Contrôle d’accès

Un contrôle d’accès se dégrade par ses droits, jamais par ses lecteurs.

Métier de rattachement: Sûreté physique et cybersécurité

Le problème

La difficulté n’est pas d’ouvrir une porte, c’est de savoir qui a le droit de l’ouvrir dix-huit mois plus tard.

Le matériel de contrôle d’accès est mûr. Un lecteur, une ventouse, un contrôleur et une gâche fonctionnent, et une installation correctement câblée tient des années sans intervention.

Ce qui se dégrade est la table des droits. Les arrivées sont enregistrées, les départs rarement. Les habilitations exceptionnelles accordées pour une intervention ne sont pas retirées. Au bout de deux ans, personne ne sait plus dire qui peut entrer où, et l’installation continue pourtant d’ouvrir les portes.

Une installation dont les droits ne sont pas revus n’est pas un contrôle d’accès : c’est un journal de passage. La conception doit donc porter autant sur la procédure de revue des droits que sur l’architecture technique.

La table des droits et sa boucle de révision, schéma de principe

01Zonage et profils: Les zones et les profils s’écrivent avant tout choix d’équipement.
02Porte équipée: Lecteur, dispositif de verrouillage adapté au vantail, contact de position, déverrouillage de secours.
03Contrôleur: Décide seul quand le réseau tombe. C’est ce qui distingue un contrôle d’un annuaire distant.
04Supervision et journal: Passages, refus, portes forcées ou maintenues ouvertes, escalade et traitement.
05Cycle de vie des droits: Arrivée, mouvement, départ, permission temporaire à échéance automatique.
06Revue périodique: L’écart constaté est consigné et corrige les profils. C’est lui qui dit si le retrait fonctionne.

Schéma de principe. Le trait accentué est la boucle qui décide de la valeur du dispositif — celle qui se referme, ou pas.Ordres de grandeur de dimensionnement, non relevés sur une installation. Le pas de revue des droits est celui qu’un système de management de la sécurité de l’information retient couramment.

Périmètre

Ce que la prestation recouvre

Zonage et politique d’accès: Découpage du bâtiment en zones, définition des profils, règles de franchissement entre zones, traitement des cheminements de secours et des issues réglementées.
Équipements de porte: Lecteurs, organes de condamnation adaptés au type d’ouvrant, contacts de position, boutons de sortie, déverrouillage sur alarme incendie et déverrouillage manuel de secours.
Contrôleurs et réseau: Contrôleurs autonomes conservant la décision d’accès en cas de coupure du réseau, alimentation secourue, liaisons supervisées, segmentation du réseau de sûreté.
Gestion des identités: Cycle de vie des porteurs, badges, profils par fonction, habilitations temporaires à échéance, procédure de retrait au départ, réconciliation périodique avec les ressources humaines.
Visiteurs et prestataires: Préenregistrement, remise et restitution des badges, accompagnement obligatoire par zone, traçabilité des accompagnants, expiration automatique en fin de journée.
Journalisation et supervision: Journal des passages et des refus, conservation documentée, alarmes sur porte forcée ou maintenue ouverte, remontée vers la supervision et procédure de traitement.

Situations

Situations les plus fréquentes

Bâtiment administratif: Zones publiques, zones de travail, zones techniques. La contrainte est la cohabitation du public et des agents dans un même bâtiment sans multiplier les accueils.
Site technique ou salle serveur: Peu de porteurs, forte exigence de traçabilité, accompagnement systématique des prestataires. Le journal doit être opposable lors d’un audit.
Mission diplomatique: Zones à régimes distincts, gestion stricte des visiteurs, articulation avec le poste de garde et la vidéosurveillance, procédures de mise en sûreté.
Site industriel: Population importante et changeante, entrées et sorties massives, comptage des personnes présentes en cas d’évacuation, interfaces avec la gestion du temps.

Exigences

Ce qu’il faut exiger, de nous comme d’un autre

Ces exigences valent quel que soit le prestataire retenu. Reprises dans une consultation, elles écartent les réponses qui ne tiennent pas.

La liste des zones et des profils, écrite avant le choix du matériel, et validée par ceux qui exploiteront le bâtiment.
Le comportement du système lorsque le réseau tombe, lorsque le serveur tombe, et lorsque le courant tombe. Les trois cas sont distincts.
La procédure de retrait des droits au départ d’une personne, son délai et la personne responsable de son exécution.
L’échéance automatique des habilitations temporaires, sans laquelle elles deviennent permanentes.
La conformité des issues de secours : aucun dispositif de sûreté ne doit empêcher une évacuation.
La durée de conservation du journal des passages, et le régime d’accès à ce journal.
Une revue périodique des droits, planifiée et documentée, avec l’écart constaté à chaque revue.

Écueils

Erreurs fréquentes, et ce qu’elles coûtent

Confier la gestion des badges à une seule personne: Le jour où elle est absente, les habilitations exceptionnelles se règlent par un badge prêté. Le prêt de badge annule le contrôle d’accès et fausse le journal.
Ne pas prévoir le mode dégradé: Une architecture qui remonte chaque décision d’accès à un serveur central bloque toutes les portes au premier incident réseau. Les contrôleurs doivent décider seuls.
Accorder des habilitations sans échéance: Une habilitation accordée pour trois jours et qui n’expire pas devient un droit permanent que personne n’a décidé. C’est le mécanisme par lequel la table des droits perd son sens.
Traiter le contrôle d’accès séparément de la sûreté du bâtiment: Le contrôle d’accès, la détection d’intrusion, la vidéosurveillance et l’interphonie décrivent le même événement. Installés indépendamment, ils obligent l’opérateur à corréler à la main ce que le système devrait corréler pour lui.

Questions

Questions posées avant de consulter

Badge, code ou biométrie ?

Le badge couvre la majorité des besoins et se révoque instantanément. Le code seul ne prouve rien, puisqu’il se transmet. La biométrie répond à un besoin de non-transmissibilité sur un nombre restreint de zones ; elle traite des données personnelles particulières, ce qui impose un cadre juridique, une durée de conservation et une alternative pour les personnes qui ne peuvent pas l’utiliser. Le choix se fait zone par zone, pas pour un bâtiment entier.

Que se passe-t-il en cas de coupure de courant ?

Les organes de condamnation se comportent différemment selon leur type : certains restent verrouillés, d’autres se libèrent. Ce comportement se décide porte par porte, en fonction de la sûreté et de l’évacuation, et non par défaut. L’alimentation secourue doit couvrir les contrôleurs, les lecteurs et les organes de porte pour une durée arrêtée à la conception.

Comment gérer les prestataires et les visiteurs ?

Par un régime distinct de celui des personnels : préenregistrement, badge à expiration automatique, zones limitées, accompagnement obligatoire au-delà d’une zone donnée, restitution tracée. Un visiteur traité comme un porteur permanent est une habilitation permanente accordée par inadvertance.

Le contrôle d’accès doit-il être relié à la vidéosurveillance ?

Le lien apporte beaucoup : un refus d’accès répété ou une porte maintenue ouverte devient une alarme accompagnée de l’image correspondante, ce qui permet de qualifier l’événement sans se déplacer. Ce lien suppose une horloge commune aux deux systèmes ; sans synchronisation, la séquence extraite ne correspond pas à l’événement.

Peut-on conserver l’installation existante ?

Le câblage et les organes de porte sont souvent réutilisables ; ce sont les contrôleurs et le logiciel de gestion qui limitent. Un relevé porte par porte indique ce qui est repris, ce qui est remplacé et ce qui doit être remis en conformité. La reprise complète se justifie lorsque les technologies de badge en service ne sont plus sûres.

À quelle fréquence revoir les droits ?

Au moins deux fois par an pour l’ensemble des porteurs, et à chaque mouvement pour la personne concernée. La revue périodique n’a d’intérêt que si l’écart constaté est consigné : c’est cet écart qui révèle si la procédure de retrait fonctionne réellement.

Preuve

Où nous l’avons mis en œuvre

Énergie et infrastructures critiques2024
Site minier — salle serveur et alimentation de secours
Construction d'un local technique sécurisé et de sa chaîne d'alimentation, sur un site isolé sans réseau public fiable.
Semaines de relevé avant dimensionnement
4
Essais en charge par an
12
Référence KP-2024-008
Organisations internationales2022
Mission diplomatique européenne — sûreté multisystème
Reprise complète du contrôle d'accès, de la vidéosurveillance et de l'alimentation de secours d'une chancellerie en service.
Systèmes réunis
3
Interruption de service
0
Référence KP-2022-014