L’accès distant des prestataires et des tiers à l’OT, une machine à la fois.
Gardez votre VPN ou votre liaison 4G. L’Access Gate authentifie chaque utilisateur, le limite à un seul actif, ferme la session automatiquement et la journalise. Tout reste sur votre site, sans cloud.
Dernière mise à jour :
Pour donner à un prestataire un accès distant sécurisé à une seule machine, gardez le VPN ou la liaison 4G qu’il utilise déjà, mais faites arriver ce lien sur une passerelle placée devant cette machine. Le prestataire s’authentifie sur la passerelle avec sa propre identité et le MFA (son compte est dans un annuaire distinct du vôtre), puis n’atteint que cette machine, avec le seul protocole nécessaire à l’intervention, pendant une durée fixée. Toute la session est enregistrée.
L’accès distant des prestataires et, plus largement, l’accès distant des tiers couvrent toute connexion à votre OT par une personne extérieure à votre entreprise : équipementiers, constructeurs de machines, intégrateurs et sociétés de maintenance. La plupart des sites leur ouvrent un tunnel VPN ou installent un routeur 4G sur la machine. Utilisé seul, ce dispositif est risqué : un utilisateur connecté peut atteindre tout le réseau, personne ne contrôle ce qu’il fait et rien n’est journalisé.
L’Access Gate de Trout conserve le VPN ou la liaison 4G et ajoute le contrôle :
- la microsegmentation du réseau local, de sorte que chaque actif n’est joignable qu’à travers la passerelle
- un bastion où chaque utilisateur s’authentifie, salariés et prestataires dans des annuaires distincts
- un seul actif par session, fermée au bout d’une durée fixée et journalisée sur votre site
Pour le produit, les tarifs et le déploiement, consultez l’accès distant sécurisé pour l’OT avec l’Access Gate.
En production : Thales déploie chaque environnement restreint en 4 heures, entièrement sur site, et un grand industriel de Caroline du Nord gère 1 300 actifs et 660 utilisateurs avec l’Access Gate.
Un VPN suffit-il pour l’accès distant des prestataires ?
Non. Un VPN chiffre la liaison et vérifie qui l’ouvre. Il ne détermine pas quelle machine l’utilisateur peut atteindre une fois connecté, et n’enregistre pas ce qu’il y fait. La CISA comme le NIST demandent davantage qu’un simple tunnel.
Le NIST SP 800-82 Rev. 3, section 6.2.10, demande que l’accès distant soit limité à ce que le besoin métier exige. Il préconise de retirer l’accès quand il n’est plus nécessaire, par exemple avec des temporisations automatiques, et de surveiller les activités menées à distance. Il recommande aussi d’envisager le MFA pour l’accès distant à l’OT. La Rev. 3, publiée en septembre 2023, a remplacé la Rev. 2 de 2015.
Le guide de bonnes pratiques de la CISA sur l’accès distant aux systèmes de contrôle industriels recommande fortement de supprimer les connexions directes aux systèmes de contrôle. Il préconise aussi un serveur d’authentification distinct pour les prestataires et les intégrateurs, afin de pouvoir bloquer leur accès puis le rouvrir au cas par cas. L’avis de la CISA de 2026 sur les attaques contre des automates ajoute qu’une passerelle ou un VPN placé devant l’automate peut imposer le MFA même si l’automate ne le prend pas en charge. Le risque est concret : en novembre 2023, des attaquants ont pris le contrôle d’automates Unitronics dans des services d’eau américains, dont la Municipal Water Authority of Aliquippa en Pennsylvanie, et l’avis CISA AA23-335A pointe des équipements joignables depuis Internet avec leur mot de passe par défaut. La CISA a depuis recensé au moins 75 équipements compromis dans cette campagne. Son avis du 7 avril 2026 vise les automates Rockwell CompactLogix et Micro850, Schneider Modicon M340 et Siemens S7-1200. Les attaquants les atteignaient par les ports 44818, 2222, 102 et 502.
Ce que chaque approche courante contrôle, et ce qu’elle laisse comme trace :
| Approche | Ce qu’elle contrôle | Ce qu’elle enregistre |
|---|---|---|
| VPN seul | Qui ouvre le tunnel. Une fois connecté, l’utilisateur peut atteindre tout le réseau. | Au mieux, les journaux de connexion. Pas ce que l’utilisateur a fait. |
| Routeur 4G dans l’armoire | Qui connaît le mot de passe du routeur, rien de plus. | Rien de votre côté. |
| Serveur de rebond | Qui se connecte au serveur de rebond. De là, toute machine joignable depuis ce serveur. | Les connexions au serveur de rebond. Les sessions seulement si vous ajoutez un enregistrement. |
| Broker d’accès cloud | Qui atteint quel système, via le cloud du broker. | Souvent une partie seulement des sessions, stockée dans le cloud du broker. |
| VPN + Trout Access Gate | Qui atteint quelle machine, pendant combien de temps, et quelles commandes sont autorisées. | Chaque session de bout en bout, toute altération détectable, sur votre site. |
Gérez salariés et prestataires dans des annuaires distincts.
Une grande partie des personnes qui ont besoin d’un accès distant ne figurent pas dans votre annuaire. Les intégrateurs, les constructeurs de machines et les sociétés de maintenance n’ont généralement pas de compte chez vous, et vous ne souhaitez pas forcément leur en créer un dans votre annuaire d’entreprise. L’Access Gate se connecte à plusieurs annuaires à la fois. Vos salariés s’authentifient sur votre annuaire d’entreprise, par exemple Active Directory ou Microsoft Entra ID. Les prestataires s’authentifient sur un annuaire distinct : un second Active Directory réservé aux tiers, ou l’annuaire intégré à l’Access Gate. Pour les deux groupes, le MFA est imposé sur la passerelle et les mêmes règles s’appliquent : un actif par tâche, une durée limitée et une session enregistrée. Ajouter ou retirer un prestataire ne touche jamais à votre annuaire d’entreprise.
L’utilisateur travaille normalement, chaque session est enregistrée.
Un VPN ou une liaison 4G crée un tunnel, puis fait confiance à quiconque l’utilise. L’Access Gate se place au bout de ce tunnel, devant l’actif. La session aboutit à la passerelle, qui ouvre une connexion distincte vers l’actif. L’utilisateur garde un accès interactif complet et peut faire son travail. En même temps, chaque commande est contrôlée au regard de votre politique et toute la session est enregistrée. Cet enregistrement est la preuve que vous remettez à un auditeur.
La passerelle comprend les protocoles OT. Elle peut autoriser un prestataire à lire un capteur sans lui permettre de commander l’automate associé. Cette règle est appliquée par la passerelle et non par l’ordinateur portable du prestataire : elle tient même si cet ordinateur est compromis.
La passerelle et ses journaux restent sur votre site.
La passerelle et ses journaux fonctionnent dans votre propre environnement. Aucun trafic de session ni aucune donnée d’audit ne passe par le cloud d’un fournisseur externe, et aucun tiers ne traite vos données d’accès. L’accès distant ne dépend pas non plus de la disponibilité d’un service cloud. En cas de coupure internet, l’exploitation locale se poursuit et les journaux restent alimentés. Un broker d’accès hébergé dans le cloud ne peut pas offrir cette garantie. Thales utilise Access Gate ainsi dans des environnements restreints soumis à une homologation nationale. Chacun est mis en place en 4 heures, sans cloud.
Comment donner à un prestataire l’accès à un seul automate ?
Le prestataire est l’utilisateur que vous contrôlez le moins. Il n’a pas de compte chez vous, il se connecte parfois depuis un autre pays, et l’automate dont il a besoin ne peut souvent pas être patché. Sa connexion VPN ou 4G aboutit à la passerelle, et non sur le réseau local de l’usine. Il s’authentifie sur la passerelle avec le MFA, via l’annuaire des prestataires. Il obtient ensuite l’accès à une machine pour une tâche. La session se ferme à la fin de la durée prévue, et elle est enregistrée du début à la fin.
Si le mot de passe d’un prestataire fuite, à lui seul, il ne donne accès à rien derrière la passerelle. Révoquer l’accès revient à retirer une autorisation, pas à supprimer un compte global. Le technicien du prestataire garde un accès interactif complet pour faire son travail.
Donner un accès distant à un automate (PLC).
La plupart des demandes d’accès distant en OT aboutissent à un automate. Un intégrateur doit modifier la logique, un constructeur doit lire un défaut, un ingénieur doit vérifier une valeur. L’automate ne peut pas se protéger lui-même : il ne sait pas demander un second facteur, et un automate ancien ne sait ni authentifier un utilisateur ni enregistrer une session. Le contrôle d’accès d’un automate doit donc se placer devant lui. Selon Dragos, 26 % des avis ICS de 2025 ne comportaient ni correctif ni mesure de contournement de l’éditeur (Dragos, 2026).
La passerelle fait ce que l’automate ne peut pas faire. Elle authentifie la personne, ouvre une session vers ce seul automate avec le seul protocole nécessaire à l’intervention, et l’enregistre. Comme la passerelle comprend le protocole, lire une valeur et l’écrire peuvent être deux droits distincts : un prestataire qui doit seulement diagnostiquer ne peut rien modifier. Rien n’est installé sur l’automate, et sa configuration ne change pas.
Quatre étapes de la visibilité au contrôle.
- 01
Identifier qui se connecte à l’OT depuis l’extérieur
Recensez vos équipes et vos prestataires, et la manière dont chacun se connecte : VPN, serveur de rebond, outil propre au prestataire, modem 4G dans l’armoire. La plupart des sites découvrent une connexion dont personne n’est responsable.
- 02
Limiter chaque utilisateur distant à l’actif dont il a besoin
Aujourd’hui, un utilisateur VPN ou 4G peut en général atteindre tous les automates du réseau, pas seulement celui pour lequel il intervient. Micro-segmentez le réseau pour que chaque actif ne soit joignable qu’à travers la passerelle.
- 03
Placer d’abord les actifs les plus sensibles derrière la passerelle
Commencez par les automates que vous ne pouvez pas patcher, le serveur SCADA et le système instrumenté de sécurité (SIS). Chaque session vers eux est alors nominative, limitée à un actif et enregistrée.
- 04
Faire passer tous les accès prestataires par la passerelle
Les prestataires utilisent la passerelle parce que c’est le moyen le plus simple d’entrer : un lien, un identifiant, une session. Chaque session prestataire est alors journalisée, et vous pouvez montrer qui a fait quoi. Dans une grande usine de Caroline du Nord, Access Gate gère l’accès à 1 300 actifs pour 660 utilisateurs.
Ce que NIS2 exige pour l’accès des tiers.
NIS2 range la sécurité de la chaîne d’approvisionnement parmi les dix mesures obligatoires de gestion des risques. L’article 21(2)(d) porte sur la sécurité de vos relations avec vos fournisseurs directs et vos prestataires de services. Pour un exploitant OT, cela concerne les intégrateurs, les constructeurs de machines et les techniciens support qui se connectent à vos équipements. Vous devez pouvoir montrer ce que chacun peut atteindre, et ce qu’il a fait.
Un compte permanent ne satisfait pas l’auditeur
Un compte VPN permanent pour un prestataire ne montre ni les actifs qu’il atteint, ni ce que le prestataire a fait le trimestre dernier. Un accès accordé par intervention, limité à des actifs et des protocoles nommés et qui expire automatiquement, montre les deux.
Identifier le technicien, pas seulement la société
Avec un compte prestataire partagé, vous ne pouvez pas savoir qui a fait quoi après un incident. Une identité par technicien, authentifiée sur la passerelle, rattache chaque action à une personne.
La preuve vient de l’exploitation quotidienne
Les enregistrements de session, la liste des droits par zone et un historique des modifications où toute altération est détectable sont produits par le fonctionnement même du contrôle. L’article 21(2)(f) vous demande d’évaluer l’efficacité de vos mesures : ce sont les mêmes données.
Cela couvre les équipements que vous ne pouvez pas modifier
L’obligation s’applique même si l’actif ne peut pas héberger d’agent ni gérer le MFA. Le contrôle appliqué devant l’équipement permet à un automate de 2009 de respecter une politique qu’il ne pourrait jamais appliquer lui-même.
Vos contrats avec les prestataires n’ont pas à changer. Ce qui doit changer, c’est le chemin d’accès, qui doit vous appartenir. Une question de l’autorité de contrôle se règle alors par un export, et non par une enquête.
Six exigences pour un outil d’accès distant destiné aux prestataires.
Utilisez cette liste pour comparer les produits, y compris le nôtre. Un VPN ou un routeur 4G seul n’en remplit aucune. Un broker cloud en remplit certaines, mais à travers son propre cloud.
Des annuaires distincts pour les salariés et les prestataires
Les salariés s’authentifient sur votre annuaire d’entreprise, par exemple Active Directory ou Entra ID. Les prestataires s’authentifient sur un annuaire distinct : un second Active Directory ou l’annuaire intégré à la passerelle, avec le MFA sur la passerelle. La même politique s’applique aux deux.
Au niveau du protocole, pas du port
La passerelle lit les protocoles OT comme Modbus et DNP3 et applique les règles par commande et par registre, pas seulement par port. Un utilisateur peut être autorisé à lire une valeur sans pouvoir en écrire une.
Sans agent sur l’actif
Rien n’est installé sur l’automate, le HMI ou le serveur SCADA, et leur configuration ne change pas. Les automates anciens, qui ne savent ni authentifier un utilisateur ni enregistrer une session, obtiennent les deux grâce à la passerelle.
Moindre privilège, par session
L’accès est accordé à un seul système, pour une seule tâche et pour une durée limitée, puis retiré. Aucune connexion au réseau de contrôle ne reste ouverte entre deux interventions.
Conçu pour la disponibilité
La passerelle se trouve sur le chemin de l’accès distant, pas dans la boucle de régulation en fonctionnement. Elle dispose d’une bascule (failover) et d’un accès de secours. Si la passerelle est hors ligne, l’exploitation sur site continue ; en fonctionnement, la passerelle n’ajoute aucun délai au procédé.
Audit où toute altération est détectable
Chaque session est enregistrée de bout en bout : qui s’est connecté, quelles commandes ont été envoyées, combien de temps la session a duré et ce qui a changé. Les utilisateurs ne peuvent pas modifier ces enregistrements, et vous pouvez les envoyer vers un SIEM ou vous en servir lors d’une enquête.
Comparer VPN seul, broker cloud et Access Gate.
| Capacité | VPN ou 4G seul | Broker d’accès cloud | VPN + Trout Access Gate |
|---|---|---|---|
| Identité des prestataires externes | Souvent un compte partagé | Oui, dans le cloud du broker | Oui, dans un annuaire prestataires distinct, sur site |
| Enregistrement des sessions pour l’audit | Non | Partiel, dans le cloud | Complet, toute altération détectable, sur site |
| Analyse des protocoles (Modbus, DNP3) | Non | Rarement | Oui, par commande et par registre |
| Sans agent sur le PLC / HMI | Sans objet | Nécessite en général un connecteur | Oui, rien sur l’actif |
| Dépend du cloud d’un fournisseur | Non | Oui, le cloud est le broker | Non, fonctionne sur votre site |
| Emplacement des données d’audit | Non enregistrées | Cloud du fournisseur | Votre environnement |
| Moindre privilège par tâche | Non, accès à tout le réseau | Oui | Oui, un système, durée limitée |
Questions fréquentes sur l’accès distant des prestataires et des tiers.
Le NIST SP 800-82 Rev. 3 (septembre 2023, section 6.2.10) demande que l’accès distant soit limité au besoin métier, révoqué dès qu’il n’est plus nécessaire, surveillé, et protégé par le MFA quand c’est possible. La CISA recommande de supprimer les connexions directes aux systèmes de contrôle et de donner aux prestataires et intégrateurs un serveur d’authentification distinct. En 2026, la CISA a aussi conseillé de placer une passerelle, un firewall ou un VPN devant l’automate, un dispositif capable d’imposer le MFA que l’automate ne prend pas en charge. Une passerelle devant chaque machine, comme Trout Access Gate, répond à toutes ces exigences sans modifier l’équipement.
Gardez le VPN ou la liaison 4G que le prestataire utilise déjà, et placez une passerelle devant l’automate. La liaison aboutit alors à la passerelle, et non plus sur le réseau de l’usine. Le prestataire s’authentifie avec le MFA sur la passerelle et obtient une session vers ce seul automate pour une durée fixée. Tout ce qu’il fait est enregistré, et rien n’est installé sur l’automate. À la fin de la durée prévue, la session se ferme. Le mot de passe du prestataire ne suffit plus, à lui seul, pour atteindre le réseau.
L’accès distant des prestataires désigne la manière dont un équipementier, un constructeur de machines ou un intégrateur se connecte à vos systèmes industriels (automates, HMI, SCADA) depuis l’extérieur du site pour en assurer la maintenance. Lorsqu’il est sécurisé, le VPN ou la liaison 4G sert uniquement à la connexion. Chaque intervenant a une identité nominative. Une passerelle placée devant l’actif contrôle et enregistre chaque session. L’accès est limité à un actif par tâche et se termine automatiquement. Rien ne dépend d’un cloud externe.
Un VPN crée un tunnel chiffré, puis fait confiance à quiconque s’y trouve. Sur un réseau plat, un utilisateur connecté, ou toute personne qui a volé son mot de passe, peut atteindre bien plus que le système qu’il venait maintenir. Le VPN n’enregistre rien de tout cela. En OT, un seul mot de passe de prestataire réutilisé peut atteindre les automates qui pilotent le procédé. Gardez le VPN pour la connexion, et ajoutez une passerelle qui authentifie l’utilisateur, donne accès à un seul système, ferme la session à l’heure prévue et l’enregistre.
L’accès distant des tiers désigne toute connexion à votre environnement par une personne qui n’est pas votre salarié : un fournisseur d’équipements, un constructeur de machines, un intégrateur ou une société de maintenance. En OT, c’est l’accès le plus risqué. Le compte de l’utilisateur est géré par une autre entreprise, vous ne gérez pas son ordinateur portable, et l’actif qu’il atteint ne peut généralement pas être patché. Pour le sécuriser, donnez-lui une identité hors de votre annuaire d’entreprise, par exemple un second Active Directory ou l’annuaire intégré à la passerelle. Exigez le MFA sur la passerelle. Limitez chaque session à un système pour une tâche, enregistrez-la et laissez-la expirer à la fin de l’intervention.
Oui, et en OT c’est préférable. La passerelle et ses journaux fonctionnent dans votre propre environnement. Aucun trafic de session ni aucune donnée d’audit ne passe par le cloud d’un fournisseur externe, et aucun tiers ne traite ces données. L’accès distant ne dépend pas non plus de la disponibilité d’un service cloud : en cas de coupure internet, l’exploitation locale se poursuit et les journaux restent alimentés.
Ces cadres exigent de contrôler et d’enregistrer l’accès aux systèmes critiques, y compris l’accès des tiers et des systèmes automatisés. Une passerelle qui rattache chaque session à une personne nommée, donne le minimum d’accès nécessaire et enregistre chaque session de sorte que toute altération soit détectable produit les preuves qu’un évaluateur demande. Elle couvre les salariés comme les prestataires, sans modifier les équipements. Le niveau 2 du CMMC couvre les 110 exigences de sécurité du NIST SP 800-171 Rev. 2. NERC CIP-003-9, en vigueur depuis le 1er avril 2026, ajoute des contrôles de l’accès distant des prestataires pour les actifs à faible impact.
Autres pages sur l’accès distant OT
L’Access Gate est le premier service que vous déployez, pas le dernier.
Sécurisez vos usines aujourd'hui. Maîtrisez votre digitalisation demain.
Access Gate place la puissance de calcul directement sur le réseau, au plus près de vos équipements. Une fois le boîtier en place, il héberge les services qui ramènent l’OT dans le périmètre sécurisé : accès distant, passerelles de protocole, DNS et NTP, historian, serveur de mises à jour. Accélérez votre digitalisation, en gardant la maîtrise.