Sûreté physique & cybersécurité
Publié le 20 août 2026 · Temps de lecture : 15 minutes · Analyse sécurité physique
Le rapprochement est plus solide qu’une simple analogie marketing. Il n’existe pas, à proprement parler, de norme officielle intitulée “Zero Trust Physical Security”. Le Zero Trust reste d’abord une architecture de cybersécurité. Mais ses principes peuvent être transposés avec prudence au monde physique : vérifier, limiter, segmenter, journaliser, réviser les droits et éviter la confiance implicite.
Pour une société de sécurité privée, cette lecture est intéressante parce qu’elle déplace la question. Il ne s’agit plus seulement de demander : “comment empêcher quelqu’un d’entrer ?” mais aussi : “que peut réellement faire cette personne une fois entrée ?”
La formule centrale : entrer dans un bâtiment ne signifie pas être autorisé à aller partout dans ce bâtiment.
Table des matières
- L’idée fondamentale : supprimer la confiance implicite
- La traduction du Zero Trust cyber vers le monde physique
- Le concept change surtout la question posée à la porte
- Le badge ne devrait pas être une clé permanente
- Prestataires et visiteurs : le cas d’usage le plus évident
- Le bâtiment comme réseau segmenté
- Continuous verification ne signifie pas surveillance permanente
- Assume breach : et si quelqu’un était déjà à l’intérieur ?
- Le contrôle d’accès lui-même doit être sécurisé
- Le rôle de l’agent de sécurité dans un modèle Zero Trust
- Faire communiquer RH, badges, visiteurs, prestataires et sûreté
- La limite française : proportionnalité, CNIL et biométrie
- À quoi ressemblerait une architecture physique Zero Trust ?
- Un modèle de maturité en 6 niveaux
- Questions fréquentes
L’idée fondamentale : supprimer la confiance implicite
Le modèle traditionnel de sécurité physique repose souvent sur une séparation simple : dehors, c’est potentiellement dangereux ; dedans, c’est relativement fiable. On installe une clôture, un accueil, un lecteur de badge, un tourniquet ou un agent à l’entrée. Une fois cette première barrière franchie, une personne peut parfois circuler dans une grande partie du bâtiment.
Modèle classique
“Il est entré, donc il est légitime”
Le franchissement du périmètre donne parfois trop de confiance pour les zones suivantes.
Logique Zero Trust
“Chaque accès doit être justifié”
Une autorisation doit correspondre à une identité, un lieu, un horaire, un rôle et un besoin réel.
Posséder un badge valide ne suffit pas nécessairement à justifier l’accès demandé.
La traduction du Zero Trust cyber vers le monde physique
La transposition fonctionne bien si l’on évite le copier-coller. Un bâtiment n’est pas un réseau informatique, mais il peut être pensé comme une succession de frontières, de droits, de zones et de décisions d’accès.
| Zero Trust informatique | Équivalent en sécurité physique |
|---|---|
| Ne pas faire confiance à un utilisateur simplement parce qu’il est sur le réseau interne. | Ne pas faire confiance à quelqu’un simplement parce qu’il se trouve déjà dans le bâtiment. |
| Vérifier explicitement l’identité. | Vérifier la personne, son badge ou credential, et parfois un second facteur ou une validation humaine. |
| Least privilege. | Autoriser uniquement les zones réellement nécessaires à la mission, au rôle ou au rendez-vous. |
| Microsegmentation. | Découper le bâtiment en zones de sûreté avec des niveaux de contrôle différents. |
| Just-in-time access. | Activer un droit seulement pendant une intervention, un créneau ou une mission. |
| Assume breach. | Prévoir qu’un badge puisse être volé, prêté, compromis, ou qu’une personne non autorisée soit déjà à l’intérieur. |
| Logs et détection d’anomalies. | Exploiter les événements d’accès, alarmes, vidéos et signalements pour réévaluer le risque. |
| Policy Enforcement Point. | Porte, sas, tourniquet, contrôleur, lecteur ou agent appliquant la décision d’accès. |
Le concept change surtout la question posée à la porte
Un contrôle d’accès classique demande souvent : “ce badge ouvre-t-il cette porte ?” Une approche inspirée du Zero Trust demande plutôt : “cette personne doit-elle pouvoir franchir cette porte, à cet instant, pour cette raison, compte tenu de son identité et du contexte ?”
L’autorisation peut dépendre de l’identité, du statut professionnel, de la fonction, de la zone, de l’horaire, du contrat en cours, d’une habilitation, d’un ordre de travail, d’un sponsor interne ou du niveau de risque de la zone.
La réponse n’est pas forcément seulement oui ou non. Elle peut être : accès accordé, accès refusé, accès avec accompagnement, second facteur demandé, validation d’un responsable requise, ou alerte au poste de sécurité.
Le badge ne devrait pas être une clé permanente
Le badge illustre parfaitement la différence entre le modèle traditionnel et une logique Zero Trust. Dans un modèle trop permissif, un badge “salarié” ouvre l’entrée, le parking, plusieurs étages, des locaux communs et parfois des zones qui ne correspondent plus au poste réel de la personne.
Risque
Des droits historiques qui restent actifs
Une personne change de poste, mais conserve d’anciens accès. Un prestataire termine sa mission, mais son badge reste valide “au cas où”.
Réponse
Le least privilege physique
Un accès doit être limité à une fonction, une zone, un horaire, une mission et une durée réellement nécessaires.
Un badge ne devrait pas être une clé permanente. Il devrait être la matérialisation temporaire d’une autorisation.
Prestataires et visiteurs : le cas d’usage le plus évident
Les prestataires et visiteurs sont probablement le meilleur terrain d’application. Ils n’ont pas besoin “d’accéder à l’entreprise”. Ils ont besoin d’accéder à un endroit précis, pendant une période précise, pour une raison précise.
Prestataire
Accès lié à une mission
Identité, société, motif, horaire, zone autorisée, sponsor interne, expiration automatique à la fin de l’intervention.
Visiteur
Accès lié à un rendez-vous
Accueil, salle de réunion, étage concerné, personne visitée, horaires d’entrée et de sortie, accompagnement si nécessaire.
Zone sensible
Accès renforcé
Dans certains cas, le badge seul ne suffit plus : accompagnement, validation humaine, sas, second facteur ou contrôle renforcé.
Le bâtiment comme réseau segmenté
L’analogie devient particulièrement claire lorsque l’on pense un bâtiment comme un réseau segmenté : espace public, hall, bureaux, zones sensibles, locaux techniques, archives, datacenter, stock critique ou zone exceptionnelle. Chaque frontière peut avoir son niveau de contrôle.
| Niveau | Zone | Contrôle possible |
|---|---|---|
| 0 | Espace public | Libre ou signalétique générale. |
| 1 | Hall | Accueil, agent, badge, registre visiteurs. |
| 2 | Bureaux | Badge nominatif, horaires, droits par service. |
| 3 | Archives, stock, laboratoire, locaux techniques | Badge + autorisation spécifique + journalisation. |
| 4 | Datacenter, coffre, zone critique | Second facteur, sas, validation renforcée, contrôle humain. |
| 5 | Zone exceptionnelle | Double autorisation, accompagnement, traçabilité renforcée. |
Dans des environnements comme les ERP, IGH et sites recevant du public , cette logique de zones, de flux et de niveaux de contrôle doit évidemment rester compatible avec les obligations d’exploitation, d’évacuation et de sécurité incendie.
Continuous verification ne signifie pas surveillance permanente
En informatique, le Zero Trust peut réévaluer continuellement une session. Dans un bâtiment, demander à une personne de s’authentifier toutes les trente secondes serait absurde, intrusif et souvent contre-productif.
La bonne transposition consiste à réévaluer la confiance à chaque frontière importante ou événement significatif, pas à surveiller chaque mouvement.
Frontière importante
Entrée du bâtiment, passage en zone sensible, local technique, stock, archives, salle serveur, accès hors horaires.
Événement significatif
Badge déclaré perdu, contrat prestataire terminé, changement de poste, anomalie d’accès, tentative inhabituelle.
Contrôle proportionné
Badge, second facteur, validation humaine, accompagnement ou alerte selon la sensibilité de la zone.
Assume breach : et si quelqu’un était déjà à l’intérieur ?
En cybersécurité, le principe “assume breach” consiste à prévoir qu’un attaquant puisse déjà se trouver dans le réseau. Transposé physiquement, il revient à se demander : que se passe-t-il si une personne non autorisée est déjà dans le bâtiment ?
Badge volé ou prêté
Le système ne doit pas considérer le badge comme une preuve absolue. L’autorisation doit rester contextuelle.
Tailgating
Une personne peut suivre un salarié à travers une porte sans avoir présenté elle-même une autorisation.
Ancien accès oublié
Un ancien salarié, prestataire ou profil muté peut conserver des droits si le cycle de vie n’est pas maîtrisé.
Le modèle ne cherche donc plus seulement à empêcher l’intrusion initiale. Il cherche aussi à limiter ce qu’une personne peut faire une fois entrée.
Le contrôle d’accès lui-même doit être sécurisé
Un lecteur de badge est un équipement électronique. Il communique avec un contrôleur, un serveur, parfois une plateforme distante. Une approche sérieuse doit donc aussi se demander si l’on peut faire confiance au lecteur, à sa configuration, aux communications, au compte administrateur et au système de gestion.
Personnes
Zero Trust des utilisateurs du bâtiment
Identité, rôle, zone, horaire, contexte, anomalies, révocation et droits minimaux.
Équipements
Zero Trust des systèmes qui protègent le bâtiment
Lecteurs, contrôleurs, communications, serveurs PACS, comptes administrateurs, firmware et supervision technique.
Une architecture physique inspirée du Zero Trust n’est pas seulement une question de badge. C’est aussi une question de cybersécurité des équipements de contrôle d’accès.
Le rôle de l’agent de sécurité dans un modèle Zero Trust
Le Zero Trust ne signifie pas plus de technologie et moins d’humain. Dans certaines situations, l’ agent de sécurité devient au contraire un véritable point d’application de la politique d’accès.
La machine vérifie
Badge valide, zone autorisée, horaire compatible, contrat actif, droit existant.
L’agent interprète
Comportement inhabituel, livraison non prévue, personne qui suit quelqu’un, motif incohérent, besoin de levée de doute.
La procédure décide
Accès autorisé, refus, accompagnement, validation d’un responsable, alerte, signalement ou rapport.
Le bon modèle n’oppose pas humain et technologie. Il combine décision plus fine, outils plus fiables et intervention humaine là où le contexte l’exige.
Faire communiquer RH, badges, visiteurs, prestataires et sûreté
Le niveau supérieur consiste à éviter les silos. Dans beaucoup d’organisations, les badges, les visiteurs, les prestataires, les RH et les alarmes vivent dans des systèmes séparés. Une approche Zero Trust cherche au contraire à relier identité, droits et contexte.
Départ d’un salarié
L’information RH devrait déclencher la révocation des accès concernés, sans attendre un traitement manuel incertain.
Fin d’un contrat prestataire
Les badges liés à l’intervention devraient expirer automatiquement, au lieu de rester actifs “au cas où”.
Changement de fonction
Les anciens accès doivent être retirés et les nouveaux droits limités au rôle réel de la personne.
C’est ici qu’une méthode d’intervention structurée prend de la valeur : comprendre les accès, identifier les zones sensibles, cadrer les exceptions, clarifier les interlocuteurs et s’assurer que les décisions sont applicables sur le terrain.
La limite française : proportionnalité, CNIL et biométrie
Le Zero Trust physique pourrait facilement devenir excessif s’il était appliqué naïvement. En France, un contrôle d’accès professionnel doit respecter une finalité légitime, informer les personnes concernées, limiter les accès aux données, maîtriser les durées de conservation et rester proportionné.
Un bon Zero Trust physique ne consiste pas à enregistrer chaque mouvement de chaque salarié. Il consiste à contrôler et journaliser les frontières réellement nécessaires au regard du risque.
La biométrie n’est pas la réponse automatique
On pourrait être tenté de conclure : “pour vraiment vérifier l’identité, utilisons la reconnaissance faciale ou les empreintes partout”. Ce serait une mauvaise conclusion. Une approche sérieuse privilégie les moyens non biométriques lorsqu’ils suffisent et réserve les mécanismes intrusifs aux cas réellement justifiés par la sensibilité des locaux ou ressources.
Le vrai Zero Trust est proportionné au risque. Il n’est pas maximaliste.
À quoi ressemblerait une architecture physique réellement Zero Trust ?
Une architecture inspirée du Zero Trust ne se limite pas à acheter un nouveau système de badges. Elle combine identité, droits, zones, cycle de vie, journalisation, gouvernance et intervention humaine.
Identité fiable
Chaque salarié, visiteur et prestataire est associé à une identité, une organisation, un motif et un sponsor.
Droits minimaux
Les accès sont limités aux portes, zones, horaires et missions nécessaires.
Cycle de vie
Arrivée, mutation, fin de contrat, départ, badge perdu : chaque événement doit produire une mise à jour des droits.
Segmentation physique
Le périmètre extérieur ne donne pas implicitement accès aux zones internes plus sensibles.
Détection d’anomalies
Accès hors horaires, tentatives répétées, séquences incohérentes ou usage anormal d’un badge.
Gouvernance
Revues périodiques des droits, badges inutilisés, comptes orphelins, autorisations historiques et exceptions.
Un modèle de maturité en 6 niveaux
Il ne faut pas chercher à atteindre le niveau maximal partout. Comme en cybersécurité, une migration raisonnable se fait progressivement, selon les risques, les ressources et les zones à protéger.
Niveau 0 : Périmètre
On protège surtout l’entrée du site. L’intérieur est largement considéré comme sûr.
Niveau 1 : Contrôle d’accès
Badges nominatifs, horaires simples et quelques zones différenciées.
Niveau 2 : Least privilege
Droits par fonction, accès visiteurs et prestataires limités, zones sensibles mieux séparées.
Niveau 3 : Cycle de vie des identités
RH, prestataires, visiteurs et contrôle d’accès sont synchronisés ; les droits expirent ou sont révoqués automatiquement.
Niveau 4 : Accès adaptatif
Contexte, anomalies, second facteur, anti-passback, vidéo et événements corrélés.
Niveau 5 : Cyber-physical Zero Trust
Identités physiques et numériques convergées, dispositifs eux-mêmes sécurisés, politique dynamique et gouvernance centralisée.
Le principal changement n’est pas de mieux verrouiller les portes. C’est de mieux décider qui doit pouvoir les ouvrir.
Questions fréquentes
Existe-t-il une norme officielle appelée “Zero Trust Physical Security” ?
Non. Le Zero Trust est d’abord une architecture de cybersécurité. En sécurité physique, on transpose ses principes : vérifier explicitement, limiter les droits, segmenter les zones, journaliser les accès utiles et réviser les autorisations.
Le Zero Trust physique signifie-t-il qu’il ne faut plus faire confiance à personne ?
Non. Il signifie surtout qu’une autorisation ne doit pas être implicite. Une personne peut être connue, mais son accès doit rester lié à un besoin, une zone, un moment et un niveau de risque.
Un badge suffit-il dans une logique Zero Trust ?
Un badge peut suffire pour certaines zones si le risque est faible. Pour des zones plus sensibles, il peut être complété par une validation, un second facteur, un accompagnement ou un contrôle humain.
Le Zero Trust physique implique-t-il de surveiller tous les déplacements ?
Non. En France, le contrôle d’accès doit rester proportionné et respecter les finalités déclarées. La bonne approche consiste à contrôler les frontières utiles, pas à suivre chaque déplacement sans justification.
Quel est le rôle de l’agent de sécurité dans ce modèle ?
L’agent peut appliquer la décision, vérifier une situation, interpréter un contexte, repérer un comportement inhabituel, gérer une exception et remonter une anomalie. Il complète la technologie au lieu d’être remplacé par elle.
Vos accès sont-ils vraiment adaptés aux besoins réels ?
Décrivez votre site, vos zones sensibles, vos visiteurs, vos prestataires et vos contraintes d’exploitation. Armure Sécurité vous aide à cadrer une organisation cohérente entre accès, présence humaine et niveau de risque.
Sources utiles
- NIST : SP 800-207, Zero Trust Architecture
- CISA : Zero Trust Maturity Model
- NIST : SP 800-53, Physical and Environmental Protection controls
- NIST NCCoE : Identity and Access Management for Electric Utilities
- CNIL : L’accès aux locaux et le contrôle des horaires sur le lieu de travail
- CNIL : Le contrôle d’accès biométrique sur les lieux de travail
- Security Industry Association : Why Access Control Professionals Need to Move From Wiegand to OSDP