L'inventaire des systèmes portuaires et embarqués

Cet article est aussi disponible en anglais.

Des modems cellulaires ont été montés sur des portiques de quai destinés à des ports américains, pendant leur fabrication en Chine. Les techniciens portuaires les ont vus, les ont pris pour de la télémaintenance, et sont passés à autre chose. Ces modems ne figuraient pourtant dans aucun contrat : l’option de diagnostic à distance à laquelle ils correspondaient avait été refusée à l’achat. Un rapport conjoint de deux commissions de la Chambre des représentants américaine a documenté l’affaire en septembre 2024 [1]. Reliés à des calculateurs Linux embarqués dans les portiques, ces modems créaient, selon les commissions, « une méthode obscure de collecte d’informations et de contournement des pare-feu, susceptible de perturber les opérations portuaires » (ma traduction). Dans un autre port, un modem a été découvert dans la salle serveurs qui héberge le pare-feu et les équipements réseau des portiques, sans que les responsables portuaires puissent expliquer pourquoi il était là [2].

Derrière la lecture géopolitique de l’affaire, il y a une réalité plus prosaïque, et plus généralisable : ces ports ne savaient pas exactement ce qui était branché chez eux. C’est le point de départ de toute démarche de cybersécurité, et c’est aussi celui qu’on saute le plus volontiers, parce qu’il est fastidieux et qu’il ne produit aucun effet visible. Dans le monde portuaire et à bord des navires, il est en plus nettement plus difficile qu’ailleurs. Le dossier n’est d’ailleurs pas refermé : l’administration maritime américaine a reconduit en 2026 son avis sur les équipements portuaires d’origine chinoise, grues ZPMC comprises.

Aucun port ne ressemble à un autre

L’ENISA le dit elle-même dans son rapport de référence de 2019 sur la cybersécurité portuaire [3] : la taxonomie d’actifs qu’elle propose « ne doit pas être considérée comme exhaustive » et « ne reflète pas la diversité et les spécificités des différents ports ». Le guide « Ports cybersécurisés » de la DGITM, qui reprend ce socle pour la France en 2022, est encore plus explicite : « d’un port à un autre, les systèmes informatiques et industriels ne sont pas les mêmes, ne sont pas exploités et gérés par les mêmes types de parties prenantes et ne sont pas mis en œuvre de la même manière » [4].

L’exemple des systèmes communautaires suffit à s’en convaincre. En France, le Port Community System (PCS) et le Cargo Community System (CCS) sont deux systèmes distincts, aux gouvernances séparées, le second étant opéré par des sociétés privées. Aux Pays-Bas, les PCS d’Amsterdam et de Rotterdam ont fusionné, et le CCS y est le même système que le PCS. Trois lettres identiques recouvrent donc des périmètres, des propriétaires et des surfaces d’exposition qui n’ont rien de comparable. Une liste d’actifs recopiée d’un port voisin produit un inventaire faux, et un inventaire faux est pire que pas d’inventaire, parce qu’il rassure.

J’avais rendu compte du rapport de l’ENISA à sa parution, et le cadre européen s’est étoffé depuis, la stratégie portuaire européenne plaçant l’agence au centre de la coopération. Le socle documentaire, lui, reste celui de 2019 et 2020.

Dix familles d’actifs

La taxonomie de l’ENISA distingue dix catégories : l’infrastructure fixe, l’infrastructure mobile, les systèmes et réseaux OT, les équipements terminaux OT, les systèmes IT, les équipements terminaux IT, les réseaux et composants de communication, les systèmes de sûreté et de sécurité, l’information et les données, et enfin les personnes. Cette structure a un mérite : elle interdit de réduire l’inventaire à ce que voit une console d’antivirus. Les remorqueurs et les vedettes de pilotage, les barrages flottants, les déclarations FAL, les codes de sortie de conteneur, les prestataires temporairement autorisés en font partie au même titre que les serveurs. C’est cette liste qui sert ensuite de base aux évènements redoutés que l’on cherche à éviter.

Les systèmes métier : PCS, CCS, TOS, VTS

Le PCS est le guichet unique des escales : dates d’arrivée et de départ, listes d’équipage, déclarations de marchandises dangereuses, réservations de services. Le CCS porte l’information sur la marchandise et le conteneur. Le Terminal Operating System (TOS) optimise la logistique, le transbordement et le stockage pour l’opérateur de terminal. Le Vessel Traffic Service (VTS), et son extension VTMIS, surveille le trafic. S’y ajoutent les systèmes de gestion des postes d’amarrage, les ERP portuaires, et, dans les ports de pêche, les systèmes de gestion de l’activité halieutique.

Ces briques se comptent facilement. Ce sont leurs dépendances qui sont piégeuses. Le 4 juillet 2023, le port de Nagoya a été frappé par un rançongiciel attribué à LockBit qui a mis à l’arrêt le Nagoya United Terminal System, le système partagé par les cinq terminaux à conteneurs du port. La manutention a repris deux jours plus tard [5]. Une ligne d’inventaire, cinq terminaux derrière.

Ces systèmes intéressent aussi la sûreté, au même titre que la clôture et les badges. Europol a documenté la fraude aux codes PIN de sortie de conteneur dans les ports d’Anvers, de Rotterdam et de Hambourg [6], et l’enquête NarcoFiles a montré comment un informaticien néerlandais a accédé aux systèmes de gestion de conteneurs de Rotterdam et d’Anvers pour indiquer aux trafiquants quels conteneurs viser [7]. Un CCS mal recensé, c’est une clôture avec un trou dedans.

L’industriel, de la grue au pompage

Côté OT, l’ENISA range dans une même famille les systèmes de contrôle industriel qui gèrent les accès et l’accostage (ponts, écluses, portails), l’infrastructure portuaire et les opérations de terminal : automates et régulateurs, historiens et MES, systèmes de supervision de type SCADA ou DCS, consoles de programmation et postes d’ingénierie, systèmes de maintenance et systèmes instrumentés de sécurité. Puis les équipements terminaux qui vont avec : portiques et grues, rampes passagers, convoyeurs et bandes transporteuses, silos et trémies, lecteurs de codes-barres, compteurs de liquides, RFID, scellés électroniques, ponts-bascules, lecteurs automatiques de plaques, détecteurs de défaut sur les chaînes automatisées.

Le pompage mérite une mention à part, parce qu’il est presque toujours oublié dans les schémas de SI portuaires. La DGITM le fait apparaître deux fois dans sa liste de services : au chargement et déchargement des navires, et au stockage temporaire, sous la forme du « pompage de liquides en vrac et remplissage de réservoirs ». Début février 2022, une attaque par rançongiciel visant Oiltanking et Mabanaft en Allemagne, SEA-Invest en Belgique et Evos aux Pays-Bas a perturbé le chargement et le déchargement des barges sur dix-sept terminaux pétroliers, dont ceux de Hambourg, Gand, Anvers-Zeebrugge et Rotterdam [8]. Ces terminaux sont exploités par des sociétés qui ne sont pas l’autorité portuaire : ils sortent donc du périmètre d’inventaire du port, alors qu’ils en font partie du point de vue de l’exploitation. L’écosystème déborde toujours l’autorité portuaire, ce qu’a rappelé à sa manière la vague de dénis de service contre quarante entités maritimes roumaines à l’été 2026.

Il faut y ajouter le réseau électrique, souvent haute tension dans les grands ports, l’alimentation électrique à quai des navires, l’éclairage, le froid des conteneurs réfrigérés, l’eau et le traitement des déchets.

Vidéoprotection et contrôle d’accès, entre deux chaises

L’ENISA classe la vidéoprotection, les systèmes de gestion d’incidents, les portails automatiques, les clôtures intelligentes, les systèmes de badges, la surveillance radar et électro-optique, les scanners à rayons X, la biométrie et la reconnaissance faciale, les sirènes et le guidage d’évacuation dans une famille à part : les systèmes de sûreté et de sécurité. Ces équipements ne sont ni tout à fait IT ni tout à fait OT, et ce choix de classement traduit une réalité d’organisation : ils sont commandés par la direction sûreté, posés par un installateur, maintenus à distance par le fournisseur, et n’apparaissent que rarement dans l’inventaire tenu par la direction des systèmes d’information.

Or une installation de vidéoprotection contemporaine est un réseau de calculateurs sous Linux, avec un enregistreur, un serveur d’administration, souvent un accès distant du mainteneur, et un cycle de mise à jour propre. En France, l’arrêté du 29 juin 2026 sur la sûreté portuaire a commencé à traiter ce point en soumettant les lecteurs automatiques de plaques aux recommandations de l’ANSSI, tout en laissant les drones de surveillance hors du dispositif. L’affaire des caméras d’origine chinoise sur les drones de la Royal Navy a rappelé, quelques semaines plus tard, que la chaîne d’approvisionnement de ces équipements mérite une ligne dans l’inventaire, avec le nom du fabricant réel derrière celui de l’intégrateur.

Les télécoms, que personne ne revendique

Radio VHF, réseaux TETRA, RFID, Wi-Fi de quai, 4G et 5G privées, faisceaux hertziens, fibre, liaisons satellitaires, récepteurs GNSS qui servent aussi de source de temps pour la synchronisation des équipements. L’ENISA note que ces réseaux « peuvent être gérés par différentes parties prenantes à différents niveaux ». C’est une formulation diplomatique pour dire qu’en pratique, dans beaucoup de ports, personne ne sait dire qui est propriétaire de quel brin de fibre ni qui administre tel point d’accès installé par un concessionnaire il y a huit ans.

À bord : l’inventaire devient une exigence écrite

Le navire pose le même problème, avec une contrainte de plus : le système a été assemblé par un chantier, souvent avec des équipements dont le paramétrage et la maintenance restent entre les mains des équipementiers. Un test d’intrusion à bord fait ressortir chaque fois les mêmes choses : des boîtiers oubliés en passerelle, un accès distant de mainteneur que personne n’avait documenté, du trafic NMEA sur le réseau du navire.

L’IACS a tranché en imposant l’inventaire. Sa prescription unifiée UR E26, applicable aux navires dont le contrat de construction est signé à compter du 1er juillet 2024, exige « un inventaire du matériel et des logiciels (y compris les programmes applicatifs, les systèmes d’exploitation, les micrologiciels et les autres composants logiciels) des systèmes informatisés entrant dans son champ, ainsi que des réseaux qui relient ces systèmes entre eux et aux autres systèmes informatisés à bord ou à terre » [9] (ma traduction). Le périmètre couvre la propulsion, l’appareil à gouverner, le mouillage et l’amarrage, la production et la distribution électrique, la détection et l’extinction incendie, les systèmes d’assèchement et de ballastage ainsi que le calculateur de chargement, l’étanchéité et la détection d’envahissement, l’éclairage, les systèmes de sécurité, auxquels s’ajoutent les systèmes de navigation et de communication exigés par la réglementation.

Le texte impose que l’inventaire soit tenu à jour pendant toute la vie du navire, et que toute modification matérielle ou logicielle susceptible d’introduire une vulnérabilité ou de changer les dépendances entre systèmes y soit enregistrée. Il ajoute une précision qu’on oublie souvent : si l’inventaire contient des adresses IP, des protocoles ou des numéros de port, l’accès à cette information doit être restreint. L’inventaire est lui-même un document sensible.

La prescription UR E27, qui s’adresse aux équipementiers, donne le niveau de détail attendu pour chaque système informatisé : liste des composants matériels, marque et fabricant, modèle, description courte de la fonction, interfaces physiques, nom et type du logiciel système, version et niveau de correctif, protocoles de communication pris en charge, et pour chaque composant logiciel le matériel sur lequel il est installé [10]. Elle exige en complément deux schémas de topologie, un physique et un logique, ce dernier faisant apparaître les flux de données, les chemins de communication et les protocoles.

Il reste que ces prescriptions ne visent que les navires neufs. La flotte en service, elle, dépend des lignes directrices de l’OMI. Et c’est là qu’un changement discret est intervenu : la révision 3 de la circulaire MSC-FAL.1/Circ.3, publiée le 4 avril 2025, ajoute au volet « Identifier » une exigence absente de la version précédente, celle d’« établir et maintenir un inventaire des systèmes numériques à bord du navire » et d’« identifier les dépendances internes et externes entre systèmes et les connexions réseau » [11]. La liste de systèmes à considérer y mentionne explicitement les systèmes de cargaison, de soutage, de lubrification, de ballastage et « autres systèmes de pompage ». Ce sont des recommandations, mais ce sont celles auxquelles se réfèrent les audits ISM depuis que la résolution MSC.428(98) a intégré le risque cyber au système de gestion de la sécurité.

Côté américain, la règle des gardes-côtes entrée en application le 16 juillet 2025 est directement contraignante pour les navires sous pavillon américain et les installations soumises au MTSA. Le 33 CFR 101.650 impose de « maintenir un inventaire à jour des systèmes connectés au réseau, incluant la désignation des systèmes IT et OT critiques », de tenir une liste des matériels, micrologiciels et logiciels autorisés à l’installation, et de documenter une cartographie réseau ainsi que la configuration des équipements OT [12]. La segmentation entre réseaux IT et OT y figure séparément, avec l’obligation de journaliser et de surveiller toutes les connexions entre les deux. J’ai détaillé ailleurs le cadre fédéral américain vu d’Europe et le régime des dérogations et équivalences qui l’accompagne.

Pourquoi l’exercice résiste

L’ENISA a consacré à cette question un chapitre de ses lignes directrices de 2020 sur la gestion du risque cyber dans les ports [13]. Les obstacles qu’elle liste sont ceux que l’on rencontre effectivement sur le terrain : la difficulté à évaluer les actifs et services gérés par des tiers ; la difficulté à rattacher chaque actif, application et intervenant au service qu’il contribue à rendre ; la gestion de configuration des systèmes OT, dont les fournisseurs n’exposent pas les interfaces de paramétrage, ce qui reporte la dépendance sur leur support ; l’impossibilité de lancer un outil de découverte automatique sans risquer de perturber des équipements industriels anciens ou isolés, et l’ancienneté n’a rien d’anecdotique quand on trouve encore des Windows XP en service ; et la dispersion des achats dans les groupes exploitant plusieurs terminaux, chaque entité ayant ses propres circuits.

La DGITM ajoute la raison structurelle : les systèmes portuaires « sont développés, gérés et entretenus par différentes équipes ou entités », internes ou prestataires, sur des technologies différentes, avec des équipes de sécurité IT et OT distinctes, « par conséquent, la cartographie de tous les systèmes portuaires est difficile à définir et à maintenir dans le temps ».

Le maintien dans la durée est la vraie difficulté, et c’est le seul point sur lequel l’IACS insiste autant que sur le contenu de l’inventaire lui-même.

Par quel bout le prendre

L’ENISA recommande de choisir explicitement l’angle : un inventaire par actif, ou un inventaire par service. Pour une organisation qui débute, l’énumération des actifs est le passage obligé. Pour une organisation plus mature, il vaut mieux partir du service rendu, par exemple le chargement et le déchargement d’un conteneur, et remonter vers les applications et les équipements qui le portent. Cette seconde approche fait apparaître les dépendances vers les tiers.

Chaque actif gagne à être enregistré trois fois : par le système auquel il appartient, par le service qu’il soutient, et par l’information qu’il manipule. Les dépendances méritent d’être décrites au niveau des interfaces techniques et des échanges de données, avec les logiciels tiers, avec les fournisseurs, et entre les mondes IT et OT.

Sur le terrain industriel, la découverte doit être adaptée : la DGITM recommande explicitement l’écoute passive pour les systèmes industriels, et l’usage d’outils centralisés pour détecter les actifs non autorisés. Une politique des matériels et logiciels autorisés complète le dispositif ; c’est exactement ce que reprend la règle américaine.

Reste la partie qui ne relève pas de l’outillage. L’ENISA recommande d’associer la fonction cybersécurité à la revue des contrats d’achat. C’est le seul mécanisme qui aurait permis, dans l’affaire des portiques, soit de refuser explicitement les modems, soit de disposer d’une base contractuelle pour exiger leur retrait. Les modems, du reste, ont été découverts parce que des équipes portuaires sont allées inspecter les portiques dans l’usine chinoise. L’inventaire, au fond, c’est la discipline d’aller voir, et d’écrire ce que l’on a vu.

Pour une entrée en matière sur les familles de systèmes de la marétique, les articles sur les systèmes de la marétique et ses particularités donnent le cadre général dans lequel s’inscrit cet exercice.

Sources

• [1] House Committee on Homeland Security et Select Committee on the Chinese Communist Party, rapport d’enquête conjoint sur la sécurité des infrastructures portuaires américaines (12 septembre 2024)
• [2] House Committee on Homeland Security, communiqué sur les conclusions de l’enquête conjointe (12 mars 2024)
• [3] ENISA, « Port Cybersecurity - Good practices for cybersecurity in the maritime sector » (novembre 2019)
• [4] DGITM, « Ports cybersécurisés - Guide de bonnes pratiques pour la cybersécurité dans le secteur portuaire » (2022)
• [5] Industrial Cyber, reprise des opérations au port de Nagoya après l’attaque par rançongiciel (juillet 2023)
• [6] Europol, « Criminal networks in EU ports - Risks and challenges for law enforcement » (2023)
• [7] OCCRP, enquête NarcoFiles, « Inside Job: How a Hacker Helped Cocaine Traffickers Infiltrate Europe’s Biggest Ports »
• [8] The Maritime Executive, attaque contre les terminaux pétroliers du nord de l’Europe (février 2022)
• [9] IACS, prescription unifiée UR E26 Rev.1, « Cyber resilience of ships » (novembre 2023)
• [10] IACS, prescription unifiée UR E27 Rev.1, « Cyber resilience of on-board systems and equipment » (septembre 2023)
• [11] OMI, circulaire MSC-FAL.1/Circ.3/Rev.3, « Guidelines on maritime cyber risk management » (4 avril 2025)
• [12] 33 CFR 101.650, « Cybersecurity measures », issu de la règle finale des gardes-côtes américains publiée au Federal Register le 17 janvier 2025 et applicable depuis le 16 juillet 2025
• [13] ENISA, « Guidelines - Cyber Risk Management for Ports » (décembre 2020)