LE CONTROLE D'ACCÈS
8/ Examen ? 8 mars 2007 ... Mise en ?uvre des moyens de protection; Plan de
communication et de formation ... Rq : les systèmes ont une auto-évaluation et
remontent les informations à travers le système de management des risques qui
fait la ... Audit sécurité: sécurité physique et logique, continuité d'exploitation.
part of the document
LE CONTROLE DACCÈS
Le contrôle daccès est une technique qui consiste à soumettre lentrée dun établissement ou, de locaux à lintérieur dune entreprise, à une autorisation daccès.
Cette autorisation daccès a pour but de protéger des personnes, des biens ou des informations. Elle peut sadresser :
( Au personnel de lentreprise ou seulement aux visiteurs et fournisseurs.
( A certains membres du personnel pour certains lieux sensibles (bureaux, études, salles informatiques,
).
( A toutes les heures ou certaines heures de la journée ou de la nuit.
( A des personnes, des véhicules, des marchandises.
Pour Lautorisation daccès Il y a trois façons de prouver son identité face à un système informatique :
- de montrer ce que lon sait (un mot de passe ou code).
- de montrer ce que lon possède (un objet, telle une carte à puce, un badge).
- de prouver qui lon est grâce à une caractéristique physique propre (biométrie).
1. Les obligations par rapport au droit
La mise en place d'un système de contrôle accès doit se faire en accord avec le CODE DU TRAVAIL.
La Direction doit donc informer de son intention et demander l'avis des instances représentatives du personnel notamment le Comité dEntreprise et le Comité d'Hygiène, de Sécurité et des Conditions du travail (CHSCT).
La mise en place d'un système de contrôle accès doit aussi respecter la loi "INFORMATIQUE ET LIBERTÉ". La loi du 6 Janvier 1978, stipule que toute entreprise qui met en place puis gère un fichier informatisé de données nominatives est tenue de le déclarer.
La Direction doit donc obtenir l'accord de la Commission Nationale Informatique et Liberté (formulaire de déclaration CERFA n°99001).
De plus, la mise en place d'un contrôle accès ne doit pas faire obstacle au bon fonctionnement des issues de secours et d'une façon plus générale à la sécurité des personnes. Il sera donc nécessaire de tenir compte des préconisations des commissions de sécurité ou pompiers (Asservissements liés au SSI (Système de Sécurité Incendie)).
2. Comment faire du contrôle daccès ?
A laide :
- De gardiennage : Un gardien à une porte, contrôle les entrées et les sorties par reconnaissance visuelle des personnes ou par lecture dun badge avec photo didentité ou bien encore par la vérification dun laissez-passer.
- De moyens mécaniques : Un portillon, un sas, une barrière
peuvent être utilisés pour filtrer les entrées, les compter ou ne permettre quà une seule personne à la fois de franchir laccès. Ces moyens sont souvent conjugués avec la présence dun gardien ou lemploi dun système didentification.
- De systèmes didentification qui analysent :
( Les codes (clavier).
( Les cartes daccès (magnétiques, optiques, électromagnétiques).
( Les caractéristiques physiologiques dune personne (empreintes, iris
).
3. Exemple de configuration
4. Lidentification
Lidentification est la première fonction primaire intervenant dans la configuration dun système de contrôle daccès. Elle permet de déterminer avec beaucoup de précision, quel est lusager qui se présente à laccès pour lui donner une autorisation de passage ou un refus. Le système est automatisé, une erreur sur laccord de passage ne serait plus rattrapable, et par conséquent lidentification doit être la plus fiable possible. Il sera donc associé à chaque usager un identifiant mnémonique ou physique. La base de données du système de contrôle daccès définira pour chaque identifiant ses droits daccès.
Cest cet identifiant qui est présenté à une unité de lecture ou de reconnaissance. Lunité a pour fonction de transformer linformation introduite en entrée en une information de sortie compréhensible en langage informatique destinée à lunité de traitement. Elle est appelée « lecteur ».
Il existe différents types de lecteurs qui dépendent des technologies des identifiants sélectionnés. On peut distinguer trois familles principales didentifiants :
A codes mnémoniques
A badges ou implants (les implants peuvent être utilisés sur différents supports comme des clés par exemple)
Biométriques
Certaines applications mixent ces différentes technologies :
Badge + code
Badge + biométrie
Code + biométrie
4.1 LE CLAVIER :
Le clavier est un dispositif qui permet la reconnaissance des codes mnémoniques identifiants .Lusager saisit un code qui est comparé à ceux de la base de données du système. Lidentification par clavier supprime les problèmes de gestion des identifiants par un service de sécurité. Mais il est difficile pour lutilisateur de mémoriser des codes de plus de six chiffres. Le nombre de combinaisons totales est donc limité et par conséquent le nombre dusagers également.
En ce qui concerne la sécurité, on ne sait pas lorsquun code vient à être connu par un éventuel intrus, soit par maladresse de lusager ou soit par une recherche. Cela implique la mise en place de changement de codes réguliers ou des fonctions alerte ou des blocages de claviers.
4.2 LES LECTEURS DE BADGES :
Ce sont des dispositifs qui permettent la lecture des informations contenues dans des identifiants à badges ou implants. Lusager présente son badge au lecteur, qui décrypte les informations contenues et les transmet à lunité de traitement pour comparaison avec la base de données.
Dans ce cas, la disparition de badge identifiant peut être rapidement connue avec une réaction immédiate par paramétrage, sans avoir à modifier le matériel installé.
Il existe différents types de badges qui dépendent des technologies utilisées :
4.2.1. BADGE A CONTACT :
Les lecteurs de badges qui nécessitent un contact doivent être accessibles à lextérieur de la zone sécurisée. Les contacts entraînent des frottements et par conséquent des usures. Les différents types de badges à contact rencontrés sont :
Les badges magnétiques :
- Les cartes à couche simple : une bande magnétique codée et visible est placée sur le bord de la carte comme pour les cartes bancaires (mémorisation de 40 à 90 caractères alphanumériques). Le coût du badge est plutôt faible, mais il est sensible aux champs magnétiques, poussières, rayures. La copie à lidentique est facilement réalisable.
- Les cartes à couche épaisse : une patte magnétique invisible et codée est noyée à lintérieur du plastique de la carte (mémorisation de 20 à 40 caractères alphanumériques).
- La carte à induction baryum-ferrite : une technologie de moins en moins employée. Cette carte contient un certain nombre d'aimants qui, suivant leur orientation, représentent la valeur binaire 0 ou 1. Par association de ces valeurs en quartets, on code les chiffres 1 à 9 pour former un nombre qui peut être reconnu par une matrice de bobines. Peu utilisée pour des grandes configurations, cette technologie, par sa simplicité, représente pas mal d'avantages dont le coût et l'insensibilité aux chocs et aux rayures.
- La carte à effet Wiegand : il s'agit d'une piste magnétique incorporant des fils métalliques (maillechort) torsadés. Cette carte présente beaucoup d'avantages : rapidité de lecture, fraude et copie difficile, haut niveau de sécurité. Elle est de plus en plus souvent remplacée par la carte à puce.
- La carte magnétique Wratermark : il s'agit d'une carte à 2 pistes magnétiques superposées encodables exclusivement par le fabricant. Non reproductible et infalsifiable.
( Les badges optiques :
Les cartes à opacité variable (ne sont plus utilisées).
Les cartes avec un code barre dont la lecture est réalisée à laide dune source infrarouge. Ce type de badge est insensible aux champs magnétiques, aux chocs et aux rayures. Mais si le code barres nest pas masqué, la copie est possible.
Les badges électroniques :
- Les cartes à puce : elles contiennent un microprocesseur capable denregistrer des informations très nombreuses permettant des usages multiples. Elle procure un très haut degré de sécurité mais elle est sensible aux chocs, pliages et torsions et sont coût est assez élevé.
Selon la technologie, certains badges peuvent être ré inscriptibles par lutilisateur , ce qui permet parfois dajouter , avec prudence , dautres informations que celles liées à la sécurité ( gestion des horaires , restaurant dentreprise ) .
4.2.2. BADGES SANS CONTACT :
Ces badges doivent être présentés dans le champ rayonnant dune antenne pour être lus. Ils ne sont pas soumis à des usures par frottements. Cependant, cela ne signifie pas quils sont inusables .Les badges actifs possèdent une alimentation alors que les passifs nen possèdent pas .Ces badges sont en général classés en deux familles selon les distances de détection :
( Les cartes de proximité passives: Elles contiennent des circuits résonnants électriques codés sans pile. La lecture seffectue par lémission de radiofréquences qui imprègnent les circuits dune puissance suffisante pour quelle émette son message (distance de détection denviron 10 cm). Il faut une action volontaire de présentation du badge.
Les cartes de proximité actives ou mains libres : Elles contiennent une pile au lithium qui lui permet démettre son message codé dès sa réception dune fréquence prédéterminer (distance de détection de 50 cm). Il suffit dêtre dans le champ démission du lecteur pour que le contrôle daccès soit effectué.
4.3 LES BADGES + CLAVIERS :
Lassociation des deux identifiants donne la possibilité dauthentifier lusager qui demande laccès. Le code composé est associé au badge présenté, ce qui permet de sassurer que le porteur du badge est bien celui qui possède le droit dentrée. Certains constructeurs proposent des lecteurs de badges fixes avec clavier intégré et dautres des « badges clavier » mobiles : le clavier et le badge ne font quun.
4.4 LES LECTEURS BIOMETRIQUES :
La biométrie est une technique visant à établir l'identité d'une personne en "mesurant" une de ses caractéristiques physiques.
Ces nouvelles techniques d'identification, du fait de leurs perspectives de développement, doivent présenter des garanties certaines au regard notamment de la protection de la vie privée, de la confidentialité des données personnelles collectées et de la fiabilité du système de reconnaissance employé.
Lusager se présente au lecteur, qui mesure les caractéristiques et les transmet à lunité de traitement pour comparaison avec celles contenues dans la base de données.
Les techniques biométriques peuvent être classées en trois catégories :
les techniques fondées sur l'analyse de traces biologiques (ADN, sang, salive, etc.),
les techniques fondées sur l'analyse comportementale (dynamique du tracé de signature, frappe sur un clavier d'ordinateur, etc.),
les techniques fondées sur l'analyse morphologique (empreintes digitales, forme de la main, traits du visage, iris, etc.)
Les techniques les plus utilisées sont celles de la 3ème catégorie.
Pour l'heure, la biométrie présente encore un inconvénient majeur qui est celui de son coût.
5. LANTI PASSBACK et lEffet SAS
LANTI PASS-BACK
L anti pass-back est employé pour empêcher lutilisation par plusieurs personnes dun même badge.
Il y a deux sortes d anti pass-back : REEL et TEMPORISE. Selon le type dinstallation :
1 seule porte à 2 lecteurs (1 en entrée et 1 en sortie) est toujours en anti pass-back REEL c'est-à-dire quun badge doit passer par le lecteur dentrée avant dêtre accepté par le lecteur de sortie et vice versa.
1 porte à 1 lecteur est toujours en anti pass-back TEMPORISE. Les badges ne peuvent pas être utilisés deux fois dans un intervalle de temps programmable.
2 portes et 1 lecteur par porte peuvent être soit en anti pass-back REEL ou TEMPORISE. En anti pass-back REEL, il faut que les deux portes soient programmées en « ASSOCIEES », dans ce cas, les badges doivent être utilisés dabord sur la 1ère porte et ensuite sur la 2ème. En anti pass-back TEMPORISE, le fonctionnement est le même que le précédent.
Effet SAS
Dans une installation à deux portes, ce système empêche de sortir tant que lautre porte nest pas fermée, cette mesure est en général prise pour des raisons de sécurité.
6. Organisation du contrôle daccès
6.1 Définir les privilèges hiérarchiques en tenant compte des deux modes daccessibilité
Accessibilité tangentielle (ou longitudinale).
Accessibilité radiale (ou transversale).
Incorporel
Meubles
Machines
Locaux
Bâtiments
Accessibilité
Radiale
Site
6.2 Etablissement des conditions daccès
( Droit daccès : habilitation, autorisation, besoin.
( Accessibilité : endroit, moment.
( Accession : occasionnellement, temporaire, permanente.
6.3 Etude qualitative
Choix du principe
6.4 Etude quantitative
Nombre daccès, dindividus, de communautés
6.5 Les contraintes
( Lattitude : du personnel, des représentants, de la direction
( Le temps de passage : laménagement des accès (portes, tourniquets, barrières, sas,
) et leur nombre doit tenir compte des temps de passages.
( Les priorités : il faut tenir compte des impératifs dévacuation en cas dincendie.
( Le système doit pouvoir évoluer avec lentreprise : augmentation du personnel, nouveaux accès, gestions complémentaires (alarmes, rondes), modification dexploitation.
6.6 Droits et Interdictions
( Octroi de droits déterminés aux différentes personnes ou groupe de personnes.
( Fermeture des accès, ils seront libérés sous conditions.
( Le système identifie, contrôle les droits, gère les conditions daccès et libère ou non laccès.
6.7 Les niveaux de sécurité
Ils tiennent compte de limportance des flux et des niveaux de risques :
( Niveau 0 : accès libre.
( Niveau 1 : accès libérable par code personnel.
( Niveau 2 : accès libérable par badge et code personnel.
( Niveau 3 : accès libérable par reconnaissance des données somatiques.
6.8 Les niveaux daccès
Ils sont définis par :
( Lorganisation interne de lentreprise.
( La fonction des employés.
6.9 Les zones horaires
Elles sont définies par lentreprise :
( Pour des personnes, ou groupe de personnes.
( Pour les accès.
6.10 Paramétrage du système
( Déterminer qui peut aller où.
( Dénombrer la quantité de badges et de groupes.
( Définir les issues daccès.
( Attribuer les niveaux daccès.
( Définir les heures de travail de chaque groupe.
( Etablir les zones horaires pour le personnel à partir des heures de travail habituelles.
( Etablir les zones horaires pour les accès.
8. Comment concevoir un contrôle daccès ?
En conclusion :
De tous les secteurs dactivité du marché de la sécurité, le contrôle daccès est probablement celui qui implique les décisions les plus en amont de linstallation.
Le conseil, ou laudit, et la rédaction du cahier des charges jouent un rôle fondamental dans lélaboration dun système de contrôle daccès. Des sociétés spécialisées dans ces services existent depuis longtemps pour gérer tous types de situations.
Labsence de toute normalisation, nationale ou européenne rend délicate lutilisation dun contrôle daccès mais ceux ci doivent cependant répondre aux normes électriques en vigueur ainsi quaux normes spécifiques à la partie mécanique.
Les besoins sexpriment naturellement en fonction de la taille de lentreprise, de la catégorie et du type de létablissement. Des exigences supplémentaires viennent se greffer à ces besoins comme le déverrouillage à distance ou lasservissement à la détection incendie.
La réussite et le bon usage du contrôle daccès passent nécessairement par une action de communication, un bon conseil et un bon cahier des charges.
Lavis de la CNIL
Contrôle daccèsBAC PRO SENLycée Professionnel de Rompsay PAGE 2/ NUMPAGES 12
