Contrôle d'accès
Systèmes de contrôle d'accès, en profondeur
Le guide définitif pour apprendre à choisir, acheter et installer la meilleure solution de contrôle d'accès pour votre entreprise.
Découvrez Raixer
Qu'est-ce que le contrôle d'accès ?
L'objectif du contrôle d'accès est d'accorder l'entrée à un bâtiment, un bureau ou un entrepôt aux personnes autorisées à le faire. Le verrou et la clé ont été la combinaison la plus répandue et la plus simple de contrôle d'accès. Cependant, les entreprises d'aujourd'hui nécessitent des normes de contrôle d'accès plus modernes, qui leur permettent d'avoir un niveau de granularité supérieur aux simples clés.
Il est certain que les entreprises continuent d'avoir besoin de contrôler qui passe par leurs portes. Mais elles veulent également pouvoir gérer les accès. C'est-à-dire pouvoir décider qui peut (et qui ne peut pas) passer. Dans les environnements d'entreprise, les clés physiques ont passé le relais aux contrôles d'accès électroniques. Ces systèmes sont capables d'offrir l'accès aux utilisateurs autorisés de manière simple. Dans le même temps, ils empêchent l'accès aux personnes non autorisées
Parties d'un système de contrôle d'accès
Au lieu de transporter des clés d'un côté à l'autre, la plupart des entreprises utilisent des cartes d'accès ou d'identité (la carte typique avec la photo et le nom de l'utilisateur) pour accéder aux zones réservées. Les espaces de travail, les fichiers contenant des informations confidentielles ou les portes peuvent utiliser des systèmes de contrôle d'accès. Dans les grands bâtiments, l'accès extérieur est de la responsabilité du bâtiment. Alors que les portes intérieures, l'accès est géré par l'entreprise locataire.
Si c'est la première fois que vous lisez sur les contrôles d'accès, vous pensez peut-être que le système est constitué de cartes et de lecteurs à côté de la porte, n'est-ce pas ? Vous vous trompez. La vérité est qu'il y a d'autres parties qui fonctionnent en arrière-plan pour que la magie d'Alohomora fonctionne. Ce guide est conçu pour vous aider à comprendre comment fonctionnent les systèmes de contrôle d'accès et le jargon dont vous avez besoin pour communiquer avec les fournisseurs de ce type de solutions.
3 composants de base d'un système de contrôle d'accès
Utilisateurs
Systèmes tels que les lecteurs de cartes, les claviers numériques ou l'application.
Administrateurs
Panneaux de contrôle du système de gestion des accès, intégrations ou API.
Infrastructure
Des systèmes de fermeture et d'ouverture au matériel pour connecter le système de contrôle au cloud.
Lorsqu'ils commencent à enquêter sur la sécurité, la première chose que la plupart des gens font est d'appeler un installateur, un consultant ou une entreprise de sécurité locale. Cependant, comprendre les principes fondamentaux du contrôle d'accès est gratuit si vous effectuez une recherche exhaustive sur Internet ou trouvez un guide comme celui-ci.
Avez-vous besoin d'être un spécialiste du contrôle d'accès si vous souhaitez en installer un dans votre entreprise ?
Introduction aux contrôles d'accès
Les systèmes de contrôle d'accès servent à surveiller qui passe dans un bâtiment, une installation ou dans les zones restreintes d'un bureau. Le fonctionnement est généralement très simple. On attribue aux utilisateurs (employés, dirigeants, fournisseurs et visiteurs) différents types de groupes ou niveaux d'accès.
Par exemple, ces quatre groupes d'utilisateurs pourront utiliser leur carte ou leur application pour ouvrir la porte principale du bâtiment. Cependant, seuls les employés et les responsables pourront accéder à la zone de bureaux. De plus, seuls les employés du département informatique pourront accéder à la salle des serveurs.
Quand avez-vous besoin de contrôler les accès physiques à votre bâtiment ?
Il y a quelques raisons qui peuvent vous sembler une évidence : la sécurité physique en est une. Vous ne voulez pas que des personnes extérieures à l'entreprise puissent accéder aux locaux. Cependant, il y a deux raisons supplémentaires de poids pour lesquelles vous pourriez avoir besoin d'un contrôle d'accès physique.
Loi sur la protection des données et ISO 27000
Par exemple, ces quatre groupes d'utilisateurs pourront utiliser leur carte ou leur application pour ouvrir la porte principale du bâtiment. Cependant, seuls les employés et les responsables pourront accéder à la zone de bureaux. De plus, seuls les employés du département informatique pourront accéder à la salle des serveurs.
- Les établissements médicaux (hôpitaux, cliniques, etc.) sont responsables de la garde des données médicales des patients - généralement dans des fichiers physiques. Selon le RGPD, seul le personnel directement impliqué dans les soins aux patients peut accéder à leurs données médicales.
- Les banques et les assurances sont responsables de la garde des informations financières de leurs clients. Ces informations sont considérées comme sensibles.
- Certaines entreprises doivent se conformer aux normes de qualité, telles que l'ISO 27002 - la norme pour la sécurité de l'information ou l'ISO 27032 pour la gestion de la cybersécurité.
Propriété intellectuelle
Certaines entreprises détiennent des informations très sensibles et de la propriété intellectuelle. Par exemple, les entreprises de développement de logiciels, les startups ou les compagnies pharmaceutiques. Ces entreprises n'ont pas seulement besoin de savoir qui accède aux installations, mais également de contrôler les accès à certaines zones.
Utilisateurs.
Cartes d'accès, lecteur de cartes et clavier de contrôle d'accès
- Identifiants. La partie la plus connue des systèmes de contrôle d'accès sont les cartes, les badges d'identification et, plus récemment, les applications mobiles qui émettent un petit son lorsqu'elles sont présentées au lecteur et déverrouillent la porte. Cela s'appelle des identifiants car ils portent les données sur l'utilisateur nécessaires pour que le système l'identifie et procède à l'autorisation d'accès. C'est-à-dire qu'il est autorisé à entrer.
- Les cartes d'accès fonctionnent généralement par proximité ou sans contact. Au lieu de les insérer – comme c'était le cas avec les anciennes cartes de crédit –, il suffit de les placer entre 3 et 10 centimètres de distance dans le lecteur de cartes. Le fonctionnement est similaire avec les applications mobiles. L'avantage d'utiliser des informations d'identification personnalisées (au lieu de cartes) est que tout événement enregistré est associé à la personne. Par exemple, l'ouverture d'une porte.
- Lecteur de cartes. Le lecteur de cartes est généralement encastré dans le mur, à côté de la porte. Il est chargé de lire les informations d'identification présentées par l'utilisateur et envoie la demande au serveur pour ouvrir la porte. Certains systèmes de contrôle d'accès utilisent des claviers numériques ou la biométrie (empreintes digitales) au lieu du lecteur de cartes traditionnel.
Administrateurs.
Panneau de gestion des accès, intégrations ou API
- Panneau de gestion des accès. La partie administrative du système de contrôle d'accès est le panneau de gestion (également appelé portail). C'est là que l'administrateur, le responsable de la sécurité ou le responsable informatique détermine quelles personnes (utilisateurs) et quand (heures) sont autorisées à accéder à l'enceinte. Cela nécessite généralement le panneau, normalement dans le cloud, et un moyen de provisionner les accès (dans le cas des cartes, un configurateur de cartes).
- Dans les systèmes plus complexes, les opérations manuelles peuvent être automatisées. Par exemple, la fourniture d'accès (créer ou supprimer des utilisateurs et des autorisations) peut être automatisée via la connexion du système de contrôle d'accès avec l'annuaire des employés de l'entreprise. De cette façon, au moment où un nouveau compte d'utilisateur d'entreprise est créé, une autorisation d'accès est générée en même temps. Il peut être intégré via API ou via des services tels que Google Apps, Microsoft Azure ou Okta.
Infrastructure.
Fermetures électriques, panneaux de contrôle d'accès et serveurs
- Fermetures électriques. Les fermetures électriques sont généralement utilisées pour électrifier le déverrouillage des portes. Elles sont généralement câblées à une source d'alimentation. Certaines fermetures restent bloquées tant qu'elles sont connectées à l'alimentation et s'ouvrent lorsqu'elles sont déconnectées ( fail safe ). D'autres, au contraire, s'ouvrent uniquement lorsqu'elles reçoivent de l'énergie et restent fermées lorsqu'elles sont déconnectées ( fail secure ).
- Le choix entre un type ou un autre de fermeture électrique dépendra de la zone dans laquelle on veut l'installer. Par exemple, les portes d'entrée du bâtiment ont généralement besoin de fermetures sûreté en cas de défaillance, car elles doivent respecter la réglementation d'urgence. Les salles de serveurs, en revanche, doivent être protégées par des fermetures sécurité en cas de défaillance. La raison est qu'elles doivent rester fermées en permanence, même en cas d'incendie ou d'évacuation du bâtiment. Les portes sécurité en cas de défaillance doivent être équipées de boutons ou de barres d'ouverture pour faciliter la sortie des personnes en cas d'urgence.
- Contrôleurs intelligents. Les panneaux de contrôle d'accès ou contrôleur intelligent ne sont généralement pas installés dans des zones visibles par les utilisateurs. En fait, ils sont généralement placés dans de faux plafonds ou des murs ou dans la salle des serveurs. La raison est d'éviter que, par négligence, les câbles qui les relient aux fermetures électriques ne soient déconnectés.
- Lorsqu'un utilisateur présente une information d'identification valide, le contrôleur reçoit la demande d'ouvrir un certain relais - et avec lui, d'ouvrir la porte à laquelle il est connecté.
- Serveurs de contrôle d'accès. Tout système de contrôle d'accès nécessite un serveur dans lequel les autorisations sont stockées dans une base de données. Par conséquent, le serveur est le « cerveau » du système de contrôle d'accès.
En réalité, c'est le serveur qui prend la décision d'ouvrir (ou non) la porte à un certain utilisateur, lorsqu'il compare dans sa base de données si la credencial présentée est autorisée pour cette porte.
Le serveur peut être installé sur site sur un ordinateur avec Windows ou Linux, dans le cloud, ou même de manière décentralisée sur chaque contrôleur intelligent.
Le serveur est également chargé de stocker les enregistrements d'activité et les événements. De cette façon, les administrateurs peuvent obtenir des rapports sur qui, comment et quand les portes ont été accédées pendant une certaine période.
Si vous optez pour un serveur local, en plus du matériel, un logiciel est nécessaire pour exécuter le contrôle d'accès. Pour sa gestion, il est nécessaire que l'administrateur soit présent sur place. Cette gestion peut être très fastidieuse - en particulier s'il s'agit de plusieurs bâtiments -, c'est pourquoi les serveurs dans le cloud connaissent un grand succès.
- Câbles. Les câbles sont souvent la partie la plus oubliée des systèmes de contrôle d'accès. Malgré leur faible prix, une mauvaise planification du câblage avant de commencer le déploiement du système peut s'avérer très coûteuse.
- Dans la première phase du projet de construction, il est important de spécifier au promoteur quels câbles doivent être installés. Ne pas le faire signifiera que, le moment venu, il faudra faire des saignées, les cacher avec des goulottes ou les laisser à vue.
Types de contrôle d'accès
En plus des systèmes de contrôle d'accès locaux, ceux dans lesquels le serveur se trouve dans le même bâtiment (ce sont ceux que nous avons traités dans la section précédente), vous avez trois autres options :
- Systèmes de contrôle d'accès dans le cloud
- Systèmes de contrôle d'accès mobile
- Systèmes de contrôle d'accès IoT
Une bonne façon de comprendre en quoi consistent ces nouveaux systèmes de contrôle d'accès est de prendre l'exemple de GMail. Lorsque vous ouvrez un compte dans le service de messagerie électronique de Google, vos courriels sont stockés dans le cloud au lieu de sur votre ordinateur. Le cloud n'est rien d'autre que le serveur d'une autre société - le fournisseur de services -. De cette façon, il vous permet d'accéder à vos courriels depuis n'importe quel navigateur, à condition que vous ayez les informations d'identification correctes (votre nom d'utilisateur et votre mot de passe).
Systèmes de contrôle d'accès dans le cloud
Dans ce type, les autorisations de contrôle d'accès ne sont pas stockées sur un serveur local mais dans le cloud. Cela signifie que l'administrateur peut gérer ces autorisations depuis chez lui, ou depuis les Bahamas, simplement en utilisant une application ou le navigateur de son ordinateur. C'est très utile pour les responsables de la gestion de la sécurité de plusieurs bâtiments.
Systèmes de contrôle d'accès mobile
Les systèmes de contrôle d'accès avec le mobile fonctionnent de manière identique aux systèmes traditionnels de carte. La seule chose qui change est la carte par une application sur leurs téléphones. Une fois que l'utilisateur a téléchargé l'application de contrôle d'accès, il doit authentifier son compte (identifiant) et, lorsque l'administrateur lui a accordé des autorisations (clés numériques), commencer à ouvrir les portes.
Systèmes de contrôle d'accès IoT
Votre téléphone mobile peut mettre à jour son système d'exploitation - celui qui contrôle le Bluetooth, le NFC ou les puces de connexion à Internet - de manière non surveillée (ou en appuyant sur Mettre à jour). L'approche IoT du système de Raixer permet de connecter les portes à Internet et de recevoir des mises à jour Over-The-Air pour ajouter des couches de sécurité supplémentaires ou de nouvelles fonctionnalités.
Systèmes de contrôle d'accès dans le cloud
Dans ce type, les autorisations de contrôle d'accès ne sont pas stockées sur un serveur local mais dans le cloud. Cela signifie que l'administrateur peut gérer ces autorisations depuis chez lui, ou depuis les Bahamas, simplement en utilisant une application ou le navigateur de son ordinateur. C'est très utile pour les responsables de la gestion de la sécurité de plusieurs bâtiments.
Systèmes de contrôle d'accès mobile
Les systèmes de contrôle d'accès avec le mobile fonctionnent de manière identique aux systèmes traditionnels de carte. La seule chose qui change est la carte par une application sur leurs téléphones. Une fois que l'utilisateur a téléchargé l'application de contrôle d'accès, il doit authentifier son compte (identifiant) et, lorsque l'administrateur lui a accordé des autorisations (clés numériques), commencer à ouvrir les portes.
Systèmes de contrôle d'accès IoT
Votre téléphone mobile peut mettre à jour son système d'exploitation - celui qui contrôle le Bluetooth, le NFC ou les puces de connexion à Internet - de manière non surveillée (ou en appuyant sur Mettre à jour). L'approche IoT du système de Raixer permet de connecter les portes à Internet et de recevoir des mises à jour Over-The-Air pour ajouter des couches de sécurité supplémentaires ou de nouvelles fonctionnalités.
Niveaux de sécurité dans les contrôles d'accès
Contrôle d'accès basé sur les rôles (RBAC)
Lorsqu'on utilise ce niveau de sécurité, les autorisations sont accordées en fonction du rôle de l'utilisateur. Chaque utilisateur a un seul rôle. C'est le plus simple à gérer pour les administrateurs car ils peuvent éditer les rôles – et avec eux les groupes d'utilisateurs –.
Contrôle d'accès discrétionnaire (DAC)
L'utilisateur a un contrôle direct sur le logiciel du système. C'est-à-dire qu'une seule méthode d'accès permet d'ouvrir toutes les portes en utilisant n'importe quelle méthode d'ouverture proposée par Raixer : accès automatique, appel manqué ou directement avec l'application.
Contrôle d'accès obligatoire (MAC)
L'antonyme du paradigme DAC. Lorsque le MAC est établi, certains matériels ou logiciels restreignent l'accès. Cela peut être un mot de passe ou un clavier numérique dans le système de contrôle d'accès. Vous pouvez ouvrir les portes avec les mêmes méthodes d'ouverture.
Contrôle d'accès basé sur les rôles (RBAC)
Lorsqu'on utilise ce niveau de sécurité, les autorisations sont accordées en fonction du rôle de l'utilisateur. Chaque utilisateur a un seul rôle. C'est le plus simple à gérer pour les administrateurs car ils peuvent éditer les rôles – et avec eux les groupes d'utilisateurs –.
Contrôle d'accès discrétionnaire (DAC)
L'utilisateur a un contrôle direct sur le logiciel du système. C'est-à-dire qu'une seule méthode d'accès permet d'ouvrir toutes les portes en utilisant n'importe quelle méthode d'ouverture proposée par Raixer : accès automatique, appel manqué ou directement avec l'application.
Contrôle d'accès obligatoire (MAC)
L'antonyme du paradigme DAC. Lorsque le MAC est établi, certains matériels ou logiciels restreignent l'accès. Cela peut être un mot de passe ou un clavier numérique dans le système de contrôle d'accès. Vous pouvez ouvrir les portes avec les mêmes méthodes d'ouverture.
Fonctionnement du contrôle d'accès
Dans le monde moderne dans lequel nous sommes - où tout est à la demande -, l'accès est critique et est souvent pris pour acquis. Il est facile de dire « je veux restreindre et contrôler les accès à mon bureau, c'est pourquoi j'ai besoin d'acheter un contrôle d'accès », la question devrait vraiment être : « Comment installer un système de contrôle d'accès qui n'a pas de friction pour mes utilisateurs tout en garantissant la sécurité et le contrôle de mon entreprise ? »
La réponse se trouve dans le système Raixer de contrôle d'accès. Il permet de laisser passer quiconque est autorisé tout en maintenant un contrôle exhaustif de qui le fait.
5 étapes pour mettre en place votre contrôle d'accès
L'objectif d'un contrôle d'accès n'est pas de permettre à n'importe qui d'accéder à votre espace, mais d'autoriser l'accès uniquement à ceux qui ont les autorisations pertinentes.
1. Autorisation
La phase d'autorisation est celle où les personnes anonymes deviennent des utilisateurs. La première étape consiste à définir une politique d'entreprise. C'est-à-dire définir ce que les utilisateurs peuvent et ne peuvent pas faire. Cela doit inclure qui a accès à chacune des portes et quels utilisateurs de l'organisation peuvent partager l'accès (autoriser d'autres).
L'étape suivante consiste à établir le contrôle d'accès basé sur les rôles (RBAC), comme nous l'avons expliqué dans la section précédente. En attribuant des rôles à chaque utilisateur, ceux-ci obtiennent une série de permissions. De cette façon, les administrateurs peuvent effectuer des modifications massives (sur plusieurs utilisateurs) simplement en modifiant les paramètres dans le rôle.
La plupart des entreprises utilisent des répertoires d'employés avec RBAC, car ces listes comprennent tous les employés et leurs différents niveaux d'accès.
2. Authentification
L'authentification est une étape qui va au-delà de la simple autorisation. À cette étape, les utilisateurs présentent leurs informations d'identification au lecteur (carte d'accès ou application mobile). Le lecteur valide leurs informations d'identification et détermine (via le serveur) si la fermeture électrique doit ouvrir ou non cette porte.
3. Accès
Une fois les informations d'identification authentifiées, les outils d'accès à cette étape garantissent que la bonne porte s'ouvre au bon moment rapidement et de manière pratique pour l'utilisateur.
- Déverrouillage : Après avoir validé l'information d'identification, l'utilisateur peut déverrouiller les accès dont il a besoin. Il peut, par exemple, appuyer sur un bouton, passer une carte ou utiliser l'accès mobile.
- Déclencheur
- Infrastructure : Si la porte s'ouvre, plusieurs événements se produisent : l'utilisateur est correctement authentifié ; l'utilisateur a demandé l'ouverture ; la porte s'est ouverte et la porte s'est fermée.
4. Gestion
Cette phase aide les administrateurs à relever plusieurs défis, notamment l'ajout de nouveaux points d'accès (portes ou bâtiments), la création de nouveaux utilisateurs, la maintenance de la sécurité ou la résolution des incidents courants des systèmes de contrôle d'accès.
- Mettre à l'échelle : Les systèmes de contrôle d'accès dans le cloud aident les PME et les entreprises à étendre leurs bureaux actuels ou à des bureaux dans d'autres bâtiments grâce à des extensions modulaires de leur installation actuelle.
- Surveiller : Les systèmes de contrôle en ligne envoient des alertes en temps réel aux administrateurs ou aux responsables de la sécurité. De cette façon, ils peuvent rapidement savoir quel événement non autorisé ou inconnu s'est produit et où. Cela leur permet d'enquêter immédiatement sur ce fait, tout en l'enregistrant dans l'historique.
- Résolution des incidents : les systèmes de contrôle d'accès modernes permettent aux administrateurs de configurer les autorisations à distance ou de s'appuyer sur le fournisseur pour résoudre les incidents. C'est l'un des principaux avantages par rapport aux contrôles d'accès avec serveurs locaux.
5. Audit
Auditer les contrôles d'accès physiques est très utile pour n'importe quelle entreprise. De plus, cela aide les entreprises de certains secteurs à satisfaire à des exigences particulières.
- Évolutivité : les entreprises peuvent effectuer régulièrement des vérifications des systèmes et s'assurer que les contrôles d'accès sont bien installés et fonctionnent correctement. En outre, ils peuvent avertir les administrateurs si un ancien employé a tenté d'accéder au bureau.
- Événements suspects : Comme les points d'accès sont surveillés de manière régulière à chaque fois qu'un accès est effectué, l'audit est beaucoup plus simple pour les responsables de la sécurité. Les informations stockées peuvent être très utiles pour découvrir des modèles de comportement suspects – en les comparant avec l'historique.
Choisir un système d'accès
L'environnement technologique évolue beaucoup ces dernières années. Surtout dans le domaine de la sécurité physique, où de nouvelles entreprises et technologies de contrôle d'accès apparaissent comme des champignons. Cela peut être confus pour les personnes chargées d'acheter le système de contrôle d'accès pour leur entreprise. Cependant, si certaines étapes logiques sont suivies, la tâche peut être plus simple.
La première étape que l'entreprise doit franchir – un truisme ! – est de compter le nombre de portes sur lesquelles le contrôle d'accès sera installé. Tenez compte non seulement des portes d'entrée ou de sortie du bâtiment ou du bureau, mais également de celles des pièces ou des salles où se trouve un équipement de valeur (salle de serveurs ou de communications, par exemple). Ou si l'entreprise conserve des informations précieuses (centres médicaux ou données protégées par la loi), les pièces où elles sont hébergées.
Une fois ce décompte effectué, l'équipe doit se charger de rechercher des options, de trouver des fournisseurs et de demander des devis pour les systèmes de contrôle d'accès. Un installateur en bonne et due forme est celui qui, avant de vous envoyer un devis, veut visiter le bâtiment ou le bureau et voir la typologie des portes.
Il existe de multiples façons d'évaluer la qualité d'un fournisseur de contrôles d'accès. Cependant, le budget est la pièce clé pour le faire. Évitez les fournisseurs qui emballent beaucoup d'informations dans chaque ligne du budget - cela dénote généralement une mauvaise qualité et une faible attention aux détails.
Anatomie du budget de contrôle d'accès parfait
- Le type et le nombre de dispositifs de fermeture électriques (serrures électriques, pistons, etc.) qui seront nécessaires et l'endroit où ils seront installés.
- Le contrôleur intelligent qui connectera les fermetures (donc, les portes) à Internet.
- Le câblage nécessaire à l'installation du contrôle d'accès.
- La licence de logiciel de gestion et le support. Cette ligne comprend généralement le stockage sur serveurs et les limites d'utilisateurs.
Il est également important que le budget comprenne une forme ou une autre d'assurance de responsabilité civile professionnelle. De nombreux propriétaires ou gestionnaires immobiliers obligent leurs locataires à assumer la responsabilité de tout dommage ou dysfonctionnement pendant l'utilisation ou l'installation du contrôle d'accès.
Enfin, pour ceux qui souhaitent approfondir un peu plus sur ce qu'il faut vérifier pour acheter un système de contrôle d'accès, nous avons préparé une liste de contrôle.
Ce qu'il faut prendre en compte avant d'acheter un système de contrôle d'accès
- Compatibilité avec le matériel tiers et évitement du verrouillage.
- Support de sécurité.
- Respecter la réglementation nationale de qualité.
- Intégration avec les systèmes de sécurité et de surveillance (CCTV).
- Intégration avec le matériel existant (fermetures électriques) pour réduire les coûts.
- Compatibilité avec les formes de communication modernes (accès cloud ou contrôle d'accès mobile) et en particulier, IoT.
- Robustesse.
- Chiffrement des données de bout en bout et cryptage militaire.
- Facile à utiliser et à installer
- Économique et avec un support technique professionnel derrière.
- Haute configurabilité avec des fonctionnalités telles que les géo-clôtures, les accès temporaires, RBAC et d'autres facteurs.
