Cloisonnement réseau IoT : appliquer les recommandations de l’ANSSI aux cartes SIM et aux APN

Par Aurélie, M2M Network.

En bref : le cloisonnement réseau IoT consiste à ranger les objets connectés dans des zones séparées et à ne laisser passer entre ces zones que les flux nécessaires, tout le reste étant refusé par défaut et journalisé. Avec des cartes SIM 4G ou 5G, il se met en œuvre par un APN dédié qui isole le parc de l’Internet public, un pare-feu dont le client écrit lui-même les règles entre cet APN et ses réseaux, et un transport privé (VPN IPsec, MPLS ou VPLS) jusqu’aux serveurs, complété par un chiffrement de bout en bout. C’est l’application directe du guide de l’ANSSI sur les systèmes industriels (ANSSI-PA-108, version 2.0 du 27 novembre 2025), qui range la 4G et la 5G parmi les réseaux sans fil et recommande de « cloisonner au maximum les communications sans fil en isolant les périphériques sans fil dans un réseau physique ou logique séparé » (R147).

Voici, recommandation par recommandation, ce que demandent ce guide, le guide ANSSI-PA-087 sur les objets connectés (27 août 2021) et la note DAT-NT-006 sur les pare-feu (30 mars 2013), et comment chacune se traduit sur un parc de cartes SIM. Pour les obligations propres à la directive NIS2, voir notre article NIS2 et objets connectés.

Cloisonnement réseau IoT : comment lire les guides de l’ANSSI

Le guide ANSSI-PA-108 est une refonte de sa version de 2014. Chaque recommandation y porte une classe : C1 s’applique aux systèmes de classe 1 à 4, C2 aux classes 2 à 4, C3 aux classes 3 et 4, C4 à la seule classe 4. La classe se détermine avec le guide de classification de l’ANSSI. Sauf disposition réglementaire contraire, ces recommandations n’ont pas de caractère normatif ; une mesure qui ne peut pas s’appliquer passe par une procédure de gestion des exceptions et figure dans un registre des risques revu périodiquement. Le guide ANSSI-PA-087 note ses recommandations par étoiles : une étoile pour les mesures à mettre en œuvre en priorité, ce qui est le cas des trois citées plus bas.

Zones et filtrage entre zones (ANSSI-PA-108, R101 et R102)

R101 (C1) recommande de « segmenter les systèmes industriels en zones cohérentes » : « Ces zones doivent être cloisonnées entre elles. » R102 (C1) demande une politique de filtrage entre les zones : un flux s’identifie par ses adresses IP source et destination, son protocole et ses ports ; « les flux sont refusés par défaut » ; « seuls les flux nécessaires au fonctionnement du système industriel sont autorisés » ; les flux refusés peuvent être journalisés. Le guide cite en exemple Modbus sur TCP/502 et OPC UA sur TCP/4840.

Pour la segmentation réseau des objets connectés sur cartes SIM, une zone regroupe des objets de même fonction et de même niveau de risque : caméras, automates, bornes de recharge, compteurs. Avec un APN Internet ordinaire, chaque objet reçoit une adresse de l’opérateur et sort sur Internet (3GPP TS 29.061, clause 11.2.1.1) : il n’y a pas de zone. Avec un APN privé dédié, la passerelle attribue aux objets une adresse de l’espace d’adressage du client (clause 11.2.1.2.2) : le parc forme un réseau à part. Pour découper en zones, deux montages existent : un APN dédié par zone, ou un APN unique avec une plage d’adresses par zone. Dans les deux cas, le pare-feu placé entre l’APN et les réseaux du client applique R102 : source, la plage de la zone ; destination, le serveur de supervision ; service, le port attendu ; rien d’autre ne passe. Le trafic entre objets d’une même zone se traite aussi : si l’usage ne le demande pas, il doit être refusé.

4G et 5G : ce que l’ANSSI demande aux réseaux sans fil (R142 à R147)

Le guide traite la 4G et la 5G avec le Wi-Fi et LoRaWAN, comme une « solution de secours à l’utilisation des réseaux publics ou privés filaires » dans certains cas, et en donne la limite : « L’utilisation d’un réseau sans fil implique la perte de protection physique et facilite l’intrusion d’un tiers sur le réseau. » Six recommandations suivent :

  • R142 (C1) : limiter le sans-fil au strict nécessaire, soit une carte SIM pour un objet et un usage identifiés ;
  • R143 (C2) : consulter régulièrement les événements des équipements sans fil, comme les connexions et les signes de brouillage (déconnexions, variation de la qualité du signal) ;
  • R144 (C3) : éviter le sans-fil quand une autre solution de communication existe ;
  • R145 (C3) : choisir une technologie qui protège l’intégrité et l’authenticité des données ;
  • R146 (C3) : authentifier le dispositif qui se connecte, contrôler l’accès au réseau et journaliser les connexions. Sur un APN dédié, la norme prévoit que la passerelle P-GW fasse authentifier l’abonné par un serveur RADIUS ou Diameter du client (TS 29.061, clause 11.2.1.2.2) ;
  • R147 (C3) : cloisonner les périphériques sans fil dans un réseau séparé, physique ou logique.

R147 décrit ce que fait un APN dédié : les cartes SIM forment un réseau logique séparé, qui ne rejoint celui du client qu’à travers le pare-feu. R145 se traite sans s’en remettre à la seule couche radio : un VPN IPsec monté par le routeur ou TLS dans l’application protège les données de bout en bout, ce que le guide demande en classe 4 quand le protocole radio ne suffit pas (R152). En 5G, le raisonnement est le même : le DNN (Data Network Name) y est l’équivalent de l’APN (3GPP TS 23.003, clause 9A).

Accès distants : aucun accès direct depuis Internet (R122, R123, R129, R130)

R122 et R123 (C1) recommandent d’interdire les accès directs vers Internet depuis le système industriel, et depuis Internet vers lui. Un APN dédié sans sortie Internet y répond au niveau du réseau : l’objet n’est pas joignable depuis Internet et ne peut pas y sortir. Pour la télémaintenance, R129 (C1) demande des connexions à la demande pour une durée définie (le guide cite 4 heures), authentifiées, journalisées, fermées après inactivité, et de « cloisonner l’équipement accédé et autoriser uniquement les flux requis entre l’équipement et le reste du système industriel ». R130 (C2) ajoute la confidentialité, l’intégrité et l’authenticité des communications « (par exemple avec un tunnel VPN IPsec) » et l’authentification multifacteur. Avec des cartes SIM, le mainteneur entre par le VPN de l’exploitant, puis une règle temporaire du pare-feu lui ouvre la seule zone concernée, sur le seul port utile. L’architecture complète est détaillée dans notre article sur la télémaintenance des automates en 4G.

Objets connectés : commandes limitées et flux chiffrés (ANSSI-PA-087, R4, R5, R23)

R4 : « Les commandes que l’infrastructure peut émettre en direction des dispositifs connectés doivent être limitées au minimum requis par les fonctions attendues » ; aucune commande utile au seul débogage ne doit subsister en production. R5 : l’infrastructure s’authentifie avant d’émettre des commandes et l’intégrité de leur flux est assurée, rejeu compris. R23 : « Les flux de données sensibles échangées entre les constituants d’un système connecté, et entre ce système et des réseaux externes, doivent être protégées en confidentialité et en intégrité par des moyens cryptographiques à l’état de l’art. »

Le pare-feu traduit R4 en n’ouvrant, depuis la plateforme de pilotage, que les ports de commande prévus. Il ne remplit pas R5 : filtrer sur une adresse source n’authentifie personne. Et pour R23, ni l’APN ni le MPLS ne chiffrent : la norme 3GPP indique que la liaison vers l’intranet du client « may be performed over any network, even an insecure network » (TS 29.061, clause 11.2.1.2.2), et la RFC 4364 précise pour les VPN MPLS : « Cryptographic privacy is not provided by this architecture ». Le chiffrement de bout en bout, par TLS ou IPsec, reste à prévoir, même dans un réseau privé.

La politique du pare-feu : interdiction finale et revue annuelle (DAT-NT-006, R6, R15)

La note DAT-NT-006 demande que les règles métiers soient définies précisément par adresses sources, adresses de destination et services (R4), puis qu’une règle explicite d’interdiction finale journalisée termine la politique : elle « garantit l’application du modèle de sécurité positif (tout ce qui n’a pas été autorisé précédemment est interdit) et permet de conserver la trace des flux non légitimes » (R6). Les flux légitimes doivent être « définis manuellement et précisément par les administrateurs » (R11), la politique testée une fois implémentée (R14) et « passée en revue à une fréquence bi-annuelle ou annuelle à minima » (R15), notamment pour supprimer les règles temporaires devenues obsolètes.

C’est ce qui justifie un pare-feu administré par le client : l’exploitant sait quelle plateforme pilote quelles bornes et quel prestataire intervient sur quels automates, et pour combien de temps. Il applique R6, R11 et R15 sans passer par une demande de modification à son opérateur. Le filtrage par carte SIM (liste blanche, ports, blocage du trafic entrant) est détaillé dans notre article sur la carte SIM avec pare-feu ; ici, le pare-feu se place entre les zones et les réseaux du client.

Recommandation ANSSI et mise en œuvre avec des cartes SIM

RecommandationCe qu’elle demandeMise en œuvre avec des cartes SIM
PA-108 R101Zones cohérentes, cloisonnées entre ellesUn APN dédié ou une plage d’adresses par zone
PA-108 R102Filtrage entre zones, refus par défautPare-feu entre l’APN et le client : source, destination, port
PA-108 R122, R123Aucun accès direct vers ou depuis InternetAPN dédié sans sortie Internet
PA-108 R129, R130Accès distants à la demande, chiffrés, journalisésVPN de l’exploitant, règle temporaire vers une seule zone
PA-108 R142, R143Sans-fil limité, événements consultésUne carte SIM par usage, suivi des connexions
PA-108 R146Authentifier le dispositifServeur RADIUS ou Diameter du client sur l’APN dédié
PA-108 R147Réseau séparé pour le sans-filRéseau logique des cartes SIM, relié par le seul pare-feu
PA-087 R4Commandes au minimum requisPorts de commande ouverts depuis la seule plateforme
PA-087 R5, R23Authentification, chiffrement, intégritéTLS ou IPsec de bout en bout
DAT-NT-006 R6Interdiction finale journaliséeDernière règle : tout interdire, tout journaliser
DAT-NT-006 R15Revue au moins annuelleRevue par le client, règles temporaires supprimées

Plan de cloisonnement d’un parc en 6 étapes

  1. Inventorier chaque carte SIM, l’objet qui la porte, son site et son usage, puis déterminer la classe du système ; retirer du service les cartes sans usage (R142).
  2. Découper en zones par famille d’objets de même fonction et de même risque, chacune sur un APN dédié ou une plage d’adresses, et décider si ses objets doivent se joindre (R101, R147).
  3. Écrire la matrice des flux : par zone, sources, destinations, protocoles et ports autorisés, puis la règle finale qui interdit et journalise le reste (R102 ; DAT-NT-006, R6).
  4. Choisir le transport : pas de sortie Internet sur l’APN, livraison en VPN IPsec, MPLS, VPLS ou par interconnexion privée jusqu’au cloud, et chiffrement de bout en bout des flux sensibles (R122, R123 ; PA-087, R23).
  5. Encadrer les accès distants : VPN avec authentification multifacteur, règles temporaires limitées à une zone et à un port, journalisation (R129, R130).
  6. Tester, surveiller, revoir : tester la politique (R14), consulter les événements de connexion (R143), revoir les règles au moins une fois par an (R15) et inscrire les exceptions au registre des risques.

Les limites : quand la 4G n’est pas la réponse attendue

Entre sites distants, R136 (C2) recommande de privilégier des liaisons maîtrisées, « par opposition à un raccordement au travers d’Internet ou d’un réseau opérateur », et R140 (C3) proscrit les réseaux publics pour les communications inter-sites. En classe 3, R144 demande d’éviter le sans-fil et R150 le proscrit pour les liaisons à besoin critique de disponibilité. La carte SIM correspond donc d’abord aux systèmes de classe 1 ; en classe 2, elle se justifie faute de liaison maîtrisée et se compense par les mesures ci-dessus, dont des concentrateurs VPN aux extrémités des liaisons (R135) ; en classe 3, elle relève de l’exception.

Ce que propose M2M Network

M2M Network sépare les cartes SIM de chaque client dans des réseaux qui lui sont propres (des APN dédiés, au sens du réseau mobile) et fait passer leurs flux par des pare-feu que le client administre lui-même. Les flux restent ensuite dans des VPN, des MPLS ou des VPLS jusqu’aux sites du client, ou sont relivrés par interconnexion cloud privée directement dans AWS, Azure, OVHcloud et d’autres clouds, sans passer par Internet. L’APN privé classique reste disponible, et au sein du groupe MUONA, Guardis héberge en France sur une infrastructure certifiée ISO 27001 et HDS, joignable depuis un APN privé sans passer par l’Internet public. L’étude d’un plan de cloisonnement et de son raccordement se fait via la page contact.

Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.

À lire aussi

Questions fréquentes

Un APN privé suffit-il pour suivre les recommandations de l’ANSSI ?

Non. Un APN privé dédié isole les cartes SIM dans un réseau séparé, ce qui répond à R147 du guide ANSSI-PA-108 et, sans sortie Internet, à R122 et R123. Il ne filtre pas les flux par port et ne chiffre pas : il faut y ajouter un pare-feu entre zones (R102) et un chiffrement de bout en bout par TLS ou IPsec (R23 du guide ANSSI-PA-087).

L’ANSSI accepte-t-elle la 4G et la 5G dans un système industriel ?

Oui, sous conditions. Le guide ANSSI-PA-108 cite la 4G et la 5G parmi les réseaux sans fil, demande d’en limiter l’usage au strict nécessaire pour toutes les classes (R142) et, à partir de la classe 3, de les éviter quand une autre solution existe (R144) et d’isoler les périphériques sans fil dans un réseau séparé (R147). En classe 3 et 4, il proscrit le sans-fil pour les liaisons qui ont des besoins critiques de disponibilité (R150).

Faut-il un APN différent pour chaque type d’objet ?

Pas obligatoirement. R101 demande des zones cohérentes et cloisonnées entre elles : un APN dédié par zone donne la séparation la plus nette, mais un APN unique avec une plage d’adresses par zone, filtrée par un pare-feu, constitue un cloisonnement logique. Le choix dépend du niveau de risque de chaque famille d’objets et de la classe du système.

Qui doit administrer les règles du pare-feu des cartes SIM ?

La note technique DAT-NT-006 de l’ANSSI demande que les flux légitimes soient définis manuellement et précisément par les administrateurs (R11) et que la politique soit revue au moins une fois par an (R15). Celui qui connaît les flux d’un parc est l’exploitant : un pare-feu qu’il administre lui-même lui permet d’ouvrir et de refermer une règle sans attendre une intervention de l’opérateur.

À quelle fréquence revoir la politique de filtrage ?

La DAT-NT-006 demande une revue « à une fréquence bi-annuelle ou annuelle à minima » (R15). La revue sert à supprimer les règles temporaires devenues obsolètes, par exemple celles ouvertes pour une télémaintenance, à corriger les écarts aux conventions et à vérifier la cohérence des règles ajoutées depuis la revue précédente.

Les recommandations de l’ANSSI sont-elles obligatoires ?

Le guide ANSSI-PA-108 indique que, sauf disposition réglementaire contraire, ses recommandations n’ont pas de caractère normatif. Une mesure qui ne peut pas s’appliquer doit néanmoins passer par une procédure de gestion des exceptions et figurer dans un registre des risques revu périodiquement.

Sources