Caméras IP : 15 exigences de cybersécurité à imposer avant de signer

Traiter la vidéo comme un système d’information

Une compromission peut permettre de voir des images, de connaître les habitudes du site, de neutraliser l’enregistrement ou d’utiliser un équipement vulnérable comme point d’appui vers d’autres ressources. Elle peut aussi altérer la disponibilité ou la fiabilité d’une séquence au moment où l’entreprise en a besoin.

Le projet doit donc posséder un inventaire : caméras, NVR, VMS, switches, postes clients, applications, versions, adresses réseau et responsables. Sans cet état, personne ne sait quels équipements mettre à jour, quels comptes supprimer ou quelle configuration restaurer après une panne.

• Inventorier chaque équipement, version et adresse réseau
• Identifier le propriétaire du système et les personnes habilitées
• Documenter les flux vers les postes, mobiles et services distants
• Classer les images et configurations selon leur sensibilité

Cloisonner le réseau vidéo et filtrer chaque flux

Le système vidéo doit être cloisonné du système d’information métier. L’ANSSI recommande de privilégier une séparation physique, avec câblage et équipements réseau dédiés. Lorsque cette architecture n’est pas réalisable, une séparation logique doit être complétée par un filtrage strict et les protections adaptées aux risques.

Un VLAN n’est pas une protection magique. Si tous les flux restent autorisés entre les réseaux, la séparation n’existe que sur le plan. Le dossier doit indiquer les interfaces, les règles de pare-feu, la gestion PoE, l’adressage et la personne responsable des changements futurs. Seules les communications nécessaires sont ouvertes : caméra vers NVR ou VMS, administration depuis un poste autorisé, synchronisation de l’heure et services explicitement retenus.

• Réseau vidéo physiquement séparé à privilégier
• À défaut, cloisonnement logique complété par un filtrage strict
• Flux entrants et sortants limités au strict nécessaire
• Administration autorisée depuis des postes identifiés
• Aucun équipement invité ou personnel dans le segment vidéo

Ne pas exposer directement l’administration sur Internet

Ouvrir un port du routeur vers l’interface d’une caméra ou d’un NVR augmente fortement l’exposition. L’accès distant doit passer par une architecture maîtrisée : VPN, passerelle sécurisée ou service constructeur évalué, avec chiffrement, authentification forte lorsque disponible et possibilité de révoquer un appareil ou un utilisateur.

Une application cloud n’est ni sûre ni dangereuse par nature. Il faut connaître les flux, les données hébergées, les comptes administrateurs, les journaux disponibles et la procédure de sortie. Le cahier des charges précise aussi le mode dégradé attendu et ce qui continue à fonctionner si Internet tombe, notamment si un enregistrement local est nécessaire.

• Aucun port d’administration directement publié sur Internet
• Accès distant chiffré et limité aux utilisateurs autorisés
• Authentification multifacteur activée lorsqu’elle est disponible et adaptée
• Révocation prévue pour un téléphone perdu ou un salarié parti
• Mode dégradé défini et testé en cas de coupure Internet

Créer des comptes nominatifs et des secrets uniques

Le compte partagé “admin” transmis à toute l’équipe empêche d’attribuer une consultation ou une modification. Les utilisateurs doivent recevoir le niveau nécessaire : visualisation, relecture, export ou administration. Les comptes temporaires de l’installateur sont supprimés ou encadrés après la recette.

Les mots de passe par défaut doivent être remplacés et les secrets ne doivent pas être réutilisés d’une caméra à l’autre. Le client conserve les moyens de reprendre la main sur son installation. Un départ, un changement de syndic ou une fin de contrat déclenche une revue des comptes, des téléphones associés et des accès distants.

• Un identifiant par personne ou fonction clairement attribuée
• Droits séparés pour voir, exporter, configurer et administrer
• Mot de passe robuste et différent pour chaque équipement sensible
• Coffre ou procédure sécurisée pour la remise des secrets au client
• Revue des habilitations après chaque changement d’équipe ou de prestataire

Durcir les caméras, le NVR et le VMS

Un équipement est souvent livré avec plus de services qu’un projet n’en utilise. Les protocoles anciens, comptes de démonstration, interfaces d’administration secondaires, découverte automatique et fonctions pair-à-pair non retenues doivent être désactivés lorsque le matériel le permet. Les certificats par défaut et les paramètres de chiffrement sont également contrôlés.

Le durcissement ne doit pas casser l’exploitation. Les fonctions ONVIF, l’analyse vidéo, la supervision et les exports nécessaires sont listés avant de réduire la surface d’attaque. Les flux vidéo et d’administration doivent être chiffrés et authentifiés lorsque l’architecture le permet, avec des protocoles adaptés. La configuration finale est sauvegardée et associée à la version installée afin d’éviter une remise à zéro improvisée lors d’un dépannage.

• Désactiver les services et interfaces inutilisés
• Remplacer les certificats ou secrets installés par défaut lorsque nécessaire
• Limiter les applications et extensions tierces
• Activer les alertes d’obstruction, de perte vidéo et de stockage
• Sauvegarder la configuration validée après la recette

Mettre à jour sans perdre la maîtrise du parc

La sécurité d’une caméra évolue après sa pose. Le fabricant publie des correctifs, une version peut devenir obsolète et une application mobile peut changer ses conditions. Le contrat doit préciser qui surveille les avis, qui décide d’une mise à jour, comment elle est testée et ce qui se passe si un équipement n’est plus maintenu.

Installer automatiquement chaque version sans contrôle peut interrompre une fonction critique. Ne jamais mettre à jour crée l’autre risque. Une démarche maîtrisée inventorie les versions, qualifie l’urgence, sauvegarde la configuration, teste la compatibilité avec le NVR ou le VMS puis vérifie l’enregistrement et l’accès après intervention.

• État des versions remis à la livraison
• Veille et responsabilité de correction définies dans le contrat
• Sauvegarde avant intervention et plan de retour arrière
• Test des flux, analyses, enregistrement et export après mise à jour
• Plan de remplacement pour les équipements arrivés en fin de support

Protéger physiquement les équipements et prévoir la continuité

Un port réseau accessible dans un parking, un switch posé dans un coffret ouvert ou un NVR placé sous un écran public contournent une partie des protections logiques. Les caméras extérieures, boîtiers, baies et chemins de câble sont protégés selon le risque de sabotage et d’accès non autorisé.

La disponibilité se prépare également : onduleur dimensionné, arrêt propre, alertes de perte d’alimentation, capacité PoE et pièces critiques. Une sauvegarde de configuration n’a de valeur que si sa restauration est testée. La continuité attendue doit être proportionnée au site, pas ajoutée sous forme d’option incomprise.

Un retour terrain publié par Protectas pour Ferdinand Bilstein France illustre cette coordination : le NVR a été déplacé dans la baie informatique et le stockage porté à 32 To avec le prestataire IT. Cela documente une architecture mieux maîtrisée ; cela ne suffit pas, à lui seul, à conclure à la conformité cybersécurité de tout le système.

• Baie, NVR et switches dans une zone à accès limité
• Prises, boîtiers et caméras exposées protégés physiquement
• Onduleur dimensionné et alertes remontées
• Sauvegarde des configurations hors de l’équipement concerné
• Test de restauration et procédure après panne majeure

Synchroniser l’heure, journaliser et préparer l’incident

Une vidéo horodatée différemment du contrôle d’accès ou de l’alarme complique l’enquête. Les composants doivent utiliser une source de temps fiable et cohérente. Les journaux de connexion, d’administration, d’export et d’erreur permettent ensuite de comprendre qui a fait quoi et de détecter une anomalie.

La journalisation reste limitée à l’objectif de sécurité et protégée contre l’altération. L’entreprise définit aussi la marche à suivre en cas de compte suspect, caméra inaccessible ou export inattendu : isoler, conserver les éléments utiles, changer les secrets, vérifier les autres équipements et documenter l’incident.

• Source de temps commune pour caméras, NVR, VMS, alarme et contrôle d’accès
• Journaux de connexion, configuration, export et défaut
• Accès aux journaux réservé et durée de conservation définie
• Procédure d’alerte, d’isolement et de reprise

Encadrer la télémaintenance et la fin du contrat

L’ANSSI déconseille fortement toute télémaintenance donnant un accès direct depuis Internet aux équipements locaux. Si une administration distante est retenue, elle doit passer par une architecture d’administration dédiée et sécurisée, avec des postes maîtrisés, des comptes identifiables, une journalisation et une révocation. L’accès est limité aux périodes ou besoins définis et les actions sensibles sont idéalement approuvées par le responsable désigné côté client.

À la fin de la prestation, les accès du prestataire sont révoqués, les secrets concernés sont renouvelés et la documentation est remise. Le client récupère l’inventaire, les sauvegardes, les licences et la procédure d’administration nécessaires pour changer d’interlocuteur sans perdre son propre système.

• Accès de maintenance désactivé par défaut ou strictement contrôlé
• Comptes techniciens identifiables et actions journalisées
• Périmètre et horaires d’intervention définis
• Révocation, rotation des secrets et restitution documentaire en fin de contrat

Les 15 exigences à copier dans une demande de devis

Ces points permettent de comparer deux architectures au-delà de la résolution des caméras. Ils doivent être adaptés à la taille du site, à son système d’information et au niveau de risque. Protectas peut les traiter pour le périmètre vidéo et travailler avec le responsable informatique ; cela ne remplace pas un audit de cybersécurité global de l’entreprise.

La recette finale vérifie que les exigences écrites existent réellement dans la configuration et les documents remis. Une capture d’écran ou un inventaire daté vaut mieux qu’une promesse générique de “réseau sécurisé”.

• 1. Inventaire complet des équipements, versions et adresses
• 2. Système vidéo cloisonné du réseau métier : séparation physique privilégiée, à défaut cloisonnement logique et flux filtrés
• 3. Aucun port d’administration exposé directement sur Internet
• 4. Flux vidéo et d’administration chiffrés et authentifiés ; accès distant sécurisé et révocable
• 5. MFA activée lorsqu’elle est disponible et pertinente
• 6. Comptes nominatifs et droits selon les rôles
• 7. Secrets par défaut supprimés et mots de passe non réutilisés
• 8. Services, interfaces et fonctions inutiles désactivés
• 9. Versions, correctifs et fin de support suivis
• 10. NVR, switches, ports et caméras physiquement protégés
• 11. Horloge synchronisée sur une source fiable
• 12. Connexions, exports, changements et défauts journalisés
• 13. Configurations sauvegardées et restauration testée
• 14. Télémaintenance encadrée et révocable
• 15. Identifiants, licences, sauvegardes et documentation remis au client