Pourquoi vos appareils IIoT doivent être connectés à un réseau privé

Le problème des adresses IP statiques publiques sur les appareils industriels

Une adresse IP publique statique sur un contrôleur industriel ou une passerelle constitue une invitation ouverte aux pirates informatiques. Ce n’est pas une figure de style. Les systèmes connectés à Internet sont constamment analysés par des outils automatisés à la recherche de ports ouverts, de vulnérabilités connues et d’identifiants par défaut. L’éloignement géographique d’un site n’offre aucune protection. Dès lors qu’un appareil accepte des connexions entrantes provenant d’une adresse publique routable, il est accessible à toute personne disposant d’une connexion Internet, quel que soit son emplacement géographique.

La plupart des opérateurs industriels savent déjà que les équipements OT connectés à Internet constituent un risque. Le problème n’a jamais été le manque de sensibilisation, mais bien la mise en œuvre. La mise en place d’une architecture plus sécurisée a toujours impliqué l’utilisation de VPN, de VLAN, de routes statiques, ainsi qu’une équipe disposant de l’expertise nécessaire pour gérer l’ensemble de ces éléments. Pour les organisations ne disposant pas de personnel dédié à la sécurité, ce coût et cette complexité ont fait de l’Internet public la solution la plus facile, même lorsque tous les participants à la réunion savent pertinemment que cela ne devrait pas être le cas.

En avril 2026, des agences gouvernementales américaines ont publié un avis conjoint confirmant que des acteurs malveillants liés à l’Iran exploitaient activement des automates programmables (PLC) connectés à Internet dans des réseaux d’approvisionnement en eau et de traitement des eaux usées. L’évaluation de Darktrace est sans appel : les composants des systèmes de contrôle connectés à Internet constituent « l’une des sources de risque OT les plus évidentes et les plus évitables ». Évitables, mais seulement si une alternative est réellement à portée de main.³

Dans le domaine des infrastructures industrielles (contrôleurs gérant les pompes, les vannes et les débits sur des sites sans personnel), les conséquences vont bien au-delà de la simple perte de données. Selon Dragos, les incidents liés aux ransomwares ciblant les systèmes OT ont entraîné des arrêts partiels de l’activité dans 75 % des entreprises industrielles touchées en 2024^.¹ Lorsqu’un contrôleur se déconnecte ou exécute une logique non autorisée, l’impact est physique. Les pompes s’arrêtent. Les vannes tombent en panne. Les gens s’en aperçoivent.

La solution est simple : il suffit de déconnecter complètement les appareils de l'Internet public. Cela ne signifie pas pour autant renoncer à l'accès à distance, mais plutôt sécuriser cet accès via un réseau privé et chiffré, plutôt que d'exposer des ports entrants à l'Internet public.

Ce qu'un réseau privé protège réellement

Le transfert des appareils vers un réseau privé n'est pas simplement une étape à cocher sur une liste. Cela modifie le profil de risque fondamental d'un déploiement à distance. Voici contre quoi cette transition permet réellement de se prémunir.

Élimine toute exposition entrante vers Internet

Sans adresse IP publique statique, un scanner n’a rien à détecter. Le balayage opportuniste (le vecteur d’accès initial le plus courant dans les environnements OT) repose sur la détection de services exposés à explorer. En supprimant cette exposition entrante, on élimine complètement le point d’entrée. Selon Nozomi Networks, plus de la moitié des organisations disposant d’environnements OT restent connectées à Internet de manière non sécurisée. La suppression de cette exposition reste un facteur de différenciation, et non la norme du secteur^.⁴

Maintient le trafic opérationnel à l'intérieur d'une zone sécurisée

Les commandes SCADA, les relevés des capteurs, les mises à jour du micrologiciel et les modifications de configuration ne doivent jamais transiter par des réseaux publics sans protection. Sur un réseau privé, ce trafic reste confiné à une périmètre défini et contrôlé. Des tunnels chiffrés protègent les données opérationnelles, même au niveau de la couche de transport sous-jacente, qu’elle soit cellulaire ou filaire. Cette couche revêt une importance bien plus grande que ne le pensent la plupart des équipes : selon les données de renseignement sur les menaces pour la période 2025-2026, plus de 60 % des appareils de l’ IoT transmettent actuellement des données sans chiffrement. Lorsque les appareils ne peuvent pas protéger leur propre trafic, c’est au réseau de le faire.⁵

Permet un contrôle d'accès à plusieurs niveaux

Sur un réseau privé, l’accès est contrôlé au niveau du réseau avant même qu’un utilisateur ne s’authentifie auprès du périphérique lui-même. Seuls les utilisateurs autorisés peuvent accéder aux périphériques. Il s’agit d’un modèle très différent de celui reposant uniquement sur les identifiants des périphériques. La norme NIST SP 800-82 Rev. 3 et la norme CEI 62443 exigent toutes deux un accès selon le principe du privilège minimal et une authentification forte pour l’accès à distance aux systèmes OT.^⁶ Il est impossible d’appliquer ces contrôles sur un appareil auquel n’importe qui sur Internet peut déjà accéder. Un réseau privé offre la première couche de protection, tandis que les contrôles au niveau de l’appareil ajoutent une couche supplémentaire en régissant ce que les utilisateurs autorisés peuvent faire une fois connectés.

Digi Axess prend en charge soit l'authentification multifactorielle (MFA), soit l'authentification unique (SSO) par utilisateur, mais pas les deux simultanément. Chaque utilisateur est configuré selon un seul de ces modèles. Le contrôle d'accès basé sur les rôles et la délimitation par groupes d'appareils s'appliquent aux deux modes d'authentification ; l'accès est donc toujours limité par le rôle défini de l'utilisateur et les groupes d'appareils auxquels il est autorisé à accéder.

Limiter la portée d'un incident

Même les environnements bien sécurisés sont confrontés à des incidents. La véritable question est de savoir jusqu’où un incident peut se propager, ce qui dépend fortement de l’architecture du réseau privé lui-même. Un réseau correctement segmenté peut limiter la portée d’une compromission, de sorte qu’un problème sur un site distant ne crée pas automatiquement une voie de propagation vers d’autres sites ou vers les systèmes informatiques de l’entreprise. Selon le NCC Group, le secteur industriel représentait 29,6 % de l’ensemble des activités liées aux ransomwares au cours des 12 mois précédant mars 2026.^⁷ La segmentation ne suffit pas à elle seule à empêcher les incidents. C’est sa conception qui détermine si un site seul ne va pas se transformer en dix.

L'objection concernant l'accès à distance (et la bonne réponse)

Voici l'objection que nous entendons le plus souvent de la part des entreprises qui envisagent de mettre en place des réseaux privés : « Nous devons pouvoir accéder à ces appareils à distance. S'ils ne sont pas connectés à Internet, comment allons-nous les gérer ? »

C'est la bonne question. La mauvaise réponse, c'est une adresse IP publique statique avec des ports entrants ouverts. La bonne réponse, c'est un VPN spécialement conçu qui vous offre tout l'accès opérationnel dont vous avez besoin sans exposer aucun appareil à un trafic entrant non sollicité.

Le VPN Digi Axess est spécialement conçu pour les déploiements industriels décentralisés. Les appareils établissent une connexion sortante via le réseau mobile, par le biais d’un tunnel réseau privé chiffré. Aucun port entrant n’est jamais ouvert. Aucune adresse routable publiquement n’est requise. Les utilisateurs autorisés accèdent aux appareils via la plateforme, et non via une adresse exposée à Internet. L’accès à distance s’effectue via le tunnel privé, et non en le contournant.^8,9

Ce que permet le VPN Digi Axess

Le passage à un modèle de réseau privé avec le VPN Digi Axess ne limite en rien les capacités de votre équipe. Au contraire, il les élargit, sans les contraintes liées à la gestion d'adresses IP publiques statiques au sein d'un parc d'appareils dispersés.

Une visibilité totale à distance sans exposition publique

Digi Axess VPN offre une surveillance centralisée pour les déploiements industriels décentralisés : alertes en cas de dépassement de seuils, comparaisons à l’échelle du parc et synthèses opérationnelles, le tout accessible via la plateforme. Aucune connexion entrante directe vers Internet n’est requise pour aucun appareil. Votre équipe bénéficie ainsi de la visibilité dont elle a besoin. Les appareils restent totalement hors de l’Internet public.¹⁰

Accès sécurisé direct aux appareils via une connexion VPN

VPN Link permet aux opérateurs autorisés d'accéder directement, via une interface utilisateur Web, aux appareils connectés depuis la plateforme Digi Axess, sans avoir besoin d'un logiciel client VPN distinct, d'une adresse IP publique statique ni de redirection de port. L'accès est authentifié, consigné et soumis à des autorisations basées sur les rôles. Lorsqu'un technicien doit accéder à un contrôleur situé sur un site distant non surveillé, il y parvient via un tunnel privé. Aucune exposition permanente vers l'extérieur n'est créée.¹⁰

Résilience du réseau au niveau des opérateurs

Pour les sites isolés où l'intervention d'un technicien implique plusieurs heures de trajet et des coûts réels, la résilience du réseau est essentielle. Le service Digi Mobile Private Network (MPN) assure une bascule automatique vers chaque opérateur, ce qui permet de maintenir la connectivité en cas de perturbation sans intervention de la part de l'opérateur. Cette résilience s'applique tant au niveau des opérateurs qu'au niveau du réseau. Le tunnel privé lui-même reste fermé à tout accès extérieur à tout moment.¹¹

Gestion centralisée des cartes SIM et des actifs

La mise à jour de la plateforme Digi Axess de juin 2026 a ajouté une fonctionnalité de gestion centralisée des cartes SIM (ICCID, IMEI, adresse IP et informations relatives à la carte SIM au niveau du compte) directement au sein de la plateforme pour les clients bénéficiant d’un forfait de données Digi. L’inventaire est mis à jour automatiquement lorsque les appareils se connectent ou se déconnectent. Si vous gérez des dizaines, voire des centaines de sites distants, cela remplace le suivi manuel via des tableurs par une visibilité automatisée et permet d’identifier plus rapidement les appareils hors ligne ou présentant un comportement inattendu.¹⁰

Plusieurs de ces fonctionnalités sont rendues possibles grâce à la maîtrise de bout en bout du matériel, des cartes SIM mobiles, du réseau privé et de l'infrastructure cloud. Il s'agit là d'une architecture qu'aucun assemblage d'outils tiers ne peut reproduire.

Conformité : pourquoi le choix de l'architecture est-il aujourd'hui si important ?

Le choix de l'architecture n'est pas uniquement d'ordre opérationnel. Il a une incidence directe sur les exigences de conformité auxquelles les équipes industrielles sont de plus en plus tenues de se conformer, et que les autorités de régulation surveillent de plus en plus attentivement.

La norme internationale CEI 62443, relative à la cybersécurité des systèmes d’automatisation et de contrôle industriels, préconise la segmentation du réseau selon un modèle de zones et de canaux, le chiffrement des communications et un contrôle d’accès basé sur les rôles pour les sessions à distance. La norme NIST SP 800-82 Rev. 3, le guide fédéral américain sur la sécurité des systèmes OT, s’aligne explicitement sur la norme CEI 62443 et exige un accès selon le principe du moindre privilège ainsi qu’une authentification forte pour l’accès à distance aux systèmes OT. Ces deux référentiels mettent en évidence la même réalité architecturale : les environnements OT qui ne sont pas segmentés par rapport aux réseaux externes présentent un profil de risque fondamentalement plus élevé. Ce n’est pas une opinion. C’est la position officielle du référentiel.⁶

Le VPN Digi Axess prend en charge les contrôles architecturaux préconisés par ces référentiels : communications chiffrées, architecture de tunnel à sortie uniquement et accès à distance contrôlé. Il ne certifie ni ne garantit la conformité de votre organisation ; celle-ci relève de la responsabilité de votre équipe. Pour les déploiements nécessitant une segmentation réseau dédiée afin de répondre aux exigences en matière de zones et de conduits, Digi peut prendre en charge cette configuration. Contactez votre représentant Digi pour discuter des options de déploiement.⁸

La loi européenne sur la cyber-résilience (règlement (UE) 2024/2847) ajoute un niveau réglementaire contraignant. À compter du 11 septembre 2026, les fabricants de produits connectés commercialisés sur les marchés de l’UE devront signaler à l’ENISA, dans un délai de 24 heures, les vulnérabilités activement exploitées. L'ensemble des exigences de conformité, notamment la sécurité dès la conception et la gestion documentée des vulnérabilités, s'appliquera à compter du 11 décembre 2027. Pour les opérateurs industriels gérant des équipements OT sur les marchés de l'UE, une architecture de réseau privé avec un accès à distance contrôlé est directement pertinente pour démontrer le respect de ces obligations.^12,13

Les organisations qui ont déjà adopté un modèle de réseau privé (avec des tunnels cryptés, un accès à distance basé sur les rôles et une gestion centralisée des actifs) sont généralement mieux préparées lorsque viennent les évaluations. Une seule décision architecturale permet de répondre simultanément à plusieurs exigences des référentiels, plutôt que de devoir mettre en œuvre des contrôles point par point a posteriori.

Premiers pas avec le VPN Digi Axess

Digi Axess VPN est compatible avec le matériel existant. Aucune refonte de l'infrastructure n'est nécessaire pour déconnecter vos appareils de l'Internet public. Il vous suffit d'un tunnel cellulaire chiffré à sortie uniquement, d'une plateforme de gestion et d'un pare-feu qui reste fermé.

Chaque jour où un appareil OT distant est connecté à une adresse IP publique statique avec des ports entrants exposés est un jour où il figure sur la liste des cibles de scan.^1,2 Pour en savoir plus ou demander une démonstration, rendez-vous sur la page Digi Axess ou contactez Digi à l'adresse digi.com/contactus.

Foire aux questions sur les réseaux privés et les VPN

Prochaines étapes

• Prêt à parler à un expert Digi ? Contactez nous
• Vous voulez en savoir plus sur Digi ? Inscrivez-vous à notre bulletin d'information
• Ou achetez maintenant des solutions Digi : Comment acheter

Ressources