Les systèmes de gestion des accès

Le contrôle d'accès : un élément indispensable à la sécurité

Suite à la recrudescence des cambriolages, des vols, de dégradation, le contrôle d'accès devient un élément indispensable à la sécurité. D'abord utilisé dans les milieux sensibles (centre de recherche, banque, zones militaires), il est déployé dans les petites et moyennes entreprises et maintenant chez les particuliers.

Selon la situation, il peut être très basique (un simple code pour accéder partout) ou constitué d'un système très complexe (biométrie pour accéder à une zone).

Structure d'un système de contrôle d'accès

Par exemple, sur une zone contenant plusieurs bâtiments, nous aurons une structure comme suit :

• Une unité de traitement centralisé de contrôle d'accès :
  • Gère l'ensemble des unités de traitement local.
• Des unités de traitement local de contrôle d'accès :
  • Elles sont placées à chaque point d'accès,
  • Elles sont indépendantes les unes des autres.
• Une unité de traitement de supervision de contrôle d'accès :
  • Située dans un PC (Poste de Contrôle),
  • Un vigile surveille les accès.

Principe de fonctionnement

Un contrôle d'accès repose sur la surveillance et la vérification des entrées et des sorties. Il vérifie qu'une personne possède les droits afin d'accéder à une zone.

Fonctionnalités majeures

Il a deux fonctionnalités majeures :

• Filtrer les personnes et véhicules,
• Gérer les accès en fonction d'une hiérarchie (bâtiments, pièces, étages) afin d'en garder une trace, ou suite à une intrusion, analyser les failles de sécurité.

Fonctions diverses

De plus, il peut avoir diverses fonctions :

• Contrôle suivant des horaires (musée),
• Systèmes de paiement (restaurant d'entreprise, Péages),
• Gestion d'un parc automobile,
• Autres services communs à des utilisateurs.

Systèmes de contrôle d'accès selon la clientèle

Selon le type de clientèle, le système de contrôle d'accès sera plus ou moins complexe avec des technologies basiques ou de pointe.

Secteur tertiaire

Le secteur tertiaire utilise un système hiérarchisé avec différents niveaux d'accès selon l'organisation interne.

• Niveau 1 : Contrôle avec badge donnant accès à tous (immeuble)
• Niveaux 2 à 7 : Hiérarchisation des accès en fonction de l'organisation interne (salle des serveurs informatiques, archives, bureaux administratifs, ...)
• Système : Utilisation de carte ou de badge à contact (moins coûteux)

Secteur industriel

Le secteur industriel organise ses accès en trois niveaux principaux avec des technologies plus avancées.

• Niveau 1 : Gestion des accès extérieurs
• Niveau 2 : Gestion des accès intérieurs
• Niveau 3 : Gestion des accès dans des locaux à très haute sensibilité

Système utilisé :

• Identification à distance
• Utilisation de cartes ou de badges à contact ou sans contact

Sites sensibles

Les sites sensibles nécessitent les technologies les plus avancées avec de multiples niveaux hiérarchiques.

Caractéristiques : Niveaux hiérarchiques multiples

Système de sécurité :

• Code unique pour chaque personne
• Badge
• Biométrie :
  • Pupille
  • Main
  • Vocale
  • Visages, etc.

Types d'accès selon le niveau de sécurité

Selon le niveau de sécurité et le type de bâtiment à protéger, il existe des types d'accès :

• Par identification
• Par hiérarchisation

Identification

Chaque accès à des zones spécifiques est assurée par l'identification automatique des personnes ou véhicules qui transitent aux points de passages obligés. L'identification suppose alors un traitement informatique des données.

L'identifiant

L'identifiant appartient à l'usager. Il lui permet de fournir son identité automatiquement à un processeur, créant ainsi le couple « identifiant-identifieur ».

Cet identifiant peut être sous forme de badge, carte, ou autre support d'information. Le risque est que celui qui le porte n'en soit pas le propriétaire.

L'identifieur

L'identifieur peut être un lecteur ou un capteur. Il a pour fonction de décrypter l'information contenue dans l'identifiant. C'est pourquoi la technologie de l'identifiant et de l'identifieur doivent s'accorder.

Renforcement du contrôle

L'identification directe par lecteur peut être complétée par des systèmes qui renforcent le contrôle d'identité. Un système biométrique peut être ajouté, ou la demande de saisie d'un code sur un clavier.

Hiérarchisation

Principe et objectifs

La hiérarchisation permet de définir quels individus ont accès à telle zone, selon quels critères et par quel itinéraire. Ce principe de raisonnement permet d'obtenir un bon système de contrôle d'accès car il permet à l'entreprise de caractériser son système en définissant une série de règles, d'organiser le fonctionnement de l'ensemble, de réguler les flux, de gérer les accès et de prendre des décisions d'interventions efficaces.

Classification des individus

Dans ce système, les individus sont classés par groupes auxquels seront attachées des conditions d'accès strictes et communes.

Par conditions d'accès, il faut entendre ce qui relève du droit d'accès : tel groupe est habilité à telle zone en fonction de tel besoin identifié et caractérisé, dans telle tranche horaire, permanente ou momentanée.

Zonage et restriction d'accès

De l'extérieur de l'entreprise jusqu'à son cœur sensible, il faut définir un ensemble de zone : plus on se rapproche du cœur, plus l'accès est limité et restrictif.

Logique de contrôle

Pour le personnel de l'entreprise, le contrôle d'accès réagit sur la base d'un raisonnement « oui, si... » ; pour les personnes extérieures, le contrôle d'accès réagit sur la base d'un raisonnement « non, mais... ».

Mise en œuvre technique

Ce type de contrôle implique de s'imposer des frontières étanches, de définir et de matérialiser les points de contrôle et d'identification.

Le contrôle d'accès doit donc savoir lire des informations en vue de l'identification des personnes, les comparer par rapport à une base de données référentielles pour :

• Opérer (décider puis agir),
• Alarmer (signaler l'accès ou la tentative d'accès refusée),
• Mémoriser (conserver un historique).

Magnétisme

Ce type de technologie se présente sous forme de cartes magnétiques :

Carte à piste magnétique

Cette carte possède une bande magnétique noire. Elle contient des informations numérisées et présente un faible coût avec une bonne compatibilité avec beaucoup de systèmes.

Carte à induction

Cette technologie est de moins en moins utilisée. Elle est constituée d'aimants qui, en fonction de l'orientation, forment des valeurs binaires (0 ou 1).

Carte à effet Wiegand

Elle est constituée d'un poste magnétique incorporant des fils métalliques torsadés.

Carte magnétique Watermark

Cette carte est composée de deux pistes magnétiques superposées encodables. Elle présente l'avantage d'être non reproductible et infalsifiable.

Autres technologies

Puce

La puce est constituée d'un circuit intégré avec une mémoire (REPROM ou PROM) ou d'un microprocesseur. Elle permet le stockage d'informations très sécurisées et son contenu est modifiable.

Code-barre

Le code-barre est constitué de barres claires ou sombres avec des largeurs variables.

Radio

Cette technologie utilise une étiquette radio utilisée surtout sur les vêtements. Lorsqu'elle traverse un champ magnétique, elle est alors alimentée et permet au lecteur de lire l'identification (système passif). Cette technologie peut également être alimentée avec une pile (système actif).

La perforation

Le badge est constitué d'une grille de perforations constituant un code. Une fois inséré dans un boîtier, des LEDs s'allument et de l'autre côté des récepteurs analysent la lumière filtrante.

Les lecteurs et leur alimentation

Tout lecteur (ou identifiant) a besoin, pour fonctionner, d'une alimentation.

Types de lecteurs selon leur intelligence

Lorsque leur intelligence (numéros de badges, codes, commandes d'ouverture de la gâche, etc.) est incorporée, ils sont autonomes  car ils décident en effet d'ouvrir et de commander l'ouverture.

En revanche, lorsque l'intelligence est déportée sur un ordinateur, ils ne sont pas autonomes, ils sont alors centralisés.

Les lecteurs autonomes

Ces lecteurs présentent les caractéristiques suivantes :

• Ils ne gèrent qu'une porte ou qu'un accès.
• En cas de panne un accès est pénalisé.

Les lecteurs centralisés

Ces systèmes offrent plusieurs avantages :

• Leur avantage est d'avoir une grande souplesse du fait de leur lien avec une unité centrale.
• L'entreprise centralise alors la programmation de l'ensemble des contrôles en un même point (Poste de Contrôle).
• Ce système permet de n'avoir qu'une seule source d'information et de connaître à tout instant l'état de l'installation.

Lecteurs téléchargés

Cette solution hybride présente des caractéristiques particulières :

• Utilisés sur des grandes distances.
• Les lecteurs sont reliés à une centrale mais ils restent autonomes.
• Ils téléchargent les fichiers d'identification depuis l'unité centrale et peuvent ensuite fonctionner en autonomie même en cas de panne sur l'unité centrale.

Le verrouillage en contrôle d'accès

Le verrouillage est dépendant des équipements mis en place. Il doit être fonction du niveau de sécurité souhaité (solidité, ...).

Types de verrouillage

Il se présente sous différents types :

Gâche électrique à émission ou rupture

Elle permet le verrouillage ou le déverrouillage d'une serrure et sécurise davantage le lieu et facilite l'accès.

• Gâche à émission : permet l'ouverture de la porte par alimentation de celle-ci, elle est installée pour la sécurité des biens.
• Gâche de rupture : déverrouille la porte en cas de rupture de courant et permet l'évacuation d'urgence.

Ventouse électromagnétique avec boîtier bris de glace

Elle remplace une gâche électrique à rupture pour assurer le verrouillage d'une porte, le boîtier bris de glace permet le déverrouillage d'urgence.

Tourniquet ou tripode

Permet le passage d'un usager unique. Il permet notamment le comptage et l'utilisation de l'anti-passback.

Barrière levante ou portail motorisé

Permettent de contrôler l'accès des véhicules légers et poids lourds.

Terminologies du contrôle d'accès

Les principales terminologies utilisées par la profession pour définir les procédures propres au contrôle d'accès sont les suivantes :

Validation

Badge validé dont le numéro correspond à un identifiant dans la base de données.

Numéro de lecteur

Un badge sera autorisé ou non à franchir une porte reconnue par le numéro du lecteur qui lui est attaché.

Zone de temps

Contraintes horaires : Le badge doit être présenté sur un certain créneau horaire prédéfini.

Statut ou profil

Ensemble d'autorisations. Les usagers ayant les mêmes droits auront le même profil.

Décompte

Un badge peut être utilisé un certain nombre de fois.

Anti-pass-back ou anti-retour

C'est la caractéristique pour un badge de ne pas pouvoir franchir deux fois de suite un lecteur.

Recyclage temporisé

C'est l'impossibilité pour un badge de franchir deux fois de suite un même type de lecteur dans un temps donné.

Cheminement

Tel badge passé au lecteur de type A doit se présenter, dans un délai donné, sur un lecteur de type B puis de type C.

Télécommandes

Depuis l'unité centrale, on peut donner un ordre qui, le plus souvent, sera reçu par un lecteur pour décondamner une porte, soit pour un passage, soit pour un laps de temps.

Système anti-panique.

Mise en place d'un système de contrôle d'accès

Lors de la mise en place d'un système de contrôle d'accès, il est fortement recommandé de tenir compte des préconisations des commissions de sécurité, des forces de l'ordre, des pompiers et des organismes certifiés tel que l'APAVE, SOCOTEC, ...

Données personnelles collectées

Lors de la mise en place d'un contrôleur d'accès, des données concernant le personnel vont être stockées dans une base de données :

• Nom,
• Prénom,
• Date de naissance,
• Email, numéro de téléphone,
• Caractéristique physique (biométrie),
• ...

Toutes ses données sont personnelles et sensibles. L'entreprise ne peut les obtenir sans le consentement de la personne.

Obligations légales avant installation

Avant toute installation, l'entreprise se doit d'en avertir le Comité d'Hygiène et de Sécurité (CHSCT), l'Inspection du travail et le Comité d'Entreprise (CE), et de justifier la nécessité d'un contrôle d'accès.

Évolution réglementaire : de la CNIL au RGPD

Auparavant, il fallait obtenir l'accord de la Commission Nationale de l'Informatique et des Liberté (CNIL). Aujourd'hui, ce n'est plus le cas. En effet une nouvelle norme a été mise en place : la RGPD (Règlement Européen sur la Protection des Données).

Responsabilités de l'entreprise

Chaque entreprise devient responsable des données qu'elle stocke. Elle doit être capable de les tracer (comment elle sont obtenues, comment elles sont traitées, où elles sont stockées, comment elles sont sécurisées, ...).

Droits du personnel

Chaque personnel ayant des données enregistrées dans l'entreprise est en droit de les consulter, de les modifier ou de les supprimer.