Plus de 40 % des systèmes de contrôle d’accès déployés en France reposent sur des équipements âgés de plus de six ans. Entre protocoles non chiffrés, exigences de NIS 2 et dette technique, la modernisation devient un enjeu de cybersécurité autant que de continuité d’exploitation.
Longtemps gérés indépendamment des infrastructures IT, les systèmes de contrôle d’accès deviennent désormais un sujet de cybersécurité à part entière. Connectés au réseau de l’entreprise, ils sont désormais concernés par les mêmes exigences de protection, de supervision et de conformité que les autres composants du système d’information.
Protocoles non chiffrés : le contrôle d’accès rejoint les priorités des RSSI
La directive NIS 2 accélère cette évolution en imposant aux entités concernées une gestion active des risques sur l’ensemble de leurs infrastructures connectées. Un contrôle d’accès reposant sur des protocoles non chiffrés peut ainsi constituer un vecteur d’attaque : les données d’accès transitent en clair et peuvent être interceptées. Selon l’enquête HID PACS 2025, plus de 40 % des lecteurs et des contrôleurs déployés dans les organisations françaises sont en service depuis plus de six ans. Conçus avant la généralisation des exigences actuelles de cybersécurité, ces équipements reposent parfois sur des composants en fin de support ou sur des architectures difficiles à intégrer aux outils IT modernes.
» Il est possible de faire évoluer progressivement un système critique, et de répondre aux nouvelles exigences, tout en préservant les investissements déjà réalisés «
Clara Bardou, Directrice de Marché France, HID
Pour les DSI et les RSSI, le principal enjeu n’est plus uniquement le coût d’un projet de modernisation, mais celui du maintien en conditions opérationnelles de systèmes vieillissants. Maintenance plus complexe, dépendance à des technologies anciennes, intégrations limitées avec les outils de supervision ou de gestion des identités : la dette technique augmente progressivement tandis que les marges d’évolution diminuent.
« Les organisations qui maintiennent des systèmes vieillissants ne choisissent pas l’économie. Elles choisissent de différer un coût qui augmente et, avec lui, un risque réglementaire et cyber croissant », explique Clara Bardou, Directrice de Marché France chez HID. Selon elle, le véritable enjeu consiste à « rendre cette transformation compatible avec leurs contraintes opérationnelles et financières » et à démontrer « qu’il est possible de faire évoluer progressivement un système critique (…) tout en préservant les investissements déjà réalisés ». Au-delà de la conformité, cette approche vise également à limiter les interruptions d’exploitation et à éviter un renouvellement complet des infrastructures lorsque certains composants peuvent encore être conservés.
OSDP, AES et architecture ouverte pour étaler les investissements
Pour répondre à ces contraintes, HID et Genetec privilégient une migration progressive plutôt qu’un remplacement intégral des installations. L’objectif est de conserver, lorsque cela reste pertinent, le câblage, une partie des équipements ou l’infrastructure réseau existante, tout en renouvelant progressivement les composants les plus exposés.
L’architecture s’appuie notamment sur les contrôleurs Mercury et sur la plateforme Genetec, compatibles avec des protocoles ouverts comme OSDP, BACnet ou MQTT. OSDP (Open Supervised Device Protocol) sécurise les échanges entre lecteurs et contrôleurs grâce au chiffrement AES (Advanced Encryption Standard). L’ensemble intègre également une authentification multifacteur, une gestion granulaire des autorisations, une supervision centralisée et une approche security-by-design, qui consiste à intégrer les mécanismes de sécurité dès la conception des équipements.
« L’architecture ouverte n’est pas un avantage marketing : c’est une garantie opérationnelle », souligne Sara Amorim Costa, Directrice Commerciale France. Selon elle, cette approche permet aux organisations de « rester libre de ses choix technologiques, aujourd’hui et demain », une attente exprimée « précisément » par les DSI et les RSSI.
➡️ À lire également : Risque tiers et souveraineté : RETEX du RSSI Groupe de Groupama
