Zutrittskontrolle

Le meilleur chiffrement sert à peu de chose si n'importe qui peut entrer dans la pièce où les disques durs mis hors service attendent leur effacement. Le contrôle d'accès physique est donc l'une des mesures de protection fondamentales en protection des données. Cette entrée explique la notion, la distingue du contrôle d'accès au système et aux données et montre ce qui compte pour les anciens appareils.

Accès aux locaux, accès aux systèmes, accès aux données – quelle est la différence ?

Dans la pratique allemande de la protection des données, une division en trois s'est imposée. Elle provient de l'annexe de l'ancien § 9 BDSG et reste utilisée aujourd'hui pour classer les mesures techniques et organisationnelles selon Art. 32 du RGPD .

Terme	Protège contre …	Exemples
Contrôle d’accès	l'entrée physique dans les locaux et bâtiments	Système de fermeture, transpondeur, accueil, registre des visiteurs, vidéosurveillance
Contrôle d'accès	l'utilisation non autorisée de systèmes informatiques	Mots de passe, authentification multifacteur, verrouillage d'écran
Contrôle d'accès	la lecture ou la modification non autorisée de données	Concept de rôles et de droits, chiffrement

Attention : l'actuelle BDSG utilise en partie les termes différemment au § 64 pour le domaine de la police et de la justice. Y est appelée « Zugangskontrolle » la sécurisation physique des installations de traitement. Sur le fond, on entend la même chose.

Mesures typiques de contrôle d'accès physique

• Concept de zones : Les zones sont échelonnées selon le besoin de protection, de l'accueil public jusqu'à la salle des serveurs.
• Système de fermeture et gestion des clés : Qui détient quelle clé ou quel transpondeur est documenté. Les supports perdus sont bloqués.
• Droits selon les besoins : L'accès n'est accordé qu'à celui qui en a besoin pour sa mission, selon le Principe du besoin d’en connaître.
• Règles pour les visiteurs : Les invités et les artisans sont annoncés, accompagnés et enregistrés.
• Journalisation et vidéosurveillance : Les accès aux zones critiques sont enregistrés de manière traçable. Des règles propres de protection des données s'appliquent alors à la surveillance.

Des normes telles que l' ISO/IEC 27001 exigent également des zones de sécurité physiques et un accès contrôlé.

Le contrôle d'accès physique dans la mise hors service informatique

Entre le démontage d'un appareil et son effacement, il s'écoule souvent des jours ou des semaines. Pendant ce temps, ordinateurs portables, disques durs et smartphones sont rassemblés en un seul endroit – une cible attrayante. Stockez donc les anciens appareils dans une pièce fermée à clé avec un accès documenté et remettez-les par numéro de série et sous scellés. Si vous mandatez un prestataire, il devrait décrire son contrôle d'accès physique dans le contrat de sous-traitance . La manière de sécuriser l'ensemble de la chaîne est expliquée dans l'entrée Chaîne de traçabilité; les risques que présentent les vieux disques durs sont exposés dans notre article L’ADN de l’entreprise sur les disques durs.

Le contrôle d'accès physique chez Second IT

Chez Second IT, les appareils sont traités dans des zones de traitement sécurisées. Seuls les collaborateurs autorisés y ont accès ; les zones sont protégées par des contrôles d'accès et la vidéosurveillance. La destruction de supports de données a lieu exclusivement dans nos locaux et sous vidéosurveillance. Second IT est certifié selon ISO/IEC 27001. Plus d'informations sur Sécurité des données chez Second IT.

Questions fréquentes sur le contrôle d'accès physique

Le RGPD impose-t-il un contrôle d'accès physique ?

Le terme n'apparaît pas dans le RGPD. L'art. 32 du RGPD exige toutefois des mesures techniques et organisationnelles appropriées pour protéger les données contre tout accès non autorisé. En pratique, un contrôle d'accès physique en fait presque toujours partie.

Les systèmes d'empreintes digitales peuvent-ils être utilisés pour le contrôle d'accès physique ?

En principe oui, mais les données biométriques à des fins d'identification relèvent des catégories particulières de données à caractère personnel. Leur utilisation exige une base juridique solide et une pondération soigneuse des intérêts. Faites-le examiner au préalable par votre déléguée à la protection des données.

Comment documenter le contrôle d'accès physique ?

Décrivez les zones, les droits, la remise des clés et les règles applicables aux visiteurs dans votre concept TOM. Complétez avec des journaux des clés ou badges attribués et bloqués et vérifiez régulièrement les droits.

Comment sécuriser les anciens appareils avant l'effacement ?

Stockez-les dans une pièce fermée à clé avec un accès documenté et remettez-les par numéro de série et sous scellés. Un ancien appareil contenant des données non effacées nécessite la même protection qu'un serveur en exploitation.

La vidéosurveillance suffit-elle comme contrôle d'accès physique ?

Non, ce n'est qu'un élément. Un système de fermeture, une gestion des clés, des règles pour les visiteurs et un concept de zones en font également partie. Pour la vidéosurveillance elle-même, des règles propres de protection des données s'appliquent en outre.