Les municipalités incorporent de plus en plus des stratégies de la ville intelligente dans leurs plans de développement. Mais de tels projets n’incluent pas toujours des garanties adéquates de cybersécurité contre leurs risques complexes et à fort impact.
Une connectivité améliorée et l’augmentation des dispositifs connectés ont un impact direct sur la popularisation des villes intelligentes. Les gouvernements locaux font la promotion de projets qui intègrent de nouvelles technologies intelligentes au profit des services citoyens, à la fois indépendamment et en collaboration avec d’autres niveaux de gouvernement ou d’entités.
Une récente étude des Nations Unies présente un aperçu mondial de l’adoption de ces outils, 69% des municipalités dans le monde ayant un programme stratégique à cet égard. Mais à mesure que le nombre de dispositifs connectés augmente, la surface d’attaque de même: on estime qu’environ 83 000 capteurs ont été déployés en 2024.
Il existe déjà de nombreux exemples du monde réel de la façon dont les capteurs en réseau peuvent être une passerelle pour les cyberattaques. En 2017, le système d’alarme de Tornado de Dallas a été piraté, faisant sonner toutes ses alarmes à la fois. La même année, peu de temps avant la première inauguration de Donald Trump, 70% de Washington, le système de surveillance vidéo de DC a été bloqué par la ransomware 2021, la concentration d’un composant chimique dans une usine de traitement de l’eau en Floride a été modifiée. Le transport urbain est un autre domaine sensible, avec des exemples tels que la cyberattaque de 2023 sur le système de gestion des transports de la ville polonaise d’Olsztyn, connue comme l’une des principales villes intelligentes, ce qui a provoqué des embouteillages ou a rendu impossible d’acheter des billets pour le transport de la ville.
Les possibilités d’attaque contre les services civiques n’augmentent qu’à mesure que davantage d’appareils deviennent intégrés: les systèmes de mesure environnementale, les systèmes d’irrigation, les systèmes de gestion des déchets et les systèmes de gestion des gaz et de l’électricité dans les bâtiments publics, par exemple.
La complexité des risques de la ville intelligente
Pour Enrique Domínguez, chef de la sécurité cyberphysique chez Accenture en Espagne et au Portugal, «les villes intelligentes introduisent une complexité sans précédent en termes de cybersécurité en raison de l’hyperconnectivité de leurs systèmes critiques… et de la multiplicité des acteurs impliqués dans leur fonctionnement.»
En conséquence, le périmètre entier doit être sécurisé, car ce sont les services publics et la violation d’un seul appareil peut conduire à une réaction en chaîne qui a un impact sur toute la ville.
Le scénario devient plus compliqué lorsque l’on considère les générations disparates d’équipements qui sont souvent combinés dans des systèmes intelligents, dont beaucoup sont obsolètes ou sur le point de le devenir.
«Ces types de capteurs sont une passerelle vers les réseaux d’entreprise», souligne Carlos de la Cuesta, chef du secteur public de la société de solutions numériques Zebra Technologies en Espagne. Alors que la nouvelle technologie laisse l’usine avec des mécanismes de protection, il existe encore de nombreux appareils hérités dans les réseaux de la ville qui sont assez vulnérables, dit-il. «Ils permettent d’accéder à des choses qui, bien qu’elles puissent sembler hors de propos au début, peuvent devenir un problème.»
De La Cuesta mentionne le cas d’un artiste qui est devenu célèbre en 2020 pour avoir «piraté» Google Maps: l’artiste a porté 99 smartphones avec le système de localisation tourné dans un chariot, que le navigateur a détecté comme autant de véhicules et, par conséquent, averti des embouteillages dans des zones qui étaient en fait vides.
« C’est pourquoi il est important que tout soit contrôlé et sécurisé, qu’il soit aussi inaccessible que possible, car une sécurité à 100% complète, comme nous le savons tous, n’existe pas », a déclaré De La Cuesta. « Il y aura toujours un point où il diminue, mais il s’agit de mettre en place autant d’obstacles que possible et de les rendre aussi difficiles que possible. »
Rosa Díaz Moles, directrice du secteur public de S2Grupo, met également en évidence la complexité des villes intelligentes et leurs problèmes de cybersécurité qui en résultent.
La transformation numérique des services publics implique «une convergence accélérée entre les systèmes informatiques et OT, ainsi que l’incorporation massive de dispositifs IoT connectés», explique-t-elle, ce qui donne naissance à des défis tels qu’une surface d’attaque en expansion ou la coexistence des infrastructures obsolètes avec des fournisseurs modernes.
Elle met également en garde contre plusieurs cas où il n’y a pas d’architecture de sécurité adaptée au nouveau modèle urbain, ainsi qu’un manque de maturité dans le déploiement de ces infrastructures et leur capacité de détection et de réponse en temps réel limité.
«Selon l’organisation européenne de cybersécurité, 86% des gouvernements locaux européens avec des déploiements IoT ont subi une violation de sécurité liée à ces appareils», dit-elle.
La Domínguez d’Accenture ajoute que le défi consiste à considérer «la fragmentation des responsabilités entre les administrations, les concessionnaires et les tiers, ce qui complique la gouvernance de la cybersécurité et nécessite des modèles de coordination avancés.»
De la Cuesta met également l’accent sur la nature cloisonnée du développement du projet, qui entrave considérablement le développement d’une stratégie de cybersécurité active.
Les villes intelligentes espagnoles relèvent du cyber Challenge
Ici en Espagne, certains projets de villes leur ont valu une notoriété en tant que pionniers internationaux de la ville intelligente. Dans l’indice Smart City de 2025, dirigé par le IMD World Competitivité Center, quatre villes espagnoles sont parmi les 146 principales villes intelligentes du monde: Bilbao (29e place), Madrid (38e), Zaragoza (52e) et Barcelone (92e). Les villes intelligentes sont révélées comme l’une des priorités de développement de Red.es dans son rapport financier pour la première moitié de 2025, avec des initiatives telles que l’espace de données pour les infrastructures urbaines intelligentes (EDINT) et l’accord avec le réseau espagnol des villes intelligentes de la Fédération espagnole des municipalités et des provinces pour promouvoir ce modèle.
«Je dois donner une lance à nos fonctionnaires, car ils font beaucoup avec un peu», explique De la Cuesta de Zebra Technologies. « De toute évidence, il y a des erreurs et parfois nous devons revenir en arrière, mais les choses se font assez bien. »
Dans l’intégration de nouveaux outils, malgré l’Espagne occupant une position de premier plan dans des domaines tels que la 5G, «la technologie se déplace beaucoup plus rapidement que la capacité du gouvernement à réagir», dit-il.
«Ce n’est pas comme une entreprise privée, qui a une certaine agilité pour faire des investissements», explique-t-il. «L’administration publique est beaucoup plus lente. Les budgets sont différents. Les procédures administratives sont extrêmement longues. À partir du moment où un projet est d’abord discuté jusqu’à ce qu’il soit réellement exécuté, de nombreuses années passent.»
D’après son expérience, les exigences de sécurité exigées des fournisseurs par le gouvernement sont de plus en plus strictes et conformes aux normes minimales établies par des organisations telles que le National Cryptologic Center.
Domínguez d’Accenture est d’accord. «L’Espagne a fait des progrès importants ces dernières années dans la protection des infrastructures urbaines critiques, grâce à la poussée réglementaire résultant de la transposition de la directive NIS et du Scheme de sécurité nationale (ENS), ainsi que de la sensibilisation institutionnelle croissante.»
Selon Domínguez, Madrid, Barcelone, Valence et Malaga ont «des initiatives de cyber-protection structurées qui intègrent la sécurité OT, la segmentation du réseau, la surveillance en temps réel et la réponse des incidents coordonnés. Cependant, le niveau de protection reste inégal et, dans de nombreux cas, réactif.»
Il identifie deux principaux défis auxquels sont confrontés les CISO municipaux: un manque de ressources spécialisées au niveau municipal et une dépendance à l’égard des fournisseurs de technologies «qui n’intégrent pas toujours la cybersécurité de la phase de conception».
Une planification de sécurité complète est nécessaire
Díaz de S2Grupo affirme que son entreprise a travaillé sur un certain nombre de projets qui soulignent les types de vulnérabilités que l’on peut trouver dans des villes intelligentes. Par exemple, l’entreprise a entrepris des évaluations de cybersécurité des systèmes d’éclairage de rue intelligents dans plusieurs municipalités «où la possibilité de provoquer des fermetures généralisées par le biais de cyberattaques a été identifiée, avec l’impact conséquent sur la sécurité des citoyens», dit-elle.
Ils ont également analysé les systèmes de contrôle de la circulation urbaine dans une autre ville européenne, détectant qu’il était possible de modifier les cycles de feux de circulation.
«Ces cas démontrent comment une violation de sécurité peut avoir des conséquences physiques directes et renforcer le besoin urgent d’investir dans la cyber-protection des infrastructures urbaines connectées», dit-elle.
«Certaines grandes capitales progressent dans les stratégies de cybersécurité urbaine, mais la plupart des municipalités de taille moyenne et petites ont des carences structurelles», dit-elle, y compris les déploiements sans plan complet, ainsi que des dispositifs non encrivés ou non publiés.
«La cybersécurité ne peut plus se limiter à l’environnement informatique administratif», dit-elle. «Il doit intégrer la protection des systèmes distribués, des actifs physiques connectés et des plates-formes intelligentes.»
Pour Díaz, les architectures zéro-frust, la segmentation du réseau, la détection avancée et la cyber-intelligence urbaine sont quelques-uns des composants clés de ce nouveau scénario. Parce que tous les avantages de l’IoT appliqués aux villes peuvent devenir des problèmes majeurs s’ils ne sont pas fournis avec une protection adéquate.
