Sécurité physique et cyber : un enjeu crucial

Sécurité physique et cyber : l’angle mort que personne ne veut regarder en face

On investit des millions en firewalls, en EDR, en formations anti-phishing, et on laisse la porte du datacenter ouverte à quiconque possède un badge acheté dix euros sur un forum. C’est grossier dit comme ça, mais c’est exactement ce qui se passe dans des centaines d’entreprises françaises en ce moment. La sécurité physique et cyber : l’angle mort de la stratégie de protection des organisations, c’est précisément cette fracture entre deux mondes qui se regardent en chiens de faïence sans jamais vraiment collaborer. D’un côté, les équipes IT qui blindent les réseaux. De l’autre, les équipes sûreté qui gèrent les badges, les caméras et les portiques. Et entre les deux, un vide béant que n’importe quel attaquant motivé peut traverser sans transpirer.

Cet article n’est pas là pour vous faire peur. Il est là pour vous montrer concrètement pourquoi cette séparation est dangereuse, ce qu’elle coûte en pratique, et comment commencer à y remédier, que vous soyez DSI, responsable sécurité ou simplement quelqu’un qui s’intéresse à la protection des systèmes d’information.

Quand un badge clonable suffit à ruiner des années de cybersécurité

Imaginez que vous ayez passé deux ans à construire une maison ultra-sécurisée : alarme connectée, caméras infrarouges, serrures biométriques. Mais la clé de la porte de service, vous l’avez laissée traîner sous le paillasson. C’est exactement le paradoxe auquel font face la plupart des organisations aujourd’hui.

Lors d’un événement professionnel à Paris, Clara Bardou, représentante de HID, une référence mondiale dans les solutions d’identité et de contrôle d’accès, a mis les pieds dans le plat. Selon elle, le contrôle d’accès physique est un angle mort stratégique pour les entreprises : les systèmes encore en place dans de nombreuses structures ont été installés il y a dix à quinze ans, avec des technologies qui étaient déjà dépassées à leur mise en service. Résultat concret : des badges à technologie RFID basse fréquence, clonables en quelques secondes avec du matériel vendu librement en ligne pour moins de cinquante euros.

Ce n’est pas de la science-fiction. Des chercheurs en sécurité reproduisent régulièrement ces attaques dans des démonstrations publiques. Un attaquant se place à proximité d’un employé dans un couloir, dans un ascenseur ou dans un café voisin des locaux, lit silencieusement les données du badge, les copie sur une carte vierge, et se présente au contrôle d’accès une heure plus tard. Le système ne voit rien d’anormal : il reconnaît le bon identifiant.

La technologie existe pour contrer cela : les cartes à haute fréquence avec chiffrement, les solutions de vérification multi-facteurs à l’entrée, les accès contextuels qui prennent en compte l’heure, le lieu ou le comportement habituel de l’utilisateur. Mais ces solutions demandent un investissement, une migration, et surtout une volonté politique de prendre le sujet au sérieux.

Les scénarios d’attaque que vos outils cyber ne voient pas venir

Pour comprendre pourquoi cette convergence est critique, il faut visualiser ce qu’un accès physique non contrôlé permet réellement. Les scénarios sont nombreux, souvent simples, et leurs conséquences peuvent être dévastatrices.

• Le branchement de clé USB malveillante : un attaquant qui accède physiquement à un bureau non surveillé branche une clé USB contenant un malware. En quelques secondes, il a installé un accès persistant à votre réseau interne. Votre firewall n’a rien bloqué parce que l’attaque est venue de l’intérieur.
• Le vol de matériel : un laptop non chiffré, un disque dur externe mal rangé, un téléphone professionnel laissé sur un bureau. Chacun de ces équipements peut contenir des données sensibles, des identifiants de connexion, voire des certificats d’authentification.
• La manipulation de l’infrastructure réseau : accéder à une salle serveur, même brièvement, permet de connecter un équipement espion, de déconnecter des câbles pour provoquer une interruption de service, ou de récupérer des informations sur la topologie du réseau.
• L’ingénierie sociale physique : se faire passer pour un technicien de maintenance, un livreur ou un consultant externe reste l’une des méthodes les plus efficaces pour accéder à des zones sensibles. Sans contrôle d’accès rigoureux, personne ne pose de questions.
• L’interception de communications : dans certains environnements, l’accès à une salle de réunion ou à un espace de travail permet d’installer des dispositifs d’écoute discrets.

Comme le souligne OCI dans son analyse sur la sécurité physique oubliée de la cybersécurité, ces vecteurs d’attaque permettent littéralement de court-circuiter des années d’investissement en cybersécurité logicielle. Le problème n’est pas que les outils cyber sont mauvais. C’est qu’ils sont conçus pour surveiller un périmètre numérique, pas pour détecter quelqu’un qui se promène dans vos couloirs avec de mauvaises intentions.

NIS2 : quand la réglementation force enfin la convergence

Pendant longtemps, l’absence de cadre réglementaire clair a permis à de nombreuses organisations de remettre à plus tard la question de la sécurité physique. Cette ère touche à sa fin.

La directive européenne NIS2 (Network and Information Security 2), dont la transposition en droit français est en cours, change radicalement la donne. Elle élargit considérablement le périmètre des entités concernées, en passant de quelques centaines d’opérateurs critiques à plusieurs milliers d’organisations dans des secteurs variés : énergie, transport, santé, eau, infrastructures numériques, services financiers, et bien d’autres.

Ce qui est nouveau et important, c’est que NIS2 ne se limite pas à exiger des mesures de cybersécurité au sens logiciel du terme. Elle impose une approche globale de gestion des risques qui inclut explicitement la sécurité physique des locaux, des équipements et des systèmes d’information. En d’autres termes, un audit de conformité NIS2 pourra examiner vos contrôles d’accès aux salles serveurs, vos procédures de gestion des visiteurs, ou encore la sécurisation de vos équipements mobiles.

Les conséquences pour les entreprises non conformes sont loin d’être anodines. On parle de sanctions financières significatives, mais aussi d’un impact potentiel sur les relations commerciales : certains donneurs d’ordre pourraient exiger des preuves de conformité NIS2 de la part de leurs fournisseurs et prestataires, au même titre qu’une certification ISO 27001. Ne pas être en règle pourrait tout simplement signifier perdre des contrats.

La réglementation joue ici un rôle de révélateur. Elle force les organisations à regarder en face ce qu’elles avaient tendance à ignorer. Mais idéalement, on n’attendrait pas une obligation légale pour protéger ses systèmes de façon cohérente.

Pourquoi les deux équipes ne se parlent pas, et comment changer ça

Si le problème est identifié depuis des années, pourquoi persiste-t-il ? La réponse est à la fois culturelle, organisationnelle et budgétaire.

Dans la plupart des grandes entreprises, la sécurité physique relève de la direction des services généraux, de la sûreté ou des ressources humaines. La cybersécurité, elle, est pilotée par la DSI ou par une équipe dédiée RSSI. Ces deux entités ont des budgets séparés, des outils différents, des référentiels distincts, et souvent une méconnaissance mutuelle de leurs contraintes respectives.

Un responsable sécurité physique ne sait généralement pas ce qu’est une attaque par pivot réseau. Un analyste SOC ne sait pas toujours quelles zones de l’entreprise sont accessibles à quels profils de badge. Cette ignorance réciproque crée exactement le type de faille que les attaquants cherchent à exploiter.

Les pistes pour commencer à changer les choses sont connues, même si leur mise en oeuvre demande de la volonté :

1. Créer des instances de pilotage communes entre les équipes sécurité physique et cybersécurité, avec des réunions régulières et des objectifs partagés.
2. Unifier la gestion des identités en connectant les référentiels d’identité numérique (Active Directory, solutions IAM) aux systèmes de contrôle d’accès physique. Un départ d’employé devrait déclencher simultanément la désactivation de son badge et de ses accès informatiques.
3. Mener des audits croisés qui examinent à la fois les failles logiques et les failles physiques, de façon coordonnée.
4. Former les équipes à la compréhension des enjeux de l’autre discipline, même de façon basique.
5. Intégrer la sécurité physique dans les exercices de crise et les tests de pénétration, en autorisant des scénarios d’intrusion physique dans le cadre des red team exercises.

Cette convergence n’est pas une option de luxe réservée aux grandes organisations. Comprendre la sécurité physique dans la cybersécurité est désormais un impératif pour toute structure qui héberge des données sensibles, quel que soit sa taille.

Gestion des identités : le pont naturel entre les deux mondes

Si on cherche un point d’entrée concret pour commencer à réconcilier sécurité physique et cybersécurité, la gestion des identités est sans doute le meilleur candidat. C’est là que les deux domaines se rejoignent de la façon la plus naturelle et la plus immédiate.

Une statistique éclaire bien l’enjeu : selon plusieurs études récentes, 73 % des professionnels de la sécurité considèrent la gestion des identités comme une priorité absolue. Ce chiffre reflète une prise de conscience croissante : contrôler qui accède à quoi, que ce soit à un serveur ou à une salle technique, relève du même problème fondamental.

Les solutions modernes de gestion unifiée des identités et des accès (IAM, pour Identity and Access Management) permettent aujourd’hui de gérer dans un seul référentiel les droits d’accès logiques et physiques d’un utilisateur. Concrètement, cela signifie que :

• Lorsqu’un nouvel employé arrive, ses accès numériques et son badge sont créés simultanément, selon son profil et ses responsabilités.
• Lorsqu’il change de poste, ses droits sont automatiquement mis à jour dans les deux domaines.
• Lorsqu’il quitte l’entreprise, tout est révoqué en même temps, sans risque d’oubli.
• En cas de comportement suspect, une alerte croisée peut être générée : quelqu’un qui se connecte au VPN depuis l’étranger alors que son badge a été badgé au siège une heure plus tôt, c’est un signal d’anomalie fort.

Ce type de corrélation entre données physiques et données numériques est au coeur de ce que certains appellent la sécurité convergente. Elle ne remplace pas les solutions spécialisées, mais elle crée une cohérence globale qui rend l’ensemble du système beaucoup plus robuste.

Ce que ça change concrètement pour une organisation qui se lance

Adopter une posture de sécurité convergente ne signifie pas tout refaire du jour au lendemain. Cela commence par quelques constats honnêtes et quelques actions ciblées.

La première étape est souvent la plus difficile : faire l’état des lieux. Quels sont les systèmes de contrôle d’accès en place ? Depuis combien de temps ? Quelle technologie utilisent-ils ? Sont-ils connectés à votre annuaire d’entreprise, ou fonctionnent-ils de façon complètement autonome ? Qui a accès à quelles zones, et ces droits sont-ils régulièrement revus ? Ces questions semblent basiques, mais beaucoup d’organisations seraient incapables d’y répondre précisément aujourd’hui.

Ensuite vient la cartographie des risques. Toutes les zones de l’entreprise ne se valent pas. Une salle serveur, un local technique télécom, un espace R&D ou un bureau de direction n’ont pas le même niveau de sensibilité qu’un open space ou une salle de réunion. Il faut prioriser les efforts en fonction de l’impact potentiel d’une intrusion.

La question du budget est souvent avancée comme frein. Elle est légitime, mais elle mérite d’être relativisée. Comme le rappelle cette analyse sur la cybersécurité et la sécurité physique comme angle mort critique, le coût d’un incident, qu’il s’agisse d’un vol de données, d’une interruption de service ou d’une atteinte à la réputation, dépasse largement le coût de mesures préventives raisonnables. La migration vers des badges à technologie moderne, la mise en place d’une procédure de révocation synchronisée des accès, ou la réalisation d’un audit de sécurité physique sont des investissements accessibles, même pour des structures de taille intermédiaire.

Enfin, il ne faut pas sous-estimer la dimension humaine et culturelle. La sécurité physique est souvent perçue comme une contrainte par les collaborateurs : badges oubliés, portes maintenues ouvertes par commodité, visiteurs accompagnés de façon trop informelle. Sensibiliser les équipes, expliquer les enjeux sans tomber dans la paranoïa ou l’autoritarisme, et créer des réflexes simples font partie du travail de fond. Une politique de sécurité que personne ne respecte parce qu’elle est trop contraignante ou mal comprise ne vaut pas grand chose.

Arrêtons de traiter la sécurité en silos

Le message de fond de tout ce qui précède est simple : la sécurité ne peut plus être pensée en compartiments étanches. La frontière entre le monde physique et le monde numérique s’est dissoute depuis longtemps. Nos bâtiments sont remplis d’équipements connectés, nos accès réseau peuvent être compromis depuis un couloir, et nos données les plus sensibles transitent par des machines accessibles à qui sait forcer une porte.

La sécurité physique et cyber, abordée comme un angle mort à combler plutôt que comme deux disciplines à entretenir séparément, est le prochain chantier structurant pour les équipes de sécurité sérieuses. NIS2 va accélérer les prises de conscience, mais les organisations qui n’attendront pas la contrainte réglementaire pour agir auront une longueur d’avance, en termes de maturité, de résilience et de crédibilité.

Chez L’Erreur 200, on défend depuis longtemps l’idée que la souveraineté numérique commence par une maîtrise réelle de ses systèmes : qui y a accès, comment, et dans quelles conditions. Cette maîtrise ne peut pas s’arrêter à l’interface de connexion. Elle commence à la porte d’entrée, au sens le plus littéral du terme.

La bonne nouvelle, c’est que les outils existent, les bonnes pratiques sont documentées, et la prise de conscience progresse. Il ne manque souvent qu’une chose : la volonté de ne plus ignorer ce qu’on sait pertinemment être une faille.