L’immobilier face à sa nouvelle vulnérabilité numérique

Ouvrir la porte de son immeuble avec son smartphone, piloter le chauffage à distance, optimiser la consommation d’énergie ou suivre les installations techniques depuis une application… Les bâtiments connectés ne relèvent plus de la science-fiction. Logements, immeubles de bureaux, centres commerciaux ou bâtiments publics intègrent désormais une multitude d’équipements numériques destinés à améliorer leur fonctionnement.

Cette évolution répond aux nouvelles exigences de confort, d’efficacité énergétique et de maintenance. Mais elle crée aussi une dépendance croissante aux logiciels qui pilotent ces infrastructures. «Le véritable défi n’est pas uniquement le risque de cyberattaque», explique Steven Meyer, expert en cybersécurité et cofondateur de Zendata. «Un bâtiment est conçu pour durer cinquante ans, alors que les technologies qui l’équipent évoluent tous les trois à cinq ans. Si l’on n’anticipe pas leur maintenance dès aujourd’hui, les vulnérabilités s’accumulent avec le temps.»

Des bâtiments plus exposés

Les cybercriminels s’intéressent depuis un moment au secteur immobilier. Les entreprises doivent régulièrement affronter des rançongiciels, des fraudes consistant à modifier les coordonnées bancaires figurant sur une facture ou encore le piratage de messageries électroniques. «Nous intervenons aujourd’hui en moyenne une fois par semaine auprès de PME confrontées à ce type d’attaque», indique Steven Meyer. Les bâtiments intelligents ajoutent toutefois une nouvelle dimension au risque. Une attaque ne viserait plus seulement les données d’une entreprise mais pourrait perturber le fonctionnement même d’un bâtiment en affectant le contrôle d’accès, la ventilation, le chauffage, les ascenseurs ou encore les systèmes de gestion énergétique. L’exemple de l’enseigne américaine Target reste emblématique. En 2014, des pirates étaient parvenus à pénétrer son réseau informatique via le système de climatisation connecté d’un magasin avant d’accéder aux terminaux de paiement. «A l’époque, ce cas semblait exceptionnel. Aujourd’hui, les équipements connectés se généralisent dans les bâtiments, ce qui multiplie mécaniquement les points d’entrée potentiels», rappelle Steven Meyer.

Les particuliers sont eux aussi concernés. Serrures électroniques, thermostats intelligents, caméras ou portails pilotés à distance séduisent de plus en plus de propriétaires. Cette connectivité apporte du confort mais repose sur des logiciels, des mises à jour régulières et parfois des services cloud. Steven Meyer recommande donc de privilégier des fabricants capables d’assurer un suivi durable plutôt que des objets connectés bon marché dont la maintenance s’interrompt rapidement.

Les données, nouvel actif stratégique

Le risque ne naît pourtant pas avec le bâtiment. Il apparaît dès sa conception. Aujourd’hui, les grands projets sont développés grâce au Building Information Modeling (BIM). Bien plus qu’une simple maquette, ce «jumeau numérique» rassemble les plans, les réseaux techniques, les matériaux, les équipements, les systèmes de sécurité ainsi qu’une partie des informations nécessaires à l’exploitation future du bâtiment. «Ce qui a de la valeur, ce n’est pas la 3D, c’est l’information contenue dans la maquette», résume Dylan Martins, directeur associé d’Elitis.

Or ces informations circulent souvent bien plus qu’on ne l’imagine. Une entreprise mandatée pour réaliser un projet en Suisse peut sous-traiter une partie de la modélisation à un bureau installé à l’étranger, lequel peut lui-même faire appel à d’autres prestataires. Au bout de cette chaîne, le maître d’ouvrage ne sait alors pas toujours où sont hébergées les données de son projet ni combien de personnes ont pu y accéder. «La question dépasse actuellement la seule cybersécurité. Elle touche aussi à la souveraineté numérique», estime Dylan Martins. D’autant que, à mesure que le BIM se généralise, ces maquettes ne servent plus seulement à construire un bâtiment. Elles accompagnent ensuite sa maintenance, ses rénovations et parfois même son exploitation. Protéger ces données revient dès lors à protéger une partie du patrimoine immobilier lui-même.

Un défi pour les gestionnaires immobiliers

Cette numérisation du bâti transforme donc progressivement le métier des exploitants. «La cybersécurité fait désormais partie intégrante du property management», résume Philippe Schroff, directeur régional romand de Wincasa. Les bâtiments commerciaux gérés par l’entreprise reposent sur des systèmes pilotant les accès, les installations techniques, les équipements de sécurité ou encore les consommations énergétiques. «Chaque nouvelle interface numérique crée de nouveaux risques. Il faut aujourd’hui assurer la maintenance des logiciels avec la même rigueur que celle des installations techniques.»

Cette évolution soulève aussi une question encore peu tranchée: celle des responsabilités. Entre le promoteur, les fabricants d’équipements, les intégrateurs, les entreprises de maintenance et le gestionnaire immobilier, les intervenants se multiplient tout au long de la vie d’un bâtiment. Pour Philippe Schroff, la cybersécurité ne relève donc plus uniquement des spécialistes de l’informatique, elle devient un enjeu de gouvernance de l’actif immobilier. Il observe d’ailleurs une évolution des attentes des propriétaires et des investisseurs. «Ces derniers veulent à présent savoir comment leurs bâtiments sont protégés, car une cyberattaque peut affecter la continuité d’exploitation d’un bâtiment», constate Philippe Schroff.

Steven Meyer souligne quant à lui que le principal enjeu est désormais d’anticiper. Intégrer ces questions dès la conception coûtera toujours moins cher que d’adapter un bâtiment plusieurs années après sa livraison. Longtemps, un bâtiment s’est distingué par son emplacement, son architecture ou sa performance énergétique. Demain, sa robustesse numérique pourrait bien compter parmi les qualités qui feront sa valeur.