Contrôlez qui accède à chaque machine. Rien à installer dessus.
L'Access Gate de Trout est un boîtier sur site pour appliquer le contrôle d'accès Zero Trust à l'OT : chaque utilisateur et appareil est vérifié par l'identité, n'obtient que ce dont il a besoin, et chaque session est enregistrée.
Dernière mise à jour:
Ils nous font confiance
You are about to access ACME CUI Server:
- Proceed according to our internal security policy.
- You can contact IT at it@acme.com
Le contrôle d'identité et d'accès sur site pour l'OT consiste à appliquer l'authentification et le moindre privilège depuis votre propre réseau, sans dépendance au cloud ni agent sur l'appareil.
L'Access Gate de Trout Software le fait sous la forme d'un proxy industriel sensible à l'identité, placé dans le chemin d'accès. Avant que le trafic n'atteigne l'automate, l'IHM ou le serveur SCADA, chaque session est :
- authentifiée auprès de votre annuaire existant
- autorisée par actif et par protocole
- enregistrée
Les réseaux plats reposent sur une confiance implicite.
Dans la plupart des usines et des sites, le réseau est plat : une fois qu'un utilisateur, un sous-traitant ou un appareil y est connecté, il peut presque tout atteindre. La confiance est implicite, accordée par la localisation réseau plutôt que par l'identité. Un seul ordinateur portable hameçonné, un fournisseur sur-privilégié ou un hôte de rebond compromis hérite de cette confiance et se déplace latéralement vers les systèmes qui comptent.
Les parades classiques ne conviennent pas à l'OT. Les agents ne peuvent pas être installés sur les automates, IHM ou RTU. Les proxys routés via le cloud rompent la disponibilité et les règles de résidence des données. Les VPN étendent le réseau plat aux utilisateurs distants au lieu de les contraindre. La couche de contrôle continue de fonctionner en supposant que toute personne à l'intérieur est digne de confiance.
Le Zero Trust remplace la confiance basée sur la localisation par une identité vérifiée à chaque session. La difficulté en OT consiste à l'appliquer sans toucher aux terminaux ni recâbler le réseau, ce qui est précisément là où un overlay au niveau réseau prend tout son sens.
Le Zero Trust, appliqué là où les agents ne peuvent aller.
Le Zero Trust, tel que défini dans le NIST 800-207, repose sur quelques principes : ne jamais faire confiance par défaut, vérifier chaque requête par l'identité, accorder le moindre privilège et supposer une compromission afin qu'un seul compte compromis ne puisse atteindre l'ensemble du parc. Le modèle est bien compris. La difficulté réside dans sa mise en œuvre sur des équipements qui ne peuvent pas exécuter d'agent.
L'Access Gate applique ces principes au niveau réseau. Chaque session est authentifiée auprès de votre fournisseur d'identité existant, autorisée par actif et protocole, et journalisée en continu. Les ressources auxquelles un utilisateur n'a pas droit sont masquées, invisibles au niveau réseau, de sorte que la surface d'attaque se réduit exactement à ce que chaque identité est autorisée à voir.
Le Zero Trust en une journée, sans recâblage.
Opérationnel en une journée.
Access Gate se raccorde à votre réseau existant. Rien à installer sur les machines, aucun changement de VLAN, aucun arrêt. L'accès fondé sur l'identité, le chiffrement et la journalisation des sessions fonctionnent dès le premier jour. Chaque machine reste invisible pour ceux qui n'y ont pas droit.
Donner à chacun uniquement ce dont il a besoin.
Les sessions passent derrière la passerelle, qui devient le point de contrôle. Les règles s'écrivent par machine de l'inventaire des actifs, puis par utilisateur et protocole, avec le MFA de votre fournisseur d'identité existant. Un changement de risque déclenche une nouvelle authentification. Ajouter des machines ou des usines se fait par configuration, sans refonte du réseau.
Des preuves d'audit pour NIST 800-171, NIS2 et IEC 62443.
L'accès lié à l'identité correspond directement aux familles de contrôle d'accès recherchées par les auditeurs : les contrôles AC et IA du NIST 800-171, la gestion d'accès et la journalisation de l'Article 21 de NIS2, et les exigences IEC 62443 d'identification, d'authentification et de contrôle d'usage. Le MFA est appliqué au niveau du proxy, le moindre privilège est la valeur par défaut, et chaque décision est enregistrée.
Parce que l'application et la journalisation se font au niveau de la gate, les preuves d'audit sont générées en continu, avec utilisateur, actif, protocole et horodatage sur chaque session, au lieu d'être reconstituées à partir de journaux d'appareils dispersés la semaine précédant une évaluation.
Où l'accès Zero Trust s'applique.
Accès des tiers et des fournisseurs
Les intégrateurs et les OEM ont besoin d'accéder à des machines spécifiques, pas à l'ensemble de votre réseau. Chaque session fournisseur est authentifiée, limitée à un seul actif et protocole, restreinte dans le temps et enregistrée, afin que la maintenance à distance ne devienne jamais une voie d'accès au réseau plat.
En savoir plusOpérations OT privilégiées
Les ingénieurs accédant aux automates, IHM et historiens s'authentifient avec leur identité existante et le MFA. L'accès est au moindre privilège par actif, et chaque action est journalisée, remplaçant les identifiants partagés et l'accès permanent par des sessions vérifiées et auditables.
En savoir plusParcs multi-sites et air-gapped
L'overlay fonctionne entièrement sur site sans dépendance cloud, de sorte que la même politique Zero Trust s'applique dans une usine connectée, une sous-station isolée ou une enclave classifiée, gérée de manière centralisée sans étendre la surface d'attaque.
En savoir plusUn Zero Trust qui fonctionne dans l'atelier.
Access Gate apporte le Zero Trust à l'OT legacy, aux réseaux isolés et aux ateliers de production, là où les outils d'identité n'arrivent pas.
Chaque utilisateur est vérifié d'abord.
Chaque utilisateur et appareil s'authentifie avant d'atteindre une machine. Aucune confiance implicite.
Chacun ne voit que ses machines.
Tout le reste reste invisible au niveau réseau.
Les sessions sont vérifiées en continu.
Les sessions sont suivies en direct. Un changement de risque déclenche une nouvelle authentification.
Prêt pour l'audit.
Aligné sur les contrôles d'accès NIST 800-171, NIS2 et IEC 62443.
Chaque session enregistrée.
Chaque tentative d'accès, décision et session est journalisée et consultable.
Se raccorde à votre réseau existant.
Sans recâblage, sans cloud, sans arrêt.
Access Gate s'adapte à votre réseau
Choisissez votre environnement pour voir où se place l'Access Gate, le niveau de couverture Zero Trust obtenu et le chemin de migration, de la couverture complète à la couverture partielle.
Télécharger la Fiche Produit Access Gate.
Obtenez la présentation complète du produit avec les capacités techniques, le modèle de déploiement, l'alignement conformité et les références clients.
Contenu
Architecture produit, modèle de déploiement, capacités clés (application proxy, micro-DMZ, accès par identité), alignement conformité et déploiements clients réels.
Le produit en conditions réelles
Demandez une démo en direct pour voir comment l'Access Gate se déploie sur votre réseau sans recâblage ni temps d'arrêt.
Questions sur le contrôle d'accès Zero Trust.
Rien à installer. Access Gate applique le Zero Trust au niveau réseau, sans logiciel sur les machines, les automates ou les équipements anciens.
Un VPN étend votre réseau plat aux utilisateurs distants, une fois connectés, ils peuvent tout atteindre. L'Access Gate applique des politiques par utilisateur, appareil et ressource. Les utilisateurs voient uniquement ce à quoi ils sont autorisés.
Oui. L'Access Gate applique le contrôle d'accès au niveau réseau, pas sur le terminal. automates, IHM et systèmes SCADA anciens sont protégés sans installer d'agents.
L'Access Gate s'intègre avec Active Directory, Entra ID, Okta et tout fournisseur SAML ou OIDC. Les utilisateurs s'authentifient avec leurs identifiants existants et MFA.
Oui. L'Access Gate fonctionne entièrement sur site sans dépendance cloud. Conçu pour les environnements classifiés, air-gapped et réglementés.
Vous pouvez ajouter de nouveaux actifs, usines ou sites sans réarchitecturer. L'overlay est défini par logiciel, ajouter une nouvelle enclave est un changement de configuration, pas une reconception réseau.
L'Access Gate met en œuvre les piliers du NIST 800-207 au niveau réseau : chaque session est vérifiée par l'identité, dotée du moindre privilège par actif et protocole, et évaluée en continu, les ressources non autorisées étant masquées. Cela se fait sans agents sur les terminaux, couvrant ainsi les systèmes OT et legacy que les outils Zero Trust basés sur des agents ne peuvent atteindre.
Placez un proxy industriel sensible à l'identité dans le chemin d'accès, devant les équipements OT, sur site, sans agent sur l'appareil et sans dépendance au cloud. Chaque session authentifie l'utilisateur auprès de votre annuaire existant, autorise l'action précise et l'enregistre, avant que le trafic n'atteigne l'automate, l'IHM ou le serveur SCADA. Comme l'OT privilégie la disponibilité, le proxy fonctionne avec bascule et voie de secours (break-glass) pour que l'application de la politique ne coûte jamais la disponibilité. L'Access Gate de Trout offre cela et a été validé par une marine de l'OTAN pour ses charges les plus critiques.