Sécurité d’un data center : accès physique, zones et traçabilité

1. Périmètre : clôture, portail véhicules, contrôle avant d’atteindre le bâtiment.
2. Entrée du bâtiment : accueil sécurité, vérification d’identité, remise d’un badge.
3. Espaces intérieurs : couloirs, quais, bureaux, avec accès selon le rôle.
4. Salles informatiques : liste restreinte, entrée contrôlée une personne à la fois.
5. Baies ou cages clients : verrouillées, ouvertes aux seules personnes désignées par chaque client.

Les locaux techniques critiques — TGBT, groupes électrogènes, refroidissement, salles opérateurs — forment une zone à part, car une panne y arrête tout. De nombreux clients auditent la sécurité physique selon leurs propres référentiels ; demandez par écrit, dès le départ, quelles exigences concernent le gardiennage, pour que la traçabilité les démontre.

1. Le client ou l’exploitant approuve à l’avance qui vient, quand et dans quelles zones.
2. À l’entrée, l’agent contrôle une pièce d’identité par rapport à la liste.
3. Un badge est remis uniquement pour les zones et la période approuvées.
4. Ce qui ne correspond pas — autre jour, autre zone, personne inconnue — est bloqué et confirmé avec le référent du client.
5. À la sortie, le badge est restitué et le départ consigné.

L’agent ne décide pas qui est autorisé. Il vérifie par rapport à ce que le client a approuvé par écrit et consigne chaque exception.

Dans les bâtiments d’entreprise protégés par OVIT, l’accueil, l’hôte et la sécurité partagent une seule demande contrôlée, et l’agent accorde, limite ou refuse l’accès en ayant tout le contexte (sécurité d’entreprise).

• Ordre d’intervention : quels travaux, quelle zone, quelle baie, quels horaires, qui a approuvé.
• Escorte : nommée à l’avance, reste avec le visiteur et ne le laisse jamais seul en salle informatique.
• Matériel : ce qui entre et sort — outils, appareils, supports de stockage — est consigné selon la procédure du client.
• Livraisons : reçues au quai et contrôlées par rapport à l’envoi attendu avant d’entrer dans les zones intérieures.

L’escorte échoue quand personne n’est clairement responsable. Inscrivez-la dans les consignes de poste : qui escorte, que faire si le visiteur demande à aller ailleurs, qui prévenir.

• Sas : la seconde porte ne s’ouvre que lorsque la première est fermée et la personne vérifiée.
• Tourniquet : un passage par badge, généralement à l’entrée du bâtiment.
• Anti-passback : un badge ne rouvre pas la même entrée si aucune sortie n’a été enregistrée.
• Alarmes de porte : une porte maintenue ouverte ou forcée alerte aussitôt quelqu’un qui répond.

Chaque obstacle physique génère des alarmes. Si personne n’y répond, les portes finissent calées ouvertes et le système perd sa valeur.

• Accès : qui, quand, quelle zone, quel badge, sur quelle approbation.
• Visiteurs : ordre d’intervention, escorte, heures d’entrée et de sortie, matériel.
• Exceptions : ce qui ne correspondait pas, qui a été prévenu, qui a décidé.
• Alarmes : portes, effractions, talonnage, et l’action qui a suivi.
• Revue périodique : badges actifs comparés à la liste du client, pour révoquer ceux qui ne servent plus.

La vidéo a des limites : suppression sous 15 jours ouvrables au plus en l’absence d’incident ; les images d’un incident visant l’entreprise peuvent être conservées 30 jours, celles d’un incident impliquant un tiers 3 mois (Directive 1/2011, art. 8). Les panneaux sont placés avant le champ de la caméra (art. 12). L’Autorité hellénique de protection des données indique que la vidéosurveillance ne peut servir à surveiller ou évaluer les salariés (art. 27, loi 4624/2019). Plus de détails dans le guide vidéosurveillance et RGPD.

• Porte forcée ou restée ouverte : se rendre sur place, contrôler la zone, signaler, consigner.
• Personne inconnue dans une zone : vérifier, raccompagner hors de la zone, informer le client.
• Talonnage : localiser la personne, vérifier, signaler.
• Alarme d’évacuation : la procédure d’évacuation du bâtiment, avec comptage au point de rassemblement.
• Urgence médicale : appeler les secours et les guider à travers les zones contrôlées.

OVIT applique des scénarios de réponse exercés pour l’incendie, l’urgence médicale et l’intrusion, avec une liaison préétablie avec les services de secours, et une vraie personne répond au centre opérationnel. Le client voit incidents et rapports dans une seule vue en direct via la plateforme Guardly.

Chaque membre de l’équipe détient une carte professionnelle personnelle, catégorie A ou B, valable cinq ans (loi 2518/1997, art. 3) — demandez les numéros. La structure d’un rapport est détaillée dans le guide du rapport d’incident. Demandez une proposition pour votre data center.