7 priorités en cybersécurité vidéosurveillance

Une caméra IP mal administrée peut devenir un point d’entrée vers le réseau du site, au même titre qu’un poste informatique ou un équipement connecté. La cybersécurité vidéosurveillance ne se limite donc pas au choix d’une caméra : elle concerne l’architecture réseau, les identités, les accès distants, les enregistreurs et les pratiques d’exploitation. Pour un site industriel, logistique ou multi-sites, l’enjeu est de conserver un dispositif disponible, exploitable et proportionné aux risques réels.

Pourquoi la vidéosurveillance doit être traitée comme un système d’information

Les caméras, serveurs VMS, enregistreurs NVR, postes de supervision et applications mobiles échangent des données en continu. Ils disposent d’adresses IP, de comptes utilisateurs, de services réseau et parfois d’accès au cloud ou à la maintenance distante. Leur indisponibilité peut empêcher une levée de doute, compliquer la gestion d’un incident ou interrompre la supervision d’une zone sensible.

Le risque ne vient pas uniquement d’une attaque ciblée. Un mot de passe resté par défaut, un firmware ancien, un port ouvert sans nécessité ou un compte prestataire encore actif créent des faiblesses évitables. À l’inverse, une configuration trop restrictive peut dégrader la qualité de consultation des images ou ralentir les interventions de maintenance. La bonne réponse repose sur un dimensionnement cohérent, construit avec les équipes sûreté, informatique et exploitation.

Les 7 priorités de la cybersécurité en vidéosurveillance

1. Segmenter le réseau vidéo

Les équipements de vidéosurveillance doivent, dans la majorité des architectures, être isolés du réseau bureautique par une segmentation adaptée, par exemple au moyen de VLAN et de règles de filtrage. Cette séparation limite la propagation d’un incident et facilite la supervision des flux.

Le niveau de cloisonnement dépend toutefois du site. Une plateforme logistique avec plusieurs centaines de caméras, des lecteurs de contrôle d’accès et un poste central de supervision ne se traite pas comme une installation autonome de quelques caméras. L’audit initial doit identifier les flux nécessaires entre les équipements, les postes autorisés et les services externes.

2. Éliminer les identifiants par défaut

Chaque caméra, enregistreur et logiciel de gestion doit disposer de comptes administrateurs uniques et de mots de passe conformes à la politique de l’organisation. Les comptes génériques, partagés par plusieurs intervenants, réduisent la traçabilité et compliquent la révocation des droits.

La gestion des accès doit suivre la réalité de l’exploitation : un opérateur de PC sécurité n’a pas les mêmes droits qu’un administrateur informatique, un mainteneur ou un responsable de site. Lorsque la solution le permet, l’authentification multifacteur apporte une protection supplémentaire pour les accès sensibles ou distants.

3. Sécuriser l’accès distant sans exposer les équipements

La consultation à distance est souvent nécessaire pour les responsables sûreté, les sites multi-implantations ou les opérations de maintenance. Elle ne doit pas conduire à exposer directement les interfaces d’administration des caméras ou des enregistreurs sur Internet.

Un accès distant maîtrisé s’appuie généralement sur un VPN, une passerelle sécurisée ou une architecture validée par la DSI. Les accès doivent être nominatifs, limités dans le temps lorsque cela est pertinent, et journalisés. Les fonctions de connexion simplifiée ou les services pair-à-pair peuvent répondre à certains besoins, mais leur usage doit être évalué au regard de la politique de sécurité du client et de la sensibilité du site.

4. Maintenir firmwares et logiciels dans la durée

Un système de vidéosurveillance ne reste pas sécurisé par la seule qualité de son installation initiale. Les éditeurs publient des correctifs, les certificats expirent, les versions logicielles évoluent et les vulnérabilités connues doivent être suivies.

Toute mise à jour doit cependant être préparée. Sur un site en exploitation, appliquer un firmware sans validation peut affecter la compatibilité avec le VMS, les règles d’analyse vidéo ou les enregistrements. Une démarche sérieuse prévoit l’inventaire des équipements, la vérification des prérequis, une fenêtre d’intervention et un contrôle de bon fonctionnement après déploiement.

5. Protéger les enregistrements et les sauvegardes

Les images ont une valeur opérationnelle lorsqu’elles sont disponibles au bon moment, avec une horodatation fiable et une qualité suffisante. Il faut donc protéger les capacités de stockage, surveiller l’état des disques et prévoir une stratégie de sauvegarde lorsque les enjeux du site le justifient.

La conservation, le chiffrement éventuel et les droits d’export doivent être définis selon les besoins d’exploitation, les exigences internes et le cadre applicable. Les exports d’images méritent une attention particulière : ils peuvent contenir des données sensibles et doivent être accessibles uniquement aux personnes habilitées.

6. Journaliser et superviser les événements utiles

Les journaux de connexion, les changements de configuration, les pertes de communication et les défauts de stockage permettent de détecter une dérive avant qu’elle ne compromette l’exploitation. Encore faut-il que ces événements soient centralisés, conservés et consultables par les équipes concernées.

L’objectif n’est pas d’accumuler des alertes. Il consiste à définir des seuils exploitables : caméra hors ligne, saturation de stockage, tentative répétée d’authentification, changement de droit ou arrêt d’un service critique. Cette supervision doit être reliée à des procédures d’intervention claires.

7. Intégrer la cybersécurité dès la conception

La cybersécurité ne s’ajoute pas utilement à la fin d’un chantier. Elle se définit pendant l’étude, en même temps que les champs de vision, les besoins de détection, les niveaux d’enregistrement et les contraintes de réseau. C’est aussi à ce stade que sont arbitrés les accès distants, les responsabilités entre DSI et sûreté, ainsi que les modalités de maintenance.

Chez SES Sécurité, cette logique d’intégration vise à faire converger protection physique et exigences numériques. L’analyse vidéo intelligente, les caméras thermiques ou la supervision centralisée renforcent l’efficacité opérationnelle lorsqu’elles sont correctement paramétrées, maintenues et intégrées à une architecture maîtrisée.

Une exigence à inscrire dans le cycle de vie de l’installation

Un audit périodique reste le moyen le plus fiable de vérifier que l’installation correspond encore aux usages du site : évolution des flux, ajout de bâtiments, nouveaux prestataires, renouvellement du parc informatique ou changement de politique d’accès. Il permet également de contrôler les comptes actifs, les versions logicielles, les règles réseau et la capacité de stockage.

La cybersécurité d’un système de vidéosurveillance se mesure moins à une fonctionnalité isolée qu’à la cohérence de l’ensemble. Voir clair, agir juste : une installation utile est une installation dont les images, les accès et la supervision restent fiables quand le site en a besoin.