Sources
- Recommandations de sécurité relatives à la gestion technique et centralisée du bâtiment (GTB/GTC), ANSSI-PA-110 v1.0, 27 avril 2026. https://cyber.gouv.fr
- Billy Rios et Terry McCorkle, Cylance, mai 2013 – système Tridium Niagara AX du bâtiment Wharf 7 de Google à Sydney, identifié via Shodan.
- Avis CISA ICSA-26-069-03, 10 mars 2026 – CVE-2026-3611, CVSS 10.0, contrôleurs Honeywell/Trend.
- OT:ICEFALL – 56 Vulnerabilities Caused by Insecure-by-Design Practices in OT, Forescout Vedere Labs, 21 juin 2022. https://www.forescout.com/research-labs/ot-icefall/
- Avis Siemens ProductCERT SSA-615116 et SSA-916339 – CVE-2024-54089 (clé de chiffrement codée en dur) et CVE-2024-23815.
- Avis CISA ICSA-25-112-03 – CVE-2024-6407, Schneider Electric Wiser Home Controller WHC-5918A, produit arrêté fin 2015.
- Claire Vacherot, Orange Cyberdefense, « Ça fait quoi si j’appuie là ? » Retour d’expérience de tests d’intrusion sur systèmes industriels, SSTIC 2025. https://www.sstic.org
- Niagara Software Maintenance Agreement – Sell Sheet, réf. 2023-0030, Tridium.
- Niagara AX End of Life FAQ, Tridium.
- What’s New at Metasys Release 12.0, Johnson Controls – licence M4-BACNETSC-0.
- La cybersécurité des systèmes industriels – Méthode de classification, ANSSI-PA-107 v2.0, 10 mars 2025.
- Décret n° 2020-887 modifié par le décret n° 2025-1343 du 26 décembre 2025, articles R. 175-1 et suivants du code de la construction et de l’habitation.
- Règlement (UE) 2024/2847 sur la cyber-résilience, article 13. Application générale au 11 décembre 2027.
- Mladenov, Erdődi, Smaragdakis, All that Glitters is not Gold: Uncovering Exposed ICS and Honeypots in the Wild, IEEE EuroS&P 2025 – relevé d’avril 2024, pots de miel écartés.
- Forescout, The global threat evolution of internet-exposed OT/ICS, 23 avril 2024.
Vous devez être connecté pour poster un commentaire.