Le contrôle d'accès signifie que vous définissez qui peut accéder à quels systèmes, avec quel compte, et que cet accès est révoqué dès que quelqu'un change de fonction ou quitte l'entreprise. Dans l'industrie métallurgique et manufacturière, il ne s'agit pas seulement d'ordinateurs portables et de courrier électronique, mais aussi de machines, d'automates programmables et de lignes de production qui sont désormais connectés au même réseau que l'informatique de gestion. C'est précisément cette interface entre l'informatique et la production où les questionnaires de sécurité posent souvent des questions approfondies.
La question réapparaît dans presque chaque questionnaire parce que le contrôle d'accès est l'une des dix mesures que l'obligation de diligence raisonnable de la Directive (EU) 2022/2555 (article 21) attend des organismes assujettis, et ces organismes assujettis imposent cette exigence à leurs fournisseurs par contrat. Un fabricant de machines ou un sous-traitant qui ne relève pas lui-même de la Directive (EU) 2022/2555 reçoit donc la question quand même, parce qu'un client doit pouvoir y répondre.
La différence entre le bureau et l'atelier de production
Au bureau, le contrôle d'accès est généralement mis en place : un compte par salarié, un mot de passe, peut-être déjà une deuxième étape à la connexion. À l'atelier de production, c'est souvent différent. Les machines tournent parfois depuis des années avec un seul compte partagé, un mot de passe technique que tout le monde connaît, ou un paramètre du fournisseur qui n'a jamais été modifié. Ce n'est pas de la mauvaise volonté, c'est né de la pratique de la maintenance et de la résolution des pannes. Les autorités de contrôle et les clients ne regardent pas l'historique, mais la situation actuelle : y a-t-il un aperçu de qui peut accéder à quoi, et cet aperçu est-il à jour.
Qui a accès, et à quoi exactement
Un aperçu utile répond à trois questions par système : qui a un compte, que peut faire cette personne avec lui, et est-ce encore nécessaire. Pour les systèmes de production, cela signifie notamment une distinction entre consulter (lire l'état), opérer (démarrer ou arrêter une ligne) et programmer (modifier les paramètres ou le logiciel de commande). Tous ceux qui font fonctionner une machine n'ont pas besoin de pouvoir modifier les paramètres, et tous ceux qui ont un jour reçu un accès pour un projet n'ont plus besoin de cet accès.
Techniciens externes et fournisseurs à distance
De nombreux systèmes de production sont maintenus à distance par le fournisseur de la machine. C'est fonctionnel, mais c'est aussi un chemin d'accès qui doit être documenté : qui chez le fournisseur peut se connecter, via quelle connexion, et cette connexion est-elle ouverte uniquement pendant la maintenance ou en permanence. Les clients posent souvent des questions explicites à ce sujet, car une connexion ouverte à un tiers est l'une des voies les plus connues par lesquelles un incident chez l'un peut se propager à l'autre. L'évaluation de ces fournisseurs est d'ailleurs une étape distincte de l'obligation de diligence raisonnable, en dehors de la gestion des accès elle-même.
Mots de passe et comptes partagés
Les comptes partagés sont pratiques, mais ils rendent impossible de voir rétroactivement qui a fait quoi. Là où c'est possible, un compte par personne est l'approche que les questionnaires prennent comme point de départ. Là où ce n'est techniquement pas possible sur les anciennes machines, la réponse est souvent qu'il existe d'autres mesures de contrôle, comme un nombre limité de personnes ayant accès physique au pupitre de commande. Un questionnaire demande rarement la perfection, mais une réponse justifiée.
Ce que vous documentez, pas seulement ce que vous mettez en place
La différence entre « c'est réglé » et « c'est démontrable » réside dans la documentation : une liste actuelle des comptes et droits, un moment où cette liste a été vérifiée, et un nom responsable de sa mise à jour. C'est précisément là qu'un dossier vivant prouve sa valeur, car il montre par mesure un statut, une preuve et un responsable au lieu d'un texte Word isolé que personne ne met plus à jour.
Comment cela s'inscrit dans l'ensemble
Le contrôle d'accès n'est que rarement abordé de manière isolée dans un questionnaire. Il est généralement combiné à des questions sur les sauvegardes, sur l'authentification multifacteur et sur ce qui se passe en cas d'incident. Les organisations qui ne savent pas encore si elles doivent se conformer à la NIS2 par l'intermédiaire d'un client commencent généralement par le secteur et le rôle dans la chaîne d'approvisionnement, plutôt que par les mesures individuelles.
Avec quelques questions qui montrent où en est votre entreprise vous obtenez une première indication, et dans la base de connaissances par sujet vous trouverez les autres mesures qui reviennent dans les mêmes questionnaires. Pour savoir comment nous suivons les sources telles que la directive et la législation nationale, lisez la page sur nos méthodes« . Si vous doutez de la question qui correspond exactement à votre situation, consultez également les questions les plus fréquemment posées.
La vérification NIS2 et la base de connaissances sont accessibles gratuitement, sans compte. Si vous souhaitez aller plus loin, par exemple tenir à jour un aperçu par mesure avec le statut et le responsable, cela relève du dossier derrière un abonnement commercial.