Aéroports : une infrastructure pour opérer en mode dégradé

Infrastructure IT · 4 min

Secteur d'activité: Aviation

Lorsque la plateforme d'enregistrement partagée tombe en panne, le terminal dépend de ce qui a été préparé en amont. Cartographier les dépendances, dimensionner la capacité locale et répéter la bascule.

Aéroports : une infrastructure pour opérer en mode dégradé

TL;DR

De nombreux aéroports utilisent des plateformes partagées de traitement des passagers, ce qui crée des dépendances vis-à-vis de fournisseurs technologiques.
L'incident de septembre 2025 sur la plateforme MUSE de Collins Aerospace a provoqué des perturbations de l'enregistrement, des retards et des annulations dans plusieurs aéroports européens.
Le mode dégradé exige des procédures définies, l'identification des dépendances et des alternatives opérationnelles validées au préalable.
La capacité locale de secours doit être proportionnelle au risque et dépendre des systèmes, des données, des accès et des ressources réellement disponibles.
Des exercices conjoints entre aéroports, compagnies aériennes, prestataires d'assistance en escale et fournisseurs contribuent à valider les plans de contingence.

Un incident chez un fournisseur a paralysé l'enregistrement dans plusieurs aéroports

Dans l'aviation, de nombreux aéroports traitent les passagers sur des plateformes à usage commun. Un même comptoir, une même borne ou une même porte d'embarquement peut servir plusieurs compagnies aériennes via un logiciel fourni par un tiers. Dans la nuit du 19 septembre 2025, une attaque par ransomware ayant touché la plateforme MUSE de Collins Aerospace a perturbé les opérations d'enregistrement électronique, de traitement des bagages et d'embarquement dans des aéroports tels que Heathrow, Bruxelles et Berlin. Les équipes ont eu recours à des procédures manuelles, tandis que les passagers faisaient face à des files d'attente, des retards et des annulations. L'incident a affecté les systèmes de traitement des passagers, sans indication de compromission des systèmes de contrôle du trafic aérien. Pour qui gère l'IT dans un aéroport, une société d'assistance en escale ou une compagnie aérienne, la question centrale est la suivante : quelle capacité opérationnelle peut être maintenue lorsqu'une plateforme partagée devient indisponible ?

La dépendance se concentre sur une couche invisible pour le passager

Le modèle d'usage commun présente des avantages évidents : il réduit la duplication des équipements, permet de partager les comptoirs entre compagnies et simplifie la gestion du terminal. En contrepartie, il concentre sur une plateforme partagée des fonctions qui pourraient autrement reposer sur des systèmes distincts. Lorsque cette plateforme tombe en panne, l'impact peut toucher simultanément plusieurs opérateurs, postes de travail, imprimantes de cartes d'embarquement et équipements associés au traitement des passagers. Il importe de bien distinguer le périmètre de l'incident : l'indisponibilité d'une plateforme d'enregistrement ne signifie pas nécessairement que les systèmes de sûreté aéroportuaire ou de contrôle du trafic aérien soient affectés. Néanmoins, l'interruption d'une fonction administrative essentielle peut provoquer des files d'attente, des retards et des annulations. C'est un exemple du risque abordé dans l'article sur la résilience du SaaS et les dépendances vis-à-vis des fournisseurs.

Le mode dégradé doit être conçu, non improvisé

Opérer en mode dégradé signifie maintenir certaines activités à capacité réduite, au moyen de procédures préalablement définies et validées. Du point de vue de l'infrastructure, il faut identifier les composants qui restent disponibles lorsque la plateforme centrale tombe en panne, ainsi que les dépendances susceptibles d'empêcher l'utilisation de solutions alternatives. Quels systèmes peuvent fonctionner de manière autonome ? Quelles données et quelles autorisations restent accessibles ? Quelles procédures manuelles sont autorisées et comment s'articulent-elles avec les compagnies aériennes ? Un inventaire qui recense les dépendances entre applications, réseau et équipements aide à répondre à ces questions avant l'incident. La segmentation réseau peut contribuer à limiter la propagation de certains incidents de sécurité, mais ne remplace pas l'existence d'alternatives opérationnelles. La continuité dépend aussi de la disponibilité des systèmes, des données, des accès et des procédures nécessaires à la prestation du service.

La capacité locale doit être proportionnelle au risque

La capacité à maintenir localement doit être évaluée au cas par cas. Dans certains terminaux, il peut être pertinent de réserver des postes de travail, une connectivité indépendante et des équipements préparés pour des procédures alternatives, à condition qu'ils soient compatibles avec les systèmes et les processus des compagnies aériennes. Dans d'autres, la solution peut passer par des mécanismes de contingence convenus avec les opérateurs, incluant des procédures manuelles ou des applications alternatives. Le choix entre une infrastructure locale et en edge ou des services distants dépend de la criticité des fonctions, de la connectivité, des exigences de sécurité et de la capacité d'intégration. Il est tout aussi important de s'assurer que les ressources de secours reçoivent les mises à jour, sont supervisées et disposent des données et des mécanismes d'authentification nécessaires. Une infrastructure de contingence qui n'a pas été testée peut se révéler inutilisable précisément au moment où elle est nécessaire.

Les exercices conjoints révèlent ce que les plans dissimulent

Un plan de contingence ne démontre son efficacité que lorsqu'il est testé avec les entités chargées de l'exécuter. Les exercices périodiques doivent simuler l'indisponibilité de plateformes partagées et impliquer, selon les fonctions affectées, l'exploitant aéroportuaire, les compagnies aériennes, les prestataires d'assistance en escale et les fournisseurs technologiques. Ils permettent d'évaluer le temps nécessaire pour activer les procédures alternatives, d'identifier les équipements ou accès manquants et de vérifier que l'information parvient aux bonnes équipes. Les résultats doivent alimenter des runbooks avec des étapes claires et des responsables identifiés, ainsi que la révision des accords contractuels et des mécanismes de communication. Sur le plan réglementaire, la directive NIS2 et les exigences européennes de sécurité de l'information pour l'aviation, connues sous le nom de Part-IS, peuvent être pertinentes, selon l'entité, les activités exercées et le régime applicable. L'identification des obligations concrètes doit être réalisée au cas par cas.

La résilience dépend de décisions prises avant la panne

Les plateformes partagées continueront d'offrir des avantages opérationnels dans les aéroports utilisés par plusieurs compagnies aériennes. Toutefois, l'efficacité de la centralisation doit s'accompagner d'une évaluation des dépendances et des conséquences de l'indisponibilité des services. L'enjeu n'est pas de garantir que toutes les opérations se poursuivent normalement face à n'importe quelle panne, mais de déterminer à l'avance lesquelles peuvent être maintenues, pendant combien de temps, avec quelle capacité et au moyen de quelles procédures. La réponse dépend de la taille du terminal, des systèmes utilisés, des accords entre aéroports, compagnies et prestataires d'assistance en escale, ainsi que des responsabilités de chaque entité. Cartographier les dépendances, préparer des alternatives proportionnelles au risque et répéter la bascule avec les parties impliquées peut réduire l'impact opérationnel et améliorer la capacité de réponse.