Qui a décidé cela ?

Une nouvelle technicienne commence un lundi dans l'équipe de maintenance. Il y a dix ans, cela voulait dire un formulaire, la signature de son responsable et un passage au guichet des clés. Aujourd'hui, l'essentiel est fait avant même son arrivée. Les RH créent sa fiche, le système de contrôle d'accès la récupère pendant la nuit et, dès sept heures, son badge ouvre tout ce qu'ouvre le groupe maintenance. Personne n'a rien eu à faire, et c'est à peu près ce vers quoi notre secteur travaille depuis dix ans.

Le groupe maintenance ouvre aussi les locaux électriques et le toit. Quelqu'un a créé ce groupe en copiant le profil d'un gardien qui avait réellement besoin de tout cela, et chaque nouvel arrivant en a hérité depuis. Le système lui a transmis une décision prise pour quelqu'un d'autre en 2019, et il l'a fait parfaitement.

Je pense que c'est là qu'en sont la plupart des sites aujourd'hui. Nous sommes devenus très bons pour distribuer les accès, et à peine meilleurs pour en décider. Un flux RH plus propre et un badge sur le téléphone sont utiles l'un comme l'autre, mais aucun des deux ne vous dit qui a décidé qu'elle devait avoir accès aux locaux électriques, ni si c'est encore valable un an plus tard.

Même là où le système de contrôle d'accès est alimenté directement par les RH, les clés sont toujours remises au guichet sur la parole de quelqu'un. Pendant sa deuxième semaine, son badge n'ouvre pas les locaux techniques, alors son responsable va lui chercher une clé au guichet, et c'est son paraphe à lui qui figure au registre des clés. Elle tient désormais ses accès de deux sources. L'un vient d'un groupe que personne n'a regardé depuis des années, l'autre d'un responsable, un matin chargé. Aucun des deux ne dit pourquoi.

La cybersécurité est déjà passée par là. Là aussi, on distribuait des comptes puis on les oubliait, jusqu'à ce que décider des accès et les mettre en place deviennent deux tâches distinctes. Le responsable d'un système décide qui doit y avoir accès, l'informatique met l'accès en place et, à intervalles réguliers, quelqu'un doit confirmer que cet accès se justifie toujours. Certains sites font déjà cette séparation pour les badges, et certains guichets de clés appliquent une procédure d'approbation pour les clés sensibles. L'inventaire annuel des clés, quand il existe, confirme qu'elle a toujours la clé, pas qu'elle devrait encore l'avoir.

Décider, pour une organisation, c'est établir qui doit pouvoir ouvrir quoi, pour quelle raison et jusqu'à quand. Elle l'établit une seule fois, que la porte s'ouvre avec une clé ou avec un badge. Ainsi, quand un nouveau responsable sécurité demande pourquoi, il existe une réponse, avec un nom et une raison.

Vous décidez qui peut aller où, et cette décision reste la vôtre. portierX l'applique dans les systèmes de contrôle d'accès raccordés, remet les clés en conséquence et garde une trace de chaque étape. Jusqu'à son lancement public début 2027, portierX est ouvert uniquement aux organisations invitées.

Tout ira bien pour elle. Son badge fonctionne, son responsable lui fait confiance et le travail se fait. Elle peut aussi entrer dans les locaux électriques, et la seule décision derrière cela a été prise pour un gardien en 2019.