Société de sécurité ou société de cybersécurité : laquelle vous faut-il ?

Quand vous cherchez une « société de sécurité », le moteur de recherche ne sait pas si vous craignez un cambriolage ou un rançongiciel. Les deux métiers partagent un mot, pas le travail :

• Sécurité physique : agents en poste, rondes, contrôle des entrées, alarmes, caméras, centres de réception d’alarmes. Le risque : quelqu’un qui entre, emporte ou dégrade quelque chose sur place.
• Cybersécurité : réseaux, serveurs, messagerie, comptes, sauvegardes, tests d’intrusion. Le risque : quelqu’un qui accède à vos systèmes ou à vos données.

Une bonne première question pour tout prestataire : « Que ferez-vous exactement sur mon site, et avec quelles personnes ? » La réponse montre aussitôt à quel métier il appartient.

La loi 2518/1997 définit comme entreprise privée de services de sécurité celle qui fournit à des tiers un ou plusieurs des services suivants (art. 1 §1) :

• (α) surveillance ou gardiennage de biens meubles ou immeubles et d’installations ;
• (β) protection de personnes physiques ;
• (γ) transport sécurisé de fonds, valeurs, antiquités, œuvres d’art et objets précieux en véhicules blindés ;
• (δ) protection de spectacles, expositions, congrès, concours et manifestations sportives ;
• (ε) contrôle de sûreté et contrôle d’accès dans les aéroports et les ports, avec l’accord de l’autorité compétente ;
• (στ) escorte de véhicules transportant des charges volumineuses ou lourdes ; (ζ) escorte de délégations sportives ;
• (η) études et conception de mesures pour les activités (α) à (ζ) ;
• (θ) installation, maintenance et surveillance du fonctionnement d’équipements et de systèmes de sécurité et d’alarme, sauf ceux montés sur des voitures ;
• (ι) exploitation de centres de réception, de contrôle et de transmission de signaux d’alarme ;
• (ια) études et conception de systèmes de sécurité pour les activités (θ) et (ι).

Pour toutes ces activités, l’entreprise doit détenir une autorisation d’exploitation spéciale, délivrée par le chef d’état-major du Quartier général de la Police hellénique (art. 2 §1). Le personnel doit détenir une licence de travail : catégorie A pour les activités (α) à (η), catégorie B pour (θ), (ι) et (ια) (art. 3 §2–3). Comment vérifier une licence : voir notre guide pour vérifier la licence d’une société de sécurité ; le cadre général : le guide sur la loi de la sécurité privée en Grèce.

La protection des réseaux, des logiciels et des données ne figure pas parmi les activités de l’art. 1 §1. Une licence au titre de la loi 2518/1997 ne dit donc rien de la compétence d’une société en cybersécurité — et inversement.

Une caméra IP, un enregistreur ou un contrôleur de portes a une adresse réseau, un logiciel et des mots de passe administrateur. Si les mots de passe restent ceux d’usine ou si l’appareil n’est jamais mis à jour, le système acheté pour protéger le site devient une porte d’entrée dans votre réseau. C’est pourquoi, pour ces systèmes, les deux métiers doivent se coordonner :

• Côté sécurité physique : où placer caméras et lecteurs, qui regarde l’image, qui intervient sur une alarme. Voir nos guides pour choisir un système de vidéosurveillance et sur le contrôle d’accès.
• Côté cybersécurité : sur quel réseau se trouvent les appareils, qui détient les comptes administrateur, comment fonctionne l’accès à distance, qui installe les mises à jour.
• Le point commun : un document qui dit qui est responsable de quoi, pour que rien ne reste entre les deux. Comment les systèmes forment une seule image : voir le guide sur l’intégration des systèmes de sécurité.

La norme que l’on rencontre souvent ici est l’ISO/IEC 27001, intitulée « Information security, cybersecurity and privacy protection — Information security management systems — Requirements ». Elle porte sur un système de management de la sécurité de l’information, pas sur le gardiennage. Ce que signifie un certificat et comment le vérifier : voir le guide sur les certifications ISO.

• Sécurité physique seule : vols de marchandises, inconnus qui entrent, chantier la nuit, événement avec du public. Il vous faut des agents, des rondes ou des systèmes fournis par une entreprise titulaire d’une licence au titre de la loi 2518/1997.
• Cybersécurité seule : fraude par e-mail, fichiers chiffrés, fuite de données clients, audit du réseau. Il vous faut des spécialistes informatiques et de la sécurité de l’information.
• Les deux : caméras, enregistreurs, contrôle d’accès ou alarmes reliés au réseau ou à Internet, salles de données, salles serveurs. Demandez alors aux deux parties de convenir par écrit de qui fait quoi.

OVIT est une société de sécurité physique : gardiennage et rondes, avec la plateforme Guardly qui donne une seule image en direct des rondes, des incidents et des rapports. Nous ne sommes pas une société de cybersécurité : si vos systèmes sont en réseau, ce volet a besoin de son propre responsable.

• À la société de sécurité : quel est votre numéro d’autorisation d’exploitation ? La loi impose qu’il figure sur ses documents (art. 4 §1α). Quelle catégorie de licence de travail ont les personnes envoyées — A pour le gardiennage, B pour l’installation et la surveillance de systèmes ?
• À la société de cybersécurité : quels systèmes examinerez-vous, selon quelle méthode, et quel résultat écrit recevrai-je ? Si vous citez une certification, quel est son périmètre ?
• À celui qui installe caméras ou contrôle d’accès : qui garde les comptes administrateur, comment les mots de passe d’usine sont-ils changés, qui installe les mises à jour, comment fonctionne l’accès à distance, et qui le coupe à la fin du contrat ?

Une société qui dit « tout faire » n’est ni une raison de la choisir ni de la rejeter. Demandez-lui de montrer quelle partie elle assure elle-même, sous quelle licence et avec quelles personnes.