La gestion des droits d’accès dans les multinationales

Comment circuler d’un établissement à l’autre, sans contraintes pour l’utilisateur, tout en garantissant la sécurité des accès ? C’est l’un des enjeux des entreprises multinationales, confrontées à la gestion souvent complexe des droits d’accès de leurs salariés.

Pour bâtir un système cohérent, homogène et évolutif, mieux vaut partir sur des bases bien établies. Tout du moins si on souhaite faire de la gestion multisite un long fleuve tranquille plutôt qu’un raz-de-marée d’informations impossibles à exploiter. En effet, en l’absence d’une solution dynamique et puissante, capable de combiner des données en quantité, la gestion des droits d’accès revient vite à nager à contre-courant. Pour ne pas dire, à se noyer. A l’heure de la mobilité sans frontières, le contrôle d’accès doit pouvoir s’adapter à une croissance exponentielle des données, générées par des profils d’utilisateurs de plus en plus fins et complexes. D’où la nécessité de formuler quelques interrogations préalables aux choix d’une solution appropriée. Comment suivre au plus près les mouvements d’utilisateurs dans leur mobilité, non seulement géographique, mais aussi professionnelle ? Quels critères faut-il retenir pour dresser des profils les plus pertinents ? Comment gagner du temps – et de l’argent – en réduisant l’administration des droits à quelques actions, les plus simples possibles, pour l’opérateur ?

Du contrôle d’accès au système d’informations

Pour les groupes de dimension internationale ou les entreprises dont les succursales sont réparties sur un même territoire, simplifier la gestion des accès des collaborateurs, visiteurs, prestataires est devenu une nécessité de premier ordre. Tant pour les applications quotidiennes (accès courant, accès logique, paiement électronique, etc.) que critiques (sécurisation de zones sensibles). « L’objectif d’une solution de contrôle d’accès performante est de fournir les bons outils associés à l’organisation souhaitée par le client, rappelle Pascal Loiseau (directeur national des ventes pour l’activité FSS-ES chez Siemens). L’idée est bien évidemment d’obtenir un bon niveau de protection tout en assurant la fluidité de passage des salariés d’un ensemble d’entreprises. » Dans cet environnement, le badge unique multi-applicatif et/ou multitechnologie tend à constituer la norme, même si une solution globale de gestion d’accès doit rester suffisamment ouverte pour pouvoir intégrer des technologies variées (et donc accepter l’usage de plusieurs badges, ne serait-ce que temporairement, en attendant qu’une solution s’harmonise).
Les besoins récurrents d’une multinationale concernent notamment la mobilité. Les salariés pouvant être amenés à se déplacer sur différents sites, ils veulent pouvoir le faire simplement. S’exprime également le besoin d’accéder à un historique d’événements de chaque site. Combinant impératifs de sécurité et confort dans l’accès à l’information, l’échelle des besoins en gestion multisite est donc large. De plus, dans la mesure où on veut pouvoir également « suivre » les collaborateurs dans leurs déplacements professionnels, le contrôle d’accès ne se cantonne pas à assurer la sécurité locale d’établissements distants : « Les multinationales souhaitent aussi pouvoir assurer la traçabilité de leur personnel de par le monde, précise Sylvie Gauthier, responsable des ventes France (Honeywell). L’entreprise souhaite pouvoir être informée des itinéraires de ses salariés. En cas de problème, il s’agit de caractériser un déplacement, de déterminer entre quels sites il a eu lieu, à quel moment. » De fait, la capacité à effectuer des actions de reporting efficaces et assurer une bonne traçabilité constitue une demande croissante de la part des grandes entreprises. Comme le souligne Laurent Rouyer (responsable marketing et produit Evolynx), « un système de contrôle d’accès tend à devenir un système d’informations mobilisant de nombreuses fonctionnalités de recherche multicritère : lieu, date, fonction, nationalité, etc. Le système déployé doit donc être capable de digérer des quantités importantes de données. »

Siveillance Fusion (Siemens) : une plateforme unique pour la gestion multisite
SiveillanceTM Fusion est le système dédié à la gestion multisite de la gamme Siveillance. Conçue pour gérer un large éventail d’équipements, cette solution logicielle puissante est capable de centraliser les informations, la gestion et le traitement d’alarmes de plusieurs systèmes de sécurité (contrôle d’accès, vidéosurveillance, intrusion), au sein d’une plateforme unique. Solution ouverte et flexible, Siveillance Fusion intègre donc facilement une multitude de sous-systèmes de divers fabricants. Le système peut être exploité via des postes de travail physiques, dans le cadre d’une architecture client-serveur traditionnelle, ou via Internet, dans le cadre d’une architecture client léger. La consultation immédiate de l’état des matériels et l’extraction des rapports et des séquences vidéo locales ou en provenance de plusieurs sites dans le monde sont possibles, avec une simplicité accrue. Configurable pour un seul ou plusieurs opérateurs, l’interface logicielle est facile d’utilisation et adaptable. Pour assurer la sécurité et la continuité opérationnelle d’un système en local, les équipements de base sont conçus pour fonctionner indépendamment. Une redondance additionnelle peut être obtenue par clustering des serveurs et de la base de données de l’application. Pour étendre les fonctionnalités de la solution en contrôle d’accès, des modules applicatifs sont disponibles (gestion des horaires, gestion des visiteurs, gestion multilocataire avec séparation des droits, concepteur de rapports, badge avec photo d’identité).

Privilégier l’ouverture

Avec des sites disséminés de par le monde, difficile pour une entreprise de s’assurer de l’homogénéité de ses équipements de contrôle d’accès. La solution apportée pour la gestion des droits d’accès doit donc tenir compte de l’existant. « Si on se place dans le domaine des multinationales, il est très rare de rencontrer une situation totalement neuve, résume Pascal Lenglart (P-dg d’Alcea). Cela impose de considérer des infrastructures déjà présentes. En tant que fournisseur de solutions de gestion centralisée, il faut pouvoir fournir des réponses complètes, autant sur la partie matérielle que sur la partie logicielle. » Il faut donc attendre d’un système de gestion qu’il puisse, entre autres, dialoguer avec différentes technologies au niveau des terminaux d’identification. Ce système devra également prévoir la gestion de plusieurs identifiants pour chaque utilisateur. De plus, et c’est le cas de la plupart des solutions du marché, les systèmes de supervision du contrôle d’accès sont amenés à fédérer un nombre croissant d’applications tierces, de la vidéosurveillance à la gestion technique du bâtiment, en passant par l’intrusion. Il est donc préférable de privilégier des solutions ouvertes, compatibles avec une large palette d’équipements périphériques.

Penser un système dans son entier

Qu’il s’agisse de définir des profils d’utilisateurs ou de générer des activités de reporting, la gestion multisite conduit, à un moment ou à un autre, à centraliser les données relatives aux droits d’accès. Tout l’enjeu consiste donc à déployer une solution capable de fédérer les informations des différentes implantations d’une société. Un système de gestion multisite comprend le plus souvent des administrations locales, qui ont des droits sur des bases locales, et une administration générale des droits d’accès. Dans ce cadre, l’objectif est de fournir, aux sites locaux, un accès aux informations qui leur sont nécessaires, sachant qu’en central, dans la plupart des cas, l’ensemble des informations devra rester disponible. En cas de rupture du réseau ou d’un serveur, il faut également prévoir des solutions de redondance pour assurer la continuité du service. S’il est assujetti à une administration centralisée, chaque site doit pouvoir continuer à fonctionner localement. « Il est d’ailleurs préconisé de déployer des contrôleurs aux capacités importantes, capables d’assumer la gestion des accès pour l’ensemble des populations d’utilisateurs, estime Laurent Rouyer. La mémoire de gestion des automates doit être importante, de manière à garantir un fonctionnement autonome. »
La gestion multisite résulte donc d’une organisation complexe qui, de l’avis de Pascal Lenglart, impose de penser un système de gestion des droits d’accès dans son entier. Et surtout, de faire prévaloir la notion de site sur les autres critères d’attribution de droits. « C’est en quelque sorte une dimension supplémentaire et préalable de la gestion multiprofil, ajoute-t-il. Il est important d’envisager cette notion, car les autorisations de l’utilisateur peuvent varier d’un emplacement à un autre. » Il s’agit donc d’identifier en premier lieu les différents établissements dans lesquels un utilisateur est autorisé à pénétrer. A la suite de quoi, chaque site, pris indépendamment, sera associé à tels droits pour l’utilisateur. Dans le cas des multinationales, il faut aussi envisager la notion de fuseau horaire ou « multifuseau ». De manière à ce que, lorsqu’on détermine une tranche horaire, elle ne diffère pas d’un pays à l’autre. Il est également important de bien attribuer les heures. Petite complication supplémentaire, la notion d’heure d’été et d’heure d’hiver. Il faut donc penser à un système qui permette de calibrer les heures en fonction de ses différents critères locaux. En somme, plus le nombre d’utilisateurs est important, plus la gestion des droits prend un caractère exponentiel. C’est, pour ainsi dire, l’ultime enseignement à retenir de la gestion multisite. Au-delà de ce constat, il faut bien sûr pouvoir déployer une solution suffisamment puissante pour répondre à cette problématique, sans sacrifier ni à la simplicité d’exploitation, ni à l’ergonomie de l’interface opérateur.

Système iPerflex (Evolynx) : la sécurité intégrée rencontre le web 2.0
En développant le système iPerflex, Evolynx a souhaité intégrer à un système de sûreté complet les possibilités offertes par le Web. La logique évolutive web 2.0 d’iPerflex destine la solution à couvrir l’ensemble des besoins, des événements les plus courants aux plus critiques. Les objectifs du système sont multiples : faciliter l’ajout de nouvelles fonctions, développer l’ouverture aux applications tierces par le développement de nouvelles interfaces, optimiser l’échange de données avec les systèmes d’information. Enfin, proposer une solution suffisamment évolutive pour accroître sa pérennité. Pour répondre à ces enjeux, iPerflex a été développé sur un modèle d’architecture client léger 3-tier, conçu pour faciliter les évolutions et la maintenance. Le principal atout du système iPerflex réside dans la présence d’une IHM puissante, flexible et évolutive, exploitant la technologie RIA (Rich Internet Applications). L’utilisateur dispose ainsi, sur n’importe quel PC, d’une interface complète et dynamique pour assurer la supervision d’un site, à l’aide de nombreuses fonctionnalités : synoptiques animés, bandeaux d’alarme, comptage de personnes, vidéo incrustée, pilotage de caméras, fiches visiteur, statistiques sur événements, reportings, etc.

Définir une architecture appropriée

Administration centralisée ou autonomie complète ? Le premier cas de figure correspond à une architecture centralisée où un site commande la gestion des droits de tous les sites. Dans ce cas, l’architecture est basée sur un serveur unique pour l’ensemble des sites. La gestion des droits étant centralisée, le système doit pouvoir attribuer des autorisations de toutes les populations d’utilisateurs sur plusieurs sites. Un modèle de droits d’accès unique est donc valable pour l’ensemble des implantations. Le second cas de figure renvoie à une architecture distribuée, où chaque site est autonome dans sa gestion des droits d’accès. Les autorisations d’un utilisateur sont gérées par plusieurs sites, sous la responsabilité de responsables locaux. L’enjeu, ici, est de pouvoir cumuler des droits pour un même utilisateur. A chaque site correspondant un modèle de droits d’accès. Chaque modèle étant visible en local, à l’exclusion des autres, il faut aussi pouvoir procéder à une segmentation de l’ensemble des droits de l’utilisateur. Il est nécessaire de cloisonner.
« En gestion des droits d’accès multisite, il importe de déterminer la portée géographique et la portée fonctionnelle de chaque opérateur, estime Laurent Rouyer. En somme, c’est la définition de ces deux axes qui détermine l’architecture : soit un administrateur unique accède à l’ensemble de la gestion des sites, soit la gestion est confiée à des administrateurs locaux avec une vision restreinte de la supervision multisite. » Un troisième cas de figure correspond à toutes les organisations intermédiaires où la gestion des droits est partagée entre site central et établissements délocalisés. La nature des autorisations de chaque utilisateur peut, par exemple, être décidée en central, et les plages horaires définies en local.

Evolynx équipe Airbus Europe
Le constructeur aéronautique Airbus a choisi Evolynx pour la gestion du contrôle d’accès de ses sites en Europe. Il fallait un système puissant pour répondre aux nombreux besoins de l’industriel, a commencer par la volumétrie importante à traiter : 2 millions de visiteurs par an, 300 000 badges, des milliers de lecteurs répartis dans plusieurs pays… La conception européenne des avions impliquait par ailleurs une mobilité importante des collaborateurs d’un site à l’autre. Les besoins de traçabilité étaient également nombreux. Evolynx a donc développé un système intégrant une base de données puissante.
Parmi les fonctionnalités disponibles :
– Gestion des visiteurs intégrée avec création des avis de visites par l’intranet
– Automatisation de la validation et de la surveillance des avis de visites
– Automatisation de l’affectation des droits d’accès selon la fonction de chaque collaborateur, en permanence, sans modification manuelle des opérateurs sûreté. Les droits d’accès évoluent ainsi automatiquement en fonction du collaborateur. Résultat : une base de données de 1 million de personnes, gérée avec une sécurité et une productivité optimales, sans surcroît de travail pour les opérateurs.

Automatiser l’attribution des droits d’accès

Plus une entreprise est étendue et compte de collaborateurs, plus il devient nécessaire de développer des solutions capables d’automatiser les droits d’accès. « Dans le contexte d’une multinationale, on ne peut plus traiter les utilisateurs un par un, comme on le ferait simplement dans une PME, insiste Laurent Rouyer. Les profils d’utilisateurs sont traités en fonction de critères. Ces critères, appartenant à l’organisation de chaque société, permettent de traiter des volumétries importantes. » Une solution de gestion des accès doit donc pouvoir attribuer des droits en fonction du profil de chaque utilisateur. Optimiser la gestion multisite, c’est favoriser la combinatoire de données pour la création de modèles dynamiques de droits d’accès. Une solution de gestion performante doit pouvoir disposer de fonctionnalités évoluées permettant l’attribution automatique de droits d’accès, en fonction de champs préalablement définis : catégorie, service, nationalité, codification, etc. Ainsi, à tel service correspond un modèle de droits d’accès. En conséquence, lorsqu’un utilisateur change de statut, le modèle correspondant à son nouveau service lui est attribué automatiquement. Il importe donc de suivre l’évolution professionnelle des salariés. La question est : comment vont évoluer leurs autorisations lorsqu’ils vont changer de poste ? Une solution consiste à interfacer le système de contrôle d’accès avec l’annuaire RH de l’entreprise, en général commun à tous les sites, de manière à conserver un lien, en temps réel ou presque (au minimum une fois par jour), avec l’ensemble des collaborateurs. In fine, la gestion des droits d’accès n’est jamais aussi pertinente que lorsqu’elle « colle » parfaitement au profil de l’utilisateur.

Honeywell équipe le groupe bancaire Nomura avec Pro-Watch
La banque internationale Nomura, basée à Tokyo (Japon), dispose de bureaux dans tous les centres financiers à travers le monde. Pour répondre aux besoins en sécurité de ses nombreuses implantations, Nomura a investi dans une solution de contrôle d’accès Honeywell évolutive. Il est apparu essentiel de disposer d’un système de sécurité suffisamment flexible pour pouvoir centraliser les demandes de contrôle d’accès de n’importe quel bureau Nomura depuis un même point, tout en conservant localement une autonomie opérationnelle. Déployé dans un premier temps dans les bureaux londoniens du groupe bancaire, le système Pro-Watch Enterprise Edition d’Honeywell fonctionnera sur le réseau via une unique base de données et permettra à Nomura de centraliser l’accès d’un nombre illimité de portes et de zones dans tous les autres bureaux Nomura dans le monde. Comment fonctionne le système Pro-Watch Enterprise Edition ? Issu de la suite logicielle, Pro-Watch Enterprise Edition est conçu comme un système de sécurité global fusionnant plusieurs systèmes Pro-Watch Corporate Edition. Chaque serveur Corporate Edition devient ainsi un serveur régional et conserve le contrôle du système régional. La solution permet de centraliser l’identité des détenteurs de badges ainsi que les données d’événements. La solution déployée pour Nomura est donc composée d’un serveur d’entreprise permettant une gestion globale de plusieurs serveurs régionaux indépendants. Le serveur d’entreprise sert de zone de stockage central pour les configurations systèmes, les historiques de transactions et les informations des détenteurs de badges. Les serveurs régionaux fonctionnent de manière indépendante comme bases de données locales et partagent des informations avec le serveur d’entreprise.

Faire simple !

Plus l’activité d’une entreprise est délocalisée aux quatre coins du monde, plus les opérateurs en charge de la gestion des droits seront diversifiés. En d’autres termes, plus l’entreprise est importante, plus la solution logicielle d’administration des droits doit être simple. D’où l’intérêt de développer un système souple, capable de segmenter les fonctionnalités en fonction de chaque population d’opérateurs. En effet, dans un établissement donné, l’attribution et la mise à jour des droits peut être confiée à une hôtesse. Ailleurs, c’est une responsable sécurité qui va s’en charger. Inutile donc d’associer à un opérateur une pléthore de fonctions dont il n’aura pas l’usage. Pour des raisons d’organisation et d’efficacité, il faut pouvoir aménager une interface adaptée à ses besoins et limiter au maximum son accès à l’ensemble des fonctionnalités. En conséquence, la solution adoptée doit être la plus conviviale possible, de manière à simplifier au maximum la prise en mains. L’opérateur doit comprendre l’étendue des fonctionnalités qui lui sont attribuées en quelques clics. Le gain n’est pas négligeable : c’est autant d’heures de formation économisées auprès de populations qui, comme les hôtesses d’accueil, sont soumises à un fréquent turnover. De plus, la fréquentation très importante de certains sites met la productivité des opérateurs à rude épreuve. Quelques clics en moins pour l’attribution d’un profil de droits d’accès, c’est autant de secondes gagnées. Le soin apporté à l’ergonomie d’un logiciel peut donc faire gagner beaucoup de temps, donc d’argent, tout en simplifiant le travail des opérateurs.

Garantir une qualité de service

Lorsqu’une société adopte un système centralisé de gestion des accès, elle s’attend bien sûr à bénéficier d’une solution homogène, fonctionnelle et conforme aux besoins de chacune de ses implantations. L’attente est légitime. « En effet, note Sylvie Gauthier, ces entreprises sont naturellement préoccupées par la qualité de leur installation. Elles souhaitent obtenir la garantie que l’installateur dédié aura partout le même niveau de compétences. Il faut pouvoir être sûr que les systèmes installés localement pourront s’intégrer sans difficultés dans une architecture globale. » A cette fin, les fournisseurs de solutions ont tout à gagner à accompagner leur offre d’une garantie de service. C’est le cas d’Honeywell, qui a mis en place un système de certifications, destiné aux intégrateurs de sa solution de gestion Pro-Watch. La certification comporte plusieurs niveaux. Un intégrateur Pro-Watch sera donc « autorisé », « silver », « gold » ou « platinum », suivant son niveau de qualification. Des entreprises peuvent donc exiger un niveau de certification minimum. Même intention chez Siemens, dont la politique de certification PM@Siemens est en cours de mise en place. L’originalité de cette certification est qu’elle concerne aussi bien les commerciaux que les techniciens, en passant par les chefs de projet.

Alcea et l’AFP, l’information sécurisée
En choisissant Alcea pour faire évoluer sa sécurité vers une gestion centralisée des droits d’accès, l’AFP comptait bien bénéficier d’une solution simple, performante et capable d’évoluer vers une gestion multisite. Et les attentes de l’AFP n’ont pas été déçues. L’évolution a été motivée par le souhait de reprendre à la racine un système de gestion de badges obsolète, mais aussi par la volonté de simplifier à la fois la mobilité des journalistes et les procédures d’habilitations à l’international (l’AFP compte cinq centres rédactionnels à travers le monde). Au niveau du siège parisien, premier établissement équipé par Alcea, le choix s’est porté sur la technologie Mifare pour fédérer le contrôle d’accès, l’accès aux salles informatiques par identification biométrique et le restaurant dans un badge unique. « Sur la France, nous totalisons un peu plus de 1 500 utilisateurs, chiffre qui inclue les collaborateurs et certaines populations comme des sous-traitants, des pigistes, détaille Alcino Pereira, responsable adjoint à la Sécurité des systèmes d’information. Le système est évolutif, c’est tout l’avantage d’une solution de gestion centralisée. Les badges sont administrés en local mais peuvent, le cas échéant, être étendus à tout site de l’AFP, en cas de déplacement ou de mutation d’un journaliste. » La solution adoptée est en cours de déploiement à l’étranger, dans les directions régionales Moyen-Orient (Nicosie) et Amérique du Sud (Montevideo) de l’AFP. Ce qui n’empêche pas le service Informations de l’AFP d’engager une réflexion sur une extension du système au contrôle d’accès logique dans les locaux parisiens : « Nous sommes en train de travailler à cette évolution, qui constitue la deuxième phase du projet d’équipement, confie Alcino Pereira. A terme, nous souhaitons que les porteurs de badge aient la possibilité d’ouvrir des sessions informatiques sur les postes de travail et d’accéder au système d’informations. Cela implique de faire évoluer les badges vers une solution d’authentification forte. Une partie importante du travail préparatoire consiste également à définir les process en cas de perte ou d’oubli de ces badges. Dans de tels cas, il ne faudrait pas que les utilisateurs soient pénalisés dans leur travail car les collaborateurs de l’AFP, équipés pour la plupart d’ordinateurs portables, sont assez nomades. Que se passe-t-il en cas de perte du badge en plein reportage ? Une réflexion doit donc être menée autour de la gestion du badge, de la manière de le provisionner. »