Dans une PME, les points faibles physiques ne sont presque jamais les portes d'entrée. Ce sont le local technique installé dans un couloir de passage, la porte d'atelier calée ouverte pendant les mois chauds, et les prestataires qui circulent seuls parce qu'ils sont là depuis des années.
Aucun des trois ne se règle avec un budget. Les trois se règlent avec des décisions, et c'est précisément pour cela qu'ils restent en l'état pendant des années.
Le local technique n'est presque jamais un local
Le schéma est constant. L'entreprise a grandi, la baie informatique a suivi, et elle se retrouve aujourd'hui dans un placard de couloir, dans un bureau partagé, ou dans une réserve où l'on stocke aussi les fournitures.
Trois conséquences suivent. N'importe qui passe devant, donc n'importe qui peut y accéder sans que cela paraisse anormal. Personne ne sait qui y est entré, faute de porte fermée à clé et de trace. Et l'endroit accumule des cartons, ce qui compromet la circulation d'air autant que la sécurité.
La correction tient rarement en travaux. Une porte munie d'une serrure dont les clés sont comptées, un relevé écrit de qui détient une clé, et la règle de ne rien y stocker d'autre que de l'informatique suffisent à changer la situation. Un contrôle d'accès par badge se justifie ensuite, quand le volume de passages le rend nécessaire.
La porte d'atelier, ouverte pour de bonnes raisons
Elle est calée parce qu'il fait chaud, parce que les livraisons s'enchaînent, ou parce que le va-et-vient entre l'atelier et la cour est permanent. Personne ne cherche à contourner quoi que ce soit, la porte gêne simplement le travail.
Le résultat est qu'une partie de l'entreprise est ouverte sur l'extérieur pendant la journée, et que l'atelier est justement l'endroit où se trouvent les postes de supervision, les armoires électriques et les prises réseau libres.
C'est un sujet d'organisation avant d'être un sujet de sécurité. Selon les cas, la réponse passe par une porte à fermeture automatique avec badge pour ceux qui doivent circuler, par un sas de livraison qui évite d'ouvrir l'atelier lui-même, ou simplement par le déplacement de ce qui est sensible hors de la zone de passage. Poser la question à ceux qui calent la porte donne généralement la meilleure solution.
Les prises réseau accessibles à tous
Dans les bureaux, une prise murale libre sous une table de réunion ou dans un hall d'accueil donne accès au réseau interne. Dans un atelier, elle donne souvent accès au même réseau que les machines.
Le traitement est technique et peu coûteux. Les prises inutilisées se désactivent au niveau du commutateur, ce qui prend quelques minutes et ne demande aucun matériel. Les prises des zones ouvertes au public se rattachent au réseau visiteurs, séparé du réseau de production.
Cette question rejoint directement celle de la segmentation du réseau, sur laquelle nous revenons dans un autre article. Un accès physique dans une zone ouverte n'a pas les mêmes conséquences selon que le réseau est cloisonné ou plat.
Le prestataire connu depuis dix ans
Les visiteurs de passage sont généralement bien traités, avec un accueil et un accompagnement. Ce sont les habitués qui échappent au dispositif, l'installateur, le mainteneur, le prestataire informatique, celui qui connaît le code de la porte depuis toujours.
Cela ne dit rien de leur honnêteté. Cela dit qu'en cas d'incident, personne ne saura qui était présent ni à quelle heure, ce qui rend toute analyse impossible.
Un registre des interventions, même tenu à la main à l'accueil, avec la date, l'heure, le nom, la société et la zone visitée, change complètement la situation. Il coûte quelques secondes par visite et devient la seule source d'information exploitable le jour où quelque chose est arrivé.
Les menaces qui n'ont rien de malveillant
L'eau abîme plus de systèmes d'information que les intrusions. Une baie installée sous une canalisation, un local sans détection au sous-sol, une fuite de toiture au-dessus d'un faux plafond, ces situations se rencontrent régulièrement et se corrigent en déplaçant le matériel plutôt qu'en investissant.
La chaleur vient ensuite. Un local sans ventilation suffisante voit les équipements vieillir plus vite et s'arrêter au pire moment, généralement lors du premier vrai épisode chaud de l'année. Un thermomètre relié à une alerte coûte peu et prévient avant la panne.
L'alimentation électrique, enfin, mérite un onduleur correctement dimensionné, et surtout des batteries dont l'état est vérifié. Un onduleur dont les batteries sont mortes donne une fausse impression de protection, ce qui est pire que pas d'onduleur du tout.
Ce qui se voit sur les bureaux
Le bureau propre est souvent présenté comme une discipline de grande entreprise. Dans une PME, l'enjeu est plus simple et plus concret, il s'agit de ce qui reste visible quand un visiteur, un candidat ou un prestataire traverse un plateau.
Les documents laissés sur une imprimante partagée, les identifiants notés sur un support collé à l'écran et les sessions restées ouvertes pendant les pauses sont les trois cas les plus fréquents. Le verrouillage automatique de session après quelques minutes règle le troisième sans demander quoi que ce soit aux équipes.
Pour les documents, une destructeuse à coupe croisée à proximité de l'imprimante fait davantage pour la confidentialité qu'une note de service sur le sujet.
Par où commencer concrètement
Une revue annuelle suffit dans une petite structure, à condition qu'elle soit réellement faite et qu'elle laisse une trace écrite. Elle se mène en une demi-journée en marchant dans les locaux plutôt qu'en réunion.
Le parcours utile consiste à ouvrir le local technique et à regarder ce qui s'y trouve, à recenser les portes qui restent ouvertes en pratique et pourquoi, à repérer les prises réseau accessibles dans les zones de passage, et à demander qui détient les clés et les codes. Les écarts se voient en quelques minutes.
Ce qui compte ensuite est de traiter deux ou trois points par an plutôt que d'établir une liste de vingt actions qui ne sera jamais entamée.
Questions fréquentes
Faut-il installer un contrôle d'accès par badge dans une PME ?
Pas nécessairement, et rarement en première intention. Une porte fermée à clé avec un relevé écrit des détenteurs traite déjà l'essentiel du risque pour un local technique. Le badge devient pertinent quand le nombre de personnes concernées rend le suivi des clés impraticable, ou quand vous avez besoin de savoir précisément qui est entré et à quel moment.
Nos locaux sont dans une zone tranquille, sommes-nous concernés ?
Oui, car l'essentiel des incidents physiques n'est pas malveillant. Une fuite d'eau, un local surchauffé, un onduleur hors service ou une intervention non tracée provoquent bien plus d'arrêts qu'une intrusion. La localisation change le risque de vol, elle ne change pas les autres.
À quelle fréquence revoir la sécurité physique des locaux ?
Une revue par an convient à une petite structure, à condition qu'elle soit réellement effectuée et consignée par écrit. Une revue supplémentaire se justifie après tout changement notable, un déménagement, un agrandissement de l'atelier ou l'arrivée d'un nouveau prestataire récurrent.
Que faire des prises réseau libres dans les zones de passage ?
Les désactiver sur le commutateur quand elles ne servent pas, ce qui ne coûte que quelques minutes de configuration. Celles qui doivent rester actives dans une zone ouverte au public se rattachent à un réseau visiteurs séparé, sans accès aux serveurs ni aux machines de production.