Algeria AgencySécurité & surveillance
Sécurité et surveillance : l’ordre compte plus que le produit
C’est la seule famille du pilier achetée contre une peur plutôt que contre un besoin. Et la peur achète dans le mauvais ordre : ce qui se voit, d’abord.
Les quatre pages sous celle-ci — les caméras, le contrôle d’accès, le pare-feu et la sécurité informatique — sont achetées dans des conditions particulières, et cette particularité décide de presque tout.
Elles sont achetées après un événement. Un vol, une intrusion, un fichier perdu, un courriel frauduleux, ou simplement le vol chez le voisin. La décision se prend donc dans la semaine qui suit, sous le coup de quelque chose de concret, et elle porte sur ce qui rassure.
Ce qui rassure est ce qui se voit. Une caméra se voit, un badge se voit, un boîtier posé dans une armoire se voit. Une restauration essayée ne se voit pas, et un compte fermé le jour d’un départ ne se voit pas non plus.
Cet article ne vend aucun de ces quatre produits. Il donne la question d’une heure qui remet la famille dans l’ordre, l’ordre lui-même, et les quatre choses que nous refusons de facturer même quand elles sont commandées et payables immédiatement.
La seule famille achetée contre une peur
Les autres familles du pilier répondent à un besoin qui existait avant l’appel : il faut remplacer un poste, poser des prises, héberger des données. Celle-ci répond à un événement, et un événement crée de l’urgence sans créer de l’information.
La conséquence est visible dans la structure des demandes que nous recevons. Elles arrivent avec un produit déjà choisi — « il nous faut des caméras », « il nous faut un pare-feu » — plutôt qu’avec un problème décrit. Le produit a été choisi par l’événement, pas par une analyse.
Ce n’est pas un défaut de jugement, c’est la manière dont fonctionne une décision prise sous tension. Le rôle d’un prestataire honnête est donc de ralentir cette décision d’une heure, pas de la servir immédiatement — et ralentir une commande est exactement le contraire de ce que le marché fait.
Il faut aussi dire ce que cette urgence produit financièrement : c’est la famille où le prix accepté est le plus élevé et où la comparaison est la moins faite. Un devis présenté dans la semaine d’un vol se signe sans être discuté.
La seule protection contre cet effet est une décision prise avant. Toute cette page est écrite pour être lue avant l’événement, et sa valeur est nulle pendant la semaine qui suit — ce qui est aussi le moment où elle sera cherchée.
Ce qui arrive vraiment, dans l’ordre
L’article sur le pilier informatique le dit déjà et cette page le reprend parce que c’est la base de tout le classement : ce qui arrive à une petite entreprise n’est presque jamais une attaque ciblée.
Dans l’ordre où nous le rencontrons : un ordinateur portable volé, dans une voiture ou dans un local ; un compte laissé ouvert après le départ d’un employé ; un mot de passe partagé et réutilisé sur cinq services ; un courriel très poli demandant de changer les coordonnées bancaires d’un fournisseur ; et une clé ou un badge qui n’a jamais été rendu.
Trois de ces cinq n’ont aucune dimension technique. Ce sont des événements de personnel et d’organisation, et aucun produit de cette famille ne les traite — ce qui explique pourquoi tant d’entreprises bien équipées se font quand même avoir.
Ce qui arrive ensuite, moins souvent mais plus cher : un logiciel malveillant qui chiffre les fichiers partagés, presque toujours entré par une pièce jointe ou par une machine hors support. C’est le seul de la liste qui arrête l’entreprise plutôt que de lui coûter un objet.
Et ce qui n’arrive presque jamais, malgré la place que cela occupe dans les discours de vente : une intrusion technique ciblée contre une entreprise de vingt personnes. Cela existe, ce n’est pas ce contre quoi votre budget doit être construit.
La question d’une heure qui remet tout dans l’ordre
Il existe une question qui classe correctement les quatre pages sous celle-ci, elle prend une heure, elle est gratuite, et elle produit une liste écrite : qu’est-ce qui, disparu ou copié demain, vous coûterait le plus, et à qui cela servirait-il ?
La formulation compte. On ne demande pas ce qui a de la valeur — tout en a — mais ce qui coûte quand il disparaît. Un ordinateur portable coûte son prix ; le fichier client qu’il contenait coûte beaucoup plus, et il ne figure sur aucun inventaire comptable.
La seconde moitié de la question est celle que personne ne pose et c’est la plus utile : à qui cela servirait-il ? Elle sépare instantanément ce qui est un risque de vol d’objet — revendable, opportuniste — de ce qui est un risque de perte d’exploitation, qui ne se vend à personne mais vous arrête.
Faites la liste sur une feuille, sans classement, puis mettez trois colonnes : ce que cela coûte, en combien de temps vous vous en apercevriez, et ce que vous feriez le jour même. La troisième colonne est celle qui vide la moitié des devis.
Cette liste est le seul document de cette famille qui ne peut pas être produit par un prestataire, y compris par nous. Nous savons ce qui arrive en général ; vous seuls savez ce qui, chez vous, ne peut pas disparaître.
Ce qu’une caméra résout, et ce qu’elle ne résout pas
Une caméra répond à une question et une seule : que s’est-il passé, après que cela s’est passé. C’est un vrai service, il vaut son prix dans plusieurs métiers, et la page qui lui est consacrée traite le détail de l’installation.
Ce qu’elle ne fait pas doit être dit ici, au niveau de la famille, parce que c’est là que le classement se joue. Elle n’empêche pas un mot de passe partagé, ni un compte resté ouvert, ni un courriel frauduleux, ni un logiciel qui chiffre vos fichiers — c’est-à-dire quatre des cinq événements de la section 2.
Elle a un effet dissuasif réel sur le cinquième, l’intrusion physique opportuniste, et cet effet est la raison légitime de l’acheter. Nous ne le contestons pas ; nous contestons uniquement l’ordre dans lequel elle est achetée.
La configuration que nous rencontrons le plus souvent est celle-ci : une entreprise équipée de caméras récentes, dont la sauvegarde n’a jamais été restaurée devant qui que ce soit, et dont deux anciens employés ont encore un accès. Elle a protégé ce qui se voit et laissé ouvert ce qui la fait vivre.
La formulation qui aide à décider, et que nous employons systématiquement : si vous ne pouviez faire qu’une seule des deux choses cette année — installer les caméras ou essayer une restauration et fermer les comptes ouverts — laquelle vous coûterait le plus de ne pas faire ? La réponse n’a jamais été les caméras.
La porte physique est une mesure informatique
La séparation entre sécurité physique et sécurité informatique est une commodité de catalogue, et elle est fausse à un endroit précis : un accès physique à une machine annule la plupart des protections logicielles.
Le cas le plus simple est le vol d’un ordinateur portable. Le mot de passe de session ne protège pas les données si le disque n’est pas chiffré : il suffit de sortir le disque. C’est la raison pour laquelle le chiffrement, qui est une mesure logicielle, est en réalité la réponse à un risque physique.
Le deuxième cas est le local technique. Une armoire réseau ouverte dans un couloir permet de brancher un appareil, de débrancher un enregistreur, ou d’emporter un disque de sauvegarde. Une porte qui ferme à clé est, à ce titre, la mesure de sécurité la moins chère de tout le pilier.
Le troisième est le poste laissé ouvert. Une session non verrouillée dans un espace où passent des visiteurs donne à n’importe qui l’accès complet d’un employé, sans aucune compétence technique, pendant le temps d’un café.
Ces trois cas ont une conséquence de classement : la page consacrée au contrôle d’accès n’est pas une page de confort, et le verrouillage automatique des sessions n’est pas un détail. Ce sont des mesures informatiques déguisées en mesures de bâtiment.
L’ordre que nous imposons
Voici la séquence que nous appliquons, dans cet ordre, quel que soit le produit demandé au départ. Elle est courte et les trois premières étapes ne coûtent rien.
Premièrement : une restauration essayée, sur des données réelles, devant vous. Tant qu’elle n’a pas été faite, aucune dépense de cette famille n’est justifiée, parce qu’une sauvegarde non essayée est ce qui transforme un incident en arrêt définitif.
Deuxièmement : la fermeture des accès des personnes parties, et la liste des accès de l’article sur l’audit. C’est gratuit, cela prend une après-midi, et cela traite l’événement le plus fréquent de la section 2.
Troisièmement : un mot de passe distinct par service critique, une deuxième vérification sur la messagerie, et la règle de rappel sur tout changement de coordonnées bancaires — un appel à un numéro que vous aviez déjà, jamais à celui indiqué dans le message. Trois habitudes, aucun achat.
Quatrièmement, et seulement ensuite : les produits. Chiffrement des portables, pare-feu, contrôle d’accès, caméras — dans l’ordre que votre liste de la section 3 impose. Un prestataire qui commence par le quatrième point vous vend son catalogue, et il le vend d’autant plus facilement que vous venez de subir quelque chose.
Le départ d’un employé est l’événement le plus fréquent
C’est l’événement de sécurité le plus courant dans les entreprises que nous auditons, il n’a rien de technique, et il n’est traité par aucun des quatre produits de cette famille.
Ce qui reste ouvert après un départ, dans l’ordre : une adresse de messagerie active, un compte sur un service en ligne payé par l’entreprise, un accès au partage de fichiers, un badge ou une clé, un numéro sur un groupe de discussion interne, et le compte propriétaire d’un service que cette personne avait créé.
Le dernier est le plus grave et il ramène au sujet des articles sur l’hébergement et sur l’audit : un service dont le compte propriétaire est une personne partie est un service que l’entreprise ne contrôle plus, quelle que soit la qualité de la séparation.
La correction ne coûte rien et elle est administrative : une liste écrite des accès à retirer, préparée à l’avance, appliquée le jour du départ plutôt que le mois suivant. Elle tient sur une page et elle se met à jour à chaque arrivée.
Il faut ajouter une précision qui évite les malentendus : cette liste n’est pas une marque de méfiance envers les personnes qui partent. La plupart des accès oubliés ne sont jamais utilisés ; ils deviennent un problème quand la messagerie de cette personne est compromise ailleurs, deux ans plus tard, pour une raison qui n’a rien à voir avec vous.
Filmer et enregistrer : ce qui se règle avant
Installer une caméra ou un contrôle d’accès crée des obligations envers les personnes filmées ou enregistrées, et elles se règlent avant l’installation plutôt qu’après un incident.
Quatre points reviennent quel que soit le dispositif. Les personnes doivent être informées qu’elles sont filmées ou que leurs passages sont enregistrés. La durée de conservation doit être décidée et limitée. Il faut savoir qui a le droit de consulter les images ou les journaux. Et il faut savoir dans quelles conditions ils peuvent être communiqués à un tiers.
La question des zones mérite d’être posée à part, parce que c’est celle qui pose le plus de problèmes en pratique : certains espaces ne se filment pas, et un poste de travail filmé en permanence pose une question différente d’une entrée filmée.
Renseignez-vous sur ce qui s’applique à votre cas avant l’installation, auprès de quelqu’un dont c’est le métier. Nous ne donnons pas de conseil juridique sur ces pages et nous ne prétendrons pas le contraire : ce que nous pouvons dire est que l’installateur n’est pas la bonne source pour cette question, parce qu’il vend l’installation.
Une conséquence pratique s’applique aux quatre leaves de cette famille : tout ce qui enregistre quelque chose sur des personnes — images, passages, connexions, appels — se décide avec une durée de conservation écrite. Un enregistrement sans durée devient un stock dont personne n’est responsable, et c’est exactement le stock qui pose problème le jour où on le demande.
Ce qui se protège tout seul, et ce qui demande une habitude
Une distinction utile pour arbitrer un budget : certaines mesures fonctionnent une fois installées, d’autres exigent que quelqu’un fasse quelque chose tous les mois. Les secondes échouent presque toujours, et il faut en tenir compte avant de les acheter.
Fonctionnent seules : le chiffrement d’un disque, la deuxième vérification sur un compte, la fermeture automatique d’une session inactive, la séparation des réseaux du hub réseau, et les mises à jour automatiques d’un système qui les reçoit encore.
Exigent une habitude : la relecture des accès, la vérification qu’une sauvegarde tourne, le contrôle des enregistrements de caméras, la mise à jour d’équipements qui ne se mettent pas à jour seuls, et la revue de qui détient quel badge.
La conséquence budgétaire est nette et elle contredit l’intuition : préférez systématiquement une mesure qui fonctionne seule à une mesure supérieure qui demande une routine, sauf si vous avez désigné nommément la personne qui tiendra la routine et le moment où elle la tiendra.
Et pour celles qui exigent une habitude, il n’y a qu’un format qui survit : un rendez-vous récurrent d’une heure, avec une liste de cinq vérifications, tenu par une personne nommée. Sans rendez-vous, la routine dure trois mois — nous l’avons observé assez souvent pour l’écrire ici plutôt que de le découvrir avec vous.
Comment lire un devis de sécurité
Un devis de cette famille se lit à l’envers, comme celui de l’infrastructure : on commence par ce qui n’y figure pas, parce que ce sont les absences qui décident.
Cherchez la ligne de restauration essayée. Si un devis propose des caméras, un pare-feu ou un contrôle d’accès sans mentionner cette vérification, il vend le quatrième point de la section 5 en sautant les trois premiers, et cela se dit poliment mais se dit.
Cherchez la durée de conservation des enregistrements, écrite en jours. Son absence signifie que la question de la section 7 n’a pas été posée, et c’est vous qui en portez la conséquence, pas l’installateur.
Regardez qui détient les accès administrateurs des équipements installés. C’est la même ligne que partout ailleurs dans ce pilier, et elle se règle à la commande : un enregistreur, un pare-feu ou une centrale dont vous n’avez pas l’accès est un équipement que vous ne pouvez ni vérifier ni faire reprendre.
Enfin, la question qui trie plus vite que toutes les autres, et elle est la même que celle de l’article sur le pilier : demandez ce qu’il refuserait de vous vendre. Un prestataire de cette famille qui n’a pas de réponse n’a pas de classement, et sans classement il vend dans l’ordre où on lui demande.
Le prestataire qui vend les quatre lignes
Une particularité de cette famille mérite d’être nommée : les quatre produits sous cette page sont souvent vendus par la même entreprise, et cette entreprise a rarement les quatre compétences.
Les caméras et le contrôle d’accès relèvent d’un métier d’installation : câblage, fixation, alimentation, et une centrale à configurer. Le pare-feu et la sécurité informatique relèvent d’un métier de configuration et de suivi, sans presque rien à poser.
Ce sont deux métiers différents et ils recrutent des personnes différentes. Une entreprise qui pose très bien des caméras peut configurer très mal un pare-feu, et l’inverse est tout aussi vrai — sans que cela indique un manque de sérieux chez l’une ou chez l’autre.
La vérification tient en une question par ligne, posée séparément : combien d’installations de ce type précis avez-vous faites cette année ? Une réponse assurée sur les caméras et hésitante sur le pare-feu est une réponse utile, et elle est plus honnête que celle qu’on obtient en demandant si l’entreprise sait tout faire.
La conséquence pratique n’est pas de multiplier les prestataires par principe : c’est de savoir laquelle des quatre lignes vous confiez à quelqu’un qui la pratique rarement, et de décider si cette ligne peut se permettre d’être la moins bien faite.
Ce que nous faisons, et ce que nous refuserons de faire
Ce que nous refuserons : installer des caméras, un pare-feu ou un contrôle d’accès chez une entreprise dont la sauvegarde n’a jamais été restaurée devant elle. C’est le refus que l’article sur le pilier annonce, et cette page est ce qui le rend applicable plutôt que déclaratif.
Nous refuserons de facturer un dispositif de cette famille avant que les trois étapes gratuites de la section 5 aient été faites. Elles ne nous rapportent rien, elles prennent une après-midi, et elles traitent la majorité de ce qui arrive réellement.
Nous refuserons d’installer un enregistrement — d’images, de passages ou de connexions — sans une durée de conservation écrite et sans que la question de l’information des personnes ait été traitée avec quelqu’un dont c’est le métier.
Ce que nous faisons : la liste d’une heure de la section 3, écrite par vous et pas par nous ; la séquence de la section 5 dans cet ordre, même quand un autre produit a déjà été choisi ; le chiffrement des portables traité comme une réponse au vol plutôt que comme une option ; la liste des accès à retirer préparée avant le premier départ ; et un rendez-vous récurrent nommé pour les mesures qui demandent une habitude.
Et ce que vous pouvez faire cette semaine sans nous : écrivez la liste de ce qui, disparu ou copié demain, vous coûterait le plus — et en face de chaque ligne, à qui cela servirait. Puis comptez combien de personnes parties ont encore un accès. Ces deux documents décident de cette famille mieux que n’importe quel devis.
Questions fréquentes
Par où commencer en sécurité ?
Par une restauration essayée sur des données réelles, puis la fermeture des accès des personnes parties, puis trois habitudes qui ne coûtent rien. Les produits — chiffrement, pare-feu, contrôle d’accès, caméras — viennent en quatrième, dans l’ordre que votre propre liste impose.
Les caméras sont-elles une dépense de sécurité ?
Elles répondent à « que s’est-il passé », après coup, et elles dissuadent l’intrusion opportuniste. Elles n’empêchent ni un mot de passe partagé, ni un compte resté ouvert, ni un courriel frauduleux, ni un chiffrement malveillant — quatre des cinq événements les plus fréquents.
Qu’est-ce qui arrive vraiment aux petites entreprises ?
Un portable volé, un compte laissé ouvert après un départ, un mot de passe réutilisé, un courriel demandant de changer des coordonnées bancaires, une clé jamais rendue. Trois de ces cinq n’ont aucune dimension technique et aucun produit ne les traite.
Que faire au départ d’un employé ?
Appliquer une liste écrite préparée à l’avance, le jour même : messagerie, services en ligne payés par l’entreprise, partage de fichiers, badge ou clé, groupes internes, et surtout tout service dont cette personne était le compte propriétaire.
Que faut-il régler avant d’installer des caméras ?
L’information des personnes filmées, la durée de conservation écrite en jours, qui a le droit de consulter les images, et les conditions de communication à un tiers. Renseignez-vous auprès de quelqu’un dont c’est le métier plutôt qu’auprès de l’installateur.
Comment juger un devis de sécurité ?
Par ce qui n’y figure pas : la restauration essayée, la durée de conservation, et le détenteur des accès administrateurs des équipements installés. Puis demandez au prestataire ce qu’il refuserait de vous vendre — sans classement, il vend dans l’ordre où on lui demande.
Où nous intervenons
Une heure de liste suffit à classer ce dont la perte ou la copie vous ferait le plus de tort, et cette page décide de l’ordre mieux qu’un devis.
- Nous lisons votre liste et nous en tirons la séquence, sans y ajouter nos préférences.
- Nous écrivons une durée de conservation avant d’installer le moindre enregistrement.
- Nous attendons que les étapes gratuites soient faites avant de facturer quoi que ce soit.
Tant qu’une restauration n’a pas été éprouvée chez vous, nous n’installerons ni caméra ni pare-feu : l’ordre n’est pas négociable.
À lire ensuite
Ce que l’assureur demande : déclarer, prouver, être indemnisé
Le seul tiers qui vérifiera jamais votre sécurité le fait une fois, après le sinistre. Ce qu’il demandera, et ce qui doit exister avant.Contrôle d’accès : une clé ne se retire pas
Tout tient dans cette phrase. Un badge s’annule en un geste, une clé se reprend en changeant la serrure — et personne ne change jamais la serrure.Le badge qui n’est jamais revenu : délivrer, retirer, compter
Un badge se retire — encore faut-il que quelqu’un le fasse. Le registre, le badge perdu un vendredi soir, et le départ qui se traite en une minute.
Parlons de votre projet
Un audit gratuit, sans engagement : nous regardons votre présence en ligne et nous vous disons ce qui coince.