Contrôle d'accès : investir selon le risque, pas selon l'âge des équipements.

AVIS D’EXPERT

Prenons un cas ordinaire. Un prestataire termine sa mission un vendredi. Son compte Active Directory est désactivé le lundi, comme le prévoit la procédure. Son badge, lui, ouvre encore la salle serveurs six mois plus tard. Personne ne s’en aperçoit : aucune alerte, aucune porte bloquée. Le système de contrôle d’accès fonctionne parfaitement. C’est précisément le problème : le bon fonctionnement d’un équipement ne garantit pas que son niveau de sécurité reste adapté.

Selon le rapport international State of Security and Identity 2026 de HID, 73 % des professionnels interrogés placent la gestion des identités parmi leurs priorités stratégiques. Par ailleurs, 75 % des organisations ont déjà déployé ou évaluent activement des solutions d’identité unifiée, rapprochant la gestion des accès physiques et numériques. Ces résultats témoignent d’une évolution des préoccupations des entreprises. Le contrôle d’accès ne peut plus être envisagé uniquement comme une infrastructure du bâtiment. Il participe désormais à un ensemble plus large de dispositifs de gestion des identités et de protection des actifs.

Pour les entreprises, cette évolution soulève une question concrète : comment renforcer la sécurité sans engager une transformation coûteuse et disproportionnée ?

Dans les infrastructures informatiques, l’obsolescence est souvent associée à des performances dégradées, des incompatibilités ou des difficultés de maintenance. Dans le contrôle d’accès, elle peut être beaucoup moins perceptible.

Un lecteur continue de fonctionner alors que les mécanismes d’identification utilisés n’offrent plus une protection suffisante. Un contrôleur reste opérationnel, mais ses possibilités de mise à jour ou de sécurisation des communications sont limitées. Des droits d’accès demeurent actifs alors qu’ils ne correspondent plus aux fonctions de leurs détenteurs. Aucun de ces dysfonctionnements ne se traduit nécessairement par une porte bloquée ou une alerte visible. Certaines installations reposent encore sur la simple lecture du numéro de série des cartes, sans authentification cryptographique. Dans ces configurations, les risques d’usurpation d’identifiants sont connus.

Mais la dette de sécurité ne se limite pas aux technologies anciennes. Elle se construit aussi par l’accumulation de règles, d’exceptions et de procédures qui n’ont pas été réévaluées. Un prestataire conserve un droit après la fin de sa mission. Un collaborateur change de poste sans que ses autorisations soient entièrement revues. Un équipement est ajouté sans mise à jour de la documentation. Individuellement, ces situations peuvent sembler mineures. Ensemble, elles rendent le système plus difficile à administrer et à sécuriser.