Une passerelle d'accès sécurisé est un point de contrôle qui s'intercale entre les utilisateurs et les systèmes qu'ils doivent atteindre. Elle authentifie chaque connexion, la confronte à une politique définie et relaie la session, de sorte qu'aucun utilisateur ne dialogue jamais directement avec un actif protégé. Au passage, elle ajoute généralement le chiffrement, l'inspection du trafic et la journalisation complète des sessions, ce qui en fait le point de passage obligé pour l'application des règles et l'audit de l'accès distant et inter-réseaux.
Comment fonctionne une passerelle d'accès sécurisé ?
Plutôt que de router l'utilisateur vers le réseau cible, la passerelle termine sa connexion et en ouvre une autre, distincte et contrôlée, vers la ressource, en son nom. Ce schéma de proxy fait que l'appareil de l'utilisateur ne partage jamais de domaine de diffusion avec le système protégé. Avant de relayer, la passerelle vérifie l'identité, souvent au moyen de l'authentification multifacteur, applique des règles d'autorisation liées à cette identité, chiffre le trafic en transit et enregistre la session à des fins d'audit. Si une règle est enfreinte en cours de session, la connexion peut être coupée.
En quoi diffère-t-elle d'un VPN ?
Un VPN étend le réseau jusqu'à l'utilisateur : une fois connecté, l'appareil se trouve sur le LAN et peut atteindre tout ce que les règles de routage et de pare-feu autorisent, ce qui dépasse souvent de loin les besoins de la tâche. Une passerelle d'accès sécurisé fait l'inverse. Elle ne place jamais l'utilisateur sur le réseau : elle relaie une connexion vers une ressource unique, selon une politique explicite. C'est toute la différence entre « de confiance dès qu'on est à l'intérieur » et le Zero Trust, où chaque requête est authentifiée et où le moindre privilège s'applique par défaut.
Pourquoi est-ce déterminant pour les environnements OT et industriels ?
Parce que l'OT est précisément l'endroit où un accès à plat, fondé sur la confiance généralisée, fait le plus de dégâts. Ingénieurs, intégrateurs et fournisseurs ont tous besoin d'atteindre les systèmes SCADA et les PLC, et la réponse habituelle, un VPN partagé vers un réseau d'usine à plat, offre à un ordinateur portable compromis un chemin direct vers la couche de contrôle. L'accès distant a été le point d'entrée dans toute une série d'incidents OT. Une passerelle force ces sessions à passer par une porte unique, surveillée, journalisée et révocable : c'est ce autour de quoi s'articulent une DMZ industrielle et des normes comme l'IEC 62443 et NERC CIP.
En quoi Access Gate aide-t-il ?
Access Gate est une passerelle d'accès sécurisé sans agent, pour l'IT et l'OT. Elle relaie les sessions distantes et fournisseurs, de sorte que personne n'atterrit sur le réseau d'usine, rattache chaque connexion à une identité vérifiée grâce à une MFA au niveau du réseau, et journalise chaque session avec la possibilité d'y mettre fin. Elle érige des enclaves logicielles et une DMZ industrielle autour des actifs existants, sans remplacer d'équipement ni refaire le câblage, et transmet sa piste d'audit à votre SIEM. Voir Architecture de DMZ industrielle.
