Gestion des accès prestataires

Risque prestataire dans le secteur eau

Les équipements de télécontrôle (automates Sofrel/Lacroix, stations Ewon Cosy+, concentrateurs Schneider) sont souvent maintenus à distance par les fournisseurs ou des prestataires de maintenance. Ces accès représentent un vecteur d'attaque significatif : le prestataire peut être compromis lui-même, ou ses credentials volés. La formalisation des accès tiers est une exigence explicite des articles 21 et 23 de la directive NIS2.

Inventaire des accès tiers

La première étape est de cartographier exhaustivement qui accède à quoi.

• Tenir un registre des accès prestataires : nom du prestataire, système ciblé, type d'accès (SSH, VPN, RDP, protocole propriétaire), fréquence, et responsable interne référent.
• Inclure les accès intégrés aux équipements (credentials usine, liaisons constructeur) souvent méconnus des équipes exploitation.
• Revoir ce registre à chaque changement de contrat ou de prestataire.

Encadrement technique des accès distants

• N'autoriser aucun accès direct depuis Internet vers la zone OT. Toute connexion distante passe par un VPN ou un bastion d'administration hébergé en DMZ.
• Créer des comptes nominatifs par prestataire, avec des droits limités au système concerné (principe du moindre privilège).
• Activer l'authentification multifacteur (MFA) sur le VPN ou le bastion pour tous les comptes prestataires.
• Activer la journalisation complète des sessions distantes (commandes exécutées, fichiers transférés). Conserver 12 mois minimum.
• Désactiver ou supprimer les comptes prestataires immédiatement en fin de contrat ou d'intervention.

Procédure d'autorisation d'intervention

Chaque accès distant doit être soumis à une demande préalable tracée.

• Le prestataire soumet une demande d'intervention (date, heure, durée, périmètre, motif) au responsable exploitation.
• Le responsable crée ou réactive le compte avec une fenêtre temporelle limitée (ex. : accès valide 4 heures).
• Une astreinte ou un agent interne est disponible pendant l'intervention pour superviser et couper l'accès si nécessaire.
• Un compte-rendu d'intervention est transmis par le prestataire et archivé avec les journaux de session.

Clauses contractuelles recommandées

• Exiger une clause de notification sous 24h en cas d'incident de sécurité chez le prestataire susceptible d'impacter vos accès.
• Intégrer le droit d'audit des pratiques de sécurité du prestataire dans le contrat.
• Inclure les prestataires dans votre cartographie de sous-traitants au sens NIS2 (art. 21 §3).