Télémaintenance GTB : sécuriser les accès distants des mainteneurs
Pour sécuriser la télémaintenance d'une GTB, le guide ANSSI-PA-110 du 27 avril 2026 recommande de faire passer les accès distants des prestataires par une chaîne d'accès dédiée complétée par un bastion, dans un tunnel VPN IPsec avec une authentification robuste, depuis un poste d'ingénierie dédié et un réseau d'administration cloisonné, avec la journalisation activée. Le contrat de maintenance traduit ces règles en obligations : comptes individuels, ouverture des accès à la demande, registre des connexions, journaux conservés et restitution des accès en fin de contrat.
Pourquoi l'accès distant concentre le risque
Le guide « Recommandations de sécurité relatives à la gestion technique et centralisée du bâtiment (GTB/GTC) » (ANSSI-PA-110, version 1.0, cyber.gouv.fr) relève trois faits. Le système de gestion technique du bâtiment est « très souvent géré sous forme de prestation » ; ses équipements « intègrent des protocoles peu ou pas sécurisés par défaut » ; et les postes des prestataires « n'étant pas maîtrisés », leurs accès distants doivent transiter par une chaîne dédiée. Une connexion de maintenance ouverte en permanence, avec un compte partagé et un outil de prise en main non chiffré, cumule les trois.
Ce que recommande l'ANSSI
Le guide classe ses recommandations par niveau : N1 à mettre en œuvre à court ou moyen terme, N2 à moyen ou long terme. Celles qui concernent l'accès distant :
| Réf. | Recommandation | Niveau |
|---|---|---|
| R1 | Utiliser un poste d'ingénierie dédié et sécurisé, sans accès à Internet | N1 |
| R2 | Cloisonner le réseau d'administration, sans connexion directe depuis les autres zones | N1 |
| R3 | Utiliser des protocoles d'administration sécurisés (TLS, SSH) ; à défaut, un tunnel VPN IPsec avec authentification mutuelle par certificats | N1 |
| R4 | Cloisonner le système de GTB des autres systèmes d'information | N1 |
| R6 | Accès distant par tunnel VPN IPsec et authentification robuste, par exemple multifacteur par certificat ; à défaut, VPN TLS en version 1.3 | N1 |
| R7 | Désactiver la fonctionnalité BACnet « Foreign Device » | N1 |
| R16 | Désactiver les services non utilisés ; activer à la demande un protocole non sécurisé nécessaire à une mise à jour | N1 |
| R18 | Activer la journalisation, avec un serveur de collecte des journaux | N2 |
Le guide précise que les protocoles de prise en main à distance comme VNC « ne sont pas considérés comme sûrs » et doivent être encapsulés dans un tunnel VPN IPsec.
L'architecture minimale
- Un point d'entrée unique, appartenant au maître d'ouvrage : la passerelle VPN, et aucun équipement de GTB joignable directement depuis l'extérieur.
- Un bastion d'administration, par lequel passent toutes les sessions des prestataires ; sa mise en œuvre est décrite dans le guide ANSSI-PA-022 sur l'administration sécurisée des systèmes d'information (version 3.0, mai 2021), auquel renvoie le guide PA-110.
- Un réseau d'administration distinct du réseau de la GTB, lui-même cloisonné du reste du système d'information, avec un pare-feu qui ne laisse passer que les flux nécessaires.
- Un poste d'ingénierie dédié pour les opérations sur les automates.
- Une collecte centralisée des journaux de la passerelle, du bastion et des équipements.
Les comptes, l'authentification et la journalisation
Pour une entité soumise à NIS 2, la version de travail du Référentiel Cyber France de l'ANSSI (MesServicesCyber, consultée le 20 octobre 2026) va dans le même sens : comptes individuels (mesure 10.A.1), changement des secrets configurés par défaut avant la mise en service (10.B.2), chiffrement des accès distants (8.1), authentification des personnels et prestataires qui y accèdent (8.2), authentification multifacteur pour les entités essentielles (8.3). Trois exigences en découlent pour la télémaintenance :
- Un compte par intervenant, jamais de compte générique du prestataire, désactivé au départ de la personne.
- Une authentification multifacteur sur la passerelle ou le bastion ; le guide ANSSI-PG-078 sur l'authentification multifacteur et les mots de passe (version 1.0, octobre 2021) sert de référence.
- Des journaux exploitables : qui, quand, depuis où, vers quel équipement, quelle action. La durée de conservation n'est pas fixée par le guide PA-110 : elle s'écrit au contrat.
Les clauses à écrire dans le contrat de maintenance
- Moyens d'accès imposés : passerelle et bastion du maître d'ouvrage, interdiction de tout autre outil de connexion.
- Liste nominative des intervenants, tenue à jour et communiquée à chaque changement.
- Ouverture de l'accès sur demande, pour une intervention identifiée et une durée limitée, puis fermeture.
- Tenue d'un registre des accès distants : date, intervenant, motif, équipements, durée.
- Accès du maître d'ouvrage aux journaux et conservation pendant la durée convenue.
- Information sans délai en cas d'incident ou de vulnérabilité touchant les équipements maintenus.
- Accord préalable avant toute sous-traitance de la maintenance.
- Restitution des accès, des mots de passe et des sauvegardes en fin de contrat.
Le ReCyF cite la « charte de télémaintenance » parmi les assurances contractuelles à obtenir d'un prestataire (mesure 3.B.1). La rédaction générale de ces clauses est traitée dans les clauses d'un contrat de prestation informatique.
Vérifier à la réception et dans le temps
À la réception du lot GTB, on vérifie la chaîne d'accès de bout en bout, la liste des comptes, le changement des mots de passe par défaut, la désactivation de « Foreign Device » et la remontée des journaux ; la méthode figure dans les exigences de cybersécurité GTB dans un CCTP. Ensuite, une revue périodique des comptes et du registre, à une fréquence fixée au contrat, et une revue complète à chaque changement de mainteneur.
| Date | Intervenant | Motif | Équipements | Durée |
|---|---|---|---|---|
| 4 novembre 2026 | Technicien 1, mainteneur CVC | Réglage de la loi d'eau, ticket 2026-118 | Automate AS-02 | 9 h 05 – 9 h 50 |
| 18 novembre 2026 | Technicien 2, mainteneur CVC | Mise à jour du micrologiciel, ticket 2026-131 | Automates AS-01 à AS-03 | 14 h 00 – 16 h 30 |
Le chapitre cybersécurité du cahier des charges est présenté dans le modèle de CCTP GTB en Word.
Sources consultées
- ANSSI, guide ANSSI-PA-110, Recommandations de sécurité relatives à la gestion technique et centralisée du bâtiment (GTB/GTC), version 1.0 du 27 avril 2026, et sa bibliographie (ANSSI-PA-022, version 3.0, mai 2021 ; ANSSI-PG-078, version 1.0, octobre 2021).
- ANSSI, MesServicesCyber, version de travail du ReCyF, consultée le 20 octobre 2026.
Questions fréquentes
Un logiciel de prise en main à distance suffit-il ?
Non. Le guide ANSSI-PA-110 considère que les protocoles comme VNC ne sont pas sûrs et demande de les encapsuler dans un tunnel VPN IPsec ; les accès des prestataires passent par une chaîne dédiée et un bastion.
Le mainteneur peut-il utiliser sa propre solution d'accès ?
Le guide rappelle que les postes des prestataires ne sont pas maîtrisés. Un point d'entrée et un bastion détenus par le maître d'ouvrage lui laissent la main sur l'ouverture, la fermeture et les journaux.
Combien de temps conserver les journaux d'accès ?
Le guide PA-110 ne fixe pas de durée. Le ReCyF demande une durée « pertinente au regard de la protection des données à caractère personnel » pour les relevés techniques (mesure 12.6) : la durée retenue s'écrit au contrat.