Cybersécurité ferroviaire : sécuriser la chaîne de confiance avant de sécuriser les serveurs

Longtemps, la sécurité de l'exploitation ferroviaire s'est pensée en termes mécaniques : rayon de courbure, coefficient d'adhérence, intégrité de la voie, redondance des organes de sécurité. Ces fondamentaux n'ont rien perdu de leur pertinence. Mais un train lancé à 320 km/h dépend aujourd'hui autant d'un automate embarqué, d'un lien radio et d'une supervision distante que d'un rail correctement posé. Dès lors, la question n'est plus de savoir si le numérique est sûr, mais si l'ensemble — équipements, réseaux, logiciels, prestataires, procédures — forme une chaîne de confiance continue. C'est là que se situe le véritable point de contrôle de la grande vitesse contemporaine.

L'élargissement silencieux de la surface exposée

Les lignes à grande vitesse ont été conçues autour d'une architecture de signalisation fermée, où l'ETCS embarqué dialogue avec le sol selon des protocoles maîtrisés et des interfaces peu nombreuses. Cette étanchéité relative a longtemps tenu lieu de protection. Elle s'effrite sous l'effet de trois dynamiques convergentes.

La première est la maintenance connectée. La télésurveillance des actifs — capteurs de température sur les appareils de voie, accéléromètres sur les bogies, mesures d'usure du pantographe — suppose des flux remontants réguliers, donc des passerelles entre le monde industriel et les systèmes d'information de gestion.

La deuxième est la téléphonie ferroviaire. Le GSM-R, socle historique de la communication sol-bord, arrive en fin de cycle technique et cède progressivement la place au FRMCS, dont les spécifications sont portées par l'UIC. Ce passage à une architecture sur paquets, plus ouverte et plus capacitaire, élargit mécaniquement la surface d'attaque : elle ouvre la voie à de nouveaux services, mais aussi à de nouvelles dépendances.

La troisième est organisationnelle. Un exploitant ne gère plus seul son périmètre : constructeurs de matériel, intégrateurs de signalisation, opérateurs télécoms, hébergeurs de supervision et sociétés de maintenance interviennent sur les mêmes chaînes fonctionnelles. Chaque contrat ajoute un maillon, et chaque maillon ajoute un risque.

Segmenter, isoler, puis seulement autoriser

Le premier réflexe, dans le ferroviaire comme ailleurs, consiste à empiler des pare-feu. L'approche atteint vite ses limites, parce qu'elle protège des périmètres sans garantir la continuité des fonctions essentielles. La démarche pertinente est inverse : partir des fonctions d'exploitation — circulation, signalisation, alimentation, information voyageurs — et définir pour chacune une zone de confiance, un niveau de criticité et des règles d'échange explicites.

Cette segmentation a une traduction concrète sur le terrain. Un flux de supervision thermique doit-il réellement pouvoir remonter vers le système d'information de gestion sans passer par une passerelle unidirectionnelle ? Une mise à jour logicielle d'un équipement embarqué doit-elle transiter par le même canal que la télémétrie de confort ? Les réponses varient d'un réseau à l'autre, mais la méthode, elle, ne varie pas : ce qui n'est pas nécessaire au fonctionnement est refusé par défaut.

À cela s'ajoute une exigence de traçabilité. Sur une LGV, la question décisive en cas d'incident n'est pas seulement « qui a accédé ? » mais « quelle version logicielle équipait quel équipement, à quelle date, et après quelle intervention ? ». Sans cette mémoire, l'analyse post-incident devient une reconstruction approximative.

La chaîne d'approvisionnement, maillon le plus exposé

Les directives européennes récentes, notamment NIS2 et le règlement sur la cyber-résilience, ont inscrit la sécurité des chaînes d'approvisionnement dans le champ des obligations juridiques. Le secteur ferroviaire y est doublement soumis : comme opérateur d'infrastructure critique, et comme acheteur de composants logiciels dont il ne maîtrise ni le code, ni parfois la provenance.

Pour les gestionnaires d'infrastructure, cela suppose de réintroduire dans les marchés publics des clauses de sécurité explicites : notification des vulnérabilités, engagement de correctifs dans des délais contractualisés, droit d'audit, visibilité sur les sous-traitants de rang deux. Le sujet est délicat, car il touche à la propriété intellectuelle des industriels et à la confidentialité de leurs architectures. Il n'en demeure pas moins incontournable : une vulnérabilité non corrigée chez un fournisseur devient, de fait, une vulnérabilité de l'exploitant.

Le passage au FRMCS, moment de vérité

La migration vers le FRMCS constitue l'un des chantiers les plus structurants de la décennie pour la grande vitesse européenne. Elle offre l'occasion de repenser les hypothèses de sécurité dès la conception, plutôt que de les plaquer après coup. Trois points méritent une attention particulière : l'authentification forte des terminaux embarqués, la supervision permanente des liens radio et la capacité à revenir à un mode dégradé maîtrisé en cas d'indisponibilité.

Ce dernier point est souvent négligé. Or la résilience d'un système ne se mesure pas à sa capacité à fonctionner en régime nominal, mais à la qualité de sa dégradation. Un conducteur qui perd son lien sol-bord doit disposer de procédures claires, connues et répétées. La cybersécurité rejoint ici la sécurité d'exploitation : dans les deux cas, il s'agit de garantir qu'aucune décision ne soit prise sur une information dont l'intégrité n'est pas établie.

S'exercer avant la crise

Les exercices de cybersécurité ont longtemps été conduits par des équipes informatiques, sur des scénarios techniques, sans lien avec la marche des trains. Cette séparation est une erreur de conception. Un scénario utile commence par une question d'exploitation : que fait-on si la supervision d'un poste d'aiguillage devient inaccessible pendant quarante minutes en heure de pointe ?

Les exercices de crise associant conducteurs, régulateurs, responsables de maintenance et directions des systèmes d'information produisent un résultat tangible : ils révèlent les zones grises de gouvernance. Qui décide d'un ralentissement généralisé ? Qui autorise le basculement sur un mode dégradé ? Qui informe les autorités et les voyageurs ? Ces questions ne se règlent pas dans l'urgence.

Une grille de lecture pour les décideurs

Pour les exploitants et les autorités organisatrices, quatre critères permettent d'évaluer la maturité d'une organisation : la cartographie à jour des dépendances numériques critiques, l'existence de modes dégradés testés, la contractualisation effective de la sécurité avec les fournisseurs et la réalisation d'exercices conjoints avec les acteurs de l'exploitation. Aucun de ces critères n'est purement technique ; tous conditionnent la disponibilité commerciale de la grande vitesse.

Le congrès UIC de 2015 avait posé l'interopérabilité et la standardisation comme horizon du secteur. Une décennie plus tard, la standardisation change de nature : elle ne porte plus seulement sur les interfaces mécaniques et les protocoles de signalisation, mais sur les règles de confiance qui les rendent exploitables. La robustesse mécanique reste la condition d'existence du 320 km/h ; la cyber-résilience en devient la condition de continuité.