Confort des utilisateurs et efficacité énergétique sont les promesses des bâtiments intelligents d’aujourd’hui et de demain, toujours plus connectés. Au cœur de la technologie des Smart Buildings, les réseaux intelligents et autres applications se sont démultipliées et échangent en continu toutes sortes de données – parfois au détriment de toute notion de sécurité. Que ce soit au niveau des réseaux informatiques (IT) ou opérationnels (OT), assurer la cybersécurité d’un bâtiment intelligent représente donc un défi de taille. Mais pas insurmontable.
Pendant longtemps, les premiers bâtiments intelligents (ces bâtiments tertiaires connectés à usage professionnel ou résidentiel collectif) se limitaient à la simple collecte d’informations d’un seul type d’équipement – aussi appelé lot, que ce soit pour l’éclairage, le chauffage ou encore la climatisation par exemple. Il est alors question de la Gestion Technique Centralisée (GTC). Grâce à une connexion des systèmes et des réseaux, la Gestion Technique du Bâtiment (GTB) apporte, elle, une couche d’automatisme et de monitoring au GTC. La gestion devient globalisée et intelligente pour tous les systèmes du bâtiment : éclairage, systèmes CVC (Chauffage, Ventilation et Climatisation), protection incendies (détecteurs de fumée), ascenseurs, capteurs de stationnement ou encore caméras de surveillance – pour ne citer qu’eux. L’ensemble de ces données étant utilisé pour surveiller l’état des installations, établir des statistiques de fonctionnement et ainsi initier des actions de maintenance préventive et de maintenance prédictive.
Les bâtiments intelligents, pris pour cibles
Mais cette couche supplémentaire d’automatisme et de monitoring s’accompagne de risques cyber à ne pas négliger. Parce que ces données sont primordiales dans le bâtiment intelligent, il faut en assurer l’intégrité. Et parce que leur volume est exponentiel et leur origine hétérogène – en cela qu’elles peuvent provenir de divers fournisseurs –, assurer leur sécurité est une tâche compliquée. Les protocoles et systèmes d’exploitation utilisés ne sont pas les mêmes, et surtout, tous les fournisseurs ne sont pas égaux en termes de maturité face aux risques de cybersécurité IT et OT.
En 2014, la cyberattaque subie par l’entreprise américaine Target faisait (déjà) office de cas d’école : pour voler les données de plusieurs millions de cartes bancaires de ses clients, des pirates sont directement passé par le réseau d’un des sous-traitants du groupe, en charge des systèmes de climatisation. Et d’après une étude de Kaspersky sur le premier semestre 2019, près de quatre ordinateurs sur dix utilisés pour contrôler les systèmes d'automatisation des bâtiments intelligents auraient été touchés par des cyberattaques.
Connaître les différentes formes d’attaques
Ainsi, l’interconnexion des systèmes au réseau du bâtiment et la multiplicité des parties-prenantes favorisent les risques cyber. Pour faire simple, si un équipement est accessible via une connexion à distance pour un gestionnaire de bâtiment intelligent ou un de ses sous-traitants, il l’est potentiellement également pour un cyber-criminel. Via les systèmes de GTB, plusieurs types de cyberattaques sont possibles pour nuire au Smart Building : du piratage des réseaux et des serveurs, au blocage du bâtiment connecté par un rançongiciel (ou ransomware), en passant par la modification des données. À la clé, des incidences dans le fonctionnement du bâtiment intelligent et même des dommages matériels et physiques si on imagine une prise en main malveillante des ascenseurs, de l’alarme incendie, des verrouillages des portes ou encore des systèmes de ventilation. Des scénarios qui ont de quoi donner des sueurs froides aux centres commerciaux et hospitaliers notamment.
Et le développement des objets connectés et de l’Internet des objets (Internet of Things, IoT), particulièrement vulnérables en termes de sécurité, favorise également des attaques de proximité, via les réseaux sans fil disponibles (comme le Wi-Fi ou le Bluetooth). Deux chercheurs ont ainsi réussi, il y a quelques années, à hacker des ampoules intelligentes pour démontrer la vulnérabilité de l’IoT et les faiblesses de la sécurité des réseaux sans-fil : ils ont réussi à prendre leur contrôle à distance et à insérer un logiciel malveillant dans tout un bâtiment connecté, via une fausse mise à jour. À noter que ces cyberattaques peuvent aussi survenir de l’intérieur du bâtiment par l’insertion sur des machines d’une simple clé USB.
Que ce soit au niveau de l’IT comme de l’OT, les conséquences peuvent être matérielles ou corporelles. Bref, dramatiques. Ces enjeux de cybersécurité concernent donc d’autant plus des secteurs très sensibles, comme celui de la santé. En effet, les énergies et fluides, comme la climatisation, les niveaux d’air ou encore la sécurité incendie sont aujourd’hui au cœur d’un bâtiment hospitalier. La perspective d’une cyberattaque qui impacterait le système de traitement de l’air dans un bloc opératoire constituerait un risque sanitaire critique.
De l’importance d’anticiper les risques
« Nous avons désormais conscience des risques cyber sur la GTC-GTB, de l’OT à l’IT en passant par les IoT, mais le manque d’anticipation est probant : nous sommes sur une vision « rétroviseur ». Nous préparons l’avenir en prenant conscience des risques liées aux attaques qui ont déjà eu lieu. Le risque cyber doit être appréhendé dès la phase ‘conception et réalisation’ d’un Smart Building », précise Denis Boudy, Responsable commercial Solutions Digitales chez ScredIn*.
À la phase ‘exploitation et maintenance’ d’un projet de Smart Building, précède toute la partie ‘conception et réalisation’. Dans ce premier pan, il va s’agir d’agréger toutes les données liées à l’architecture, l’ingénierie et la construction d’un bâtiment dans une maquette numérique, aussi appelée BIM (Building Information Modeling). Ces données sont ensuite organisées, épurées et optimisées afin de constituer un jumeau numérique. Ce dernier, enrichi par des données complémentaires comme celles issues de l’IoT, servira alors pendant toute la phase d’exploitation et de maintenance : il proposera en temps réel des représentations graphiques du système de gestion du bâtiment intelligent. Une première phase de conception importante donc, puisque pendant toute sa durée d’exploitation, des données sensibles liées aux modélisations 3D, seront manipulées.
Si la sécurité numérique ne fait pas partie intégrante de la production des données en amont, alors on facilite le travail des pirates !
Denis Boudy, Responsable commercial Solutions Digitales chez ScredIn
Il faut donc anticiper les risques. « Si la sécurité numérique ne fait pas partie intégrante de la production des données en amont, alors on facilite le travail des pirates, continue Denis Boudy. Dans le cadre d’une rénovation de bâtiment, il est courant que pour des questions de budget, certaines sociétés fassent appel à des prestataires étrangers pour effectuer l’assemblage des maquettes 3D. Il n’existe aucune garantie sur l’intégrité des données ; elles sont offertes à tous. Sans penser immédiatement à une cyberattaque, il est possible d’imaginer une attaque physique du bâtiment : toute personne ayant eu accès à la maquette numérique peut avoir accès à des informations sensibles et savoir exactement comment faire pour couper l'éclairage ou encore où se situent les caméras de surveillance. Récemment, des administrations françaises ont effectué des numérisations par scan 3D de leurs actifs immobiliers et ne demande pas d’informations sur le processus de production des maquettes numériques. Nous savons que de nombreuses entreprises font sous-traiter ce type de production et elles ont envoyé l'ensemble des données inhérentes de manière non-chiffrée à l'étranger. Un véritable risque tant pour la sécurité, la confidentialité que de l’intégrité de la donnée ». D’un point de vue cyber, un cyber-criminel pourrait, en ayant accès à ces données, savoir plus facilement comment augmenter au maximum le chauffage, couper l’arrivée d’air ou encore empêcher une alarme incendie de se déclencher. Les conséquences dramatiques sont simples à imaginer.
La phase conception-réalisation d’un bâtiment intelligent peut durer de deux à quatre ans. Pendant ce laps de temps, ce sont plus de 400 personnes qui vont produire de la donnée et plus de 1 000 qui y accéderont, indique Denis Boudy : la probabilité d’une faille de sécurité est donc considérable. « La présence d’un BIM manager ou d’un data manager pour définir le niveau de criticité des données est primordial pendant cette étape : c’est à lui de définir les niveaux d’accréditation nécessaires, pour pouvoir accéder par exemple à une caméra, et de maîtriser les flux de communication et leur chiffrement. Si on ne prête pas attention à la sécurité d’accès des données agrégées dans ces maquettes numériques tout au long du processus BIM, celles-ci pourraient servir à une veille active pour préparer une attaque. »
Gare au cloud et à la 5G
Les bâtiments intelligents sont de plus en plus étendus. Pour transmettre une information, la connectivité est centrale, à condition d’être sécurisée et fiable. En cas d’incendie dans un Smart Building, la bonne information doit être remontée au plus tôt à qui de droit.
La 5G apportera des possibilités supérieures en matière de débit, cela vaut bien sûr pour les industriels mais aussi pour les cyberattaquants
Mathieu Demont, Product & Solution Security Expert (PSSE) chez Siemens Smart Infrastructure
Surtout, elle nécessite des relais d’informations, qui prennent souvent la forme de mini-centres de calcul décentralisés. Un process au cœur de l’Edge Computing, et demain la 5G. Si l’Edge Computing va permettre de répondre au volume considérable de données à stocker, analyser et traiter, cette notion de données décentralisées engendre autant de risques cyber. « Entre le fait de nous simplifier la vie et celui de prendre des risques, nous devons trouver un juste milieu, précise Mathieu Demont, Product & Solution Security Expert (PSSE) chez Siemens Smart Infrastructure. Les fournisseurs de solutions de stockage cloud offrent une capacité infinie de traitement de données aux entreprises mais ce qui se passe en arrière-plan est nébuleux. Les différentes connexions ne sont pas visibles et nous ne savons pas toujours qui stocke réellement les données, ni sur quel matériel. Nos données sont-elles enfermées dans des conteneurs, eux-mêmes intégrés dans des serveurs privés ? Ou sont-elles mutualisées avec celles d’autres clients ? Tout cela reste très obscur, et il n’est pas dit que si nous pensons protéger correctement nos données, celles-ci ne soient pas mêlées à un moment avec d’autres, contenant des virus ». Avec la 5G, le flux d’information va augmenter, il est donc impératif de veiller aux capacités de traitement des équipements.
« La 5G apportera des possibilités supérieures en matière de débit, cela vaut bien sûr pour les industriels mais aussi pour les cyberattaquants. Nos systèmes se doivent donc d’être plus robustes et c’est pourquoi nous intégrons la cybersécurité dès la conception de nos projets », complète Mathieu Demont.
Le Smart Building en toute (cyber)sécurité
Afin de sécuriser l’ingénierie numérique et fiabiliser la data liée au Smart Building, il est donc recommandé de mettre en place une gouvernance pour qu’elle impose une authentification stricte des intervenants. Il est fortement conseillé également de renforcer la sécurité du système d’information par une segmentation des réseaux et l’installation d’un pare-feu. Enfin, il est primordial de sécuriser la production par un chiffrement robuste des données de bout en bout.
Un ensemble de mesures qui se doit d’être porté par une organisation inflexible au quotidien. « Nous avons l’habitude de dire que la technique constitue 30% de la sécurité et que pour le reste, 70%, c’est essentiellement organisationnel, rappelle Mathieu Demont. Nous avons en tête l’image de l’extincteur bloqué par une porte pour ‘aérer’ les couloirs. Une grave erreur en cas de fermeture nécessaire de portes… Cela parait anecdotique, mais une mauvaise organisation peut peser sur la fiabilité des mesures techniques mises en place et remettre en cause la sécurité globale du système. C’est pourquoi chez Siemens Smart Infrastructure la sensibilisation et la formation notamment en matière de cybersécurité sont prépondérantes ».
Des mesures qui s’appliquent également à la Smart Industry et à plus grande échelle à la Smart City. Cette dernière possède en effet des problématiques similaires au Smart Building, à une échelle supérieure. Les acteurs y sont plus nombreux, ce qui implique des questions en matière de gouvernance, de confidentialité ou de sécurité des données – d'autant plus que l'avènement de nouvelles technologies de capteurs (LoRa, SigFox, ou encore 5G) accélère le développement de la ville de demain. Une transition vers la ville numérique qui ne pourra pas émerger sans une certaine dose de cybersécurité.
* ScredIn est une offre développée par le groupe Ingérop.
