Point de vue

Sécurité, confiance et résilience 5G : une perspective globale sur les standards, la régulation et l'assurance

Valentin Constantinescu

Conseiller en sécurité télécom

Une approche neutre et intégrée pour une gouvernance mondiale de la 5G

Dans le contexte actuel de transformation rapide et de fragmentation réglementaire, ce livre blanc vise à fournir une vision claire et cohérente des standards, régulations et bonnes pratiques en matière de sécurité, confiance et résilience 5G. Plutôt que de promouvoir un seul modèle réglementaire ou un fournisseur unique, il propose une approche neutre, intégrant les principaux cadres internationaux tels que le EU 5G Toolbox, NIS2, NIST, MITRE FiGHT, GSMA, 3GPP, O-RAN ALLIANCE, et les régimes asiatiques pour bâtir un modèle opérationnel unifié, adaptable à toute juridiction. L’objectif est d’offrir aux opérateurs, régulateurs et acteurs industriels une référence commune, facilitant la convergence des pratiques et la mise en œuvre de stratégies efficaces face aux enjeux globaux de sécurité et de résilience.

Résumé exécutif : la 5G, une infrastructure critique en mutation

La 5G représente une infrastructure critique : un cœur de réseau cloud-native, basé sur des services, virtualisé, disaggregé, avec des fonctionnalités programmables, un edge distribué. La frontière de sécurité des générations précédentes a disparu.

Les réponses en matière de gouvernance sont mondiales mais fragmentées : régulations européennes, assets techniques américains, schémas d’assurance industriels, régimes de certification en Asie-Pacifique. Bien que leur force juridique diffère, elles convergent autour de trois principes fondamentaux, qui structurent cette réflexion :

La sécurité est architecturale, non une simple couche de durcissement ;
La confiance est probante, non déclarative ;
La résilience se prouve par des tests.

Une mise en œuvre unique, dans un cadre de contrôle unifié, permet de satisfaire simultanément ces régimes.

La surface d’attaque de la 5G

1. Architecture basée sur les services

Le cœur de la 5G remplace la signalisation point-à-point par HTTP/2 REST, sécurisé par TLS et OAuth 2.0, héritant des vulnérabilités du web : autorisation d’objet défaillante, relecture de tokens, sur-autorisation, exposition excessive de données. Les protocoles SS7 et Diameter persistent dans la gestion des roaming ; dans les déploiements non-standalone, la couche de contrôle 4G reste la référence en matière de sécurité.

2. Virtualisation et infrastructure cloud-native

Les fonctions réseau conteneurisées étendent la surface de défense aux orchestrateurs, registres, pipelines CI/CD et infrastructures-as-code. La compromission d’un orchestrateur équivaut à compromettre toutes les fonctions qu’il gère. Si les standards NIST sécurisent les interfaces, le socle sous-jacent reste vulnérable : c’est là que les recommandations d’ETSI NFV SEC et du root of trust interviennent.

3. Open RAN et disaggregation

L’ouverture via Open Fronthaul, E2, A1, O1, O2, et les xApps/rApps dans le RIC augmente la modularité mais déplace le risque d’intégration vers l’opérateur, qui doit assurer la sécurité de ces interfaces.

4. Slicing et edge

La segmentation (slicing) est une configuration, pas une garantie physique : fuites inter-slices, identifiants mal scoping, incohérences politiques entre RAN, transport et cœur de réseau sont des risques réels. L’edge déporte des charges de travail dans des sites que l’opérateur ne contrôle pas forcément physiquement.

5. La couche radio et appareils

Le mode standalone masque l’identifiant permanent de l’abonné, mais les fausses stations de base, la surcharge et l’abus de broadcast pré-authentifié restent exploités par des acteurs malveillants.

Panorama mondial de la gouvernance

Origine	Instruments	Focus
Union Européenne	5G Toolbox, NIS2, Cyber Resilience Act, EECC, ENISA, régimes nationaux	Risques liés aux fournisseurs : propriété, juridiction, influence étatique, sécurité du cycle de vie, continuité, notification.
États-Unis	NIST CSF 2.0, SP 800-207, SP 1800-33, CISA / ESF	Taxonomie de contrôle, modèle zero-trust, guides pour la sécurité du slicing, cloud, open RAN.
États-Unis	MITRE FiGHT™	Base de connaissance des adversaires, techniques, évaluation des menaces, émulation, analyse des lacunes.
Industrie (mondial)	3GPP, GSMA, ETSI NFV SEC	Architecture normative, assurance produit, contrôles opérateurs, sécurité en roaming, divulgation coordonnée, virtualisation.
Open RAN	O-RAN ALLIANCE WG11	Exigences de sécurité, tests, modélisation des menaces, gestion des certificats, trajectoire zero-trust.
Asie-Pacifique	India ITSAR, Singapore IMDA, Japan MIC, Korea TBA, Australia TSSR	Certification obligatoire, confiance réglementée, restrictions d’approvisionnement, évaluation de vulnérabilités.
Multilatéral	Propositions de Prague, Coalition mondiale	Sécurité de la chaîne d’approvisionnement, diversification des fournisseurs, résilience du réseau.

Convergence et divergence

Les risques liés aux fournisseurs sont à la fois techniques et non techniques : propriété, juridiction, transparence de la gouvernance. La confiance s’appuie désormais sur la preuve : assurance par tests (NESAS, SCAS, ITSAR, assurance O-RAN). Le vocabulaire commun du zero-trust est adopté, avec NIST SP 800-207 comme référence. La responsabilisation remonte vers la haute direction.

Cependant, des divergences persistent : force juridique des certifications, reconnaissance mutuelle, seuils de déclaration, et choix politiques dans la sélection des fournisseurs.

La confiance : de l’affirmation à la preuve

Assurance produit : NESAS, SCAS, ITSAR, attestations signées, référentiels de déploiement. La certification est une étape, pas une fin en soi.
Transparence logicielle : SBOM, provenance, signatures, actualisées à chaque version — mécanisme clé pour respecter les obligations réglementaires.
Sécurité contractuelle : droits d’audit, délais de divulgation, niveaux de patch, responsabilités clairement réparties.
Diversification et sortie : gestion de la diversification fournisseurs et de la capacité de retrait.
Approche zero-trust : mutual TLS, tokens à courte durée, identité hardware, segmentation des plans de gestion.

Résilience : un cadre unique, une preuve consolidée

Un seul cadre de contrôle, mappé sur NIS2, ISO/IEC 27001, CSF 2.0, FS.31, et régimes nationaux, permet de collecter une preuve unique. La gestion du risque couvre :

La storm de signalisation, la compromission d’orchestrateurs, les brèches fournisseurs, la fuite inter-slices.
La détection repose sur des indicateurs précis : anomalies de roaming, abus PFCP, irrégularités en fronthaul, avec FiGHT comme référence.

Un modèle opérationnel intégré

Capacité	Mise en œuvre	Satisfait à
Assurance fournisseurs	Attestations NESAS/SCAS, SBOM, signatures, clauses contractuelles	NIS2, CRA, ITSAR, FS.31
Architecture zero-trust	mTLS, tokens, identité workload, segmentation	SP 800-207, WG11 O-RAN, FS.40
Renforcement plateforme	Secure boot, root of trust, signatures, IaC	SP 1800-33, ETSI NFV SEC, CRA
Détection basée sur les menaces	Cas d’usage telecom, modélisation adversaire, couverture	FiGHT, CSF 2.0, NIS2
Gestion des incidents	Processus unique, délais par juridiction	NIS2, EECC, Korea, India
Gouvernance	Cadre unifié, intégration ERM, KPIs, exercices	NIS2, ISO 27001, CSF 2.0, CyFun®

Recommandations

Définir dès maintenant des principes architecturaux : zero trust, identité workload, segmentation, isolation des slices.
Consolidation des obligations dans un seul cadre de contrôle, avec une preuve unique.
Rendre l’assurance fournisseur contractuelle : attestations NESAS/SCAS, SBOM, signatures, comme conditions de déploiement.
Adopter un modèle d’adversaire documenté (FiGHT) et mesurer annuellement la couverture de détection.
Étendre la sécurité aux plans de signalisation, RAN, orchestration et gestion des slices.
Exercices annuels de reprise à haute intensité, avec participation des dirigeants.

Conclusion

La sécurité de la 5G n’est pas une problématique à résoudre une fois pour toutes, mais une propriété à maintenir en permanence. La trajectoire vers la 6G s’inscrit dans cette logique : la régulation continuera à évoluer régionalement, mais la véritable confiance repose sur une architecture assumant la compromission, une résilience démontrée par des exercices réguliers, et une ingénierie rigoureuse. Construire selon un consensus technique mondial plutôt que selon une seule juridiction, c’est assurer la pérennité de cette infrastructure critique.

References

Principal public sources underpinning this paper. Versions evolve; consult the current release in each case.

_{European Commission: EU Toolbox of Risk Mitigating Measures for 5G Cybersecurity, and implementation reports.}
_{Directive (EU) 2022/2555 (NIS2) ; Cyber Resilience Act; Directive (EU) 2018/1972 (EECC).}
_{ENISA : 5G threat landscape and security guidance; Belgian CCB CyFun® as a national implementation reference.}
_{NIST:Cybersecurity Framework 2.0; SP 800-207 Zero Trust Architecture; SP 1800-33 5G Cybersecurity (NCCoE), volumes A and B.}
_{MITRE : FiGHT™ knowledge base and high-level overview; MITRE ATT&CK®.}
_{CISA / Enduring Security Framework — 5G security guidance series (network slicing, cloud infrastructure, open RAN).}
_{3GPP: TS 33.501 security architecture; SA3 security assurance specifications (SCAS); TR 33.809 false base station study.}
_{GSMA : FS.31 Baseline Security Controls; FS.40 5G Security Guide; NESAS; NG.113 roaming guidelines; Coordinated Vulnerability Disclosure.}
_{O-RAN ALLIANCE WG11: Security Requirements and Controls; Security Test Specifications; Threat Modelling and Risk Analysis; Zero Trust Architecture for Secure O-RAN; annual security updates.}
_{ETSI : NFV SEC deliverables on virtualisation and network function security.}
_{India: National Centre for Communication Security, Indian Telecom Security Assurance Requirements (ITSAR); MTCTE regime.}
_{Singapore: IMDA telecommunication and security standards for 5G standalone networks and connected equipment.}
_{Japan (MIC procurement and facility designation); South Korea (Telecommunications Business Act, Network Act); Australia (Telecommunications Sector Security Reforms).}
_{Prague Proposals on telecommunications network security; Global Coalition on Telecommunications.}

Confiance, Résilience & Durabilité

Bâtissez un avenir numérique sûr, éthique et durable

Connnectivité & Réseaux du futur

Propulsez vos infrastructures vers l'ère du très haut débit