En résumé
Secomea est un bon produit doté d'une vraie réponse sur la souveraineté, et c'est précisément pourquoi la comparaison porte sur le périmètre et non sur la qualité. SiteManager se place près de la machine, LinkManager tourne sur le poste du technicien, et GateManager fait le lien entre les deux. Contrairement aux options exclusivement cloud de cette catégorie, GateManager peut fonctionner sur un serveur qui vous appartient, ce qui explique que Secomea passe des questions d'achat sur lesquelles Talk2M et IXON Cloud butent.
Ce qu'il ne fait pas, parce que ce n'était pas son objet, c'est agir sur le réseau une fois le technicien à l'intérieur. Si votre seul besoin est d'atteindre des machines, Secomea y répond. Si vous exploitez l'usine, quatre autres besoins arrivent avec.
Ce que Secomea réussit
Rendons au produit ce qui lui revient avant de le discuter.
- L'option auto-hébergée est réelle. GateManager sur votre infrastructure signifie aucun tiers dans le chemin d'accès, ce qui est l'objection la plus fréquente à cette catégorie dans une évaluation des risques fournisseurs au titre de NIS2.
- Le workflow de service OEM est mature. Gestion des rôles, journalisation d'audit et modèle de support pensé pour les constructeurs qui doivent intervenir sur des machines déjà livrées. Long historique, bien compris de ceux qui l'achètent.
- Son périmètre est étroit, et c'est assumé. Un produit qui fait une chose et ne prétend pas le contraire est plus simple à déployer et à appréhender qu'une plateforme généraliste.
Les quatre écarts
1. Le réseau derrière la porte reste plat
La télémaintenance gouverne l'entrée depuis l'extérieur. Elle n'a rien à dire du trafic entre les équipements à l'intérieur de l'usine, et c'est pourtant le chemin qu'emprunte réellement le déplacement latéral. Une usine qui a verrouillé l'accès des prestataires conserve un segment OT où l'IHM peut atteindre l'historian, l'historian peut atteindre l'automate, et un poste d'ingénierie infecté peut atteindre les trois.
Ce n'est pas une critique de Secomea, c'est une frontière de catégorie. La segmentation est un autre produit, et l'acheter séparément signifie généralement un projet pare-feu, une refonte des VLAN et une fenêtre de maintenance que la ligne ne peut pas accorder.
2. Personne ne sait ce qui est sur le réseau
Secomea atteint les équipements que vous avez enregistrés. C'est le bon modèle pour le service à distance et le mauvais pour la posture de sécurité, car les actifs qui posent problème sont ceux que personne n'a enregistrés : le portable du prestataire resté branché dans l'armoire, la deuxième IHM ajoutée lors d'un rétrofit, le variateur de rechange installé un jour de panne.
La découverte automatique répond à une question que l'enregistrement ne peut pas traiter : ce qui est réellement là, par opposition à ce que nous pensions y avoir mis.
3. Des journaux d'accès ne sont pas des preuves de conformité
Un auditeur IEC 62443 ou NIS2 ne demande pas des journaux de connexion. Il demande de nommer une mesure, de montrer où elle s'applique et de démontrer qu'elle a tenu sur une période. Les journaux de connexion sont une donnée d'entrée de cette réponse. Les assembler pour en faire la réponse est un travail, et un travail qui revient à chaque audit.
Des preuves produites au point d'application, déjà rattachées au référentiel, transforment un projet récurrent en rapport.
4. Un boîtier par machine devient un parc
Un SiteManager par machine convient à une machine et devient pénible à quinze. Chaque boîtier porte sa configuration, son firmware et son certificat, et comme ils arrivent au fil des années avec des lignes différentes, ils divergent. La politique d'accès du site n'est alors écrite nulle part : elle est l'union de quinze configurations locales, et répondre à « qui peut atteindre la ligne de conditionnement ? » impose de vérifier quinze équipements.
Multipliez par le nombre de sites et cela devient un parc que personne ne pilote centralement. Le remède n'est pas un meilleur outil de gestion des boîtiers, c'est moins de boîtiers : un point d'application par site, avec un jeu de politiques couvrant tout ce qui se trouve derrière.
À quoi ressemble la consolidation
L'argument pratique n'est pas « remplacez Secomea ». C'est que si vous avez besoin de télémaintenance et de segmentation et d'inventaire et de preuves, vous pouvez acheter quatre choses ou une seule, et déployer une appliance par site plutôt qu'un boîtier par machine.
Trout Access Gate négocie la session distante comme le fait Secomea, sans client à installer pour le prestataire, avec MFA, fenêtre horaire et enregistrement complet. Puis il continue : des enclaves overlay, l'équivalent logiciel d'une zone IEC 62443, qui segmentent l'usine sans toucher au moindre VLAN, la découverte automatique de chaque actif vu, un jeu de règles de détection industrielles transmis à votre SIEM, et des preuves de conformité rattachées à IEC 62443, NIS2 et CMMC.
Le déploiement ne réadresse rien. Les équipements conservent leur IP, leur passerelle et leur routage, et la passerelle s'insère par un changement de routage ou de DNS, progressif et réversible comme n'importe quel autre.
Déployer les deux, pas l'un à la place de l'autre
La recommandation n'est pas de remplacer Secomea. C'est d'arrêter de déployer la connectivité seule.
Secomea est une bonne solution ponctuelle, et pour un constructeur qui intervient sur des sites qui ne lui appartiennent pas, c'est peut-être la seule chose déployable. Rien ici ne plaide pour la retirer.
Le risque tient à ce qu'une passerelle seule laisse derrière elle. Un SiteManager par machine, ce sont autant de portes vers l'usine, sans visibilité sur ce qui y transite ni contrôle d'accès à un point de contrôle OT. Les quatre écarts ci-dessus ne sont pas Secomea qui échoue à sa mission, c'est le travail qu'aucun produit de télémaintenance n'a vocation à faire.
L'architecture solide, ce sont les deux. Gardez Secomea là où il fait ses preuves, placez Access Gate derrière comme point de contrôle, et chaque session rencontre encore l'identité, la politique de protocole et l'enregistrement, dans une usine segmentée et inventoriée plutôt que plate et inconnue.
À lire également
- Access Gate face à Secomea, le comparatif complet
- La télémaintenance industrielle comparée, cinq solutions, exploitant du serveur de médiation et portée des sessions
- Zones et conduits IEC 62443 expliqués