IoT, capteurs et automatisation · Exigences des demandes de prix
Cybersécurité de l'IoT agricole : que demander aux fournisseurs de capteurs, d'automates et de plateformes ?
Sources vérifiées le · Par l'équipe sourcing de SeedMatch Group · Informations générales, pas un conseil juridique ou agronomique
Réponse courte
Les capteurs connectés, les ordinateurs climatiques et les contrôleurs d'irrigation pilotent la culture : traitez-les comme des équipements d'exploitation, pas comme des gadgets. Dans la demande de prix, exigez des identifiants propres à chaque appareil plutôt que des mots de passe par défaut partagés, une procédure sécurisée de mise à jour logicielle assortie d'une durée de support annoncée, un accès distant maîtrisé, la protection et l'exportation des données, la journalisation et une procédure publique de signalement des vulnérabilités. Le socle de cybersécurité des appareils IoT du NIST et ETSI EN 303 645 fournissent une première liste pratique. Demandez aussi ce que fait le système en cas de panne réseau : l'irrigation et la régulation climatique doivent basculer vers un mode local sûr.
Comparatif et liste de contrôle
| Exigence | Intérêt pour une exploitation ou une serre | Justificatifs à demander |
|---|---|---|
| Identité et inventaire des appareils | Vous ne pouvez pas sécuriser ni remplacer des appareils que vous ne pouvez pas identifier | Inventaire avec modèle, numéro de série, micrologiciel et emplacement |
| Identifiants uniques, sans mots de passe universels par défaut | Les mots de passe par défaut partagés sont un point d'entrée courant | Description du dispositif d'identification et de la politique de mots de passe |
| Mises à jour logicielles sécurisées et durée de support | Les automates non corrigés restent vulnérables pendant toute la durée de vie de la serre | Procédure de mise à jour, méthode de signature et date de fin du support |
| Accès distant maîtrisé | Les accès distants de l'installateur et du fournisseur restent souvent ouverts après la mise en service | Méthode d'accès distant, authentification multifacteur des comptes cloud, comptes utilisateurs nominatifs |
| Protection et propriété des données | Les données de culture et de climat ont une valeur commerciale et peuvent être nécessaires en cas de changement de fournisseur | Chiffrement en transit, format d'exportation des données, clause contractuelle de propriété |
| Journalisation et alertes | Vous devez pouvoir repérer les échecs de connexion, les changements de configuration et les appareils hors ligne | Types de journaux, durée de conservation et canaux d'alerte |
| Signalement des vulnérabilités | Les fournisseurs doivent recevoir les signalements de failles et les corriger | Coordonnées ou politique publiques de signalement des vulnérabilités |
| Comportement sûr en cas de perte du réseau | L'irrigation et la régulation climatique ne doivent ni s'arrêter ni fonctionner sans contrôle si Internet est coupé | Description et essai du fonctionnement local de repli |
Questions à trancher avant l'achat
- Quels systèmes peuvent modifier à distance les réglages d'irrigation, de dosage ou de climat, et qui peut s'y connecter ?
- Pendant combien de temps le fournisseur assurera-t-il les mises à jour de sécurité de chaque appareil et de la plateforme cloud ?
- Pouvez-vous exporter votre historique de données dans un format ouvert si vous changez de fournisseur ?
- Que deviennent l'irrigation et la régulation climatique si la connexion Internet ou le service cloud tombe en panne ?
Risques à maîtriser
- Mots de passe par défaut ou partagés conservés après l'installation.
- Comptes d'accès distant du fournisseur restant actifs après la mise en service.
- Appareils arrivant en fin de support pendant la durée d'exploitation du projet.
- Données enfermées dans une plateforme propriétaire sans possibilité d'exportation.
- Comportement dangereux des automates en cas de perte de connectivité.
Ce qui détermine le coût
Facteurs qualitatifs uniquement : les prix dépendent de la spécification, du volume, de l'origine et du calendrier, et proviennent des devis fournisseurs.
- Durée d'engagement pour les mises à jour de sécurité et le support
- Équipements de segmentation réseau et outils d'accès distant sécurisé
- Intégration des plateformes de gestion climatique, d'irrigation et de suivi
- Prestations de surveillance gérée ou contrats de service
- Formation de l'équipe d'exploitation
Enjeux de durabilité
- Un pilotage fiable et sécurisé permet de respecter les consommations d'eau, d'engrais et d'énergie prévues.
- Une longue durée de support prolonge la vie des équipements et réduit les remplacements prématurés.
- L'exportation dans un format ouvert permet de conserver vos historiques d'efficience lors d'un changement de système.
Prochaines étapes
- Répertoriez chaque appareil connecté et les personnes qui doivent y accéder.
- Ajoutez le tableau des exigences à vos demandes de prix pour les capteurs, les automates et les plateformes.
- Demandez à chaque fournisseur de démontrer le fonctionnement de repli lors de la réception sur site.
- Supprimez ou renouvelez les identifiants de l'installateur lors de la remise de l'installation.
Outils et listes de contrôle
Prêt à comparer des offres fournisseurs ?
Un spécialiste sourcing de SeedMatch Group examine chaque demande et obtient des offres comparables auprès de fournisseurs indépendants. Le service est gratuit pour les acheteurs ; les projets commencent à 250 000 USD.
Demander un devis pour un projet de serre (EN)Questions fréquentes
ETSI EN 303 645 est-elle obligatoire pour les capteurs agricoles ?
EN 303 645 vise l'IoT grand public ; les appareils agricoles professionnels peuvent donc ne pas relever de son champ d'application. Elle reste une référence largement utilisée, et ses dispositions, comme l'absence de mots de passe universels par défaut, constituent des exigences pratiques pour les demandes de prix. Vérifiez les règles légalement applicables sur votre marché.
Qu'est-ce que NIST IR 8259A ?
Une publication du NIST définissant un socle de capacités de cybersécurité des appareils : identification, configuration, protection des données, accès logique, mise à jour logicielle et connaissance de l'état de cybersécurité. Les organisations peuvent s'y référer lors de l'achat d'appareils IoT.
Les automates de serre doivent-ils fonctionner sans Internet ?
Oui. Précisez que l'irrigation, le dosage et la régulation climatique doivent continuer dans un mode sûr défini en cas de panne réseau ou cloud, et testez ce fonctionnement lors de la réception sur site.
Sources
Les règles et les limites évoluent. Vérifiez la version en vigueur auprès de l'autorité compétente avant d'agir.
- NIST IR 8259A — IoT Device Cybersecurity Capability Core Baseline (s'ouvre dans un nouvel onglet) — National Institute of Standards and Technology, 2020-05-29
- ETSI EN 303 645 V3.1.3 — Cyber security for consumer IoT: baseline requirements (s'ouvre dans un nouvel onglet) — ETSI, 2024-09-11