Sécurité physique ou cybersécurité : où commence la protection des données réseau ?

Dans un contexte où les rançongiciels paralysent des hôpitaux, où les intrusions frappent des collectivités et où le télétravail a multiplié les points d’entrée, la question de la protection des données réseau n’a plus rien d’abstrait. Les attaques ne commencent pas toujours par une faille logicielle, elles naissent aussi d’une porte mal contrôlée, d’un badge prêté ou d’un équipement oublié dans un local technique. Où se situe, concrètement, la frontière entre sécurité physique et cybersécurité, et qui doit piloter l’ensemble ?

La première faille, c’est souvent une porte

On parle beaucoup de phishing, de mots de passe faibles et de correctifs non appliqués, pourtant une part non négligeable des incidents a une origine très terrestre : l’accès aux lieux et aux équipements. Un réseau, ce sont des baies, des routeurs, des commutateurs, des bornes Wi-Fi et des sauvegardes, et tout cela vit dans des salles serveurs, des armoires de brassage, des open spaces ou des sites industriels. L’ANSSI le rappelle régulièrement dans ses guides d’hygiène informatique : la maîtrise des accès physiques et la sécurisation des locaux techniques font partie des mesures de base, au même titre que la gestion des comptes. Dans les environnements sensibles, la séparation des zones, le contrôle d’accès et la traçabilité ne sont pas des « options sûreté », ils conditionnent la cybersécurité.

Les scénarios sont connus, et ils reviennent. Un prestataire intervient, reste seul devant une armoire réseau, et une simple connexion sur un port Ethernet suffit à tenter une écoute ou une attaque par rebond. Une entreprise déménage, laisse des équipements dans un local partagé, et le matériel, parfois non chiffré, devient une source d’information. Dans l’industrie, une station d’ingénierie ou un PC de supervision, accessible physiquement, peut servir de tremplin vers des automates; dans le tertiaire, une borne Wi-Fi réinitialisée ou un switch accessible dans un couloir offre une surface d’attaque. Ajoutez les risques « logistiques » : perte d’un ordinateur, vol d’un smartphone, disparition d’un disque de sauvegarde, et l’on comprend que la donnée réseau ne se protège pas seulement derrière un pare-feu.

La ligne de défense physique ne se limite pas à verrouiller une porte. Elle implique une politique : badges nominaux, droits d’accès par zone, supervision vidéo quand elle est justifiée et conforme, procédures d’accueil des visiteurs, et, point souvent négligé, inventaire à jour des équipements et des supports. Le tout doit être pensé avec l’IT, car une salle serveurs très sécurisée ne compense pas un placard technique laissé ouvert, tout comme une stratégie « zéro trust » perd de son sens si n’importe qui peut brancher un appareil sur le réseau interne.

Le réseau moderne déborde des murs

Qui contrôle encore vraiment le périmètre ? Avec le cloud, les accès distants et les objets connectés, la notion de « dedans » et « dehors » s’est diluée. Les données transitent entre sites, fournisseurs et plateformes SaaS, et l’entreprise ouvre des ports, fédère des identités et autorise des terminaux hétérogènes. Résultat : une intrusion peut partir d’un laptop utilisé à domicile, d’un partenaire compromis ou d’une application mal configurée, puis atteindre des ressources internes. La cybersécurité s’est déplacée : elle se joue dans l’identité, le chiffrement, la segmentation et la surveillance, mais elle reste dépendante de la réalité des usages, donc du terrain.

Les chiffres donnent l’ampleur. Le rapport « Data Breach Investigations Report » de Verizon, référence annuelle du secteur, souligne depuis plusieurs éditions le poids des facteurs humains, de l’ingénierie sociale et de l’usage de credentials volés dans les intrusions. Cela ne signifie pas que la technique est secondaire, mais que l’attaquant cherche la voie la plus simple, celle qui contourne les couches de sécurité. Or, un accès physique non maîtrisé permet souvent de court-circuiter les protections logiques : ajout d’un point d’accès clandestin, connexion à un port non filtré, récupération d’informations sur des étiquettes d’équipements ou sur un tableau de mots de passe dans un local technique. À l’inverse, une politique de sécurité physique rigoureuse réduit le nombre de scénarios « faciles » et oblige l’attaquant à prendre plus de risques, donc à être plus visible.

Dans ce paysage, la protection des données réseau commence dès la conception. Segmenter les réseaux, isoler les systèmes critiques, activer l’authentification forte, journaliser les accès, contrôler les flux intersites, et surveiller les comportements anormaux, tout cela relève de la cybersécurité. Mais ces mesures doivent s’articuler avec les contraintes physiques : qui a accès à la baie qui héberge les liens opérateurs, qui peut redémarrer un routeur, qui gère les clés des armoires, comment s’assure-t-on qu’un visiteur ne peut pas circuler seul. Les organisations matures traitent ces points dans une approche de gestion des risques, en reliant sûreté, IT, et métiers, plutôt qu’en empilant des règles en silos.

C’est aussi là que le « réseau » devient un sujet de gouvernance. Plus il s’étend, plus il faut clarifier les responsabilités, et, surtout, outiller la connaissance : cartographie des flux, inventaire, et visibilité sur les accès. Sans cette base, la question « où commence la protection » se transforme en débat de périmètre, alors qu’elle devrait conduire à une réponse opérationnelle : à partir du moment où un actif, un identifiant ou un local permet d’influencer la confidentialité, l’intégrité ou la disponibilité des données, il doit entrer dans le champ de la sécurité, quelle que soit l’étiquette « physique » ou « cyber ».

Des mesures simples, et beaucoup de rigueur

La sécurité des données réseau n’exige pas toujours des technologies spectaculaires, elle réclame d’abord de la discipline. Les meilleures équipes le répètent : l’exécution bat l’intention. Concrètement, cela commence par des standards de configuration, un plan de durcissement des équipements, des mises à jour cadrées, et une gestion stricte des identités. Un compte administrateur partagé, un accès VPN sans MFA, ou des ports réseau laissés en mode « ouvert » ruinent rapidement les efforts. Sur le terrain, la rigueur se traduit aussi par des gestes simples : verrouiller les armoires, poser des obturateurs de ports dans les zones publiques, et éviter que des prises réseau actives soient accessibles dans des salles de réunion où passent des visiteurs.

La partie physique, elle, se traite comme un processus continu. Identifier les zones à risque, définir qui y entre, et garder une trace exploitable. Les journaux d’accès, quand ils existent, doivent être consultables et corrélables en cas d’incident; les badges désactivés rapidement lors des départs, et les prestataires encadrés par des règles claires. Dans de nombreux incidents, l’enquête se heurte à une absence de preuves : pas d’historique fiable des accès, pas d’inventaire, pas de caméra sur les points réellement sensibles, et des clés qui circulent. La cybersécurité se retrouve alors à « deviner » ce qui s’est passé, là où une traçabilité minimale aurait réduit le temps de réponse.

Reste un point de méthode : tester ce que l’on croit protéger. Les audits, les tests d’intrusion et les exercices de crise ne concernent pas seulement les firewalls, ils doivent inclure les parcours physiques plausibles, notamment sur les sites multi-occupants. Une organisation peut s’aligner sur des référentiels reconnus, ISO/IEC 27001 pour le management de la sécurité de l’information ou NIST pour le cadre de cybersécurité, mais l’essentiel est la traduction dans le réel : procédures, contrôles, et, surtout, correction des écarts. Les contrôles d’accès mal paramétrés, les portes coupe-feu maintenues ouvertes, ou les armoires réseau « temporairement » déverrouillées sont des écarts typiques, et ils finissent souvent par devenir permanents.

Pour guider ce travail, certaines structures choisissent d’outiller la gestion des accès, la supervision et l’organisation des contenus techniques, afin que les équipes retrouvent rapidement la bonne documentation, les schémas réseau, les procédures et les informations à jour. Si vous cherchez un point d’entrée pour accéder au contenu sur ces sujets, l’enjeu n’est pas de multiplier les outils, mais de faire circuler une information fiable entre sûreté, IT et direction, et de réduire le temps perdu à reconstituer ce qui devrait être déjà documenté.

Qui doit piloter l’ensemble, sans angle mort ?

La question du pilotage est souvent la plus délicate, car elle touche à l’organisation. Dans beaucoup d’entreprises, la sûreté dépend des services généraux ou d’une direction dédiée, et la cybersécurité dépend de l’IT, parfois avec un RSSI. Chacun a ses budgets, ses prestataires, ses outils, et ses priorités. Or, les attaques exploitent précisément les interstices : un accès physique géré sans coordination avec les comptes numériques, une gestion des prestataires sans lien avec les droits informatiques, ou une politique visiteurs qui ne tient pas compte des locaux techniques. Le risque n’est pas seulement technique, il est structurel : c’est l’absence de chaîne de responsabilité claire sur les actifs critiques.

Les organisations les plus résilientes mettent en place une gouvernance conjointe, au minimum un comité de sécurité qui réunit sûreté, IT, juridique, conformité et métiers. L’objectif : partager une cartographie des risques et définir des contrôles cohérents. Cela se traduit par des arbitrages concrets, par exemple décider que les salles réseau relèvent d’une politique d’accès renforcé, que les prestataires sont accompagnés, que toute intervention sur un équipement critique est enregistrée, et que les droits numériques associés à ces interventions sont temporaires et tracés. Sur le volet cyber, cela implique un SOC ou une supervision, des alertes exploitables, et une capacité à répondre vite, mais cette capacité dépend aussi de l’accès aux sites, des procédures d’intervention et de la disponibilité des équipes.

La réglementation pousse d’ailleurs dans ce sens. Entre le RGPD, qui impose des mesures de sécurité « appropriées » au regard des risques, et la montée en puissance de NIS2 dans l’Union européenne, qui renforce les exigences pour de nombreux secteurs, la séparation stricte entre physique et cyber devient difficile à défendre. En cas d’incident, l’entreprise devra démontrer sa maîtrise, et cette maîtrise passe par une approche globale, documentée et pilotée. Les assureurs cyber, eux aussi, demandent de plus en plus des preuves : MFA, sauvegardes, segmentation, et, selon les activités, contrôle d’accès aux locaux techniques et procédures prestataires.

Au fond, la protection des données réseau commence là où l’on accepte une réalité simple : un attaquant n’a pas besoin de choisir entre une porte et une faille, il prendra le chemin le moins coûteux. La réponse efficace consiste à réduire ces chemins, en alignant la sécurité physique et la cybersécurité autour d’un même objectif, et en construisant une visibilité de bout en bout, du badge d’entrée jusqu’aux journaux d’accès aux systèmes.

Ce qu’il faut prévoir dès maintenant

Pour avancer sans se perdre, commencez par réserver un créneau d’audit interne ou externe, et fixez un budget réaliste, en priorisant les accès aux locaux techniques, l’authentification forte et la segmentation réseau. Mobilisez aussi les aides disponibles selon votre secteur, notamment via des dispositifs régionaux ou des programmes d’accompagnement à la cybersécurité, car ils peuvent financer diagnostic et montée en maturité. Agissez vite, et documentez tout.