AccueilBlog & conseils › Sécuriser un site sensible
Méthode · Sites sensibles

Sécuriser un site sensible : la démarche

Une démarche de sécurisation : classer le site, hiérarchiser les zones, traiter dans l’ordre et dimensionner la présence humaine en dernier.

Classement du siteOrdre de traitementZones hiérarchiséesVérifications8 départements

Sécuriser un site sensible commence par une question rarement posée : qu’est-ce qui serait réellement perdu ? La réponse ne tient presque jamais à la valeur des biens, et c’est elle qui détermine tout le reste.

Cet article présente une démarche : classer, hiérarchiser, puis traiter dans l’ordre — en gardant la présence humaine pour la fin.

Classer d’abordavant de protéger quoi que ce soit
Dans l’ordreorganisation, bâti, technique, humain
Le dernierl’agent se dimensionne sur le risque restant
0 %de sous-traitance chez nous, sans exception

1Les quatre questions qui classent un site

LES QUATRE QUESTIONS QUI CLASSENT UN SITEQue perdrait-on ?au-delà de la valeur des biens : activité, données, réputationQui viserait ce site ?opportuniste, organisé, militant, internePar où entrerait-on ?accès physiques réels, pas ceux du planCombien de temps avant réaction ?délai entre détection et interventionUn site se classe par ce qu’il coûterait de le perdre, pas par sa taille.

Un local technique sans marchandise peut être plus sensible qu’un entrepôt plein : tout dépend de ce que son arrêt provoquerait.

« Que perdrait-on ? »

C’est la question fondatrice. Un arrêt d’exploitation, une donnée compromise, une atteinte à la réputation coûtent souvent bien plus que les biens présents sur le site.

2Traiter dans l’ordre

LES ÉTAPES D’UNE DÉMARCHE DE SÉCURISATIONClasser et hiérarchiserce qui compte vraimentCorriger l’organisationclés, habilitations, procéduresTraiter le bâticlôture, éclairage, accèsAjouter la techniquedétection, contrôle d’accèsDimensionner l’humainsur le risque restantLa présence humaine se dimensionne en dernier, sur ce qui reste après les quatre premières étapes.

Chaque étape réduit le besoin de la suivante. Sauter les trois premières conduit à payer chaque mois ce qui se corrigerait une fois.

L’organisation d’abord

Habilitations, clés, badges, procédures de départ. C’est l’étape la moins coûteuse et la plus efficace : sur presque tous les sites que nous auditons, la liste des accès actifs révèle des droits qui n’ont plus lieu d’être.

3Hiérarchiser les zones

Une hiérarchie utile
  • Zones publiques : accueil, parking visiteurs
  • Zones réservées : bureaux, ateliers, réserves
  • Zones critiques : locaux techniques, données, produits
  • Chaque niveau avec ses règles d’accès et sa traçabilité
Ce qui ne fonctionne pas
  • Un contrôle uniforme sur l’ensemble du site
  • Des habilitations données une fois, jamais revues
  • Une zone critique accessible depuis une zone publique
  • Un dispositif calculé sur la surface

Protéger tout au même niveau revient à ne rien protéger vraiment : les moyens se diluent, et les règles finissent par être contournées partout.

4Vérifier que la démarche tient

Une organisation écrite ne prouve rien tant qu’elle n’a pas été éprouvée. Quatre vérifications simples.

  • Comparer les badges actifs au personnel présent. L’écart est presque toujours révélateur.
  • Tester la chaîne d’alerte à une heure creuse : un numéro qui ne répond plus se découvre ainsi, pas au moment de l’incident.
  • Faire le tour du site de nuit. L’éclairage réel diffère souvent de l’éclairage supposé.
  • Vérifier l’accès des secours : portail, clés, cheminement. Un véhicule bloqué annule tout le reste.
Ce que révèle le plus souvent un audit

Que le dispositif protège bien ce qui a de la valeur marchande, et mal ce dont l’arrêt coûterait le plus cher. Les deux ne coïncident presque jamais.

5Où la présence humaine intervient

En dernier, et sur ce qui reste. Son apport est spécifique : elle qualifie une détection, interrompt une action en cours, accompagne un intervenant, et consigne ce qui se produit.

Le détail des menaces propres à ces sites et des dispositifs adaptés figure sur notre page consacrée à la sécurisation de site sensible.

6La malveillance interne

C’est le volet le moins traité d’une démarche de sécurisation, et celui qui échappe à toutes les protections périmétriques.

  • Le principe du double regard sur les opérations sensibles : accès aux zones critiques, sorties de matériel, modifications de configuration.
  • La revue périodique des habilitations. Un droit accordé pour une mission ponctuelle reste souvent actif des années.
  • La traçabilité des accès internes, au même titre que celle des visiteurs. Un accès légitime n’est pas un accès qu’on renonce à consigner.
  • La procédure de départ. Badges désactivés, clés restituées, comptes fermés — le jour même, pas la semaine suivante.

Ces mesures relèvent de l’organisation, pas de la surveillance. Elles ne coûtent rien et traitent un risque que le meilleur dispositif périmétrique ignore.

7Questions fréquentes

Par où commencer ?

Par le classement : que perdrait-on, qui viserait ce site, par où entrerait-on. Sans cette étape, les moyens se répartissent au hasard.

Faut-il tout protéger au même niveau ?

Non, et c’est même contre-productif. Une hiérarchie des zones concentre les moyens là où ils comptent.

L’audit est-il payant ?

Il est gratuit pour un site unique en Île-de-France. Sur un parc de plusieurs sites, nous convenons d’une mission chiffrée.

Combien de temps prend la démarche ?

Quelques heures sur place, puis quelques jours pour le rapport. Les corrections d’organisation se mettent en œuvre immédiatement.

Et si le rapport conclut qu’il ne faut pas d’agent ?

Nous le disons. Plusieurs recommandations relèvent du bâti ou de l’organisation, et ne nous rapportent rien.

Sur quels départements intervenez-vous ?

Les huit départements d’Île-de-France, depuis notre siège du 17e arrondissement.

Un site à faire classer ?

Nous réalisons gratuitement un audit et vous remettons un rapport écrit, que vous gardez même sans suite.

Demander un devis gratuit →
Secteurs concernés
Sites sensiblesCentres de donnéesAdministrations et institutionsEnglish — security guardsRéagir à une intrusionTous nos secteurs d’activitéProtéger un centre de donnéesProtection des détenteurs de cryptomonnaie