Thème humain : recrutement, sensibilisation, départ
Sécuriser le cycle de vie des collaborateurs et prestataires, du recrutement au départ, sur un site sensible.
À retenir
- Le thème humain compte 8 mesures couvrant tout le cycle de vie du personnel et des prestataires.
- La sensibilisation doit être adaptée aux rôles, notamment pour les équipes d'exploitation en salle.
- La révocation rapide des accès physiques et logiques au départ est une preuve d'audit très surveillée.
- Un processus RH-sécurité unique limite le risque d'oubli lors des départs.
Un thème court mais critique
Le thème humain ne compte que 8 mesures, mais elles couvrent l'ensemble du cycle de vie du personnel : avant l'embauche, pendant, et lors du départ. Sur un site data center, où l'accès physique aux salles est aussi sensible que l'accès logique aux systèmes, ces mesures s'appliquent autant aux salariés qu'aux prestataires réguliers (maintenance, nettoyage des zones techniques).
Avant l'embauche
Les vérifications préalables (antécédents, dans les limites permises par la réglementation locale) et la clarification des responsabilités en matière de sécurité dès le contrat de travail permettent de poser un cadre clair avant l'arrivée d'une personne dans des zones sensibles.
Point clé
pour les postes ayant accès aux salles techniques ou aux systèmes de supervision, le niveau de vérification doit être proportionné au risque, ce qui suppose une classification préalable des postes sensibles.
Pendant l'emploi
La sensibilisation à la sécurité de l'information doit être régulière et adaptée aux publics : un technicien d'exploitation en salle n'a pas les mêmes réflexes à acquérir qu'un administrateur système. Un processus disciplinaire formalisé doit aussi exister en cas de manquement avéré.
| Exigence | Preuve attendue en audit |
|---|---|
| Sensibilisation adaptée aux rôles | Support de formation différencié, registre de présence |
| Processus disciplinaire | Procédure RH documentée et connue |
| Travail à distance encadré | Politique dédiée si des accès à distance existent |
Attention
une session de sensibilisation générique, identique pour tous les postes, ne permet pas de démontrer une prise en compte des risques spécifiques aux équipes ayant accès aux salles techniques.
Lors du départ ou du changement de poste
La révocation des accès physiques et logiques doit être rapide et tracée lors d'un départ ou d'un changement de fonction. C'est l'une des mesures les plus vérifiées en audit, car un badge ou un compte actif après un départ constitue une non-conformité facilement détectable.
Sur le terrain
croisez régulièrement la liste des badges actifs avec le registre RH des départs et mutations ; un écart, même ponctuel, est révélateur d'un processus de révocation mal outillé.
Astuce
intégrez la révocation des accès physiques et logiques dans la même checklist de départ, gérée par un seul processus RH-sécurité, pour éviter qu'un accès soit oublié faute de coordination entre services.
Erreurs fréquentes
- Vérifications préalables non proportionnées au niveau de sensibilité du poste.
- Sensibilisation identique pour tous les métiers, sans adaptation aux risques réels.
- Délai trop long entre le départ effectif d'une personne et la révocation de ses accès physiques.