Une caméra IP est un ordinateur miniature branché sur votre réseau. Elle possède un système d'exploitation, un serveur web, des comptes utilisateurs et des ports ouverts. Mal configurée, elle devient une porte d'entrée vers votre système d'information, ou une source d'images qui échappe à votre contrôle. Pour un décideur, la question n'est donc plus seulement « que voit la caméra ? », mais aussi « qui peut accéder à la caméra ? ».
Ce guide passe en revue les bonnes pratiques qui permettent de sécuriser une installation de vidéosurveillance professionnelle, des caméras jusqu'au poste d'exploitation.
Pourquoi la vidéosurveillance est une cible
Les équipements de sûreté ont longtemps été installés comme des appareils autonomes, posés une fois puis oubliés. Avec le passage à l'IP, ils partagent désormais le réseau de l'entreprise, sont parfois accessibles depuis Internet pour la consultation à distance, et restent en service pendant de longues années.
Cette combinaison crée plusieurs risques concrets :
- la fuite d'images : des flux vidéo consultables par des tiers, avec les conséquences que l'on imagine pour la confidentialité des personnes filmées et des locaux ;
- le rebond vers le réseau : une caméra compromise peut servir de point d'appui pour atteindre d'autres machines du réseau interne ;
- l'aveuglement du système : un attaquant qui coupe ou altère les enregistrements prive le site de sa capacité de preuve au moment où elle serait utile ;
- l'enrôlement dans un réseau d'objets piratés : des équipements connectés mal protégés peuvent être détournés pour mener des attaques contre d'autres cibles.
Rappelons aussi que le RGPD impose au responsable du traitement d'assurer la sécurité des données personnelles. Les images de vidéosurveillance en font partie : la CNIL demande que l'accès aux images soit limité aux seules personnes habilitées. Nous avons détaillé ces règles dans notre article sur la réglementation de la vidéosurveillance en entreprise.
1. Supprimer les identifiants par défaut
C'est la première mesure, et la plus souvent négligée. Chaque caméra, enregistreur et logiciel doit recevoir un mot de passe propre, long et unique dès la mise en service. Les comptes inutiles sont désactivés.
Il faut aussi distinguer les rôles : le compte d'administration sert à la configuration, les opérateurs disposent de comptes nominatifs avec des droits limités à ce dont ils ont besoin (visualisation en direct, relecture, export). Les comptes partagés du type « accueil » ou « sécurité » empêchent de savoir qui a fait quoi.
2. Isoler les caméras sur leur propre réseau
Les caméras n'ont aucune raison de dialoguer avec les postes de la comptabilité ou le serveur de messagerie. La bonne pratique consiste à les placer sur un réseau dédié, physiquement séparé ou isolé par un VLAN, et à filtrer les échanges pour n'autoriser que les flux nécessaires vers l'enregistreur ou le serveur de vidéosurveillance.
Sur les prises réseau accessibles au public (parking, façade, hall), on peut ajouter un contrôle de l'équipement raccordé, par exemple avec l'authentification 802.1X, afin qu'un intrus ne puisse pas débrancher une caméra et brancher son propre ordinateur à sa place.
3. Ne jamais exposer directement les caméras sur Internet
Ouvrir un port sur la box ou le routeur pour consulter une caméra à distance est une solution rapide, mais elle expose l'équipement à toutes les tentatives d'accès venues d'Internet. Pour la consultation à distance, privilégiez :
- un accès par VPN vers le réseau du site ;
- ou le portail sécurisé de votre logiciel de gestion vidéo, qui centralise l'authentification et chiffre les échanges.
Les services de connexion « cloud » proposés par certains fabricants peuvent être pratiques, à condition de savoir où transitent les images et de pouvoir les désactiver si vous ne les utilisez pas.
4. Chiffrer les flux et les accès
Les interfaces d'administration doivent être consultées en HTTPS, avec des certificats gérés, et non en HTTP simple. Lorsque les équipements et le logiciel le permettent, les flux vidéo eux-mêmes peuvent être chiffrés entre la caméra, le serveur et le poste client. C'est particulièrement utile quand les images traversent des bâtiments ou des liaisons partagées.
5. Tenir les micrologiciels à jour
Les fabricants publient régulièrement des correctifs de sécurité. Encore faut-il les appliquer. Une installation saine repose sur :
- un inventaire à jour des équipements, de leur modèle et de leur version de micrologiciel ;
- une veille sur les avis de sécurité des fabricants ;
- une procédure de mise à jour testée, planifiée en dehors des heures sensibles ;
- le remplacement des équipements qui ne reçoivent plus de mises à jour.
Le cadre européen évolue dans le même sens. Le règlement européen sur la cyberrésilience (Cyber Resilience Act, règlement (UE) 2024/2847) impose depuis le 11 septembre 2026 aux fabricants de produits comportant des éléments numériques de signaler les vulnérabilités activement exploitées et les incidents graves, via une plateforme gérée par l'ENISA. La plupart de ses autres obligations, notamment les exigences de sécurité dès la conception, s'appliqueront à partir du 11 décembre 2027. Ce texte vise les fabricants, mais il profite aux utilisateurs : il deviendra plus facile d'exiger des équipements suivis dans la durée.
6. Désactiver ce qui ne sert pas
Une caméra est souvent livrée avec de nombreux services actifs : découverte automatique, protocoles anciens, accès FTP, serveur web, flux sans authentification. Chaque service inutile est une surface d'attaque en plus. Lors de la mise en service, on ne garde que ce qui est nécessaire au fonctionnement du système.
7. Journaliser et surveiller
Un système de vidéosurveillance bien administré garde la trace des connexions, des exports d'images et des modifications de configuration. Ces journaux permettent de détecter un accès anormal et de répondre aux questions en cas d'incident. Les logiciels de gestion vidéo professionnels, comme Genetec Security Center, centralisent ces informations et signalent les équipements déconnectés ou les tentatives d'accès répétées.
Pensez aussi à la synchronisation horaire de tous les équipements : des horodatages cohérents sont indispensables pour exploiter les enregistrements comme éléments de preuve.
8. Protéger physiquement les équipements
La cybersécurité commence par la sûreté physique. Un enregistreur posé dans un bureau ouvert, une baie réseau non fermée ou une caméra accessible à hauteur d'homme sont autant de points faibles. Les équipements centraux se placent dans un local fermé, idéalement protégé par un contrôle d'accès, et alimentés par un onduleur.
Le choix du matériel compte
Tous les équipements ne se valent pas en matière de sécurité. Avant d'acheter, posez quelques questions simples au fournisseur :
- le fabricant publie-t-il des avis de sécurité et des correctifs réguliers ?
- combien de temps le modèle sera-t-il suivi ?
- les flux et les accès peuvent-ils être chiffrés ?
- l'équipement permet-il de gérer finement les comptes et les droits ?
Un matériel bon marché sans suivi logiciel peut coûter bien plus cher le jour où il faut le remplacer en urgence, ou expliquer une fuite d'images.
Une sécurité qui se maintient
Sécuriser une installation n'est pas une action ponctuelle. Les mots de passe changent avec les départs de personnel, les correctifs arrivent, les usages évoluent. Un contrat de maintenance permet de planifier ces opérations et de vérifier régulièrement que le système reste conforme à son état de référence.
Faites auditer votre vidéosurveillance
Safnest conçoit, installe et maintient des systèmes de vidéosurveillance pour les professionnels en région PACA, avec plus de 15 ans de pratique sur des sites sensibles, militaires, industriels et SEVESO. Nous pouvons faire le point sur votre installation existante : identifiants, cloisonnement réseau, accès à distance, mises à jour et journalisation.
Contactez-nous ou appelez le 04 83 43 10 44 pour planifier un audit.
Source : Commission européenne, « Des produits numériques plus sûrs et plus sécurisés », 11 septembre 2026 : commission.europa.eu.