Segmentation réseau
Une centrale solaire est rarement un réseau unique et plat. Derrière le routeur du site se trouve généralement le réseau de commande, avec les onduleurs, les enregistreurs et la téléconduite — et à côté, un réseau pour les caméras, un pour l'alarme et le contrôle d'accès, et un pour le matériel réseau lui-même.
Les personnes qui interviennent sur ces réseaux sont rarement les mêmes. L'entreprise d'alarme doit atteindre les caméras. Elle n'a rien à faire sur les onduleurs.
C'est exactement ce qu'exprime la segmentation réseau dans Mirox : chaque réseau reçoit une étiquette, et chaque partenaire n'atteint que les segments que vous lui avez accordés.
Pourquoi cela compte pour KRITIS et NIS2
La commande de la centrale est la partie qui intéresse les cadres réglementaires. KRITIS et NIS2 attendent des exploitants qu'ils maintiennent l'accès au strict minimum et qu'il soit traçable — c'est-à-dire pouvoir répondre à qui pouvait atteindre la commande et qui l'a effectivement atteinte.
La segmentation fournit les deux moitiés de cette réponse :
- Moindre privilège par construction. Une organisation partenaire reçoit des segments précis. Tout le reste — au premier chef le réseau de commande — n'est pas seulement masqué dans son interface : il est absent du routage de son accès distant. Elle ne peut pas l'atteindre, même en connaissant son adresse.
- Traçabilité. Chaque session d'accès distant est consignée dans le journal d'accès de la centrale : qui s'est connecté, à quel équipement, quand et combien de temps. Les tentatives refusées aussi.
Vous pouvez ainsi faire intervenir un prestataire de sécurité externe sans étendre sa portée aux équipements de production — et le démontrer.
Les segments
Chaque réseau enregistré dans Mirox peut porter une ou plusieurs étiquettes. Elles ne s'excluent pas : un VLAN contenant à la fois des caméras et une centrale d'alarme reçoit les deux.
| Segment | Ce qui s'y trouve |
|---|---|
| Infrastructure réseau | Routeurs, commutateurs, pare-feux, points d'accès. |
| Caméras | Caméras, enregistreurs NVR, encodeurs vidéo. |
| Systèmes de sécurité | Centrales d'alarme, contrôle d'accès, détection périmétrique et d'intrusion. |
| Commande de la centrale | Onduleurs, enregistreurs, téléconduite (API). |
La commande de la centrale est une restriction, pas une simple étiquette. Un réseau portant cette étiquette reste hors de portée d'un rôle limité à des segments, même s'il porte aussi une étiquette accordée à ce rôle — car une caméra partageant un VLAN avec l'automate ne rend pas l'automate exposable.
Réseaux sans étiquette
Un réseau sans étiquette est non classifié. Rien ne change pour votre propre équipe : exploitants, gestionnaires techniques et commerciaux atteignent ces réseaux exactement comme avant.
En revanche, un rôle dont la portée est définie par segments n'y entre pas. C'est délibéré : personne n'a précisé ce qu'il contient, et dans une centrale solaire un réseau non étiqueté peut très bien porter des onduleurs — Mirox ne devine pas.
Conséquence pratique : après avoir accordé le rôle Responsable sécurité, étiquetez les réseaux qu'il doit atteindre. Tant que ce n'est pas fait, il ne voit rien.
Le rôle Responsable sécurité
Responsable sécurité est le premier rôle dont la portée est définie par ces étiquettes. Il est conçu pour un prestataire externe en alarme, vidéosurveillance ou protection périmétrique :
- Atteint les équipements réseau de ses segments accordés, par les deux voies d'accès distant — le proxy d'équipement et le VPN personnel.
- Consulte le journal d'accès de la centrale et voit donc sa propre trace.
- Peut créer et suivre des tickets sur ce qu'il constate.
- Ne voit aucune donnée de production, de performance, de revenus ou de contrat — ces parties de Mirox n'existent pas pour ce rôle.
- N'atteint jamais un réseau de commande de la centrale.
Le rôle s'accorde par centrale ou par portefeuille, ou se partage via une coopération avec l'organisation du partenaire. Aucun rôle d'organisation ne s'y transforme de lui-même.
Mise en place
- Ouvrez les paramètres réseau de la centrale et étiquetez chaque réseau selon ce qu'il contient. C'est possible lors de la création d'une connexion VPN ou ultérieurement sur une connexion existante.
- Accordez au partenaire le rôle Responsable sécurité — sur une seule centrale, sur un portefeuille, ou via une coopération avec son organisation.
- Vérifiez le résultat dans la liste des équipements de la centrale : le partenaire ne voit que les équipements de ses segments.
Les étiquettes se modifient à tout moment. En retirer une rend le réseau inaccessible dès la prochaine connexion du partenaire ; en ajouter une l'ouvre. Aucun identifiant n'a besoin d'être réémis.
Voir aussi
- Système de permissions — les rôles auxquels ces segments s'appliquent.
- Journal d'accès — qui a atteint quoi, et quand.
- Restrictions de coopération — ce qu'une organisation partenaire peut recevoir.
- Accès distant — comment le proxy d'équipement et le VPN personnel atteignent une centrale.