|
En bref — La majorité des parcs de badges installés en France reposent encore sur des technologies clonables en quelques secondes avec un matériel à quelques dizaines d’euros. Le passage à des badges chiffrés et au protocole OSDP, qui remplace le Wiegand non protégé, constitue le principal gain de sécurité d’un projet de modernisation. Côté juridique, trois obligations s’imposent : consultation préalable du CSE, information des salariés, et conservation des journaux d’accès limitée dans le temps. La biométrie relève d’un régime strictement encadré. |
Un contrôle d’accès se juge rarement sur ce qu’il fait au quotidien — ouvrir des portes — mais sur ce qu’il empêche réellement. Or deux failles très répandues rendent des installations pourtant récentes contournables sans effort : des badges dont la technologie est cassée depuis longtemps, et un protocole de communication entre lecteur et unité de traitement qui circule en clair. Cet article traite ces deux points, puis le cadre réglementaire et les contraintes de sécurité incendie.
Les technologies d’identification et leur niveau réel de sécurité
|
Technologie |
Principe |
Niveau de sécurité |
Commentaire |
|---|---|---|---|
|
Code clavier |
Saisie d’un code partagé |
Faible |
Le code circule, se transmet et n’est presque jamais changé |
|
Badge 125 kHz |
Identifiant lu en clair, sans authentification |
Très faible |
Copiable en quelques secondes avec un duplicateur bon marché |
|
Badge 13,56 MHz première génération |
Chiffrement propriétaire ancien |
Faible |
Algorithme cassé publiquement depuis des années |
|
Badge 13,56 MHz chiffré (AES) |
Authentification mutuelle, clés diversifiées |
Élevé |
Le standard actuel pour une installation neuve |
|
Badge virtuel sur smartphone |
Bluetooth ou NFC, identifiant chiffré |
Élevé |
Révocation immédiate, pas de support physique à gérer |
|
Biométrie |
Empreinte, réseau veineux, reconnaissance faciale |
Élevé |
Régime juridique strict : ne se déploie pas librement |
Le point le plus important de ce tableau concerne les deux premières lignes de badges. Une grande partie des installations françaises fonctionne encore avec des technologies dont l’identifiant se lit et se recopie sans aucune authentification. Un badge peut être dupliqué à l’insu de son porteur, par simple proximité, en quelques secondes. Aucun journal ne le signale, puisque le clone présente exactement le même identifiant que l’original.
Vérifier la technologie en place est donc la première action d’un audit. Le remplacement des badges et des lecteurs par des équipements à chiffrement AES avec clés diversifiées, c’est-à-dire une clé propre à chaque support, apporte davantage de sécurité que l’ajout de nouvelles portes contrôlées.
Wiegand ou OSDP : le câble entre le lecteur et la porte
Une faille moins connue se situe en aval du badge. Le protocole Wiegand, longtemps standard de fait, transmet l’identifiant en clair sur le câble reliant le lecteur à l’unité de traitement. Ce câble passe souvent par la face extérieure de la porte, c’est-à-dire du côté non sécurisé.
Concrètement, un dispositif inséré derrière un lecteur permet de capter les identifiants présentés, puis d’en rejouer un pour ouvrir la porte. Aucun badge n’a besoin d’être copié : le protocole lui-même est exploité. Le protocole OSDP, avec son canal sécurisé, chiffre la liaison et supervise en permanence l’état du lecteur, ce qui permet en outre de détecter son débranchement ou son remplacement.
Le passage à OSDP est aujourd’hui la recommandation de référence pour toute installation neuve, et un point à faire figurer explicitement dans un cahier des charges. Retenir des systèmes de contrôle d’accès qui le supportent nativement évite d’avoir à reprendre le câblage quelques années plus tard.
La biométrie : ce que le droit autorise réellement
C’est le sujet sur lequel les projets dérapent le plus souvent, parce que la disponibilité technique est confondue avec la liberté juridique. Les données biométriques relèvent des données sensibles au sens du RGPD, et leur traitement est en principe interdit, sauf exception encadrée.
Sur les lieux de travail, la CNIL a défini un cadre spécifique auquel les employeurs doivent se conformer. Trois conditions structurent l’analyse.
- Une nécessité démontrée : l’employeur doit établir pourquoi un badge ou un code ne suffit pas, au regard d’un risque particulier. Le simple confort d’usage ou la lutte contre le prêt de badge ne constituent pas, en soi, une justification suffisante.
- Une analyse d’impact : elle est obligatoire et doit être formalisée avant la mise en œuvre.
- Un mode de conservation maîtrisé : le stockage du gabarit biométrique sur un support détenu par la personne, plutôt que dans une base centralisée, est nettement privilégié.
En pratique, la biométrie se justifie pour un local abritant des substances dangereuses, des données hautement sensibles ou des biens de très grande valeur — rarement pour l’entrée principale d’un immeuble de bureaux. Déployer un lecteur d’empreintes à l’accueil sans dossier de justification expose à un manquement caractérisé.
Les obligations à respecter dans tous les cas
|
Obligation |
Contenu |
|---|---|
|
Consultation du CSE |
Préalable à la mise en place de tout dispositif permettant de contrôler l’activité des salariés |
|
Information des salariés |
Individuelle et collective : finalité, données traitées, durée de conservation, droits |
|
Registre des traitements |
Le contrôle d’accès y figure comme traitement de données personnelles |
|
Limitation des finalités |
Un système déployé pour la sûreté ne peut pas servir à contrôler les horaires sans déclaration distincte |
|
Durée de conservation des journaux |
Limitée : quelques mois suffisent à traiter un incident, au-delà la conservation doit être justifiée |
|
Restriction des accès aux données |
Seules les personnes habilitées consultent les journaux, avec traçabilité des consultations |
|
Analyse d’impact |
Requise pour la biométrie et pour les dispositifs de surveillance étendue |
Le point sur la limitation des finalités mérite d’être souligné : utiliser les données d’un contrôle d’accès installé pour la sûreté afin de vérifier les heures d’arrivée des salariés constitue un détournement de finalité, y compris lorsque l’information est techniquement disponible.
Sécurité incendie : la contrainte qui prime sur toutes les autres
Un contrôle d’accès ne doit jamais faire obstacle à l’évacuation. Les issues de secours doivent pouvoir être ouvertes de l’intérieur à tout moment, sans clé, sans badge et sans connaissance particulière, par un dispositif manuel unique.
Sur les portes verrouillées électriquement situées sur un cheminement d’évacuation, deux exigences s’ajoutent : un déverrouillage automatique en cas de détection incendie, et un dispositif manuel de déverrouillage d’urgence à proximité immédiate. C’est ce qui distingue une ventouse à rupture, qui libère la porte dès que l’alimentation cesse, d’une gâche à émission, qui reste verrouillée en cas de coupure et ne convient donc pas à ce type de porte.
|
Dispositif |
Comportement en cas de coupure |
Usage |
|---|---|---|
|
Ventouse à rupture |
La porte se déverrouille |
Issues de secours, cheminements d’évacuation |
|
Gâche à émission |
La porte reste verrouillée |
Portes non situées sur un cheminement d’évacuation |
|
Gâche à rupture |
La porte se déverrouille |
Alternative à la ventouse selon la menuiserie |
|
Serrure motorisée |
Variable selon le modèle |
À vérifier au cas par cas au regard des exigences applicables |
Cette articulation entre sûreté et sécurité incendie relève de la conception, pas du réglage. Elle doit être arbitrée dès l’étude, avec le coordinateur SSI lorsqu’il en existe un, et non découverte lors d’une visite de commission de sécurité.
Comment conduire un projet de contrôle d’accès ?
- Cartographier les accès : lister toutes les portes, y compris les issues de secours, les accès livraison, les parkings et les locaux techniques. Les accès secondaires sont ceux que l’on oublie et par lesquels on entre.
- Définir des zones et des profils : plutôt que d’attribuer des droits porte par porte, constituer des zones et des profils correspondant aux fonctions. La gestion ultérieure en dépend entièrement.
- Traiter les accès temporaires : prestataires, intérimaires, visiteurs. Les droits doivent être créés avec une date de fin, faute de quoi ils survivent au contrat.
- Choisir les technologies : badges chiffrés, protocole OSDP, biométrie uniquement là où elle est justifiable et documentée.
- Instruire le volet juridique : consultation du CSE, information des salariés, registre, durée de conservation, analyse d’impact le cas échéant.
- Vérifier la compatibilité incendie : déverrouillage automatique et dispositifs manuels sur les cheminements d’évacuation.
- Organiser la sortie de fonction : la procédure de restitution et de désactivation des badges au départ d’un salarié est le maillon faible le plus fréquent.
- Planifier la revue des droits : une revue annuelle des habilitations révèle systématiquement des accès devenus injustifiés.
Questions fréquentes
Les badges d’accès peuvent-ils être copiés ?
Les badges de première génération, dont l’identifiant se lit en clair sans authentification, se dupliquent en quelques secondes avec un matériel courant. Seuls les badges à chiffrement AES avec clés diversifiées résistent à cette duplication. Vérifier la technologie en place est la première étape d’un audit.
Peut-on installer un lecteur biométrique dans son entreprise ?
Ce n’est ni libre ni interdit. Les données biométriques sont des données sensibles : l’employeur doit démontrer que le badge ou le code ne suffit pas au regard d’un risque particulier, réaliser une analyse d’impact et privilégier un stockage du gabarit sur un support détenu par la personne. Le confort d’usage ne suffit pas à justifier le dispositif.
Faut-il consulter le CSE avant d’installer un contrôle d’accès ?
Oui, la consultation préalable est requise dès lors que le dispositif permet de contrôler l’activité des salariés, ce qui est le cas d’un système enregistrant les passages. L’installation sans consultation constitue un manquement, indépendamment de la conformité technique du système.
Combien de temps conserver les journaux d’accès ?
Une durée courte suffit à traiter un incident et à mener une enquête interne. Au-delà, la conservation doit être justifiée par une finalité précise. Une conservation illimitée des passages constitue un manquement au principe de limitation de la durée.
Un contrôle d’accès peut-il bloquer une issue de secours ?
Jamais. Les issues de secours doivent s’ouvrir de l’intérieur sans clé ni badge, par un dispositif manuel unique. Les portes verrouillées sur un cheminement d’évacuation doivent en outre se déverrouiller automatiquement en cas de détection incendie et disposer d’un déverrouillage d’urgence à proximité.
Le contrôle d’accès peut-il servir à la gestion des horaires ?
Pas sans précaution. Un système déployé pour la sûreté ne peut pas être détourné pour contrôler le temps de travail. Cet usage constitue une finalité distincte, qui doit être expressément prévue, documentée, portée à la connaissance des salariés et soumise à la consultation du CSE.
Ce qu’il faut retenir
- Beaucoup de parcs fonctionnent avec des badges clonables en quelques secondes.
- Les badges chiffrés AES à clés diversifiées sont le standard d’une installation neuve.
- OSDP remplace Wiegand et chiffre la liaison entre le lecteur et l’unité de traitement.
- La biométrie suppose une nécessité démontrée et une analyse d’impact.
- Consultation du CSE, information des salariés et durée de conservation limitée sont obligatoires.
- Aucun dispositif ne doit entraver l’évacuation : déverrouillage automatique sur alarme incendie.
- La désactivation des badges au départ d’un salarié est le maillon faible le plus courant.