Escorte, registre et vidéoprotection
Maîtriser les procédures d'accompagnement des visiteurs, la tenue des registres d'accès et les règles de conservation de la vidéoprotection.
À retenir
- L'escorte des visiteurs doit être continue et sans interruption en zone technique.
- Le registre d'accès est une preuve clé lors des audits et des investigations d'incident.
- La durée de conservation de la vidéoprotection doit être proportionnée et documentée (RGPD).
- Les zones de livraison doivent être physiquement séparées de la salle informatique.
L'escorte des visiteurs, une procédure sans exception
Tout visiteur externe — prestataire, auditeur, client en visite commerciale — doit être identifié, enregistré et accompagné en permanence dans les zones techniques par une personne habilitée du site. Cette escorte n'est pas une formalité de courtoisie : elle garantit qu'aucune action non tracée n'est réalisée en salle (branchement d'un équipement, photographie, prise de notes sensibles).
Point clé
l'escorte doit être continue, y compris lors des pauses ; un visiteur laissé seul « cinq minutes » en couloir technique est une rupture de la chaîne de traçabilité aussi grave qu'un accès non autorisé.
Le registre d'accès
Chaque entrée en zone technique doit être consignée : identité, société, motif de la visite, personne accompagnatrice, heure d'entrée et de sortie. Ce registre, papier ou numérique, constitue une preuve exploitable en cas d'incident et un élément de conformité attendu lors des audits ISO/IEC 27001 (contrôle A.7 des accès physiques) ou des audits clients hébergés sur le site. Le registre doit être conservé selon une durée définie par la politique du site, généralement alignée sur les exigences contractuelles et réglementaires.
Sur le terrain
en cas d'incident de sécurité, la première question posée par les enquêteurs porte quasi systématiquement sur le registre d'accès des dernières 48 heures ; un registre incomplet ou mal tenu retarde considérablement l'investigation.
Vidéoprotection et durées de conservation
La vidéoprotection couvre le périmètre, les accès, les couloirs techniques et la salle informatique. En droit français, la durée de conservation des images doit être proportionnée à la finalité et ne peut, sauf procédure judiciaire en cours, dépasser un mois — la CNIL recommande une conservation de quelques jours à un mois maximum pour un usage de sécurité classique. Une information claire doit être affichée sur site et un registre des traitements tenu.
Attention
conserver des enregistrements de vidéoprotection au-delà de la durée annoncée, sans base légale précise, constitue un manquement RGPD susceptible de sanction par la CNIL, indépendamment de la qualité du dispositif de sécurité lui-même.
Contrôle des livraisons et sorties de matériel
Les zones de quai de livraison doivent être physiquement séparées des zones informatiques, avec un sas dédié et une vérification systématique du contenu des colis avant introduction en salle. À la sortie, tout matériel (disque, serveur, équipement réseau) doit faire l'objet d'un bon de sortie signé, afin d'éviter l'exfiltration de données ou de matériel sensible sous couvert d'une opération de maintenance légitime.
Astuce
mettez en place une checklist commune quai-réception/salle informatique : elle évite les oublis lors des pics d'activité (déménagement, remplacement de baie complète) où le contrôle est le plus souvent relâché par manque de temps.