Contrôle d’accès : une clé ne se retire pas

L’article sur la sécurité pose que la porte physique est une mesure informatique. Cette page en tire la conséquence, et elle tient dans une seule phrase que le reste ne fait que développer.

Une clé ne se retire pas. Quand une personne part, la clé qu’elle avait ne revient pas toujours, et même quand elle revient personne ne sait si une copie a été faite. La seule façon de la révoquer est de changer le cylindre, puis de refaire des clés pour tout le monde.

Cela coûte assez cher et assez de temps pour que ce ne soit presque jamais fait. Le résultat est celui que l’article sur l’audit décrit dans le monde des comptes : au bout de cinq ans, personne ne sait combien de personnes peuvent entrer.

Un contrôle d’accès n’est donc pas un produit de confort. C’est le seul dispositif de cette famille dont la fonction principale est de rendre une révocation possible, et cette page traite ce que cela implique, y compris le jour où le courant tombe.

Un contrôle d’accès produit une deuxième chose que personne n’achète consciemment : une liste horodatée de qui est entré où et quand. C’est utile, c’est parfois précieux, et c’est un enregistrement sur des personnes.

Son utilité réelle est plus étroite qu’on ne l’imagine. Il sert le jour d’un incident — qui était dans la réserve entre dix-huit et dix-neuf heures — et il ne sert à rien le reste du temps, parce que personne ne lit un journal d’accès.

C’est précisément pour cela qu’il demande une décision plutôt qu’un réglage par défaut. L’article sur la famille pose la règle et elle s’applique ici sans modification : une durée de conservation écrite, une personne désignée pour consulter, et une raison définie de consulter.

La consultation mérite d’être traitée séparément, parce qu’elle est ce qui transforme un outil de sécurité en outil de surveillance. Consulter le journal après un incident est un usage ; le consulter pour savoir à quelle heure quelqu’un est arrivé lundi en est un autre, et les employés font parfaitement la différence.

Notre position, et elle est un peu inconfortable à écrire : le journal se conserve, se limite dans le temps, et se consulte sur événement plutôt que par habitude. Une entreprise qui l’utilise pour surveiller les horaires devrait le dire ouvertement plutôt que le faire discrètement, parce que la découverte de cet usage coûte plus que ce qu’il rapporte.

Il existe un usage qui ramène instantanément le système à l’état d’une clé, et il apparaît dans presque toutes les installations au bout de quelques mois : le badge que l’on se passe.

Il n’apparaît jamais par négligence. Il apparaît parce que quelqu’un a oublié le sien, parce qu’un livreur doit entrer, parce que la personne qui ouvre le matin est en congé, ou parce qu’un employé n’a pas de badge et qu’on n’a jamais pris le temps de lui en faire un.

Le résultat est le même que celui d’une clé copiée, avec une aggravation : le journal de la section 3 dit maintenant quelque chose de faux. Une entrée est attribuée à une personne qui n’était pas là, ce qui est pire qu’une absence d’information le jour d’un incident.

Les corrections sont organisationnelles et il n’en existe aucune technique. Un badge par personne dès le premier jour, y compris pour les temps partiels et les stagiaires. Un badge visiteur nominatif et rendu. Et une règle explicite : un badge oublié se remplace par un badge temporaire à l’accueil, pas par celui d’un collègue.

La dernière règle demande que le badge temporaire existe et soit disponible sans autorisation. S’il faut demander à trois personnes pour en obtenir un, le badge partagé revient dans la semaine — c’est la même mécanique que tous les contournements décrits dans l’article sur le support.

Comme tout équipement de ce pilier, un contrôle d’accès tombe en panne. La différence avec les autres est que sa panne empêche des gens d’entrer dans leur lieu de travail, ce qui est immédiatement visible et immédiatement coûteux.

La première question est celle de la section 4 et elle est réglée : les chemins d’évacuation s’ouvrent de l’intérieur, toujours. La deuxième est différente : comment entre-t-on quand le lecteur ne répond plus ?

La réponse est mécanique et elle doit exister avant la panne : une clé de secours, sur un cylindre qui n’a rien à voir avec le système électronique, détenue par deux personnes nommées et rangée ailleurs que derrière la porte concernée. Ce dernier détail paraît comique et il est la cause d’une part des interventions d’urgence de cette ligne.

La troisième question concerne les données : que se passe-t-il pour la liste des droits si la centrale est remplacée ? Une configuration exportée régulièrement, comme pour n’importe quel équipement du pilier, évite de reconstruire à la main les droits de quarante personnes un lundi matin.

Et la quatrième, qui est souvent oubliée à l’achat : le système doit continuer d’ouvrir pour les personnes autorisées quand la liaison avec le serveur ou avec internet est coupée. Un contrôle d’accès dont les décisions dépendent d’une connexion transforme une panne de ligne en portes fermées, et l’article sur le pilier explique à quelle fréquence cette ligne tombe.

Ce que nous refuserons : installer un contrôle d’accès sur un chemin d’évacuation sans que la sortie depuis l’intérieur soit possible sans badge, sans code et sans clé, coupure de courant comprise. Ce point n’est pas négociable et il ne dépend pas de ce que le client préfère.

Nous refuserons de configurer plus de trois niveaux d’accès dans une entreprise d’un seul site, et de créer un profil sur mesure pour une exception de trois mois. Une exception se traite par une date de fin, pas par un profil de plus.

Nous refuserons de mettre en service un système dont le journal n’a pas de durée de conservation écrite et dont personne n’a été désigné pour le consulter. Un enregistrement sur des personnes sans ces deux décisions est une responsabilité que nous vous laisserions sans vous le dire.

Ce que nous faisons : la porte examinée — cadre, paumelles, vitrage — avant le choix d’un lecteur ; le comportement de chaque porte en cas de coupure écrit porte par porte ; un badge par personne dès le premier jour, avec des badges temporaires disponibles sans autorisation ; les accès prestataires avec une date de fin ; la clé de secours chez deux personnes nommées et rangée ailleurs ; et la page à trois colonnes remise datée.

Et ce que vous pouvez faire cette semaine sans nous : essayez de compter les clés de votre porte principale et de nommer qui détient chacune. Le nombre que vous n’arriverez pas à attribuer est la mesure exacte de ce que cette page propose de corriger.