Thème physique : zones sécurisées, salles, équipements
Appliquer les 14 mesures physiques de l'Annexe A à la protection des zones sécurisées d'un data center.
À retenir
- Le thème physique compte 14 mesures et couvre directement le cœur d'activité d'un data center.
- La défense en profondeur s'applique aux zones physiques comme aux systèmes informatiques.
- Les tests réguliers des équipements de secours sont des preuves d'audit très valorisées.
- L'effacement sécurisé des supports en fin de vie doit être tracé.
Un thème central pour un exploitant de datacenter
Le thème physique compte 14 mesures et constitue le cœur métier d'un exploitant de datacenter : périmètres de sécurité, contrôle des accès physiques, protection contre les menaces environnementales, sécurité du câblage et des équipements. Contrairement à d'autres organismes pour lesquels ce thème reste secondaire, il est ici directement lié à l'activité principale.
Zones sécurisées et contrôle d'accès
La norme demande de définir des périmètres physiques adaptés au niveau de sensibilité (accueil, zones techniques, salles serveurs) et de contrôler les accès à chaque niveau, avec traçabilité. Une salle serveur doit être distinguée des zones communes par des barrières physiques et un contrôle d'accès renforcé.
Point clé
le principe de défense en profondeur s'applique physiquement : plusieurs niveaux de contrôle successifs limitent l'impact d'une défaillance sur un seul point d'accès.
| Exigence | Preuve attendue en audit |
|---|---|
| Zones sécurisées définies | Plan des zones avec niveaux de sensibilité |
| Contrôle des accès physiques | Registre des badges, journaux d'accès, revue périodique des droits |
| Surveillance des visiteurs et prestataires | Registre des visites, accompagnement obligatoire |
Attention
une non-conformité classique est l'absence de revue périodique des droits d'accès physiques, alors même que le registre d'accès existe : disposer d'un journal ne suffit pas si personne ne vérifie que les droits accordés restent justifiés.
Protection contre les menaces environnementales
Incendie, dégât des eaux, coupure électrique, température : ces menaces sont centrales pour la disponibilité d'un data center. Les mesures physiques demandent des équipements de détection et d'extinction adaptés, une alimentation électrique redondante et une surveillance climatique continue.
Sur le terrain
les tests réguliers des groupes électrogènes et des systèmes de détection incendie constituent des preuves concrètes très recherchées par les auditeurs, bien plus qu'une simple fiche technique du matériel installé.
Câblage, équipements et supports
La sécurité du câblage (protection contre l'interception ou les dommages), la maintenance des équipements et l'effacement sécurisé du matériel en fin de vie (disques, supports de sauvegarde) complètent ce thème. Le bureau propre et l'écran verrouillé, bien que simples, restent des mesures fréquemment vérifiées lors des visites d'audit en salle de contrôle.
Astuce
formalisez une procédure d'effacement ou de destruction certifiée des supports contenant des données clients avant toute mise au rebut ou retour de matériel loué, avec un registre de traçabilité daté.
Erreurs fréquentes
- Registre d'accès existant mais jamais exploité pour une revue périodique des droits.
- Tests des équipements de secours (groupe électrogène, extinction) non documentés ou trop espacés.
- Absence de traçabilité sur la destruction des supports de stockage en fin de vie.