En résumé
Siemens tient la bonne architecture et vous la facture en matériel. SINEMA Remote Connect est un serveur que vous exploitez vous-même : aucun cloud fournisseur dans le chemin d'accès, aucun point de rendez-vous tiers à documenter sous NIS2. Sur la question qui met Talk2M et IXON Cloud en difficulté, Siemens est déjà du bon côté.
La segmentation est l'achat séparé. Pour découper l'usine, vous déployez des pare-feu Scalance aux frontières que vous voulez appliquer, ce qui signifie du matériel par frontière, de la configuration par frontière et, dans la plupart des rétrofits, du câblage. L'architecture est saine. La facture et la fenêtre de maintenance croissent avec le nombre de zones réellement souhaitées.
Les points forts de Siemens
Auto-hébergé par défaut. SINEMA RC tourne sur votre infrastructure. Quand les achats demandent qui exploite le chemin d'entrée dans votre usine, la réponse est vous. Cela supprime toute une catégorie de paperasse liée aux fournisseurs, et c'est la raison pour laquelle Siemens et Secomea passent des conversations que les passerelles cloud ne passent pas.
Intégré à l'écosystème d'automatisme. Si l'usine est déjà Siemens de bout en bout, le produit de télémaintenance parle la même langue que les automates, les outils d'ingénierie et le contrat de support. Cette cohérence vaut de l'argent réel et ne doit pas être balayée.
Scalance est un vrai pare-feu. Ce n'est pas une critique du matériel. Il fait ce que font les pare-feu industriels, et il le fait chez un constructeur qui connaît les environnements industriels.
Où le coût atterrit vraiment
L'écart ne porte pas sur la capacité mais sur l'unité de déploiement.
Une segmentation par zones à base de pare-feu, c'est un équipement par frontière. Dix zones, dix équipements à acheter, monter, câbler, configurer et maintenir à jour. En construction neuve, c'est une ligne de devis. Dans une usine en fonctionnement, c'est un projet : vous insérez du matériel dans des chemins qui portent aujourd'hui du trafic de production, ce qui implique une planification, une fenêtre de maintenance et un plan de retour arrière pour chacun.
C'est la raison pour laquelle tant de modèles de zones et conduits IEC 62443 existent sous forme de document plutôt que de configuration. Le schéma est validé, le matériel est budgété, et le rétrofit ne trouve jamais sa fenêtre.
La même arithmétique s'applique côté télémaintenance. Une passerelle par machine plus un pare-feu par frontière constitue un parc : un site de quinze machines et six zones, c'est vingt-et-un équipements, chacun avec une version de firmware, un certificat et une configuration qui s'écarte de celle de ses voisins. Le coût opérationnel n'est pas l'achat, c'est qu'aucun endroit unique ne répond à la question de savoir qui peut atteindre quoi.
L'alternative overlay
L'autre façon d'appliquer une frontière est de cesser de la traiter comme un lieu physique. Un overlay place chaque actif dans une enclave définie en logiciel, l'équivalent d'une zone IEC 62443, avec le point d'application dans le chemin mais la topologie intacte. Les équipements conservent leur adresse IP, leur passerelle et leur VLAN. Il n'y a pas de matériel par frontière, parce que la frontière est une politique et non un boîtier, et ajouter une zone devient un changement de configuration plutôt qu'un bon de commande.
En pratique, cela fusionne les deux achats en une seule appliance : le serveur de médiation de télémaintenance et le point d'application de la segmentation sont le même équipement, si bien que la session du technicien et la politique d'enclave se décident au même endroit et se journalisent dans le même enregistrement.
Le comparatif en un tableau
| SINEMA RC + Scalance | Trout Access Gate | |
|---|---|---|
| Emplacement du serveur de médiation | Votre serveur | Votre appliance |
| Cloud fournisseur dans le chemin | Non | Non |
| Méthode de segmentation | Un pare-feu par frontière | Enclaves overlay en logiciel |
| Coût d'une zone supplémentaire | Un équipement de plus | Un changement de politique |
| Recâblage pour segmenter | Généralement, en rétrofit | Aucun |
| Inventaire des actifs | Hors périmètre du produit | Découverte automatique |
| Détection et alertes | Hors périmètre du produit de télémaintenance | Règles Snort, bibliothèque d'alertes, export SIEM |
Déployer les deux, pas l'un à la place de l'autre
Gardez SINEMA RC. Il est auto-hébergé, intégré à l'écosystème d'automatisme, et sur la question de la souveraineté il est déjà du bon côté. Rien ici ne plaide pour le retirer.
Le risque, c'est la télémaintenance sans point de contrôle derrière. Une passerelle par machine, ce sont autant de portes vers l'usine, et si rien ne gouverne au niveau protocole ce qui y transite, votre seule application reste les frontières Scalance que vous avez réussi à financer et à installer.
L'architecture solide, ce sont les deux. Gardez SINEMA RC pour la connectivité, placez Access Gate derrière pour la couche d'application et de visibilité, et vous obtenez le modèle de zones IEC 62443 sous forme de politique logicielle plutôt que de facture matérielle qui ne trouve jamais sa fenêtre de rétrofit.
À lire également
- La télémaintenance industrielle comparée, dont SINEMA RC, Secomea, Ewon et IXON
- Zones et conduits IEC 62443 expliqués
- Overlay networking face aux VLAN