Un contrôle d'accès vaut ce que vaut la revue de ses droits
Les badges se distribuent en quelques minutes et se retirent rarement. Au bout de trois ans, la liste des personnes autorisées ne décrit plus l'organisation qu'elle est censée protéger.
Un dispositif de contrôle d’accès est jugé sur sa capacité à refuser l’entrée à qui n’y a pas droit. Il l’exerce fidèlement : il applique la liste qu’on lui a donnée. La question utile porte donc sur cette liste, et sur la date de sa dernière vérification.
Comment une liste dérive
L’attribution d’un droit répond à un besoin immédiat et se fait vite. Un prestataire intervient trois semaines sur un local technique, un agent change de service, une personne remplace temporairement un collègue absent. Chacune de ces situations produit une autorisation légitime au moment où elle est accordée.
Le retrait, lui, ne répond à aucun besoin immédiat. Personne n’est gêné par un droit qui subsiste. Il n’apparaît dans aucune procédure, il ne déclenche aucune alerte, et il survit au départ de la personne qui l’a demandé comme à celui de la personne qui l’a accordé.
Trois ans suffisent pour qu’une part significative des autorisations d’un site ne corresponde plus à personne d’identifiable, ou corresponde à des personnes qui n’y travaillent plus.
Les quatre événements qui doivent déclencher un retrait
Le départ d’un collaborateur, qui est le cas traité dans la plupart des organisations. La fin d’une intervention de prestataire, qui l’est nettement moins. Le changement d’affectation interne, où le droit nouveau s’ajoute à l’ancien au lieu de s’y substituer. Et la fin d’un remplacement temporaire, qui n’a par nature aucune date inscrite dans le système.
Rattacher chacun de ces événements à un retrait automatique suppose que le dispositif de contrôle d’accès connaisse une date de fin. Renseigner cette date à l’attribution coûte quelques secondes ; la retrouver deux ans plus tard coûte une enquête.
La revue périodique
La revue consiste à présenter au responsable de chaque zone la liste des personnes qui y ont accès, et à lui demander de la valider ligne par ligne. Elle se conduit deux fois par an sur les zones sensibles, une fois par an sur le reste.
Sa valeur ne tient pas aux droits qu’elle retire, qui sont peu nombreux dans une organisation bien tenue. Elle tient à ce qu’elle rend visible : une zone dont personne ne se reconnaît responsable, un prestataire dont plus aucun contrat n’est en cours, une porte que la liste protège alors qu’elle est maintenue ouverte en journée.
Ce que le journal doit permettre
Un journal de passages sert à répondre à une question posée après coup : qui est entré dans ce local entre telle heure et telle heure ? Il ne répond que si trois conditions tiennent. La durée de conservation dépasse le délai habituel de découverte d’un incident, qui se compte en semaines et non en jours. L’horodatage est fiable, ce qui suppose une synchronisation vérifiée. Et la consultation est elle-même journalisée, faute de quoi le dispositif de traçabilité n’est pas tracé.
Ce qu’il faut exiger
Une date de fin obligatoire sur toute autorisation temporaire. Un rattachement du retrait aux quatre événements, écrit dans la procédure et non laissé à l’initiative. Une revue périodique dont le compte rendu est signé par le responsable de zone. Et un essai annuel : demander au dispositif la liste des personnes ayant accès à la zone la plus sensible du site, et vérifier que chaque nom y est justifiable.
