Un réseau commun peut connecter une borne, un contrôle d’accès, une chaufferie, un ascenseur ou d’autres équipements. Le problème apparaît lorsque tous les appareils et tous les prestataires partagent le même accès pendant des années. Une copropriété devrait au minimum savoir quels équipements sont connectés, qui possède les droits d’administration, comment les accès sont séparés et comment les données sont traitées.
Pourquoi un mot de passe partagé finit-il par devenir un problème ?
Parce qu’un mot de passe distribué à plusieurs personnes n’est plus réellement secret.
Il peut rester chez un ancien prestataire, un copropriétaire parti ou sur une fiche technique oubliée dans un local.
La cybersécurité commence donc moins par un produit sophistiqué que par une question de gouvernance : qui a accès à quoi ?
Faut-il isoler les équipements techniques ?
Les bonnes pratiques de sécurité recommandent de limiter les droits d’accès et de séparer les usages qui n’ont aucune raison de communiquer entre eux.
BEE SECURE rappelle notamment l’importance des mises à jour, des mots de passe robustes, du chiffrement et de la gestion des droits d’accès pour les objets connectés.
La configuration précise relève d’un professionnel : il n’existe pas de schéma réseau valable pour tous les immeubles.
Qui doit administrer le système ?
La copropriété doit connaître l’administrateur réel de la connexion, la procédure de changement de mot de passe et la manière dont les accès sont transmis lorsqu’un prestataire ou un syndic change.
Un réseau dont personne ne connaît l’administrateur est déjà un problème, même avant toute attaque.
Et les données personnelles ?
Lorsqu’un équipement collecte des identifiants, des journaux d’accès, des images ou d’autres données relatives aux personnes, le RGPD s’applique.
Le syndicat peut être responsable du traitement ; un prestataire qui traite les données pour son compte doit être encadré par un contrat de sous-traitance. Il faut aussi limiter la conservation et informer les personnes concernées.
Si des données sont envoyées vers un service cloud hors de l’Union européenne, les règles du chapitre V du RGPD relatives aux transferts internationaux doivent également être examinées.
Faut-il offrir le même Wi-Fi aux résidents ?
Mieux vaut ne pas transformer le réseau technique de l’immeuble en accès internet collectif.
Fournir un accès internet aux occupants soulève des questions distinctes de responsabilité, de sécurité et éventuellement de statut du service. Elles doivent être traitées séparément avant d’ouvrir le réseau.
Que demander à un fournisseur d’équipement connecté ?
Quelques réponses suffisent : quelle connexion est nécessaire, qui administre l’équipement, comment sont faites les mises à jour, quelles données partent vers l’extérieur et comment les accès sont transférés lors d’un changement de prestataire.
Ces questions coûtent beaucoup moins cher avant l’installation qu’après cinq années de dépendance à un équipement dont personne ne connaît le mot de passe.