Ce livre blanc vous est offert par PROTECTION PÉRIMÉTRIQUE ET CONTRÔLE D ACCÈS Vocations, Technologies, Failles et Faiblesses Rédacteur : Laurent SCHMITTE Conseil en Protection Globale Introduction Destinée aux dirigeants d entreprise, ce document propose de parcourir les solutions disponibles sur le marché et d en étudier les limites, au but que chacun puisse sélectionner en connaissance de cause les produits et les procédures qu il devra mettre en place. Protéger l intégrité de ses salariés, son outil de production et préserver le fruit de son travail sont parmi les premières préoccupations des dirigeants d entreprises. A l heure où l on s attache à la sécurité économique des personnes morales, la protection des personnes physiques des marchandises et biens de production est obligatoire. Il convient d étudier parmi les priorités : la protection périmétrique, la détection d intrusion et le contrôle d accès. Les entreprises sont de plus en plus la cible de malveillances, subissant des vols de matières premières, de produits finis, de carburants, de véhicules, d outillage divers ; mais aussi des dégradations. Les effets peuvent être considérables, parfois à même de remettre en cause la pérennité de la société. Le marché de la sécurité offre de son côté un nombre impressionnant de solutions où les normes et réglementations évoluent sans cesse, où les produits voient constamment leurs performances techniques évoluer, suffisamment pour que les projets de mise en sûreté/sécurité soient désormais des chantiers de spécialistes.
Sommaire Introduction... 1 Sommaire... 2 Vocations... 3 Calibrer le risque... 3 Mesurer la perméabilité de l entreprise... 4 Les systèmes de protection périmétrique... 4 Les systèmes de clôtures... 4 Les systèmes de fermeture... 5 Les systèmes de vidéo surveillance... 5 Les systèmes d alarme... 5 Les rondes & le gardiennage... 6 Failles et faiblesses des systèmes de protection périmétrique... 6 Les clôtures et systèmes de fermetures... 6 Les systèmes de vidéosurveillance... 6 Les systèmes d alarme... 7 Les rondes & le gardiennage... 7 La performance des systèmes est essentielle... 7 Le contrôle d accès... 8 Qui a le droit d entrer?... 8 Quand peut-on accéder?... 9 Comment doit-on accéder?... 9 Les systèmes de contrôle d accès, leurs failles et faiblesses... 9 Systèmes de badges de proximité... 9 Les systèmes à digicodes... 9 Les systèmes biométriques... 10 Les obstacles piétons... 10 Les obstacles automobiles... 11 Réduire les failles et coûts cachés... 12 Conclusion... 12 Page 2 sur 12 Laurent SCHMITTE 2015
Vocations La protection périmétrique a deux objectifs : la dissuasion et l empêchement. De part sa visibilité (hauteur des grilles et portails, pose de barreaux aux fenêtres, mise en évidence des caméras de surveillance, ) elle dissuadera les malfaiteurs qui préfèreront commettre leurs méfaits sur un site présentant moins de contraintes et donc moins de risques. De part ses caractéristiques physiques elle doit affirmer que la protection est solide et difficile à franchir pour compliquer la tâche des intrus, et agir en véritable retardateur de franchissement. Le contrôle d accès filtre l espace de travail. Il va permettre d autoriser le personnel, les fournisseurs ou prestataires, ainsi que les visiteurs, à accéder au sein de l entreprise dans les zones autorisées en fonction de leurs niveaux d accréditation. Il peut être effectué par un contrôle humain, par des systèmes de contrôle collectifs (barrières automatiques, bornes escamotables, portes à serrure électronique) ou unipersonnels (tripodes, couloirs rapides, tourniquets ou porte tambours). Ces systèmes sont associés à des systèmes d identification (badges, digicodes, biométrie, clefs, ) et un logiciel de gestion des droits. Le système de contrôle d accès permet aux employés de l entreprise de pouvoir travailler plus sereinement vis-à-vis de leur intégrité et celle de leurs effets personnels. Les chefs d entreprises se donnent ainsi plus de moyens pour préserver leurs biens de production et produits finis. Avec un contrôle unicitaire des entrées, ils ont aussi les moyens de savoir si tout le personnel a pu être mis en sécurité en cas d évacuation d urgence. Calibrer le risque De qui souhaitons-nous nous protéger : employés indélicats, cambrioleurs, espions, terroristes? A chacun correspondent des ambitions différentes, des méthodes et technologies diverses et des budgets en corrélation avec le niveau de sûreté souhaité. Ainsi un établissement concerné par Vigipirate 1 ou classé SEVESO 2 (directive européenne 96/82/CE, puis 2012/18/UE) doit répondre à des critères extrêmement rigoureux. Certains désherbants peuvent servir à la confection d explosifs. Les entreprises fabriquant ou utilisant ces produits en quantité doivent présenter un niveau de sécurité adéquat. L espion a des moyens techniques, financier et humains bien supérieurs à un cambrioleur, il peut s introduire subrepticement dans l entreprise ; il ne faut pas qu il puisse y collecter les informations convoitées ; l accès au système d information doit être particulièrement contrôlé. Pour la très grande majorité des PME-PMI, les risques sont essentiellement des risques de vols (en interne ou par intrusion) ou de dégradation. Les moyens à mettre en place sont connus et maitrisés, il n en reste pas moins que la solution n est quasiment jamais uniquement technique. L implication des personnels est essentielle, des solutions en droit du travail peuvent aussi être mises en œuvre. Que se passera-t-il si telle ou telle ressource n est plus disponible ou si des dégradations empêchent le fonctionnement de l entreprise? En combien de temps l opérationnalité sera-t-elle retrouvée? Quel impact sur l image de l entreprise, sur l esprit des employés,? 1 Le plan Vigipirate a été actualisé à plusieurs reprises en 2000, en 2002, en 2003 et en 2006. C est en 2003 qu ont été adoptés les 4 niveaux d alerte répertoriés par couleur (jaune, orange, rouge et écarlate). 2 1204 établissements en France, dont 647 à hauts risques (en 2014) Page 3 sur 12 Laurent SCHMITTE 2015
Mesurer la perméabilité de l entreprise Comment savoir si la protection et le contrôle des accès à la zone d exercice de l entreprise sont fiables ou faillibles? Il convient en premier lieu de mesurer le risque en énumérant toutes les ressources indispensables au fonctionnent de l entreprise, et de leur attribuer un niveau de criticité. La difficulté résidant en un recensement complet des vulnérabilités individuelles de chaque site et des équipements en place par rapport au risque étudié. Un audit de sûreté-sécurité est indispensable car il permettra d avoir une vue d ensemble de la perméabilité de l entreprise. Le test de vulnérabilité est bien souvent le seul véritable moyen d éprouver son système de protection. L objectif est de d éprouver les défenses en place et voir si il est compliqué ou en combien de temps il est possible de les déjouer. Avoir une vision de sûreté globale oblige à prendre du recul. Combien d entreprises ont mis en place un système de badges très rigoureux avec photocopie d une pièce d identité etc et font par ailleurs confiance à une société de nettoyage extérieure dont elle n a pris aucun renseignement au sujet des salariés? Combien d entreprises font uniquement confiance au badge pour autoriser l accès à leurs locaux alors que celui-ci peut être prêté, volé ou même parfois dupliqué? Combien d entreprises laissent les visiteurs se rendre seuls dans le bureau de la personne avec qui ils ont rendez-vous? Les exemples de failles foisonnent. La majeure partie des failles résulte de la mauvaise définition des mesures de sécurité à mettre en place. L avis extérieur est absolument indispensable pour éviter toute subjectivité et tout faussement dû aux habitudes. Les technologies elles-mêmes ont leurs limites, elles correspondent bien souvent à une utilisation bien précise et peuvent être parfaitement inappropriées lors d une utilisation détournée de leurs vocations initiales ; un système d alarme n est pas un système de contrôle d accès, un système de vidéosurveillance n est pas à ce jour- adapté pour faire de la reconnaissance faciale Les systèmes de protection périmétrique Ils visent à protéger l accès aux bâtiments. On y recense quatre principaux types de produits, offrant chacun des prestations pouvant être basiques ou très évoluées, ce qui n exclue pas le contrôle humain qui est un complément efficace. Chaque solution peut être complémentaire d une autre, aucune ne se suffit à elle-même. Les systèmes de clôtures Nombreuses sont les solutions, depuis la clôture traditionnelle rigide, barbelée, tranchante, électrifiée jusqu à des systèmes de clôtures intelligentes telles que des barrières infrarouges à détection morphologiques ou des systèmes à base de fibres optiques capables d analyser le type d intrusion et de limiter considérablement les fausses alarmes. Il ne faut pas non plus négliger les clôtures végétales épineuses (pyracanthas, aubépines, ) dont l efficacité est bien supérieure à un grillage barbelé dès que le volume de la haie devient suffisant. Les systèmes de barrières virtuelles (infrarouge, laser, fibre optique, ) constituent un 2 e rempart derrière les clôtures traditionnelles. Ils permettent la localisation de l intrusion, parfois sa nature (tentative de sciage, d escalade, de creusement, ). Ces technologies génèrent des alertes et permettent d orienter l interception de l intrusion. Page 4 sur 12 Laurent SCHMITTE 2015
Plus la protection périmétrique sera dissuasive (hauteur de grillage, rigidité, barbelés, ) plus grande sera son efficacité et moins les investissements en systèmes de protection électronique seront grands. Les systèmes de fermeture Ils canalisent les entrées et sorties dans le périmètre de l entreprise. On y recense des produits tels que : portails électriques, barrières levantes, bornes levantes, herses ou portiques pour le contrôle des véhicules ; et sas, portes tambours et passages unipersonnels (une personne passe à la fois) pour l accès des piétons voir chapitre dédié-. Ils doivent être cohérents dans leur ensemble ; il ne sert à rien d avoir un portail haut avec des pics anti-franchissement si vous avez des possibilités simples d escalade de la clôture. Les systèmes de vidéo surveillance Qu ils soient autonomes, reliés à un centre de surveillance, ou parfois programmés pour détecter une anomalie, quand un objet traverse tout ou partie du champ de vision d une caméra. Ils enregistrent et sont aptes à passer l information à un relais d alarme (centrale, site de surveillance, transmetteur SMS, ). Les caméras vidéo ont un rôle essentiellement dissuasif quand elles sont placées à l extérieur, à ce titre elles doivent être très visibles ; en intérieur elles peuvent être plus discrètes. Un système de vidéoprotection n a pas vocation à empêcher une intrusion ; il ne peut suffire à lui seul. La vidéo surveillance est le seul système permettant de revenir en arrière sur un événement, à ce titre c est un composant essentiel de la chaîne de sûreté. Un système de vidéosurveillance correctement calibré, proposant une haute qualité d image peut se révéler très efficace non seulement pour apporter la preuve d une effraction mais pour pouvoir suivre en temps réel l évolution de l intrus dans la zone considérée. Des systèmes beaucoup plus évolués sont capables de faire de la reconnaissance de formes en mouvement et de l analyse comportementale sur ces formes. On peut ainsi détecter dans le brouillard une personne qui rampe sous un grillage, suivre sa progression et enclencher différentes mesures si la personne s approche de tel ou tel bâtiment ; on peut donner une alerte si un objet est déposé dans une zone de surveillance ; ou si une personne stationne plus de quelques secondes devant une porte ou fenêtre, Les systèmes d alarme Reliés ou non à un centre de surveillance interne ou externe, ils peuvent intégrer un grand nombre de capteurs et être connectés à un ou des réseau(x) téléphonique(s) pour transmettre l intrusion via un protocole de message, un message vocal, e-mail ou SMS. Ils doivent aussi signaler l intrusion en local par une sirène et/ou un gyrophare. Le déclenchement d une sirène d alarme dissuade près de trois cambrioleurs sur quatre. D autres périphériques de dissuasion peuvent renforcer considérablement l efficacité d un système d alarme ; parmi eux citons principalement l interpellation vocale à distance qui somme l intrus de s identifier ou de quitter les lieux, le canon à fumée qui diffuse une fumée tellement épaisse qu en quelques secondes l intrus ne voit plus ses mains, le stroboscope qui rend difficile toute progression saccadant les gestes, ou encore le canon à sons qui émet un son modulé intolérable. Reliés à un centre de télésurveillance, le déclenchement du système d alarme occasionnera l enclenchement de procédures d intervention. Mais ne vous leurrez pas, la plupart du temps les voleurs auront largement quitté les lieux avant l arrivée des forces d intervention. Page 5 sur 12 Laurent SCHMITTE 2015
Les rondes & le gardiennage La ronde est la mission qui consiste à parcourir un itinéraire déterminé, et à passer par des points de contrôle obligés pour vérifier que tout est en ordre. Elles répondent à un cahier de consignes précis. Planifiée ou aléatoire, elle a pour but de prévenir, dissuader, détecter, informer, et intervenir. Le gardiennage humain par sa localisation sur les lieux mêmes permet une intervention rapide en cas d alerte ; et contrairement à la technologie seule, l homme est doté d une capacité d analyse lui permettant des actions réfléchies. Failles et faiblesses des systèmes de protection périmétrique Il n est pas de système de protection périmétrique qui soit efficace à 100%. Ils sont toutefois dissuasifs et jouent à ce titre un rôle important dans le processus de sécurisation de l environnement de l entreprise. Le choix de tels ou tels systèmes de protection périmétrique est certes fonction de la valeur des biens situés à l intérieur de l enceinte mais aussi de critères liés à la législation imposée en fonction des types de produits entreposés, du risque de pollution, d explosion, ou d utilisation détournée de ceux-ci, voire à des critères économiques (primes d assurances, exigences clients, etc ). Les clôtures et systèmes de fermetures Ils ne sont souvent considérés que comme des retardateurs de franchissement. Ils n en restent pas moins efficaces vis-à-vis de la petite délinquance. Mais celui qui veut passer passera! On peut franchir une clôture de diverses façons : - Par dessous, en creusant, si le sol est meuble. Il faut avoir prévu l enterrement d une partie de la clôture. - Par découpe On peut éviter cela par la pose d un câble de détection le long de la clôture, et par dissuasion avec des caméras de surveillance. - Par dessus, une simple couverture jetée sur des barbelés en haut de la clôture permettra une escalade sans risque. Seul un câble de détection permet d alerter pour ce type de tentative. Les systèmes de vidéosurveillance Ils n ont pas pour vocation d empêcher l intrusion autrement que par la dissuasion. Une simple capuche et l individu n est pas identifiable. Relié à un centre de vidéosurveillance, l intrusion sera appréciée par un agent spécialisé, mais tout homme a aussi ses faiblesses. Un centre de contrôle vidéo avec 30 ou 40 écrans à surveiller pour un seul agent revient à ne rien surveiller du tout ; sauf à travailler en «écran noir» (l écran s allume lorsqu une intrusion est détectée). Les caméras peuvent être programmées en mode alarme («motion detection») ; dans ce cas elles fourniront une information en cas de changement majeur dans l image, au risque d avoir de nombreuses fausses alarmes. Des systèmes d analyse vidéo comportementale (type «Jaguar» d Evitech) permettent d éliminer quasi intégralement ces fausses alarmes. Page 6 sur 12 Laurent SCHMITTE 2015
Les systèmes d alarme Ils ne servent en fait pas à grand chose d autre qu à effrayer le petit délinquant et à pouvoir être assuré contre le vol ; mais cela représente toutefois les ¾ des tentatives. Un système d alarme a plusieurs possibilités d actions en cas de déclenchement : en local la sirène, le gyrophare ou le canon à fumée ; vers l extérieur la connexion téléphonique et la connexion GSM en backup. La qualité des détecteurs installés est essentielle. Trop de détecteurs s enclenchent pour de mauvaises raisons générant de fausses alarmes. Qui se préoccupe de la sirène dans l entreprise voisine, surtout quand elle est isolée dans une Zone d Activité? On trouve aussi désormais dans le commerce des brouilleurs GSM (initialement prévus pour les salles de spectacles) ; il devient aisé d activer celui-ci en premier lieu, l alarme ne pourra plus communiquer par GSM, de couper la ligne téléphonique puis éventuellement d obstruer la sirène. L interpellation des délinquants est fonction de la réactivité des équipes d intervention et de leur professionnalisme. Or, un cambriolage en entreprise dure rarement plus de 15 minutes ; le délai d intervention d une société de sécurité ou des forces de l ordre est rarement inférieur à 45 minutes! Le recours à un abonnement où l on propose la télésurveillance + l envoi d intervenant est dans 99% des cas totalement inutile en cas d intrusion. Il reste toutefois efficace si les alertes de sécurité (incendie, gaz, inondation, ) sont prises en compte par le système. Les rondes & le gardiennage Elles ne peuvent se suffire à elles-mêmes, la défaillance humaine doit être prévue et contrôlée par des techniques et des logiciels spécialisés. Elles doivent être variées en termes d itinéraires, d horaires et d hommes : ne pas faire toujours la même ronde à la même heure avec le même agent. Si un agent ne passe pas par un point de contrôle au moment voulu, une alerte automatique doit être émise. Dans des périodes particulièrement sensibles pour l entreprise, le dirigeant peut demander à ce que les forces de l ordre passent régulièrement. Ces dernières ne pourront entrer sur le site mais effectueront un contrôle des alentours. La performance des systèmes est essentielle Plus il y a de fausses alarmes plus une véritable intrusion risquera d être ignorée. Une branche qui passe dans le champ d une caméra en mode alarme, une fenêtre qui ferme mal ou un capteur endommagé, un animal passant dans le champ d un détecteur infrarouge (ou un simple courant d air chaud), tout cela risque de provoquer de fausses alarmes. D où l importance du choix du type de détecteur, de leur positionnement, de leurs réglages. Il faut aussi étudier des systèmes capables d analyser l alarme avant de la valider. Le coût des systèmes installés doit être à la hauteur des risques encourus, tant par la valorisation des biens sujets au vol ou aux dégradations, que par le stress lié au risque d atteinte à l intégrité des employés. Suivant la volonté et les moyens des intrus, ils finiront par entrer, il faut alors empêcher le vol de biens ou d informations à l intérieur des locaux. Page 7 sur 12 Laurent SCHMITTE 2015
Le contrôle d accès Qui a le droit d accéder à tel ou tel lieu, dans quelles conditions, dans quelles tranches horaires? Telles sont les questions auxquelles doit répondre un système de contrôle d accès performant. Il ne supplante en aucune façon les systèmes de sécurité périmétriques. Il se situe au plus proche de l entreprise, bien souvent à l intérieur de la zone de production. Un système de contrôle d accès s articule autour de 5 éléments : - un logiciel donnant les droits d accès aux membres du personnel - un lecteur (radio ou biométriques) - un support (badge, téléphone, tag RFID ; ou élément biométrique) - un automate comparant les demandes d accès présentées avec les droits définis (UTL) - un mobilier d ouverture (ventouses électromagnétiques, barrières automatiques, bornes escamotables, obstacles piétons, ) Les systèmes biométriques sont extrêmement contraints en France par la CNIL. L autorisation de les installer n est donnée que pour des sites particulièrement sensibles (SEVESO, ATEX, ). Dans les cas suivants, les formalités sont allégées et se réduisent a une déclaration de conformité a des «autorisations uniques» : - cas des dispositifs reposant sur la reconnaissance du contour de la main et ayant pour finalité le contrôle d accès ainsi que la restauration sur les lieux de travail (autorisation unique N AU- 007). - cas des dispositifs reposant sur la reconnaissance de l empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée (c'est-a -dire le badge et non l UTL) et ayant pour finalité le contrôle d accès aux locaux sur les lieux de travail (autorisation unique n AU-008). En ce qui concerne les badges d accès, système le plus répandu, Le transpondeur du badge envoi sur une onde de fréquence précise (le 125 khz ou le 13,56 MHz mifare technologies les plus répandues) des données au lecteur de proximité. Seul un numéro d identification peut être stocké dans le badge, et par conséquent transmis au lecteur et à l UTL. Le contrôle d accès par du personnel spécialisé peut venir en complément d une technologie et s appuyer sur des règles très strictes. Ainsi les obstacles piétons (tripodes, couloirs rapides, portes tambour,, sont-ils majoritairement installés dans des halls d immeubles, près de la banque d accueil. Un système de contrôle d accès cohérent doit pouvoir répondre au QUI, QUAND, COMMENT. Qui a le droit d entrer? Cette simple question soulève à elle seule un nombre important de réflexions. «QUI» implique un recensement des personnes (ou profils) autorisées ou des personnes (ou profils) indésirables. Tous les employés ont le droit d accéder à l entreprise mais tous n ont pas accès au laboratoire de Recherche et Développement, au service informatique ou à la zone de production. L employé d un service de radiologie peut être autorisé à entrer en salle de radiographie mais y être toutefois interdit si il ne porte pas un badge de détection du taux de radioactivité et un tablier de protection ; etc Page 8 sur 12 Laurent SCHMITTE 2015
En fonction du métier de l entreprise, de celui du salarié, de l implantation géographique,, les conditions peuvent être différentes. Les profils doivent être étudiés avec soin. Quand peut-on accéder? Il est évident que l entreprise n est accessible que pendant certaines tranches horaires. Les bureaux peuvent être considérés comme fermés de 20h00 à 7h30, le laboratoire de préparation n est ouvert que le matin et l usine tourne 24 heures sur 24. L ensemble de ces paramètres doit être recensé, structuré. Comment doit-on accéder? Quels sont les procédés d identification à mettre en place pour que l accès soit autorisé? Une télécommande pour le portail d accès, un badge pour l accès à une zone de travail, la reconnaissance de la forme de la main pour les manutentionnaires, un contrôle biométrique et pour l accès au système d information Où peut-on autoriser un accès multiple, c est-à-dire que l ouverture de l obstacle peut permettre à plusieurs personnes d entrer en même temps (entrée de véhicules, porte avec gâche ou ventouse électromagnétique, ascenseur, )? Où doit-on s assurer que les individus doivent entrer un à un (SAS, tripode, couloir rapide, )? Les solutions sont multiples et leur choix résulte d un équilibre optimum entre souplesse, niveau de sécurité, niveau de sûreté, fiabilité et coût. Les systèmes de contrôle d accès, leurs failles et faiblesses Si nous nous bornons à étudier les systèmes de contrôle d accès permettant de répondre aux critères Qui, Quand, Comment décrits précédemment, nous observerons des limites pour chaque solution. Systèmes de badges de proximité Parfois facilement copiables, ils ont surtout l inconvénient majeur de pouvoir être perdus, prêtés ou volés et obligent donc leur inhibition dès le vol déclaré ; mais en attendant des risques ont été pris. Comme pour tous les systèmes à badges, il est fortement recommandé que la photo du propriétaire soit imprimée sur le support pour permettre un contrôle visuel par l ensemble des employés de l entreprise. Une éducation du personnel à ce sujet très importante. Suivant la technologie utilisée, le coût de remplacement des badges peut s avérer onéreux tags RFID actifs par exemple). Certains badges intègrent un lecteur d empreintes digitales. En même temps que l on présente le badge, on applique son pouce sur l emplacement du badge réservé à cet effet. Les lecteurs de badges sont identiques à un système traditionnel. Les systèmes à digicodes Ils sont simples et peu onéreux mais leur vulnérabilité est forte à cause de la durée de vie du code, souvent trop longue. Il conviendrait donc de changer tous les codes régulièrement ainsi qu à l occasion du départ d un employé ; cela occasionnant le problème de la Page 9 sur 12 Laurent SCHMITTE 2015
diffusion d un nouveau code et la mémorisation de ce dernier par l ensemble des personnes concernées. Une zone réservée à quelques individus seulement est plus facilement contrôlable avec cet outil. Les systèmes biométriques Précaution indispensable ou frein injustifié? La CNIL surveille très étroitement l utilisation de tels procédés. Les lecteurs autonomes, ceux ne transférant pas les informations personnelles à un serveur, peuvent obtenir l accord de la CNIL. Pour tous les autres systèmes, une autorisation sera délivrée en fonction du respect de la loi sur les libertés individuelles. Une entreprise ne satisfaisant pas à ces exigences se verra contraindre de démonter son installation. Les lecteurs d empreintes digitales sont aujourd hui fiables, ils permettent une identification formelle d un individu sans les inconvénients liés aux badges «on perd un badge, pas un doigt». Il faut toutefois observer les limites de ces lecteurs : une empreinte digitale est reproductible, ils ne conviennent généralement pas pour du personnel dont les doigts peuvent se trouver abîmés par des travaux manuels. Même les lecteurs de cartographie veineuse ont désormais un avis défavorable de la CNIL alors que l usurpation d identité n a pas été démontrée avec cette technologie. A réserver uniquement pour les sites reconnus comme très sensibles (SEVESO, ATEX, militaires, ). Les lecteurs de forme de la main prennent une image en 3D de la main. Ils s affranchissent ainsi des doigts abimés. Ils sont fiables et sont couplés à un code PIN. La reproduction d une main en 3D est beaucoup plus difficile que celle d une empreinte digitale. L inconvénient principal d un tel système est son encombrement. Là aussi la CNIL renforce ses contraintes. La reconnaissance faciale, elle est de plus en plus efficace mais reste onéreuse et beaucoup de systèmes nécessitent encore l immobilisation du visage de la personne pendant quelques secondes. La reconnaissance faciale en mouvement en est à ses débuts, pas encore assez fiable. Il existe d autres applications d authentification biométrique : reconnaissance de l iris, de la voix, de la forme de l oreille utilisées de façon marginale. Les obstacles piétons Mettre en place un système de contrôle d accès implique la plupart du temps l installation d obstacles piétons unipersonnels (tripodes, couloirs rapides, portillons ou portes tambours). Ces appareils veillent à ce qu une seule personne passe à la fois. Associés au logiciel de contrôle d accès ils permettront de savoir à un instant donné qui est encore dans les locaux de l entreprise, et, en cas d évacuation, si tout le monde a bien quitté les locaux. S ils ne sont pas une garantie absolue qu un intrus ne pourra pas entrer, ils sont un instrument de sûreté essentiel. Attention : leur implantation doit absolument suivre la législation liée aux contraintes en cas d évacuation d urgence (respect du nombre d UP, emplacement non contraignant, ). Le choix de tel ou tel type d obstacle piéton doit se faire en fonction des contraintes de sécurité, et en fonction du niveau de sûreté souhaité par l entreprise. Les couloirs rapides à vantaux effaçants ou poussants offrent une excellente discrimination unipersonnelle et une vitesse de passage allant jusqu à 60 personnes à la minute. La hauteur Page 10 sur 12 Laurent SCHMITTE 2015
des portillons peut aller jusqu à 2,00m. Ils ont un excellent niveau de sûreté (si passage <= 60cm). Avec un passage de 90cm ils peuvent être ouverts en cas de détection incendie et être considérés comme UP pour l évacuation. Dans ce cas le niveau de sûreté est très inférieur à un passage de 60cm car deux personnes peuvent passer côte-à-côte ; l unicité de passage n est pas garantie. Les tripodes, ou systèmes à bras tournants sont très répandus. Leur niveau de sûreté est moindre qu un couloir rapide car il est aisé de passer par dessus ou dessous -sauf si des cellules de détection ont été installées-. Les tripodes peuvent être équipés de bras tombants pour faciliter les évacuations. Mais ne permettant jamais un passage de 90cm ils ne peuvent être considérés comme issue de secours. Les tourniquets bas, offrent une qualité d unicité de passage comparable à un tripode. Ils ont un encombrement au sol plus important. Les tambours, communément appelés «hachoirs» sont des portillons en pleine hauteur équipés de barreaux que l on trouve généralement en extérieur à l entrée de sites industriels. L unicité de passage est garantie par l encombrement et le mouvement. Les tambours peuvent avoir 4 bras ou 3 bras. A 4 bras, l unicité de passage est meilleure mais l étroitesse de passage peut gêner les usagers. Les portillons PMR, ne permettent pas d offrir une unicité de passage, ils servent, soit au passage de personnes à mobilité réduite, ou au passage d objets encombrants ne pouvant emprunter les systèmes à unicité de passage. Leur hauteur doit être identique à celle des autres obstacles piétons et des mains courantes. Les obstacles automobiles Portails ou barrières automatiques, herses, road-blockers et bornes escamotables sont les principaux systèmes utilisés. Sauf à créer un effet de sas, en disposant par exemple 2 barrières l une après l autre, il est illusoire de compter sur ce type d équipements pour faire de l unicité de passage de véhicule car ils sont très souvent associés à des cellules ou boucles de détection empêchant l obstruction du passage si un véhicule est détecté. Une fois ouverts, ces éléments laissent libre entrée aux piétons, dans un véhicule, plusieurs personnes peuvent entrer en même temps. Un gardiennage humain est souvent nécessaire pour vérifier l identité des passagers d un véhicule. Si un contrôle d unicité de passage est souhaité il devra être effectué à l entrée des bâtiments en non pas à l entrée du site. Page 11 sur 12 Laurent SCHMITTE 2015
Réduire les failles et coûts cachés Bien définir ses besoins en fonction des exigences de sécurité et du budget imparti est chose aisément qualifiable et quantifiable pour autant que l ensemble des risques aient été évalués. Il convient de toujours prendre du recul face à une problématique de sûretésécurité. La réponse n est jamais uniquement technologique. - De quoi je souhaite me protéger? Vols en interne, intrusions extérieures, risques terroristes, risques d espionnage industriel, dégradation de l image de ma société, - Qui risque de commettre ses méfaits? Des membres de mon personnel, des voleurs de passage, des bandes organisées? - Combien les méfaits me coûtent-ils ou bien risquent-ils de me coûter? A estimer sur 3 à 5 ans en différents termes : financiers, d immobilisation de la production, de démotivation du personnel, de dégradation d image, environnementaux. - Quelles solutions, au sens le plus large, s offrent à moi? Installation d équipements (lesquels, y a-t-il différentes solutions possibles), Formation de mon personnel (développement de l esprit d entreprise, vigilance de chacun, ), réglementaire (modification du règlement intérieur, des contrats de travail), de l organisation du travail, «Il ne sert à rien de mettre une rustine sur une chambre à air poreuse». Un problème de sûreté doit être vu dans son ensemble (technologique, humain, financier, organisationnel). Quelques exemples : La sensibilisation et la formation du personnel sont indispensables : avoir toujours le badge visible, penser à interpeller une personne sans badge La perte de temps en réaction d une intrusion peut coûter cher, aussi est-il important de rédiger un guide détaillé des procédures à appliquer en fonction de chaque type d intrusion et de positionner le PCS à proximité du lieu à surveiller en priorité. Pour limiter les coûts cachés il convient de procéder à une intégration judicieuse des systèmes : Si le logiciel de vidéosurveillance est à même de dialoguer avec le système d alarme, et mieux encore avec le système de GTB, un seul point de supervision peut être défini. Faire travailler le système de vidéosurveillance en écran noir (il ne s allume que s il y a intrusion) on évite l effet hypnotique d une multitude d écrans actifs en continu et le nombre de personnels de surveillance peut être réduit. Interfacer le système de contrôle d accès à l ouverture du portail à la prise simultanée d une photo et à un «bip» en salle de surveillance, par exemple, multiplie les chances de détecter une intrusion à temps. Conclusion Chaque système apporte une brique spécifique et complémentaire à l édifice de la sécurité optimum, il convient de les sélectionner de façon cohérente. La réelle performance d un complexe anti-intrusion réside dans l intégration réussie de l ensemble de ses composants (technologiques et humains). Plus l administration sera simplifiée, meilleure sera sa performance globale. Le budget est aussi une faille dans le système de contrôle d accès comme il l est pour tout système de sécurité car il n échappe pas à la triste règle des 80/20 où 20% du budget nécessaire à une protection maximale permet de couvrir 80% des besoins et où il faut dépenser 80% d un tel budget pour les 20% restants. La performance du système de contrôle d accès et de sûreté de l entreprise sera obligatoirement liée au budget alloué. Page 12 sur 12 Laurent SCHMITTE 2015