À mesure que les bâtiments deviennent de plus en plus connectés, la limite entre les systèmes numériques et les infrastructures physiques continue de s’estomper. Autrefois considérée comme une préoccupation relevant principalement des services informatiques, la sécurité des systèmes cyberphysiques est désormais devenue un enjeu de taille pour le secteur de l’architecture, de l’ingénierie et de la construction (AIC)

Les bâtiments modernes s’appuient dorénavant sur des réseaux interconnectés de capteurs, de systèmes de contrôle et de plateformes logicielles pour gérer une vaste gamme de fonctions, allant du contrôle des accès et des systèmes CVC à la performance énergétique et aux systèmes de sécurité des personnes. Si cette connectivité permet de créer des environnements plus intelligents et plus réactifs, elle introduit également de nouvelles vulnérabilités, de sorte que des failles numériques peuvent entraîner des conséquences concrètes dans le monde physique

De la cybersécurité aux risques cyberphysiques

La cybersécurité traditionnelle se concentre sur la protection des données, des réseaux et des systèmes d’information. La sécurité des systèmes cyberphysiques étend cette préoccupation aux systèmes dans lesquels des commandes numériques agissent directement sur des actifs physiques

Dans l’environnement bâti, ces systèmes comprennent notamment les systèmes d’automatisation des bâtiments (BAS), les systèmes de contrôle industriels (ICS), les systèmes de contrôle d’accès intelligents ainsi que les infrastructures connectées. Selon l’Institut national des normes et de la technologie (NIST), les systèmes cyberphysiques nécessitent des approches de sécurité intégrées qui tiennent compte à la fois des risques informatiques et physiques (Cadre des systèmes cyberphysiques du NIST [NIST Cyber-Physical Systems Framework])

Pour les acteurs du secteur AIC, cette évolution signifie que les impératifs de sécurité ne peuvent plus être laissés à la seule responsabilité des équipes informatiques une fois le bâtiment occupé. Au contraire, les risques cyberphysiques doivent être pris en considération dès les phases de conception, d’élaboration du cahier des charges et de construction

Pourquoi la sécurité des systèmes cyberphysiques est importante pour le secteur AIC

Les conséquences des vulnérabilités cyberphysiques vont bien au-delà de la perte de données. Lorsque les systèmes d’un bâtiment sont compromis, les activités peuvent être perturbées, les occupants mis en danger et la confiance du public s’éroder, en particulier dans les installations critiques telles que les hôpitaux, les pôles de transport et les bâtiments publics

Des recherches menées par le Forum économique mondial soulignent l’exposition croissante des infrastructures aux attaques cyberphysiques et montrent que l’accélération de la numérisation a dépassé la capacité de nombreuses organisations à adopter une gestion globale des risques (WEF : Cyberrésilience des infrastructures [Cyber Resilience in Infrastructure])

Dans les projets du secteur AIC, la responsabilité à l’égard de ces systèmes est souvent répartie entre plusieurs disciplines et fournisseurs, ce qui accroît le risque de lacunes en matière d’imputabilité et de supervision

Les décisions de conception façonnent les résultats en matière de sécurité

La sécurité des systèmes cyberphysiques n’est pas uniquement une question technique : elle est fortement influencée par les décisions prises dès la conception et tout au long de la réalisation du projet. Les choix relatifs à l’intégration des systèmes, à l’interopérabilité entre fournisseurs et aux voies d’accès peuvent soit atténuer, soit aggraver les risques

Par exemple, des systèmes techniques d’un bâtiment étroitement intégrés peuvent améliorer l’efficacité opérationnelle, mais aussi créer des vulnérabilités en cascade s’ils ne sont pas correctement segmentés. Les recommandations de l’Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) soulignent l’importance de la segmentation des réseaux et d’une architecture de système sécurisée pour protéger les infrastructures physiques (CISA : Sécurisation des systèmes de contrôle industriels [Securing Industrial Control Systems])

Les architectes et les ingénieurs jouent un rôle essentiel en coordonnant ces considérations dès les premières étapes du projet et en veillant à ce que les objectifs de sécurité s’alignent sur les exigences en matière de performance, d’utilisabilité et de cycle de vie des systèmes

Le rôle des normes et des référentiels

À mesure que la prise de conscience des risques cyberphysiques s’accroît, les normes du secteur évoluent afin d’offrir un cadre plus structuré et de garantir une plus grande imputabilité. Des référentiels, tels que la norme ISO/IEC 27001 sur la sécurité de l’information et la norme IEC 62443 sur les systèmes d’automatisation et de contrôle industriels, sont de plus en plus souvent cités dans les projets d’infrastructures et les projets institutionnels (Présentation de la norme IEC 62443)

Bien que ces normes ne soient pas toujours explicitement exigées dans les projets de construction, elles offrent de précieuses lignes directrices pour harmoniser les pratiques de sécurité numérique avec la conception des systèmes physiques

Pour les entreprises du secteur de l’architecture, de l’ingénierie et de la construction (AIC), la maîtrise de ces référentiels renforce leur crédibilité et favorise une collaboration plus éclairée avec les propriétaires, les exploitants et les partenaires technologiques

La sécurité des systèmes cyberphysiques : un enjeu tout au long du cycle de vie

L’un des principaux défis liés à la gestion des risques cyberphysiques tient au fait que les bâtiments ont souvent une durée de vie beaucoup plus longue que les technologies qui y sont intégrées. Les systèmes choisis aujourd’hui peuvent demeurer en service pendant des décennies, alors que les logiciels et les protocoles de sécurité évoluent rapidement

Des études du MIT soulignent que la résilience des systèmes cyberphysiques repose sur leur capacité d’adaptation, une surveillance continue et une gouvernance interdisciplinaire tout au long de leur cycle de vie (MIT : Sécurité des systèmes cyberphysiques [Cyber-Physical Systems Security]). Cela renforce l’importance de concevoir des bâtiments en prévoyant des possibilités de mise à niveau, des mécanismes de contrôle d’accès et une flexibilité opérationnelle

Vers des bâtiments plus sécurisés et plus résilients

À mesure que la connectivité numérique devient indissociable des infrastructures physiques, la sécurité des systèmes cyberphysiques influencera de plus en plus la façon dont les bâtiments sont conçus, réalisés et exploités. Pour le secteur AIC, relever ce défi exige de dépasser le cloisonnement des responsabilités et d’adopter une approche plus intégrée à l’échelle des systèmes

En intégrant les considérations de sécurité cyberphysique dès les premières étapes de la conception et en les alignant sur les objectifs de performance et d’exploitation, les équipes de projet peuvent contribuer à faire en sorte que les bâtiments intelligents soient non seulement efficaces et réactifs, mais aussi résilients et sécuritaires