Il y en a partout !

La télémaintenance concerne d'abord les moyens informatiques :

• les serveurs
• les armoires de stockage (NAS, SAN, sauvegardes...)

...mais aussi, et surtout, des matériels extrêmement divers, disséminés du sous-sol au toit:

• climatisation
• onduleurs
• PABX
• surveillance des accès
• ascenseurs
• ....

Des risques divers

Tous les appareils ne génèrent pas les mêmes risques.
Certains systèmes de télémaintenance sont de véritables ordinateurs (parfois cachés à l'intérieur des armoires de contrôle).
Voici quelques facteurs de risque :

• liaison permanente avec l'extérieur,
• liaison permanente avec le réseau local de l'entreprise,
• absence de firewall à jour,
• absence d'antivirus à mise à jour permanente,
• mot de passe constructeur connu dans le monde entier,
• systèmes d'exploitation non patchés ou obsolètes,
• personnels responsables de ces dispositifs dans l'entreprise non conscients des problèmes de sécurité et/ou mal formés (services généraux, par exemple),
• agents de l'entreprise de maintenance non conscients des problèmes de sécurité et/ou mal formés.

Il est évidemment préférable de ne pas cumuler ces facteurs.

Outre ces ordinateurs, dont un individu mal intentionné peut prendre le contrôle pour s'introduire sur les systèmes, les autres matériels maintenus à distance constituent également des facteurs de risque (gestion des ascenseurs, du chauffage, des alarmes...). En effet, par curiosité, maladresse ou malveillance, il est possible d'y accéder et de perturber certaines fonctions des installations, avec de possibles conséquences graves.

Réagir

Aujourd'hui, la plupart des maintenances utilisant peu ou prou des solutions informatiques. Celles-ci doivent être intégrées dans la réflexion de sécurité.
Les actions à mener sont donc, au minimum :

• faire prendre conscience à tous les acteurs concernés des dangers encourus et de leur responsabilité en cas d'incident,
• dresser la liste des appareillages en télémaintenance et définir le niveau de protection existant,
• rendre obligatoire la centralisation et le recensement des liaisons vers l'extérieur. Etablir une procédure d'autorisation après enquête de sécurité.