L'accès distant des tiers est l'accès qu'une organisation accorde à des parties externes, telles que les fournisseurs d'équipements, les intégrateurs de systèmes, les OEM et les prestataires de maintenance, afin qu'ils puissent se connecter à distance pour intervenir sur des systèmes internes ou les prendre en charge. C'est un travail nécessaire, car les personnes qui connaissent le mieux une machine ne sont souvent pas dans vos murs. C'est aussi l'un des chemins d'accès les plus fréquemment exploités, parce que cette connexion externe est difficile à voir, difficile à contrôler et souvent surdotée en privilèges.
Qu'est-ce que l'accès distant des tiers ?
C'est le cas particulier de l'accès distant où la personne qui se connecte ne travaille pas pour vous. Un fabricant de variateurs se connecte pour régler un moteur. Un intégrateur se connecte pour mettre à jour la logique d'une ligne. Un prestataire de support se connecte pour diagnostiquer une panne. Chacune de ces actions est une action à privilèges effectuée par quelqu'un d'extérieur à votre organisation, sur vos systèmes, souvent sur vos équipements les plus critiques. Le défi central est que vous ne contrôlez ni la personne ni l'appareil depuis lequel elle se connecte.
Pourquoi l'accès distant des tiers est-il risqué ?
Parce qu'il combine identité externe, portée à privilèges et faible visibilité. Le schéma classique est un compte fournisseur partagé sur un VPN à plat : une fois connecté, le fournisseur, ou quiconque a détourné ses identifiants, peut atteindre bien plus que le seul système sur lequel il venait intervenir. Certaines des intrusions les plus citées ont commencé ainsi, y compris des compromissions parties de la connexion distante d'un fournisseur plutôt que d'une attaque directe sur la cible. En technologie opérationnelle, les enjeux sont physiques : une session fournisseur compromise peut atteindre les PLC et les SCADA qui font tourner le procédé.
Que disent les normes à ce sujet ?
L'accès des tiers et de la chaîne d'approvisionnement est désormais une obligation explicite dans la plupart des cadres. NIS2 exige la sécurité de la chaîne d'approvisionnement et tient les entités responsables des accès qu'elles accordent. CMMC et NIST SP 800-171 imposent de contrôler et de surveiller l'accès externe aux informations contrôlées. IEC 62443 traite la maintenance et l'accès des fournisseurs comme un cas d'usage défini à sécuriser, non comme une exception. Le fil conducteur est que l'accès des fournisseurs doit être lié à l'identité, au moindre privilège et auditable.
Comment sécuriser l'accès distant des tiers ?
L'objectif est de donner à un fournisseur exactement l'accès dont il a besoin, quand il en a besoin, et rien de plus, avec une trace de ce qu'il a fait. En pratique, cela signifie s'éloigner des comptes VPN partagés et des serveurs de rebond statiques pour aller vers une gestion des accès distants à privilèges assurée par un intermédiaire :
- Vérifier l'identité du fournisseur avec une authentification multifacteur, rattachée à une personne nommée plutôt qu'à un identifiant partagé.
- Accorder un accès juste-à-temps et au moindre privilège à un seul système cible pour une seule tâche, puis le révoquer automatiquement.
- Relayer la session pour que le fournisseur se connecte à un point d'accès contrôlé, jamais directement sur le réseau.
- Enregistrer chaque session de bout en bout, pour pouvoir prouver ce qu'un fournisseur a fait et l'examiner après un incident.
- Ne rien exiger côté équipement, afin que les contrôleurs hérités qui ne peuvent s'authentifier soient tout de même couverts.
L'Access Gate de Trout est conçu exactement pour cela : il se place devant les systèmes OT et donne aux fournisseurs tiers un accès lié à l'identité, au moindre privilège et enregistré, sans modifier l'équipement, de sorte que la maintenance fournisseur cesse d'être votre maillon faible. Voyez sécuriser l'accès distant et fournisseur en OT.
