Contrôle complémentaire : l’accès aux salles
machines
On peut s’étonner de trouver une telle section dans ce chapitre, puisque ce sujet n’a pas
de rapport avec la gestion des utilisateurs ni des droits applicatifs. D’ailleurs, la sécurité
physique n’est pas du ressort du RSSI, mais de la sûreté. Toutefois, l’accès aux salles
machines est l’exception qui confirme la règle. Le RSSI est parfaitement fondé à
contrôler qui accède à ces salles puisque c’est dans ces locaux que les éléments les plus
sensibles du SI sont hébergés. La revue des accès physiques consiste à vérifier que seules
les personnes habilitées ont accès aux salles machines.
En principe, seule une population très réduite doit être autorisée à entrer en salle
machines. Il s’agit des populations suivantes :
le DSI et les cadres dirigeants de la DSI, dont le responsable de la production et le
RSSI ;
les administrateurs système, réseau, bases de données…
les personnels chargés de l’entretien technique (services généraux, sécurité incendie,
sûreté, climatisation, électricité…).
Généralement, cette revue présente deux difficultés récurrentes. La première est que les
salles machines sont localisées soit chez des hébergeurs spécialisés, soit dans des locaux
propres à l’entreprise, adaptés à cet effet. Dans les deux cas, la gestion des badges est
souvent confiée à une société tierce (soit l’hébergeur, soit le propriétaire des locaux). Il
arrive même de rencontrer un second niveau de sous-traitance. Aussi, lorsque le RSSI
souhaite contrôler la liste des personnes habilitées à entrer dans la salle machines, il n’est
pas rare qu’il doive s’adresser aux moyens généraux, qui transmettront la demande au
prestataire approprié, qui parfois fait suivre lui-même à son sous-traitant. Le résultat est
qu’il faut souvent plusieurs heures, voire plusieurs jours, avant d’obtenir la liste. Pour
résoudre cette situation, il convient que le RSSI négocie avec toutes ces parties prenantes
de pouvoir solliciter directement l’entité opérant réellement les accès aux salles
machines.
Remarque
Notons au passage que si cette situation est inconfortable pour obtenir une liste des accès aux salles
machines, elle est littéralement inacceptable lorsque le RSSI a besoin d’avoir un journal des entrées à ces
salles suite à un incident. Il n’est pas acceptable d’avoir à attendre plusieurs heures, voire plusieurs jours,
avant d’obtenir un historique des accès.
La seconde difficulté de la revue est que de nombreuses populations tierces figurent dans
la liste des personnes habilitées. On trouve notamment les personnels des sociétés
d’entretien des équipements de climatisation, de sécurité incendie, de la société de
gardiennage, du fournisseur d’énergie… Ces personnels disposent pour certains d’un
badge d’accès nominatif, pour d’autres d’un badge générique. Autant dire que le RSSI a
toujours le plus grand mal à vérifier la pertinence de ces accès. Il n’y a malheureusement
pas de solution miracle à ce problème.
machines
On peut s’étonner de trouver une telle section dans ce chapitre, puisque ce sujet n’a pas
de rapport avec la gestion des utilisateurs ni des droits applicatifs. D’ailleurs, la sécurité
physique n’est pas du ressort du RSSI, mais de la sûreté. Toutefois, l’accès aux salles
machines est l’exception qui confirme la règle. Le RSSI est parfaitement fondé à
contrôler qui accède à ces salles puisque c’est dans ces locaux que les éléments les plus
sensibles du SI sont hébergés. La revue des accès physiques consiste à vérifier que seules
les personnes habilitées ont accès aux salles machines.
En principe, seule une population très réduite doit être autorisée à entrer en salle
machines. Il s’agit des populations suivantes :
le DSI et les cadres dirigeants de la DSI, dont le responsable de la production et le
RSSI ;
les administrateurs système, réseau, bases de données…
les personnels chargés de l’entretien technique (services généraux, sécurité incendie,
sûreté, climatisation, électricité…).
Généralement, cette revue présente deux difficultés récurrentes. La première est que les
salles machines sont localisées soit chez des hébergeurs spécialisés, soit dans des locaux
propres à l’entreprise, adaptés à cet effet. Dans les deux cas, la gestion des badges est
souvent confiée à une société tierce (soit l’hébergeur, soit le propriétaire des locaux). Il
arrive même de rencontrer un second niveau de sous-traitance. Aussi, lorsque le RSSI
souhaite contrôler la liste des personnes habilitées à entrer dans la salle machines, il n’est
pas rare qu’il doive s’adresser aux moyens généraux, qui transmettront la demande au
prestataire approprié, qui parfois fait suivre lui-même à son sous-traitant. Le résultat est
qu’il faut souvent plusieurs heures, voire plusieurs jours, avant d’obtenir la liste. Pour
résoudre cette situation, il convient que le RSSI négocie avec toutes ces parties prenantes
de pouvoir solliciter directement l’entité opérant réellement les accès aux salles
machines.
Remarque
Notons au passage que si cette situation est inconfortable pour obtenir une liste des accès aux salles
machines, elle est littéralement inacceptable lorsque le RSSI a besoin d’avoir un journal des entrées à ces
salles suite à un incident. Il n’est pas acceptable d’avoir à attendre plusieurs heures, voire plusieurs jours,
avant d’obtenir un historique des accès.
La seconde difficulté de la revue est que de nombreuses populations tierces figurent dans
la liste des personnes habilitées. On trouve notamment les personnels des sociétés
d’entretien des équipements de climatisation, de sécurité incendie, de la société de
gardiennage, du fournisseur d’énergie… Ces personnels disposent pour certains d’un
badge d’accès nominatif, pour d’autres d’un badge générique. Autant dire que le RSSI a
toujours le plus grand mal à vérifier la pertinence de ces accès. Il n’y a malheureusement
pas de solution miracle à ce problème.