Sécurité des systèmes de contrôle d’accès
Sécurité des systèmes de contrôle d’accès
Le contrôle d’accès est une façon efficace de protéger des bâtiments et des locaux. Ainsi, n’importe qui ne peut pas entrer et sortir comme bon lui semble. Mais le contrôle d’accès n’est vraiment sûr que s’il est sécurisé contre les éventuels intrus et pirates informatiques. C’est ce qu’expliquaient Nico Wuyts, d’ARAS Security, et Cedric Bassem, de NVISO, lors du salon New Security.
ARAS Security est un distributeur d’équipements de sécurité ayant 30 ans d’expérience. Cette entreprise familiale, qui possède des établissements en Belgique, au Danemark, aux Pays-Bas et en Turquie, fournit des produits et des systèmes électroniques de sécurité. C’est dire qu’elle est experte en sécurisation concrète. Et le fait qu’ARAS Security et NVISO se donnent la main pour créer une application de contrôle d’accès ultra sécurisée n’est donc pas vraiment une surprise. Ces deux entreprises se complètent merveilleusement, car NVISO est spécialisée dans la cybersécurité, la partie non palpable du volet sécuritaire de l’informatique. Prévenir les incidents, les détecter et y répondre, voilà ce dont s’occupe cette entreprise bruxelloise.
Le facteur humain
Sur le plan de la sécurisation des systèmes de contrôle d’accès, le facteur humain joue un rôle non négligeable. Un pirate informatique expérimenté, aux intentions malveillantes, peut, de façon sournoise et en se servant d’une palette d’émotions, obtenir rapidement des informations confidentielles. Grâce au phishing, via, par exemple, de fausses conversations téléphoniques et de faux mails. « Le fait que l’on ne doit pas ouvrir les pièces jointes des faux mails ou des mails de racket et ne pas cliquer sur des liens, est à présent bien intégré. Mais la plupart des gens ne savent pas qu’il vaut mieux signaler ce genre de mails », nous informait Nico Wuyts, expert en sécurité physique chez ARAS. C’est possible via le service officiel Save on Web (suspect@safeonweb.be). « Chacun se doit d’être conscient des possibles dangers du piratage informatique. Et cette prise de conscience doit être éventuellement complétée par des cours. Une politique de sécurité, à la mesure de l’entreprise, n’est pas un luxe inutile. Les tests de simulation d’intrusion sont, eux aussi, plus qu’utiles. »
Badge et contrôleur
Mais la sécurité du contrôle d’accès laisse bien trop souvent à désirer. 21% des entreprises utilisent un système obsolète de clefs, avec le risque de devoir remplacer toutes les serrures lorsque l’on perd une clé. 79% des entreprises possèdent un système de contrôle d’accès à badges et étiquettes (tags actifs porte-code), câblé ou sans fil. 85% des entreprises possédant un système de contrôle d’accès utilisent (souvent à leur insu) une technologie à badges et étiquettes, facile à pirater. Il s’agit là de technologies obsolètes et vulnérables qui constituent un risque important pour la sécurité de l’entreprise. C’est pourquoi les technologies existantes sont classées suivant une sorte de baromètre, selon leur niveau de sécurisation. D’une basse sécurité vers une sécurité élevée. Des technologies classiques et bon marché, en passant par des systèmes de cryptage des données échangées, vers les systèmes les plus récents à protocole de communication OSDP (Open Supervised Device Protocol) dans lequel la transmission entre le lecteur de badge et le contrôleur est sécurisée par un cryptage AES 128bits.
Connecté via l’IoT
Le danger du piratage se cache aussi dans les appareils connectés au système de contrôle d’accès, via, entre autres, l’Internet des Objets (IoT). « Il y a de nombreux points faibles », concédait Cedric Bassem, expert en cybersécurité, chez NVISO. Et NVISO les a également trouvés au niveau du système de contrôle d’accès PHERA , fonctionnant via le ´cloud’, avant qu’ARAS ne le commercialise. À la demande d’ARAS, NVISO a contrôlé l’appareil sur le plan de la sensibilité au piratage. Après que NVISO ait détecté et signalé tous les points faibles, ARAS a supprimé toutes ces vulnérabilités de son application en ligne. Et ARAS partage à présent cette expérience avec le secteur de la cybersécurité.
Par Gianni D’Angelo
