Le contrôle d'accès signifie que vous pouvez démontrer qui a accès à quels systèmes, espaces ou données, et que cet accès est révoqué dès qu'une personne n'en a plus besoin. Pour une entreprise d'installation, cela va au-delà d'une politique de mot de passe au bureau : il s'agit aussi des clés des locaux des clients, des badges pour les salles techniques, et de l'accès à distance aux systèmes de gestion des bâtiments que vos techniciens entretiennent.
La raison pour laquelle ce sujet revient constamment dans les questionnaires de sécurité est simple : un technicien qui peut se connecter sans mot de passe à un régulateur de chauffage, ou un ancien employé qui peut toujours accéder avec une clé à une salle serveur, est exactement le type de risque auquel un client qui a une obligation de diligence doit faire attention. Celui qui répond à cette question en haussant les épaules perd un contrat plus vite que celui qui peut donner une réponse courte et honnête.
Deux types d'accès, un seul registre
Dans une entreprise d'installation, deux mondes s'entrecroisent. D'un côté, il y a l'accès à vos propres systèmes : l'administration, le logiciel de planification, la boîte aux lettres. De l'autre côté, il y a l'accès physique et numérique chez le client : clés, codes d'alarme, connexions VPN à un système de gestion des bâtiments, comptes de connexion à un régulateur climatique géré à distance.
Les deux relèvent de la même question : qui y a accès, et pourquoi. Un registre vivant dans lequel figure pour chaque système ou trousseau de clés qui a accès, depuis quand, et qui a approuvé cela, suffit généralement à la plupart des entreprises d'installation pour répondre à cette question. Il n'est pas nécessaire que ce soit un système compliqué ; un aperçu exact que vous pouvez montrer pèse plus qu'une politique élaborée que personne ne respecte.
Clés et badges : la partie oubliée du contrôle d'accès
Beaucoup d'entreprises d'installation pensent immédiatement aux identifiants de connexion lorsqu'ils pensent au contrôle d'accès, et oublient l'aspect physique. Les trousseaux de clés des locaux des clients, les badges pour les salles techniques et les codes des systèmes d'alarme sont tout aussi bien de l'accès qu'un mot de passe, et méritent la même discipline : documenter qui a quelle clé, quand elle a été distribuée, et un moment fixe auquel elle sera demandée ou révoquée.
Cela ne devient souvent visible que lorsque cela tourne mal : un technicien qui quitte le service mais a encore un trousseau de clés de trois clients dans sa voiture, ou un sous-traitant qui peut toujours se connecter à un compte administrateur après la fin d'un projet. Un client qui vous pose cette question via un questionnaire de sécurité veut surtout savoir si vous atténuez structurellement ce genre de situations, non pas si quelque chose s'est mal passé une fois.
Accès à distance aux systèmes chez le client
Les entreprises d'installation qui surveillent ou interviennent à distance sur les systèmes du client, par exemple pour diagnostiquer des pannes sur une installation climatique ou un système de gestion de l'énergie, ont souvent besoin de leur propre chemin d'accès : un VPN, une connexion de bureau à distance, ou une plateforme propriétaire du fournisseur. Ce chemin d'accès est exactement le type de lien auquel un client ayant une obligation de diligence fait attention, car une faiblesse chez vous peut se traduire directement par un risque chez lui.
Les questions qui reviennent souvent à ce sujet portent sur la vérification multifactorielle sur cet accès à distance, sur qui gère les comptes, et sur ce qui se passe si un ordinateur portable disposant de cet accès est volé. Il n'est pas nécessaire d'avoir une réponse technique détaillée à chaque question ; il est nécessaire de savoir qui dans votre organisation accorde et révoque ce type d'accès, et de le documenter quelque part.
Comment cela s'inscrit dans le tableau d'ensemble
Le contrôle d'accès est l'une des mesures relevant de l'obligation de diligence, et cette obligation de diligence ne s'applique généralement pas directement aux entreprises d'installation puisqu'elles sont elles-mêmes soumises à la loi, mais parce qu'un client qui l'est leur en demande des comptes. Celui qui ne sait pas encore si cela s'applique à sa propre situation peut le vérifier en quelques questions. Pour celui qui a déjà reçu cette demande et souhaite savoir comment le contrôle d'accès s'articule avec les neuf autres mesures, une vue d'ensemble complète est disponible par sujet traité en détail.
Il n'appartient pas à un fournisseur d'une plateforme comme secria.eu de déterminer ce qui est suffisant dans votre cas spécifique; cela reste une évaluation qui relève de vous-même ou, en cas de doute, d'un avocat ou de l'autorité de contrôle compétente. Ce qui est possible en revanche: tenir à jour un inventaire honnête et à jour de qui peut accéder où, afin qu'un questionnaire de sécurité ne soit plus une surprise mais un formulaire que vous pouvez remplir en quelques minutes. Des informations supplémentaires sur la manière dont un tel inventaire est constitué dans la pratique sont disponibles sur la page qui montre d'où proviennent les informations du dossier.
Vous souhaitez d'abord vérifier si ce sujet est pertinent pour votre organisation et ce qu'un dossier contient exactement pour cela? Effectuez l'analyse rapide gratuite ou parcourez les sujets; les deux sont consultables sans compte et fournissent une réponse concrète immédiate.