Mises en situation et quiz
Appliquer les procédures de sécurité physique à des scénarios concrets rencontrés en exploitation de data center.
À retenir
- Aucune fonction ne dispense de l'identification et de l'escorte en zone technique.
- La familiarité avec un prestataire ne remplace jamais la vérification et la traçabilité.
- Les modes dégradés du contrôle d'accès doivent être anticipés et testés, pas improvisés.
- Des exercices de type intrusion physique permettent de vérifier l'application réelle des procédures.
Réagir à une personne non identifiée en salle
Découvrir une personne sans badge visible dans un couloir technique est un scénario que toute équipe d'exploitation doit savoir traiter sans improviser. La procédure standard prévoit d'interpeller poliment mais fermement la personne, de demander son identification et son motif de présence, de contacter immédiatement le poste de sécurité ou l'accueil, et de ne jamais laisser la personne seule tant que son identité n'est pas vérifiée.
Point clé
aucune fonction hiérarchique ne dispense de cette vérification ; un dirigeant de l'entreprise doit lui aussi badger et respecter l'escorte comme tout visiteur externe présent hors de son périmètre habituel.
Scénario : le prestataire pressé
Un technicien de maintenance climatisation, déjà venu plusieurs fois, se présente sans rendez-vous annoncé et insiste pour intervenir rapidement sur une alarme. La tentation est grande de le laisser entrer « parce qu'on le connaît ». La procédure impose pourtant de vérifier l'ordre de mission, de l'enregistrer au registre, et de désigner un accompagnateur — la familiarité ne remplace jamais la traçabilité.
Attention
l'ingénierie sociale exploite précisément la confiance acquise par des visites répétées ; un faux technicien peut se présenter plusieurs fois avant de tenter une intrusion réelle, une fois la vigilance de l'équipe relâchée.
Scénario : la panne du lecteur biométrique
Si un lecteur biométrique tombe en panne sur une porte critique, la procédure de secours doit être définie à l'avance (double validation par un agent de sécurité et vérification d'identité manuelle), et non improvisée sous pression opérationnelle. Un mode dégradé non préparé est souvent le moment choisi par un attaquant opportuniste pour tenter un passage.
Sur le terrain
documentez et testez régulièrement les procédures de mode dégradé (panne électrique, panne réseau du contrôle d'accès) au même titre que les tests de bascule électrique ; un contrôle d'accès qui « fail open » (s'ouvre par défaut en cas de coupure) doit être justifié et compensé par une présence humaine renforcée.
Auto-évaluation avant le quiz
Avant de passer au quiz, assurez-vous de savoir répondre à trois questions : quelles zones de votre site nécessitent une biométrie et pourquoi ? Quelle est la durée de conservation des images de vidéoprotection sur votre site ? Que faites-vous, précisément et sans délai, en présence d'une personne non identifiée en zone technique ?
Astuce
organisez un exercice de type « red team physique » une fois par an avec un prestataire externe : c'est le moyen le plus fiable de mesurer si les procédures écrites sont réellement appliquées sur le terrain, au-delà de la théorie.