L’évolution technologique n’a pas épargné le secteur de la sécurité.
La nature des menaces évolue et se complexifie avec les avancées technologiques.
Les technologies telles que l’Internet des Objets (IoT) ont connecté les dispositifs industriels et des loisirs individuels au vaste écosystème virtuel, élargissant ainsi la surface d'attaque potentielle des installations et rendant les systèmes de sécurité physique et de sûreté traditionnels plus vulnérables.
Dans cet écosystème cyber-physique interconnecté, une attaque réussie dans un environnement peut avoir un impact sur d’autres environnements.
De ce fait, assurer une sécurité des biens et des personnes présente de nombreux défis pour les professionnels de la sécurité.
L’approche la plus utilisée actuellement est ce qu’on pourrait appeler la sécurité en silos ou la sécurité à plusieurs niveaux. Ces niveaux peuvent inclure les systèmes de vidéoprotection, les systèmes de contrôle d’accès etc…
Dans cette approche, la sécurité des biens et des personnes est souvent contrôlée par des services distincts, ce qui entraîne une approche cloisonnée et partielle.
Lorsque les éléments de sécurité fonctionnent indépendamment avec une collaboration minimale ou inexistante, la sécurité globale des organisations est au mieux affaiblie, au pire inexistante.
Un modèle de planification centré sur la mission
Pour faire face à ces nouvelles menaces il est nécessaire de passer d’un modèle de sécurité en silo à un modèle de sécurité basé sur les missions de sécurité ou autrement dit la sécurité intégrée.
L’objectif de la sécurité intégrée est de permettre aux organisations de détecter, retarder, atténuer et prévenir les menaces.
Cette évolution implique plusieurs services au sein de l’organisation et permet d’établir une feuille de route pour développer le cadre nécessaire pour la mise en place de la sécurité intégrée.
Au centre de ce modèle se trouve l'objectif de la mission, entouré de six éléments de planification spécifiques interconnectés :
- La protection
- La gestion des risques
- L’alignement organisationnel
- La culture d’entreprise
- La gestion des performances
- La gestion des risques de la chaîne de production (au sens large)
La protection
L’objectif de la protection est d’éviter qu’une vulnérabilité ou qu’une seule menace puisse mettre en échec l’ensemble de la chaine de protection.
La stratégie consiste à intégrer les personnes, la technologie et les capacités opérationnelles pour établir des barrières variables à travers plusieurs couches et dimensions de l'organisation.
Selon le modèle SCM (Sécurity Circle Model), le composant « protection » doit inclure le système de vidéoprotection, le système de contrôle d’accès, les contrôles de sécurité etc... L’ensemble de ces contrôles doit garantir que seules les personnes ayant le droit d’accéder aux sites et / ou aux données peuvent y accéder.
La gestion des risques
A ce jour, dans la plupart des organisations, deux processus parallèles mais distincts sont utilisés pour évaluer et gérer les risques liés à la sécurité physique et à la cybersécurité.
La reconnaissance du fait que ces deux processus doivent fonctionner ensemble, et le développement d'une méthodologie complète et convergente pour réaliser cette synergie, pourraient être les éléments les plus importants pour parvenir à une sécurité intégrée au sein d'une organisation.
L’alignement organisationnel
La sécurité intégrée est étroitement liée à la coopération et l’échange d’information entre les parties prenantes : les experts de la sécurité physique et les experts IT, les spécialistes RH, les ingénieurs en charge des installations, les gestionnaires de ressources. Un alignement organisationnel adéquat est essentiel et nécessite l’implication de la Direction Générale.
La culture d’entreprise
La Direction d’entreprise définie et met en place la vision et le ton des organisations.
De ce fait, elle est la clé de l'instauration d'un changement culturel.
Étant donné que le modèle de sécurité actuel cloisonné ne peut pas atténuer efficacement les menaces et les vecteurs d'attaque complexes d'aujourd'hui, les organisations doivent commencer à faire évoluer leur leadership en matière de sécurité au plus haut niveau afin que la responsabilité de tous les aspects de la sécurité d'entreprise soit assumée.
La gestion de la performance
La mise en œuvre de mesures de performance (KPI) peut profiter aux organisations à différents niveaux, en particulier lorsque les activités de sécurité sont en concurrence avec d'autres programmes organisationnels en s’appuyant sur des ressources limitées.
Il est essentiel de mettre en place les KPI adéquats pour s’assurer que la sécurité intégrée permette de diminuer les risques qui pèsent sur l’organisation.
Les KPI et la gestion de performance de la sécurité permettent de passer d’une approche centrée sur le coût de la sécurité vers une approche de la valeur ajoutée de la sécurité pour l’organisation.
La protection des chaines d’approvisionnement
La chaine d’approvisionnement est un système complexe constitué des partenaires, des fournisseurs et des marchandises. Elle a besoin d’être sécurisée, bien gérée et résistante aussi bien au niveau règlementaire et environnemental qu’au niveau du rendement et de la gestion des ressources humaines. La chaine d’approvisionnement est un axe à part entière de la sécurité globale de l’organisation et de ce fait s’intègre dans le modèle de gestion de sécurité basé sur la mission.
Pour résumer, le secteur de la sécurité physique est « condamné » à suivre les évolutions technologiques et sociétales et de s’y adapter en passant d’un model en « silo » vers un modelé de sécurité intégrée.
Nous allons aborder l’ensemble de ces sujets dans nos prochains articles.
Comments