Du supermarché à l’hôpital : sécuriser le froid connecté des sites sensibles africains

Le froid connecté ne concerne pas seulement les supermarchés

L’attaque contre des installations frigorifiques de supermarchés français ouvre une question plus large pour l’Afrique : quels bâtiments dépendent d’un contrôle de température accessible à distance ? La réponse englobe les hôpitaux, laboratoires, dépôts de vaccins, entrepôts alimentaires, data centers, hôtels, immeubles de bureaux et sites gouvernementaux sensibles. Une présidence, un ministère ou une banque centrale peut utiliser une gestion technique du bâtiment pour la climatisation, l’énergie, les alarmes ou les groupes électrogènes. Cela ne signifie pas qu’un de ces sites africains a été piraté. Cela signifie que les mêmes principes de sécurité cyber-physique doivent entrer dans leur analyse de risque.

Tous les équipements connectés ne présentent pas le même danger. Un capteur qui envoie uniquement une mesure vers une plateforme n’offre pas nécessairement la capacité de changer une consigne. Un contrôleur bidirectionnel peut, lui, modifier le dégivrage, arrêter un compresseur ou piloter une installation HVAC. Avant de parler de risque, une organisation doit donc distinguer la surveillance, l’administration et la commande physique.

La numérisation de la chaîne du froid africaine est déjà réelle

La connectivité apporte des bénéfices essentiels au continent. En 2025, Africa CDC a décrit la livraison à l’Ouganda de 500 réfrigérateurs solaires et de 1 746 dispositifs de suivi de température à distance, afin de superviser les conditions de stockage depuis un centre de contrôle. L’organisation souligne également le rôle des National Medical Stores ougandais, dotés d’un entrepôt médical fortement numérisé et de chambres froides capables de conserver des millions de doses.

Cette évolution n’est pas isolée. En 2024, Africa CDC avait annoncé la fourniture à cinq États membres, dont le Cameroun, la Sierra Leone, l’Ouganda et la Zambie, de centaines de réfrigérateurs, de congélateurs et de moniteurs de température. L’Organisation mondiale de la santé considère la surveillance continue comme une bonne pratique pour les dépôts contenant de grandes quantités de vaccins, car elle permet d’alerter rapidement les personnels lorsqu’une température sort de la plage prévue.

Il ne faut donc pas opposer cybersécurité et modernisation. Le suivi distant peut éviter la perte de vaccins, compenser l’éloignement des sites et accélérer une intervention. La bonne approche consiste à conserver ces bénéfices tout en empêchant qu’un compte central, une carte SIM, une passerelle cloud ou un prestataire devienne un point de commande incontrôlé.

Trois scénarios à considérer

Le premier scénario est la falsification silencieuse. Un attaquant modifie l’affichage de température ou neutralise les alarmes sans arrêter immédiatement l’équipement. Des produits, réactifs ou vaccins peuvent alors sembler conformes alors qu’ils ont subi une excursion thermique. Une mesure indépendante et une vérification locale sont indispensables pour détecter cette divergence.

Le deuxième scénario est l’arrêt visible. La climatisation d’une salle serveur, le froid d’un laboratoire ou la ventilation d’un bâtiment administratif sont coupés. L’effet peut être rapide : surchauffe informatique, interruption d’activité, évacuation d’un espace ou perte de stocks. Dans un environnement déjà soumis à des coupures électriques, les équipes peuvent d’abord attribuer l’anomalie au réseau d’énergie et perdre un temps précieux.

Le troisième scénario vise la chaîne de maintenance. Un intégrateur intervient sur plusieurs hôpitaux, magasins ou bâtiments publics avec la même plateforme. Le compromis d’un compte ou d’un poste de technicien permet alors d’atteindre plusieurs clients. La question n’est plus seulement de protéger chaque site, mais de limiter l’étendue d’un accès fournisseur et de pouvoir le révoquer immédiatement.

Un socle de sécurité adapté aux réalités africaines

Chaque organisation doit commencer par une cartographie conjointe de l’IT, de l’OT et des équipements de bâtiment. L’inventaire doit préciser ce qui est connecté, ce qui peut recevoir une commande, où se trouve la console, qui assure le support et combien de temps l’installation peut fonctionner sans réseau ni énergie principale. Les équipements inconnus, anciens ou en fin de support doivent être classés par conséquence opérationnelle, pas uniquement par valeur d’achat.

Les consoles de gestion ne doivent pas être directement exposées à Internet. La CISA recommande de placer les systèmes de contrôle derrière des pare-feu, de les isoler du réseau d’entreprise et d’utiliser des méthodes sécurisées pour l’accès distant. Pour un site africain, cela doit être complété par des comptes nominatifs, une authentification multifacteur, des fenêtres de maintenance, une liste de destinations autorisées et des journaux envoyés vers un emplacement que le contrôleur ne peut pas effacer.

Le mode dégradé est aussi important que le pare-feu. Un hôpital ou dépôt de vaccins doit disposer d’alarmes locales, d’une lecture indépendante, de consignes imprimées et de personnes joignables lorsque la plateforme cloud ou le réseau mobile est indisponible. Les seuils de sécurité doivent rester actifs localement. Une commande distante aberrante ne devrait jamais supprimer toutes les protections physiques. Les équipes doivent savoir isoler la liaison externe sans arrêter le refroidissement.

La résilience énergétique et la cybersécurité doivent enfin être testées ensemble. Un exercice devrait combiner perte du réseau, indisponibilité du fournisseur et modification suspecte d’une consigne. Il vérifie l’autonomie des batteries, du solaire ou des groupes électrogènes, mais aussi la capacité à décider si les produits restent utilisables. Pour les vaccins et médicaments, cette décision relève des protocoles sanitaires et ne doit pas être improvisée par l’équipe informatique.

Ce que les marchés publics doivent exiger

Les administrations et établissements de santé peuvent agir dès l’achat. Le cahier des charges doit demander une durée de support, un mécanisme de mise à jour authentifié, la suppression des identifiants par défaut, l’export des journaux, la séparation entre lecture et commande, et une procédure de divulgation des vulnérabilités. Il doit préciser où les données sont hébergées, qui peut accéder au parc et comment les accès sont retirés à la fin du contrat.

Pour les sites gouvernementaux sensibles, l’analyse doit couvrir la dépendance au fournisseur et les effets croisés avec l’énergie, les télécommunications et la sécurité physique. Il n’est pas nécessaire de publier la configuration de ces bâtiments. Il est en revanche nécessaire que l’autorité propriétaire sache quels tiers disposent d’un accès, que les équipes nationales puissent reprendre la main et qu’aucune maintenance distante ne contourne les règles du site.

Connecter sans abandonner le contrôle

L’Afrique a besoin de davantage de chaîne du froid, de surveillance et d’efficacité énergétique. L’incident français ne doit pas ralentir cette modernisation; il doit améliorer sa conception. Un système réellement résilient détecte les écarts, limite la commande à distance, conserve des protections locales et fonctionne assez longtemps en mode dégradé. Qu’il protège des aliments, des vaccins, des serveurs ou un bâtiment officiel, le froid doit désormais figurer dans les inventaires cyber au même titre que les applications et les réseaux.

— ◆ —