Télécoms d’une collectivité : continuité, sécurité et services aux usagers

01

Partir des services publics, pas des équipements

Une collectivité peut gérer accueil, état civil, ressources humaines, finances, services techniques, écoles, médiathèques, équipements sportifs, action sociale ou information du public. Ces missions ne présentent ni les mêmes horaires ni les mêmes conséquences en cas d’arrêt. La première étape consiste à décrire les services rendus, les personnes concernées et les périodes pendant lesquelles leur disponibilité est essentielle.

Pour chaque mission, identifiez les dépendances numériques : application, accès internet, interconnexion avec un partenaire, téléphonie, authentification, imprimante, serveur, service cloud ou équipement technique. Une démarche administrative apparemment locale peut dépendre d’un service national ou d’un prestataire. À l’inverse, un service interne peut continuer temporairement avec une procédure papier si celle-ci est préparée et si les données peuvent être réintégrées proprement.

Classez les activités par niveau de priorité et durée acceptable d’interruption. Le classement doit être validé par les responsables métiers, la direction, la fonction informatique et les personnes chargées de la continuité. Il ne s’agit pas d’affirmer que tout est critique. Si tous les services reçoivent la même priorité, le dispositif ne sait pas quoi protéger ni rétablir en premier.

Associez un mode dégradé à chaque activité prioritaire. Il peut reposer sur un second site, un accès mobile, des formulaires locaux, une liste de contacts imprimée ou un canal téléphonique différent. Le mode doit rester compatible avec la confidentialité, l’intégrité et les règles de la collectivité. Une solution improvisée, comme utiliser des comptes personnels ou transférer des données sensibles vers un outil non validé, déplace le risque au lieu de le réduire.

Cette cartographie devient le référentiel des décisions télécom. Elle justifie le niveau de service, l’ordre de reprise, la segmentation, les secours et les exercices. Elle doit être mise à jour après l’ouverture d’un site, un nouveau service aux usagers, un changement de prestataire ou un incident significatif.

• Mission et public concerné.
• Sites, horaires et périodes sensibles.
• Applications, téléphonie et partenaires dépendants.
• Durée d’interruption acceptable.
• Mode dégradé autorisé et responsable de son activation.

02

Établir une cartographie technique et contractuelle

L’inventaire couvre les accès fixes et mobiles, liaisons intersites, routeurs, pare-feu, commutateurs, bornes Wi-Fi, téléphones, IPBX ou Centrex, cartes SIM, numéros, adresses IP, noms de domaine et certificats. Il relie chaque composant à un site, un contrat, un responsable et une date de maintenance. Les équipements installés dans des bâtiments éloignés ou gérés par un délégataire ne doivent pas rester hors du référentiel.

Représentez les flux entre sites et services externes. Les écoles, médiathèques, centres techniques, bâtiments culturels ou structures sociales peuvent partager une interconnexion, une sortie internet ou une authentification. Le schéma doit montrer les dépendances communes et les points de concentration. Une panne sur un équipement central peut avoir un impact bien supérieur à celui suggéré par sa localisation.

Ajoutez la couche contractuelle. Quel opérateur fournit l’accès ? Qui exploite le pare-feu ? Qui administre la téléphonie ? Qui maintient le câblage, l’onduleur ou les bornes ? Quel prestataire reçoit l’alerte ? Une même panne peut traverser plusieurs périmètres. Les points de démarcation et les mécanismes d’escalade doivent être connus avant l’incident.

Documentez les échéances : engagements, renouvellements, fins de support, certificats et fermetures de technologies. La fermeture progressive du cuivre et l’arrêt annoncé de réseaux mobiles historiques peuvent affecter des alarmes, ascenseurs, télésurveillance ou équipements isolés. Chaque ligne ou carte doit être rattachée à un usage afin de préparer son remplacement avec le mainteneur concerné.

La cartographie contient des informations sensibles. Limitez son accès, conservez une copie utilisable en situation de crise et protégez les sauvegardes. Une version simplifiée peut être utilisée pour les consultations fournisseurs, tandis que le détail des règles et secrets reste réservé aux personnes autorisées.

• Actifs, versions, sites et propriétaires.
• Contrats, prestataires et contacts d’escalade.
• Flux, interconnexions et dépendances partagées.
• Numéros, cartes SIM et équipements techniques.
• Échéances de maintenance et de technologie.

03

Organiser une gouvernance adaptée à la collectivité

La cybersécurité et la continuité ne relèvent pas uniquement du service informatique. Le guide de l’ANSSI consacré aux collectivités met en avant gouvernance, gestion des risques et amélioration continue. Les élus ou la direction fixent les priorités et les moyens ; les métiers définissent les besoins ; les fonctions informatique et sécurité conçoivent les mesures ; le délégué à la protection des données intervient sur les traitements de données personnelles.

Désignez un responsable pour chaque service essentiel et chaque fournisseur. Le responsable métier valide le mode dégradé et le retour à la normale. Le responsable technique connaît les dépendances et les procédures. Le responsable contractuel peut mobiliser le prestataire et conserver les preuves. Ces rôles peuvent être portés par peu de personnes dans une petite structure, mais ils doivent rester explicites.

Les mutualisations et groupements apportent des compétences ou services partagés, sans supprimer la nécessité d’identifier les responsabilités. Une collectivité doit savoir qui décide d’une modification, qui reçoit les alertes, qui informe les usagers et qui autorise la reprise. Les conventions ou marchés doivent refléter cette organisation et prévoir la coopération entre acteurs.

Une politique de sécurité formalisée donne un cadre aux accès distants, équipements, comptes, mises à jour, prestataires, Wi-Fi et incidents. Elle doit rester proportionnée et applicable. Des règles nombreuses mais inconnues des agents produisent moins de sécurité qu’un socle limité, compris, contrôlé et régulièrement amélioré.

Planifiez une revue périodique fondée sur les changements et les incidents. Elle examine les actifs non maintenus, les accès inutiles, les contrats proches de l’échéance, les tests de secours et les écarts de documentation. Les décisions sont tracées afin de distinguer un risque accepté d’un oubli.

04

Segmenter les réseaux selon les usages

Un réseau plat permet à une compromission ou une erreur de se propager plus facilement. Séparez les usages administratifs, techniques, téléphoniques, invités et publics selon l’analyse de risques. Les écoles, objets connectés, caméras, automates, bâtiments et prestataires peuvent nécessiter des segments distincts. La segmentation doit être accompagnée de règles de filtrage explicites ; créer des réseaux virtuels sans contrôler leurs échanges ne suffit pas.

Le réseau administratif héberge des données et applications sensibles. Ses accès sont limités aux équipements et personnes autorisés. Les postes d’administration utilisent des chemins et comptes spécifiques lorsque le niveau de risque le justifie. Les interfaces de gestion des routeurs, pare-feu, commutateurs, Wi-Fi et téléphonie ne doivent pas être accessibles depuis le réseau public ou invité.

Les réseaux techniques demandent une attention particulière. Des équipements anciens ou maintenus par un tiers peuvent utiliser des protocoles limités et recevoir peu de correctifs. Isolez-les, restreignez leurs communications aux destinations nécessaires et encadrez les accès du mainteneur. Une exception permanente ouverte vers tout internet n’est pas une solution de maintenance.

La téléphonie IP partage des composants avec le réseau de données. L’ANSSI rappelle que cette convergence introduit des risques de fraude, écoute, intrusion et indisponibilité. Séparez les flux lorsque pertinent, protégez l’administration, mettez à jour les systèmes et limitez les destinations ou usages qui n’ont pas de justification métier. Les appels d’urgence et fonctions essentielles restent intégrés aux tests.

Documentez chaque règle avec son besoin, son propriétaire et sa date de revue. Une segmentation trop complexe, sans supervision ni compétence, peut provoquer des ouvertures ponctuelles non maîtrisées. Le niveau de détail doit être compatible avec les capacités d’exploitation de la collectivité et de ses prestataires.

• Administration et applications internes.
• Téléphonie et communications unifiées.
• Bâtiments, objets et équipements techniques.
• Prestataires et maintenance distante.
• Agents en mobilité.
• Invités et accès internet ouvert au public.

05

Concevoir la connectivité multisite et ses secours

Chaque site reçoit un niveau de service lié à ses missions. Un petit local avec une activité différable peut utiliser un accès standard et un mode de repli simple. Un site qui centralise authentification, téléphonie ou applications pour toute la collectivité peut justifier une architecture plus résiliente. Le nombre d’agents ne suffit pas à classer la criticité.

Comparez les offres fixes selon le débit montant et descendant, les garanties, le support, le point de livraison et les exclusions. La carte Ma connexion internet de l’Arcep renseigne les technologies disponibles, mais la faisabilité commerciale et le raccordement doivent être confirmés pour chaque adresse. Les bâtiments publics peuvent présenter des cheminements, contraintes patrimoniales ou accès techniques spécifiques.

Pour un secours, recherchez les dépendances communes. Deux liens peuvent emprunter la même adduction, le même point de mutualisation, la même collecte ou le même local alimenté. Un secours mobile peut réduire certains risques physiques, mais sa couverture intérieure et sa capacité doivent être testées. Aucun choix n’est indépendant par principe ; il faut documenter les limites connues.

Le réseau multisite doit continuer à appliquer les règles de sécurité lors d’une bascule. Vérifiez les VPN, filtrages, routes, authentifications et journaux sur le chemin secondaire. Un secours qui contourne le pare-feu ou ouvre directement un équipement technique crée un risque au moment où l’organisation est déjà fragilisée.

Testez la coupure d’un accès, la perte d’un équipement central et l’indisponibilité d’un site. Mesurez les services réellement disponibles, pas seulement l’état du tunnel. Le retour à la normale doit être prévu pour éviter les routes asymétriques, les sessions bloquées ou une configuration temporaire laissée en place.

• Criticité définie par mission et dépendances.
• Lien principal qualifié à l’adresse exacte.
• Secours testé dans les bâtiments concernés.
• Sécurité maintenue sur tous les chemins.
• Bascule et retour exercés avec les métiers.

06

Sécuriser les équipements de bordure et l’administration

Les routeurs, pare-feu, passerelles VPN, contrôleurs Wi-Fi et interfaces de téléphonie se trouvent à la frontière entre plusieurs réseaux. Ils doivent être inventoriés, maintenus et exposés au strict nécessaire. Les versions non supportées et interfaces oubliées augmentent le risque. Un changement de prestataire doit déclencher une revue des comptes et accès distants.

Utilisez des comptes nominatifs pour l’administration, des droits minimaux et une authentification forte lorsqu’elle est disponible. Séparez les comptes d’administration des comptes bureautiques. Les secrets ne sont pas partagés par courriel ou conservés dans un document ouvert. Une procédure de secours permet de récupérer l’accès sans dépendre d’une seule personne.

Les accès des prestataires sont ouverts pour un besoin identifié, limités aux équipements concernés et journalisés. Une connexion permanente peut être justifiée pour une supervision ou une maintenance, mais son périmètre et sa protection doivent être écrits. Le fournisseur signale les personnes autorisées et les changements d’équipe ; la collectivité contrôle les habilitations.

Les configurations sont sauvegardées après chaque changement important et restaurées lors d’un exercice. Une sauvegarde non testée ne garantit pas la reprise. Conservez au moins une copie protégée contre l’incident qui toucherait l’équipement de production. Les licences, certificats et fichiers nécessaires à la reconstruction sont inclus dans le plan.

La supervision combine disponibilité, événements de sécurité et indicateurs de capacité. Les alertes sont routées vers une équipe capable d’agir, y compris hors horaires lorsque l’activité l’exige. Évitez une accumulation d’alertes sans priorité : les seuils sont réglés, les faux positifs analysés et les incidents significatifs font l’objet d’un suivi.

07

Traiter la téléphonie et les communications de crise

La téléphonie relie accueil, services, astreintes, élus, agents de terrain et usagers. Inventoriez les numéros, groupes, files, renvois, messages, horaires, postes isolés et équipements analogiques. Reliez chaque numéro à un responsable. La fermeture du cuivre ou une migration vers l’IP peut affecter des lignes techniques qui n’apparaissent pas dans le standard principal.

Une solution Centrex ou IPBX dépend du réseau, du service fournisseur, des équipements et de l’alimentation. Identifiez le comportement si un bâtiment perd sa connexion : renvoi dans le réseau opérateur, accès mobile, numéro alternatif ou service indisponible. Testez les scénarios d’appels entrants et sortants, les débordements, les files et la reprise. Une plateforme disponible ne rend pas les postes joignables si le site est isolé.

Les appels d’urgence doivent être traités avec prudence, notamment lorsque des softphones ou comptes sont utilisables depuis plusieurs sites. Demandez au fournisseur comment les adresses sont associées aux numéros et comment les changements sont transmis. Suivez sa procédure de vérification sans solliciter abusivement les services d’urgence. Les agents doivent connaître les limites et disposer d’un moyen alternatif en cas de panne.

La cellule de crise ne doit pas dépendre uniquement du système touché. L’ANSSI recommande de préparer des capacités de réponse même en cas de perte des moyens informatiques et de communication nominaux. Conservez une liste de contacts hors ligne, un canal de conférence alternatif autorisé, des téléphones chargés et une procédure d’activation. Protégez les coordonnées sensibles et mettez-les à jour.

La communication aux usagers doit être coordonnée. Préparez les moyens de publier un message, d’adapter l’accueil ou de rediriger les appels sans exposer des informations non vérifiées. Le responsable de crise valide le contenu et l’heure des mises à jour.

• Numéros et scénarios associés aux services.
• Routage de secours et moyens alternatifs.
• Adresses liées aux appels d’urgence.
• Alimentation des équipements de voix.
• Contacts de crise disponibles hors du système nominal.

08

Séparer et encadrer le Wi-Fi public

Une médiathèque, un musée, une salle, un équipement sportif ou un bâtiment administratif peut proposer un accès internet au public. Ce service doit être séparé du réseau interne. La CNIL recommande un chiffrement à l’état de l’art et une isolation des réseaux ouverts au public. Les bornes, contrôleurs et portails ne doivent pas offrir un chemin vers les applications ou équipements de la collectivité.

La fourniture d’un accès public implique un traitement spécifique des données de trafic. La CNIL rappelle que les organismes concernés doivent conserver certaines données techniques selon le cadre applicable, tout en respectant la minimisation et les droits des utilisateurs. Le contenu des messages ou des pages consultées n’entre pas dans cette conservation. La collectivité doit faire valider son dispositif par ses fonctions compétentes et son délégué à la protection des données.

La CNIL précise qu’un fournisseur d’accès public n’est pas, en principe, obligé d’identifier chaque utilisateur ; s’il choisit de le faire, il doit justifier ce choix et appliquer les règles correspondantes. Un portail demandant nom, courriel ou téléphone ne doit donc pas être ajouté par habitude marketing. Définissez la finalité, l’information, la durée et les habilitations avant de collecter.

Le contrat avec le prestataire Wi-Fi doit préciser qui conserve les données techniques, où, avec quelles protections, qui répond aux demandes et comment les données sont restituées ou supprimées. La collectivité reste en mesure d’exercer sa gouvernance sur le traitement. L’accès aux journaux est limité aux personnes habilitées et tracé.

Sur le plan opérationnel, limitez l’impact du Wi-Fi public sur les services internes. Définissez une capacité, des règles d’usage et une supervision séparées. Une saturation du réseau invité ne doit pas empêcher l’accueil téléphonique, les applications administratives ou la connexion d’un équipement technique.

• Réseau public isolé du système interne.
• Chiffrement et administration protégés.
• Collecte limitée aux données nécessaires.
• Information et droits des utilisateurs organisés.
• Responsabilités du prestataire écrites.

09

Protéger les données et maîtriser la journalisation

Les réseaux transportent des données personnelles relatives aux agents, usagers et partenaires. La CNIL rappelle que le responsable du traitement et ses sous-traitants mettent en œuvre des mesures techniques et organisationnelles adaptées au risque. Le projet télécom doit donc intégrer protection, traçabilité et continuité dès la conception.

Journalisez les activités utiles à la sécurité et à l’exploitation : connexions d’administration, modifications, anomalies, événements des pare-feu et accès distants. Les journaux sont protégés contre l’altération et l’accès non autorisé. Leur contenu est limité ; il ne doit pas collecter des mots de passe ou dupliquer sans raison des données sensibles. Les durées suivent la finalité et le cadre applicable.

Les horloges des équipements doivent être cohérentes pour rapprocher les événements. Une alerte réseau, une modification de règle et une connexion applicative ne peuvent être analysées correctement si les heures divergent. La source de temps, les fuseaux et la conservation des journaux sont documentés.

Les sauvegardes couvrent configurations, annuaires, données et documents nécessaires à la reprise. La CNIL recommande des sauvegardes régulières, au moins une copie hors ligne et des tests de restauration. L’ANSSI intègre également sauvegarde, restauration et modes dégradés à la résilience. Une réplication permanente ne remplace pas toujours une sauvegarde isolée, car une erreur ou une attaque peut se propager.

Préparez la gestion des incidents et violations de données. Les équipes savent qui alerter, quelles preuves préserver, comment limiter la propagation et comment coordonner les obligations éventuelles. Le présent guide ne remplace pas l’analyse juridique de chaque incident ; il fournit les éléments techniques nécessaires à cette analyse.

10

Préparer continuité, reprise et crise cyber

Le plan de continuité définit comment maintenir les activités essentielles pendant une perturbation. Le plan de reprise décrit le retour progressif des systèmes. L’ANSSI souligne que la résilience repose sur une analyse des risques et que la gestion de crise concerne autant les décideurs et métiers que les spécialistes techniques. Les télécoms doivent apparaître dans ces plans comme dépendance et comme moyen de coordination.

Définissez des seuils d’escalade : panne d’un site, perte de plusieurs accès, compromission d’un équipement, indisponibilité du fournisseur ou propagation à plusieurs services. Chaque seuil déclenche des rôles, un canal de communication et des décisions. L’incident technique et la crise métier restent coordonnés mais distincts : l’équipe technique traite la cause, la cellule de crise arbitre les priorités et informe.

Préparez la perte des outils habituels. Les contacts, schémas essentiels, contrats, procédures et clés de reprise doivent rester disponibles hors du système compromis, avec une protection adaptée. Les agents doivent savoir comment signaler un incident si la messagerie, la téléphonie ou l’annuaire est indisponible. Les moyens alternatifs sont testés avant la crise.

La reprise suit un ordre métier et une validation de sécurité. Remettre un accès en service trop tôt peut réintroduire une menace ou contaminer une sauvegarde. Les équipes définissent les conditions de retour : équipement sain, identifiants renouvelés lorsque nécessaire, règles vérifiées, journaux actifs et validation du responsable. Les utilisateurs confirment ensuite les fonctions essentielles.

Chaque activation ou exercice produit un retour d’expérience. Identifiez les informations manquantes, décisions lentes, dépendances inconnues et solutions provisoires. Mettez à jour plans, contrats, inventaires et formations. L’amélioration continue évite que le document de crise reste une photographie ancienne.

• PCA et PRA fondés sur les missions prioritaires.
• Seuils d’escalade et cellule de décision.
• Moyens de communication alternatifs.
• Documentation disponible hors ligne.
• Ordre de reprise et critères de sécurité.
• Retour d’expérience suivi d’actions.

11

Rédiger des exigences utiles dans les marchés et contrats

Le cahier des charges décrit les sites, services, volumes, criticités, architecture existante et cible. Il distingue exigences minimales, options et informations. Une formule générale comme « haute disponibilité » est remplacée par des comportements vérifiables : services à maintenir, horaires de support, notification, bascule, accès aux journaux et coopération lors d’un incident.

Faites préciser les points de démarcation et responsabilités. Qui intervient sur la fibre, le routeur, le pare-feu, le réseau local, le Wi-Fi, la téléphonie et l’alimentation ? Qui coordonne si plusieurs prestataires sont concernés ? Les engagements sont associés à leur périmètre, à leur point de départ, à leurs exclusions et à la procédure de déclaration.

Intégrez les exigences de sécurité : comptes nominatifs, protection de l’administration, mises à jour, gestion des vulnérabilités, journalisation, sauvegardes, notification d’incident, sous-traitance et fin de contrat. Les exigences doivent être proportionnées et contrôlables. Demander une norme ou un label sans relier son périmètre au service ne suffit pas.

Préparez la réversibilité. La collectivité doit récupérer inventaires, configurations exportables, références d’accès, numéros, journaux nécessaires, documentation et données selon les conditions convenues. Les comptes du prestataire sortant sont révoqués et les accès remis au nouvel exploitant de manière contrôlée. Un test de sortie ou une revue documentaire peut révéler les dépendances avant l’échéance.

Prévoyez une recette et des exercices. La livraison vérifie sites, débit selon la méthode convenue, sécurité, téléphonie, supervision et secours. Les tests périodiques contrôlent ensuite la bascule et la restauration. Les résultats, réserves et actions sont tracés. Aucun contrat ne remplace cette vérification opérationnelle.

• Périmètre par site et par service.
• Engagements, horaires, exclusions et escalade.
• Sécurité, données, journaux et sous-traitants.
• Coopération lors d’un incident ou d’une crise.
• Réversibilité et retrait des accès.
• Recette initiale et tests périodiques.

12

Exercer les scénarios avec les agents et prestataires

Un test technique confirme qu’un équipement bascule ; un exercice métier vérifie que la collectivité continue ses missions. Choisissez un scénario réaliste : coupure du site principal, perte de téléphonie, panne d’un opérateur, compromission d’un routeur ou indisponibilité de la messagerie. Définissez les limites de l’exercice pour ne pas perturber un service sans préparation.

Les agents utilisent le mode dégradé : annuaire hors ligne, accès de secours, formulaires, procédure d’accueil ou communication alternative. Les prestataires suivent les canaux contractuels. Les observateurs mesurent temps de détection, compréhension, décisions, communications et retour au nominal. L’objectif est d’identifier des améliorations, pas de sanctionner les participants.

Testez aussi des détails souvent oubliés : autonomie des téléphones et ordinateurs, accès physique au local, validité des cartes SIM, disponibilité des mots de passe d’urgence, numéro de contrat, liste des personnes habilitées et réception des alertes hors horaires. Un plan peut être techniquement correct et échouer sur l’un de ces points.

Après l’exercice, classez les écarts par impact et propriétaire. Corrigez d’abord les obstacles au maintien des missions. Mettez à jour la documentation puis réalisez un nouveau contrôle ciblé. Une action marquée terminée n’est close qu’après preuve de sa mise en œuvre.

La fréquence des exercices dépend des risques et des changements. Une modification d’architecture, un nouveau marché, un déménagement ou un incident peut justifier un test supplémentaire. La régularité maintient les réflexes et révèle les dérives de configuration.

13

Checklist de pilotage pour une collectivité

Commencez par la gouvernance : missions prioritaires, responsables, cartographie et critères d’escalade. Vérifiez ensuite l’architecture : segmentation, accès, interconnexions, administration, Wi-Fi public, téléphonie et alimentation. Pour chaque risque majeur, associez une prévention, une détection, un mode dégradé et une procédure de reprise.

Contrôlez les fournisseurs : périmètres, contacts, engagements, accès distants, notifications, sauvegardes, sous-traitants et réversibilité. Conservez les informations utiles hors des systèmes concernés. Les éléments contractuels et techniques doivent se rejoindre dans une procédure d’incident commune.

Mesurez enfin la capacité réelle par des tests. Une collectivité ne peut pas conclure à sa résilience parce qu’elle possède deux liens ou un document de continuité. Elle doit démontrer que les agents savent maintenir les services prioritaires, que les données restent protégées et que le retour à la normale est maîtrisé.

• Services essentiels et modes dégradés validés.
• Inventaire technique et contractuel à jour.
• Réseaux administratifs, techniques et publics séparés.
• Administration, correctifs et sauvegardes maîtrisés.
• Accès principaux et secours testés.
• Téléphonie et communications de crise préparées.
• Données personnelles et journaux encadrés.
• Contrats et réversibilité exploitables.
• Exercices suivis d’actions vérifiées.

FAQ

Questions fréquentes