Une clinique dentaire de Longueuil fait installer six caméras et un enregistreur vidéo. Pour pouvoir dépanner à distance, l'installateur ouvre un port sur le routeur et garde le mot de passe d'usine. Trois ans plus tard, personne à la clinique ne sait que l'enregistreur est visible depuis Internet.
Ce scénario n'a rien d'exceptionnel. Caméras, panneaux d'alarme, lecteurs de cartes d'accès, thermostats intelligents, téléviseurs de salle de réunion, imprimantes : chacun de ces objets est un petit ordinateur branché sur votre réseau. Et contrairement aux postes de travail, personne ne les surveille.
Voici comment les sécuriser sans devenir expert, en suivant les recommandations du Centre canadien pour la cybersécurité.
En bref
- Chaque objet connecté est un ordinateur sur votre réseau : changez les mots de passe par défaut et isolez ces appareils des systèmes qui traitent des données sensibles, comme le recommande le Centre canadien pour la cybersécurité.
- Cinq risques couvrent l'essentiel : mots de passe d'usine, micrologiciel désuet, réseau à plat, comptes infonuagiques mal protégés, accès à distance des fournisseurs.
- Les images de caméras qui identifient des personnes sont des renseignements personnels : la Loi 25 s'applique.
- Commencez par un inventaire : on ne protège pas ce qu'on ignore.
Pourquoi les objets connectés sont une cible facile
Les objets connectés sont ciblés parce qu'ils combinent trois faiblesses : des identifiants d'usine connus de tous, des mises à jour rares et une place sur le même réseau que vos postes.
L'exemple classique date d'octobre 2016. L'agence américaine de cybersécurité (CISA) décrivait alors le réseau de zombies Mirai, qui balayait Internet avec une liste de 62 noms d'utilisateur et mots de passe par défaut courants. Ses victimes étaient surtout des routeurs domestiques, des caméras réseau et des enregistreurs vidéo, ensuite utilisés pour des attaques par déni de service.
Pour une PME, le danger va au-delà de ces attaques. Une caméra compromise peut filmer un écran ou un comptoir d'accueil, servir de point d'entrée vers le réseau interne, ou exposer des images de clients et d'employés. C'est pourquoi le Centre canadien pour la cybersécurité recommande de mettre en œuvre des plans et des politiques pour réduire le risque que ces appareils entraînent des incidents touchant votre réseau.
Les 5 risques et les mesures qui les réduisent
Pour une PME, cinq risques couvrent l'essentiel, et chacun a une mesure simple.
| Risque | Exemple typique | Mesure |
|---|---|---|
| Mot de passe par défaut | Enregistreur vidéo encore en « admin / admin » | Mot de passe unique et long (phrase de passe) dans un gestionnaire de mots de passe ; comptes inutiles désactivés |
| Micrologiciel désuet | Panneau d'alarme jamais mis à jour depuis l'installation | Mises à jour vérifiées chaque trimestre, automatiques si possible ; remplacement des appareils qui ne sont plus pris en charge |
| Réseau à plat | Thermostat sur le même Wi-Fi que la comptabilité | Réseau ou VLAN distinct pour les objets connectés, sans accès aux postes ni aux serveurs |
| Compte infonuagique faible | Application des caméras liée au cellulaire personnel du gérant, sans MFA | Compte au nom de l'entreprise, authentification multifacteur, anciens utilisateurs retirés |
| Accès à distance du fournisseur | Port ouvert en permanence sur le routeur, mot de passe partagé par toute l'équipe technique | Aucune redirection de port ; accès nominatif, activé au besoin et journalisé ; règles inscrites au contrat |
Le Centre canadien recommande aussi de désactiver toutes les fonctionnalités de connexion automatique, comme l'autoconfiguration « plug and play », qui peuvent ouvrir des accès à votre insu.
Étape 1 : faire l'inventaire
La première mesure est de savoir ce qui est branché : dressez la liste de chaque objet connecté, avec son emplacement, son fournisseur et la personne responsable.
Pour chaque appareil, notez :
- le type, la marque et le modèle ;
- son adresse sur le réseau et son mode de connexion (câble, Wi-Fi, cellulaire) ;
- la version du micrologiciel et la date de fin de prise en charge annoncée par le fabricant ;
- le compte infonuagique ou l'application associée, et qui y a accès ;
- le fournisseur qui y accède à distance, et comment.
La liste des appareils connectés de votre routeur ou un balayage réseau réalisé par votre fournisseur TI révèle souvent des surprises : une vieille imprimante, un téléviseur intelligent, une passerelle installée par le propriétaire de l'immeuble. Avant d'acheter un nouvel appareil, le Centre canadien conseille de vous renseigner sur ses protocoles de sécurité, sur les données qu'il transmet et reçoit, et sur les évaluations de sécurité du fabricant.
Étape 2 : isoler et durcir
Isolez les objets connectés sur un réseau distinct de vos postes et serveurs : c'est la mesure qui limite le plus les dégâts si l'un d'eux est compromis.
Le Centre canadien pour la cybersécurité recommande d'isoler les réseaux d'objets connectés pour restreindre leur accès aux systèmes qui traitent des données sensibles, et de placer les appareils personnels sur un réseau distinct, comme le Wi-Fi invité. Concrètement, pour une PME :
- un réseau ou un VLAN réservé aux caméras, à l'alarme et aux appareils du bâtiment ;
- des règles de pare-feu qui empêchent ce réseau d'atteindre les postes et les serveurs ;
- aucun appareil exposé directement à Internet ;
- le chiffrement des données produites par les appareils, quand le produit le permet.
Notre article sur la sécurité du Wi-Fi d'entreprise explique comment séparer les réseaux sans fil.
Étape 3 : encadrer les comptes infonuagiques et l'accès des fournisseurs
Les comptes infonuagiques de vos caméras et de votre alarme doivent appartenir à l'entreprise et être protégés par l'authentification multifacteur, comme tout autre compte critique.
Le Centre canadien recommande l'authentification à deux facteurs pour les appareils et les applications qui l'offrent. Notre guide pour choisir une méthode d'authentification multifacteur vous aide à choisir la bonne.
Pour les fournisseurs, posez les mêmes questions qu'à votre fournisseur TI : qui a accès, comment, avec quelle journalisation, et ce qui arrive à la fin du contrat. Notre article Évaluer la sécurité de son fournisseur TI propose une liste de questions qui s'applique aussi aux intégrateurs de caméras et aux centrales d'alarme.
Les images de caméras et la Loi 25
Les images d'une caméra qui permettent d'identifier une personne sont des renseignements personnels : en mai 2025, la Commission d'accès à l'information l'a réaffirmé pour des caméras installées dans les véhicules d'une entreprise, selon un résumé publié par le cabinet Osler en juin 2025.
Pour vos caméras, cela veut dire :
- des mesures de sécurité raisonnables compte tenu de la sensibilité des images (art. 10) ;
- un accès limité aux personnes qui en ont besoin dans l'exercice de leurs fonctions (art. 20) ;
- une conservation limitée : la même décision a jugé inutile la conservation continue des enregistrements pendant 14 jours et ordonné la destruction de ceux sans lien avec un incident ;
- un enregistreur exposé sur Internet et consulté par un inconnu pourrait constituer un incident de confidentialité (art. 3.6).
Ces questions sont aussi juridiques : validez votre situation avec votre conseiller juridique.
La checklist trimestrielle
Une revue de quinze minutes par trimestre suffit à garder les objets connectés sous contrôle.
- L'inventaire est à jour, y compris les appareils ajoutés par des fournisseurs.
- Aucun appareil n'utilise un mot de passe d'usine ou partagé.
- Le micrologiciel de chaque appareil est à jour.
- Aucun port n'est redirigé vers un appareil depuis Internet.
- Le réseau des objets connectés n'atteint ni les postes ni les serveurs.
- Les comptes infonuagiques sont au nom de l'entreprise et protégés par MFA.
- Les accès des fournisseurs et des anciens employés ont été revus.
- Les appareils qui ne reçoivent plus de mises à jour sont planifiés pour remplacement.
Si un audit révèle des appareils exposés ou un réseau à plat, notre service de remédiation et durcissement peut s'occuper de la segmentation et de la configuration avec votre fournisseur TI.
Questions fréquentes
Est-ce que les caméras de surveillance d'une entreprise peuvent être piratées ?+
Oui, surtout lorsqu'elles gardent leur mot de passe d'usine, que leur micrologiciel n'est jamais mis à jour ou qu'elles sont accessibles directement depuis Internet. En 2016, le réseau de zombies Mirai a pris le contrôle de caméras réseau, d'enregistreurs vidéo et de routeurs en essayant une courte liste de mots de passe par défaut. Changer ces mots de passe et isoler les caméras du reste du réseau élimine l'essentiel du risque.
Faut-il mettre les caméras et les objets connectés sur un réseau séparé ?+
Oui. Le Centre canadien pour la cybersécurité recommande d'isoler les réseaux d'objets connectés afin de restreindre leur accès aux systèmes qui traitent des données sensibles, et de placer les appareils personnels sur un réseau distinct comme le Wi-Fi invité. Un réseau virtuel (VLAN) séparé ou un deuxième réseau Wi-Fi, avec des règles de pare-feu, suffit généralement pour une PME.
Comment sécuriser l'accès à distance de mon fournisseur d'alarme ou de caméras ?+
Évitez les redirections de ports ouvertes en permanence sur votre routeur. Exigez un compte nominatif par technicien, protégé par l'authentification multifacteur, activé seulement au besoin et journalisé. Inscrivez au contrat qui a accès, comment, et ce qui se passe à la fin du contrat.
Les images de vidéosurveillance sont-elles visées par la Loi 25 ?+
Oui, dès qu'elles permettent d'identifier une personne. En mai 2025, la Commission d'accès à l'information a réaffirmé que des images d'employés captées par des caméras constituent des renseignements personnels. L'entreprise doit donc limiter la collecte au nécessaire, protéger les images et en restreindre l'accès. Validez votre situation avec votre conseiller juridique.
Sources
- 1.Centre canadien pour la cybersécurité : Sécurité de l'Internet des objets (IdO) (ITSAP.00.012)
- 2.CISA : Heightened DDoS Threat Posed by Mirai and Other Botnets (TA16-288A)
- 3.Osler : Vidéosurveillance au travail, points clés de la dernière décision québécoise (juin 2025)
- 4.LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)