En résumé
Talk2M n'est pas le problème. En dépendre peut l'être. Les passerelles Cosy et Flexy d'Ewon établissent une connexion sortante vers Talk2M, le point de rendez-vous hébergé par HMS Networks, et le technicien rejoint ce même point via eCatcher pour obtenir un VPN vers la machine. Aucune règle de pare-feu en entrée, pas d'IP publique, une offre gratuite et une base installée qui se compte en centaines de milliers. Pour un constructeur qui doit atteindre une machine chez un client, la réponse est proche de l'idéal.
Deux choses changent lorsque l'usine est la vôtre et non celle de votre client. Votre télémaintenance dépend désormais d'un service que vous n'exploitez pas, et le tunnel dépose votre technicien sur le LAN de la machine sans que rien ne détermine ce qu'il peut atteindre d'autre.
Pourquoi le modèle sortant s'est imposé
Il faut être précis sur ce qu'Ewon a réussi, car toute alternative doit s'y mesurer.
La difficulté de la télémaintenance industrielle n'a jamais été le chiffrement. C'était de demander une règle de pare-feu au service informatique d'un tiers. Une connexion initiée vers l'extérieur contourne entièrement cet obstacle : le Cosy appelle, le point de rendez-vous apparie les deux extrémités, et personne n'a besoin d'ouvrir un port ni de justifier une exposition entrante. Cette seule décision de conception explique la forme actuelle de la catégorie, et pourquoi Ewon, IXON et les autres ont tous convergé vers elle.
Toute solution qui prétend s'y substituer doit conserver cette propriété. Si votre alternative exige de publier un service sur Internet, elle a remplacé un vrai problème par un pire.
Ce qui change quand l'usine vous appartient
Le point de rendez-vous devient un fournisseur
Sous NIS2, l'article 21 fait peser le risque de chaîne d'approvisionnement sur l'exploitant. Un chemin de télémaintenance qui transite par un cloud exploité par un fournisseur constitue un tiers dans votre périmètre : il faut le documenter, l'évaluer, puis le réévaluer. Ce n'est pas une accusation envers HMS, qui exploite Talk2M sérieusement et avec des centres de données régionaux. C'est un constat sur l'endroit où atterrit la paperasse, et elle atterrit de plus en plus aux achats plutôt qu'à l'ingénierie.
La question posée est rarement « Talk2M est-il sûr ? ». C'est « qu'advient-il de votre capacité à exploiter si ce service est indisponible, et qui a pris cette décision ? ». Ces questions sont plus simples à traiter quand la réponse est qu'il n'existe aucun point de rendez-vous externe.
Votre annuaire d'entreprise n'est pas convié
C'est le point qui surprend le plus, et il mérite d'être vérifié dans la documentation plutôt que sur parole.
Les utilisateurs Talk2M sont des comptes locaux. Vous les créez dans le compte Talk2M, vous leur attribuez un rôle (System Administrator, Administrator, Advanced User, User) et vous les protégez par un mot de passe et, en option, une double authentification par SMS ou par e-mail. Ce que la documentation ne décrit pas, c'est la moindre fédération : ni SAML, ni OIDC, ni LDAP, ni Active Directory, ni Microsoft Entra ID. Votre annuaire d'entreprise et votre annuaire de télémaintenance sont deux listes distinctes, tenues par deux personnes distinctes.
La conséquence apparaît au départ d'un intervenant. Quand une mission de prestataire se termine, les RH désactivent son compte dans Entra ID et tous les systèmes fédérés révoquent l'accès automatiquement. Talk2M n'en fait pas partie. Quelqu'un doit penser à ouvrir eCatcher et à supprimer l'utilisateur à la main, et si personne ne le fait, un ancien prestataire conserve un chemin fonctionnel vers une machine de votre atelier. Cette faille reste invisible dans une revue des accès qui ne regarde que l'annuaire.
HMS traite le sujet dans la gamme plus récente Ewon Edge & Cloud, qui annonce du SSO. À noter : les passerelles Cosy et Flexy se connectent exclusivement à Talk2M, ce qui fait de ce sujet un renouvellement de matériel plutôt qu'un réglage pour la base installée.
Access Gate prend le chemin inverse : les utilisateurs et les groupes sont synchronisés depuis Microsoft Entra ID, la connexion se fait en OIDC avec les identifiants existants, et les administrateurs peuvent s'authentifier via Entra ou Google Workspace. L'accès suit l'annuaire : désactiver le compte, c'est révoquer l'accès.
Un tunnel ne décide rien
Une fois le VPN établi, le technicien se trouve sur un segment réseau. À partir de là, ce qu'il peut atteindre est décidé par la topologie, et dans la plupart des ateliers, la topologie ne l'arrête nulle part. Un prestataire envoyé pour intervenir sur une ligne de conditionnement peut, sans la moindre malveillance, atteindre l'historian, l'IHM de la ligne voisine et le poste Windows que personne n'a mis à jour depuis 2019.
C'est la distinction entre connectivité et contrôle d'accès. La connectivité demande si vous pouvez arriver jusque-là. Le contrôle d'accès demande si cette personne, ce jour-là, peut atteindre cet équipement précis avec ce protocole précis. Un VPN répond à la première question et reste muet sur la seconde.
Un boîtier par machine ne passe pas à l'échelle
Le modèle « une passerelle par machine » est invisible à une machine et pénible à quinze.
Chaque passerelle est un îlot. Chacune a une configuration, une version de firmware, un certificat, un jeu d'utilisateurs et un ticket de support quand elle se comporte mal. Un site de quinze machines finit avec quinze boîtiers et, comme ils ont été achetés à des moments différents par des personnes différentes pour des lignes différentes, ils sont rarement au même niveau de firmware ni configurés de la même façon. Personne n'a de vue unique de qui peut atteindre quoi, parce qu'il n'existe aucun endroit unique où cela se décide.
Multipliez ensuite par le nombre de sites. Un exploitant de huit usines gère un parc de matériel de télémaintenance que personne ne pilote centralement, avec une politique d'accès qui n'existe que comme l'union de dizaines de configurations locales.
L'alternative est un point d'application par site plutôt que par machine. Access Gate est une appliance unique et intégrée : un équipement à maintenir, un jeu de politiques couvrant tous les actifs situés derrière, un seul endroit pour répondre à « qui peut atteindre la ligne de conditionnement ? ». Ajouter une machine devient une entrée de politique, pas un bon de commande, un emplacement en armoire et un équipement de plus à mettre à jour.
Ce qu'une alternative doit offrir
| Exigence | Pourquoi c'est important |
|---|---|
| Aucune règle de pare-feu en entrée | La propriété qui a fait gagner Ewon. L'abandonner, c'est reculer. |
| Serveur de médiation sur votre réseau | Supprime la question du risque fournisseur au lieu d'y répondre chaque année. |
| Identités de l'annuaire d'entreprise | La sortie d'un intervenant dans Entra ID doit mettre fin à son accès à l'usine, sans seconde liste à tenir. |
| Session limitée à un équipement et un protocole | Un prestataire sur une ligne ne peut pas atteindre le reste de l'usine. |
| Enregistrement, pas seulement journaux de connexion | « Qui s'est connecté » n'est pas la même preuve que « ce qu'il a fait ». |
| Une unité par site, pas par machine | Quinze boîtiers, c'est quinze versions de firmware et aucune vue unique des accès. |
| Segmente l'usine derrière | La télémaintenance est un chemin d'entrée. Le déplacement latéral est l'exposition réelle. |
Access Gate conserve la première propriété en négociant les sessions sur l'appliance elle-même plutôt qu'en publiant quoi que ce soit sur Internet, et ajoute le reste. Le technicien atteint un équipement nommé via une session proxifiée avec MFA, fenêtre horaire et enregistrement. Derrière la passerelle, l'usine est découpée en enclaves overlay, l'équivalent logiciel d'une zone IEC 62443 : le périmètre d'impact d'un compte prestataire compromis se limite à une machine plutôt qu'à un sous-réseau. Et rien de tout cela n'impose de réadresser quoi que ce soit : les équipements conservent leur IP, leur passerelle et leur VLAN.
Déployer les deux, pas l'un à la place de l'autre
Être honnête ici compte davantage que gagner le débat, alors voici la recommandation : dans la plupart des usines, gardez Ewon et placez un point de contrôle derrière.
Ewon est une bonne solution ponctuelle. Pour un constructeur qui intervient sur des machines installées chez des tiers, c'est souvent la seule chose déployable, et elle correspond exactement au besoin. Rien ici ne plaide pour la retirer.
Le risque, c'est la connectivité déployée seule. Un Cosy par machine, ce sont autant de portes vers l'usine, sans visibilité sur ce qui y transite ni contrôle d'accès à un point de contrôle OT. Quinze machines, quinze portes, et votre dispositif de sécurité n'en voit aucune.
L'architecture solide, ce sont les deux. Gardez la passerelle là où elle fait ses preuves, placez Access Gate derrière, et chaque session qui arrive doit encore passer l'identité, la politique de protocole et l'enregistrement, pour atterrir dans une usine segmentée plutôt que plate. Vous ne remplacez pas un fournisseur, vous ajoutez le point de contrôle qui manquait au tunnel.
À lire également
- Access Gate face à Ewon et Talk2M, le comparatif complet
- La télémaintenance industrielle comparée, cinq solutions dont Secomea, Siemens et IXON
- Conformité NIS2 pour l'OT