Le « Zero Trust » s'applique au monde physique : intégrer le principe « Ne jamais faire confiance, toujours vérifier » à la sécurité physique 

Le « Zero Trust » s'applique au monde physique : intégrer le principe « Ne jamais faire confiance, toujours vérifier » à la sécurité physique 

Quand on évoque le « Zero Trust », la plupart des gens pensent immédiatement aux réseaux, au cloud, aux identités, à l’authentification multifactorielle, au principe du « privilège minimal », etc. Or, ces mêmes principes — partir du principe qu’une intrusion a eu lieu, vérifier en permanence, limiter la confiance — s’appliquent tout aussi rigoureusement au domaine physique : accès par badge, biométrie, gestion des visiteurs, conception des installations, etc.

Pour les responsables de la sécurité des systèmes d'information (RSSI), l'extension du modèle « Zero Trust » à la sécurité physique permet de combler les angles morts, de réduire les risques liés aux menaces internes ou aux comportements négligents, et de renforcer la résilience.

Vous trouverez ci-dessous les raisons pour lesquelles la vérification est essentielle, la manière dont les équipes chargées de la sécurité physique doivent faire évoluer leurs pratiques, les outils et processus utiles à cet effet, ainsi que quelques mesures concrètes pour la mise en œuvre.

Pourquoi la « vérification » est-elle nécessaire ? Statistiques et facteurs de risque

Imaginez que vous entriez dans un lieu de travail où tout le monde part du principe que la personne qui porte un badge a le droit d'y être. Pendant des années, les entreprises se sont appuyées sur les portes, les badges et les identifiants de connexion comme première ligne de défense. Mais aujourd'hui, cette confiance s'avère dangereusement fragile.

L'ampleur du défi est colossale. Un rapport de Ping Identity publié en 2024 a révélé que 97 % des entreprises rencontrent des difficultés en matière de vérification d’identité— presque tout le monde reconnaît qu’il s’agit d’un problème. Et cela ne concerne pas uniquement les pirates informatiques externes. Les erreurs humaines et les risques internes sont à l’origine de la majorité des incidents : en 2024, 95 % des violations de données impliquaient une forme ou une autre d’erreur humaine ou d’utilisation abusive des identifiants, selon Infosecurity Magazine. Les acteurs malveillants, qu’ils agissent de manière intentionnelle ou accidentelle, savent que des contrôles d’identité et d’accès faibles constituent une proie facile à exploiter.

Les risques ne se limitent pas non plus aux espaces numériques. La sécurité physique présente des failles. Des études montrent que plus de 60 % des organisations ont subi au moins une faille de sécurité physique au cours de l’année écoulée, souvent en raison d’identifiants d’accès mal utilisés ou mal gérés. Un badge égaré, une porte laissée ouverte ou un visiteur non contrôlé peuvent avoir des conséquences tout aussi préjudiciables que le vol d’un mot de passe.

Les entreprises s'efforcent d'adapter leurs stratégies. La transition vers les modèles « Zero Trust » s'accélère, avec 81 % des entreprises qui s’efforcent de mettre en place ou qui ont déjà mis en œuvre des cadres « Zero Trust ». Au cœur de cette évolution se trouve une vérité incontournable : l’identité et la vérification ne sont plus facultatives, elles constituent le fondement même de la confiance.

Ces chiffres sont éloquents : il ne suffit pas de se fier uniquement aux badges physiques, aux portes ou aux limites des locaux. Sans vérifier l'identité de la personne derrière le titre d'accès, sans surveiller en permanence les accès et sans limiter la confiance accordée, les organisations laissent des portes ouvertes — tant physiques que numériques —, permettant ainsi aux risques de s'introduire sans encombre.

Comment s'applique le principe « Ne jamais faire confiance, toujours vérifier » dans le domaine de la sécurité physique ?

Dans le domaine physique, le modèle « Zero Trust » ne se limite pas à l'exigence de badges. Il implique la vérification de l'identité, la validation contextuelle, la vérification continue et un accès basé sur les risques. En voici les principaux aspects :

1. 
   d'accès physique multifactorielle Les systèmes traditionnels basés sur le passage d'un badge ou la saisie d'un code PIN ne vérifient que ce que vous possédez ou ce que vous savez. L'intégration de la biométrie (empreintes digitales, reconnaissance faciale, reconnaissance de l'iris), combinée à un badge, un code PIN et des éléments contextuels (heure de la journée, zone à laquelle on accède), renforce le niveau de sécurité. Par exemple, l'accès à une salle de serveurs peut nécessiter un badge, une vérification biométrique et la confirmation du rôle de l'utilisateur.

2. Renouvellement continu des autorisations
   Il ne faut pas considérer que les autorisations restent valables indéfiniment. Lorsque des collaborateurs changent de poste, quittent l’entreprise, rejoignent de nouveaux projets ou lorsque des prestataires terminent leur mission, leurs droits d’accès physiques doivent être réexaminés et adaptés. Les droits d’accès « obsolètes » constituent une source courante de risque.

3. Principe du « privilège minimal » et modélisation des risques liés aux « joyaux de la couronne »
   Tous les espaces physiques ne présentent pas le même niveau de sensibilité. Un quai de chargement n’est pas comparable à un centre de données ou à un laboratoire de R&D. L’approche « Zero Trust » nécessite une modélisation des risques : classer les zones, définir ce qui constitue les espaces « joyaux de la couronne » et leur appliquer des mesures de vérification et de surveillance plus strictes. L’accès physique ne doit être accordé qu’aux personnes qui en ont besoin, au moment où elles en ont besoin et pour la durée nécessaire.

4. Contrôles d'accès contextuels et conditionnels
   Tout comme dans le domaine de la cybersécurité, où l'accès peut dépendre de l'état d'un appareil, de son emplacement ou de l'heure, l'accès physique peut également dépendre du contexte. Par exemple :

1. Accès réservé aux horaires de travail prévus

2. Accès interdit depuis certaines zones si une personne dispose déjà d'un accès depuis un autre endroit

3. Utilisation d'alarmes, de capteurs et d'analyse vidéo pour détecter des situations physiques inhabituelles (foules, personnes se pressant les unes contre les autres, portes laissées ouvertes, etc.)

5. Audit, détection et réponse aux incidents
   Les journaux d'accès physique, les enregistrements vidéo, les données relatives aux badges et celles issues des capteurs doivent être intégrés au système de surveillance. Tout comportement inhabituel (par exemple, une personne qui s'identifie avec son badge mais n'effectue aucune activité, qui s'identifie en dehors des heures d'ouverture ou qui utilise les identifiants d'une autre personne) doit déclencher des alertes. Les opérations de sécurité physique doivent faire partie intégrante de la planification de la réponse aux incidents. Les enregistrements vidéo, les journaux des badges et les registres des visiteurs constituent des preuves. Les équipes doivent mener des exercices sur table incluant des scénarios de violation physique et de cyberattaques.

Le rôle des équipes de sécurité physique et de la supervision dans la réduction de ces risques

Les RSSI ne peuvent pas assumer seuls la responsabilité de la sécurité physique ; ils ont besoin d'une supervision, d'une coordination et d'une collaboration entre les différentes équipes :

• Éliminer les cloisonnements entre la cybersécurité et la sécurité physique: la sécurité physique (sécurité des installations ou des sites) est souvent dissociée des équipes chargées de la cybersécurité et de l’informatique. Dans le cadre d’une approche « Zero Trust », ces cloisonnements doivent être réduits. Les équipes chargées de la sécurité physique doivent se familiariser avec la gestion des identités, les normes d’authentification, les journaux d’événements et la modélisation des risques cybernétiques.

• Politiques et gouvernance claires: définir qui a accès à quoi, et dans quelles conditions. La gestion des visiteurs, la délivrance des badges, la révocation des autorisations d'accès, ainsi que l'enregistrement des appareils et des capteurs doivent être gérés de manière centralisée, avec un suivi, un audit et un contrôle des processus.

• Formation et sensibilisation: tout comme on apprend à reconnaître les tentatives d’hameçonnage ou les mauvaises pratiques en matière de mots de passe, le personnel doit comprendre les règles de sécurité physique : par exemple, ne jamais prêter son badge, signaler la perte d’un badge, interroger les personnes qui tentent de s’introduire à la suite d’un autre individu, vérifier l’identité des visiteurs. La négligence ou l’ingénierie sociale peuvent compromettre même les contrôles les mieux conçus.

• Application des règles et responsabilité: dans quels délais les titres d'accès inactifs sont-ils désactivés ? Existe-t-il des sanctions en cas de violations répétées des règles d'accès (par exemple, le « tailgating ») ? Comment les exceptions sont-elles gérées ? La direction doit exiger que les failles de sécurité physique soient intégrées dans les rapports sur les risques, la conformité et les audits.

Outils et technologies contribuant à la mise en œuvre d'une approche « Zero Trust » physique

Pour mettre en œuvre ce type d'approche, certains outils et certaines infrastructures sont nécessaires. Certains sont bien connus ; d'autres sont en plein essor.

Outil / Fonctionnalité	Ce que cela permet / Pourquoi cela aide
Systèmes avancés de contrôle d'accès physique (PACS) avec vérification d'identité	Des systèmes qui ne se contentent pas de vérifier la validité d'un badge, mais qui identifient également la personne qui l'utilise (badge + comparaison biométrique ou par image). Les systèmes PACS plus anciens ou hérités pourraient être modifiés ou « encapsulés » afin de fonctionner selon des principes de vérification plus stricts.
Outils de gestion des visiteurs et du cycle de vie des accréditations	Gestion des autorisations temporaires, des badges de visiteur et des droits d'accès des prestataires, avec date d'expiration ; révocation des droits d'accès lorsque les personnes quittent l'entreprise ou changent de poste ; enregistrement des déplacements des visiteurs.
Analyse vidéo et surveillance comportementale	Détection des entrées en file indienne, analyse des foules et du taux d'occupation, détection des portes restées ouvertes trop longtemps, détection des anomalies, intégration des enregistrements vidéo et des journaux d'accès par badge.
Systèmes d'accès basés sur le contexte et les risques	Systèmes qui prennent en compte des données contextuelles (heure, lieu, identité, appareil) lors de l'autorisation d'un accès physique. Cela peut être relié à des systèmes utilisés dans le domaine de la cybersécurité (IAM, moteurs de calcul des risques).
Intégration et plateformes de données	PACS, caméras vidéo, capteurs, gestion des identités, IAM, SIEM (gestion des informations et des événements de sécurité) ou outils SOAR. L'objectif est d'établir des corrélations entre les données physiques et numériques.
Outils d'audit et de conformité en continu	Révisions régulières des droits d'accès, des badges inactifs, de la cartographie des accès en fonction des rôles et de l'application des politiques. Tableaux de bord de reporting présentant le niveau de risque physique.

Mesures concrètes à l'intention des RSSI : vers un modèle « Zero Trust » physique

Voici une feuille de route proposée aux responsables de la sécurité des systèmes d'information (RSSI) pour mettre en œuvre les principes du modèle « zero trust » dans le domaine de la sécurité physique :

1. Cartographier les actifs physiques et les zones
   Identifier tous les points d'accès physiques, les zones sensibles, ainsi que les catégories de personnes (salariés, prestataires, visiteurs) qui y ont accès. Classer les zones en fonction de leur niveau de sensibilité.

2. État des lieux des capacités actuelles et des lacunes
   Quels sont les dispositifs de contrôle actuellement en place ? Systèmes de badges ? Biométrie ? Vidéosurveillance ? Alarmes à capteurs ? Dans quelle mesure le cycle de vie des identifiants est-il bien géré ? Existe-t-il des politiques relatives aux changements de rôle et à la gestion des visiteurs ? Où se situent les points faibles (par exemple, « tailgating », partage de badges, perte de badges) ?

3. Définir les niveaux de vérification pour les zones
   Pour les zones à haute sensibilité (par exemple, centre de données, salles de serveurs, laboratoires), exiger une assurance d’identité plus rigoureuse (authentification multifactorielle, biométrique). Pour les zones à moindre sensibilité, appliquer des mesures moins strictes mais toujours contrôlées. Définir des critères (qui, quand, par quelle méthode).

4. Assurer la gestion du cycle de vie des titres d'accès
   Mettre en place des audits réguliers afin de désactiver ou de retirer les badges et les droits d'accès en cas de changement de fonctions ou de départ d'un collaborateur. Veiller à ce que les titres d'accès des visiteurs expirent automatiquement. Tenir à jour un répertoire centralisé de tous les titulaires de titres d'accès.

5. Associer l'identité physique aux systèmes d'identité numérique
   Intégrer les systèmes PACS / d'identité pour l'accès physique aux systèmes IAM ou aux annuaires d'identité. Utiliser l'identité numérique du personnel (rôle, statut) pour définir les droits d'accès physique ; utiliser la présence physique comme contexte pour les systèmes numériques lorsque cela est pertinent.

6. Mettre en place une surveillance continue et une détection des anomalies
   . Utiliser l'analyse vidéo, la corrélation des journaux et l'analyse des schémas comportementaux. Par exemple, une personne tentant d'accéder à une zone réglementée en dehors des heures d'ouverture, ou un cas de « tailgating ». Déclencher des alertes à la fois auprès des équipes chargées de la sécurité physique et des équipes chargées de la cybersécurité et de l'informatique.

7. Tester et valider à l'aide d'exercices sur table et d'opérations de « red teaming »
   Réaliser des simulations de violation de sécurité incluant des intrusions physiques, de l'ingénierie sociale et l'utilisation abusive d'identifiants. Évaluer la manière dont les équipes chargées de la sécurité physique et de la cybersécurité réagissent, déterminer les preuves nécessaires, ainsi que la rapidité avec laquelle la violation est détectée et maîtrisée.

8. Mesurer et rendre compte des indicateurs clés de performance (KPI) en matière de sécurité physique
   Exemples : nombre d’incidents d’accès non autorisés ; nombre de cas d’utilisation abusive, de perte ou de vol d’identifiants ; délai de désactivation des identifiants après un changement de fonction ; délai de détection des incidents physiques ; coût/exposition au risque ; conformité aux politiques. Ces rapports doivent être transmis à la direction générale et au conseil d’administration dans le cadre du tableau de bord des indicateurs de sécurité.

Pourquoi il est essentiel pour les RSSI d'étendre le modèle « Zero Trust » à la sécurité physique

Alors que les RSSI sont confrontés à des menaces de plus en plus hybrides — où l’accès physique peut servir de tremplin à une cyberattaque —, l’extension du modèle « Zero Trust » à la sécurité physique n’est plus une option. La philosophie « ne jamais faire confiance, toujours vérifier » doit s’étendre au-delà des pare-feu réseau et des certificats des appareils pour englober le badge porté sur la poitrine, le scanner biométrique à l’entrée et l’enregistrement des visiteurs à l’accueil. Grâce à des outils adaptés, des politiques adéquates, une coopération inter-équipes et une validation continue, la sécurité physique peut devenir une couche à part entière de l’architecture défensive « Zero Trust » d’une organisation.

Questions fréquemment posées