Sécurité physiqueCe qu’exigent ISO 27001, HDS, PCI DSS et la LPM
Les investissements en cybersécurité se concentrent souvent sur les menaces numériques : pare-feux, antivirus, MFA, SIEM… Et pourtant, un attaquant qui parvient à accéder physiquement à une salle serveur, à un poste de travail non verrouillé ou à un support de stockage mal sécurisé peut contourner en quelques minutes l’ensemble de ces protections logicielles. La sécurité physique est le fondement sur lequel repose toute la cybersécurité d’une organisation, et elle reste trop souvent le maillon faible.
Pourquoi la sécurité physique est-elle indispensable à la cybersécurité ?
L’ANSSI le rappelle explicitement : la maîtrise de l’accès physique aux équipements est une condition préalable à la cybersécurité. Elle a d’ailleurs publié en juin 2025 une mise à jour de son guide sur la sécurisation des systèmes de contrôle d’accès physique et de vidéoprotection, élaboré en partenariat avec le CNPP. Ce guide constitue la référence française en matière de sécurité physique des systèmes d’information.
La sécurité physique est aujourd’hui une exigence explicite ou implicite de la quasi-totalité des référentiels de cybersécurité : ISO 27001, LPM, HDS, PCI DSS, NIS 2, DORA, RGPD… DSI, RSSI, responsables des installations ou responsables conformité : cette page vous présente les exigences clés à mettre en œuvre et leur articulation avec les grands référentiels en vigueur.
La sécurité physique et la cybersécurité sont deux dimensions complémentaires et indissociables de la protection d’un système d’information. Les menaces physiques peuvent prendre plusieurs formes :
- L’intrusion physique dans les locaux pour accéder directement aux équipements, extraire des données ou installer des dispositifs malveillants
- Le vol de matériel : ordinateurs portables, disques durs, supports amovibles contenant des données sensibles
- Le sabotage d’équipements critiques : serveurs, équipements réseau, systèmes de sauvegarde
- Les menaces environnementales : incendie, dégâts des eaux, coupure électrique, dont l’incendie du datacenter d’OVHcloud à Strasbourg en 2021 reste l’exemple le plus marquant en France
- Les accès non contrôlés de prestataires, visiteurs ou anciens collaborateurs disposant encore de droits d’accès physiques
L’ANSSI recommande une approche par zones, qui consiste à cloisonner les espaces selon leur niveau de sensibilité : zones publiques accessibles à tous, zones à accès restreint nécessitant une habilitation, et zones hautement sécurisées réservées aux personnels autorisés. Le principe du moindre privilège s’applique au contrôle d’accès physique exactement comme au contrôle d’accès logique.
Les points de contrôle communs
Cinq exigences fondamentales structurent toute démarche de sécurité physique conforme aux standards reconnus.
Le contrôle d’accès aux locaux sensibles
Le contrôle d’accès physique est la première ligne de défense contre les intrusions. Il doit être proportionné au niveau de sensibilité de chaque zone et reposer sur des mécanismes d’identification et d’authentification adaptés.
L’ANSSI, dans son guide mis à jour en juin 2025, distingue plusieurs niveaux de protection selon le niveau de menace :
- Zones standard : contrôle d’accès par badge sans contact, avec identification unique de chaque utilisateur
- Zones sensibles : double authentification recommandée, combinant badge et code PIN ou données biométriques
- Zones critiques (salles serveurs, locaux techniques) : authentification renforcée, journalisation systématique de tous les accès, et escorte obligatoire pour les visiteurs et prestataires
La CNIL précise que les dispositifs de contrôle d’accès constituent des traitements de données personnelles et doivent être inscrits dans le registre des activités de traitement. Elle recommande de privilégier les dispositifs non biométriques, sauf justification de la nécessité d’un dispositif biométrique, et impose une analyse d’impact (AIPD) pour les dispositifs susceptibles d’engendrer un risque élevé. Les données de journalisation des accès doivent être supprimées trois mois après leur enregistrement.
Les droits d’accès physiques doivent être gérés selon le même cycle de vie que les droits d’accès logiques : création lors de l’arrivée, modification en cas de changement de poste, et révocation immédiate lors du départ du collaborateur ou de la fin de mission du prestataire.
La vidéosurveillance des zones critiques
La vidéosurveillance des zones critiques complète le contrôle d’accès en permettant la détection d’intrusions, la surveillance des comportements anormaux et la reconstitution des événements en cas d’incident. Elle doit être déployée de façon proportionnée et conforme aux obligations légales.
L’ANSSI a publié un guide spécifique sur la sécurisation des systèmes de vidéoprotection, complémentaire au référentiel APSAD R82. Ce guide recommande notamment le cloisonnement physique des systèmes de vidéoprotection par rapport au reste du système d’information, pour éviter qu’une compromission du réseau principal n’affecte les enregistrements.
La CNIL encadre strictement les dispositifs de vidéosurveillance dans les locaux professionnels. Les points de vigilance clés incluent :
- L’information des personnes filmées, conformément à l’article 13 du RGPD
- La limitation de la durée de conservation des images, qui ne peut excéder un mois dans la plupart des cas
- L’interdiction de surveiller en permanence les postes de travail des collaborateurs
- La restriction de l’accès aux images aux seules personnes habilitées
- L’inscription du dispositif dans le registre des activités de traitement
La gestion des supports de stockage
Les supports de stockage, qu’il s’agisse de disques durs, de clés USB, de bandes de sauvegarde ou de supports optiques, représentent un risque physique majeur. Leur perte ou leur vol peut entraîner une violation de données aux conséquences potentiellement graves.
L’ANSSI recommande un inventaire exhaustif de tous les supports de stockage, une classification selon la sensibilité des données qu’ils contiennent, et des mesures de protection proportionnées. Les supports contenant des données sensibles doivent être chiffrés, stockés dans des espaces sécurisés à accès contrôlé, et leur transport doit faire l’objet de procédures formalisées.
Les supports amovibles représentent un risque particulier. L’ANSSI recommande de restreindre leur usage aux seuls besoins identifiés, de les chiffrer systématiquement, et de les décontaminer avant tout branchement sur le système d’information.
La sécurisation des équipements mobiles
Les ordinateurs portables, smartphones et tablettes constituent une catégorie d’équipements particulièrement exposée aux risques physiques. Leur mobilité les expose au vol, à la perte et aux accès non autorisés en dehors des locaux de l’organisation.
L’ANSSI recommande plusieurs mesures pour sécuriser les équipements mobiles :
- Le chiffrement intégral du disque dur, pour garantir que les données restent inaccessibles en cas de vol
- Le verrouillage automatique après une courte période d’inactivité, avec déverrouillage par mot de passe fort ou authentification biométrique
- L’interdiction de laisser les équipements sans surveillance dans des lieux publics
- La mise en place d’une solution de gestion des appareils mobiles (MDM) permettant l’effacement à distance en cas de perte ou de vol
- La sensibilisation des collaborateurs aux risques spécifiques liés à l’utilisation des équipements en dehors des locaux
La destruction sécurisée des supports
La fin de vie des supports de stockage est une étape critique souvent négligée. Un disque dur simplement formaté ou jeté à la poubelle peut être récupéré et ses données extraites. La destruction sécurisée des supports est une exigence explicite de la norme ISO 27001 et une bonne pratique recommandée par l’ANSSI.
Les méthodes de destruction doivent être adaptées à la sensibilité des données et au type de support :
- Effacement cryptographique : révocation de la clé de chiffrement rendant les données définitivement inaccessibles, méthode recommandée pour les SSD et les supports cloud
- Effacement logiciel certifié : écrasement multiple des données selon des normes reconnues (DoD 5220.22-M, NIST 800-88)
- Destruction physique : broyage, démagnétisation ou incinération pour les supports contenant des données hautement sensibles
La destruction doit être documentée et tracée, avec un certificat de destruction pour les supports les plus sensibles.
Ce qu’en disent les référentiels
La sécurité physique est une famille d’exigences couverte par l’ensemble des référentiels de cybersécurité, avec des niveaux d’exigence variables selon le secteur et la criticité des systèmes concernés.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSL’exigence 9 du standard PCI DSS v4 couvre l’ensemble des mesures de contrôle d’accès physique aux environnements de données de cartes de paiement : contrôle et limitation de l’accès physique aux systèmes, distinction entre les zones publiques et les zones sécurisées, protection des terminaux de paiement, gestion des visiteurs, et destruction sécurisée des supports contenant des données de cartes.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001Les contrôles A.7.1 à A.7.14 couvrent l’intégralité de la sécurité physique et environnementale : périmètres de sécurité physique, contrôles d’entrée physiques, sécurisation des bureaux et des locaux, surveillance physique, protection contre les menaces physiques et environnementales, travail dans les zones sécurisées, bureau propre et écran vide, emplacement et protection des équipements, sécurité des actifs hors des locaux, supports de stockage, et destruction sécurisée. C’est le référentiel le plus complet en matière de sécurité physique.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSLe référentiel Hébergeur de Données de Santé impose des exigences spécifiques pour les sites d’hébergement physique des données de santé. La certification HDS couvre six activités d’hébergement, dont la mise à disposition de locaux physiques. Les sites d’hébergement doivent disposer de contrôles d’accès physiques stricts, de systèmes de vidéosurveillance, et de mesures de protection contre les risques environnementaux. L’hébergement physique des données de santé doit se faire exclusivement dans l’Espace Économique Européen.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLes arrêtés sectoriels applicables aux Opérateurs d’Importance Vitale imposent des mesures de sécurité physique renforcées pour les Systèmes d’Information d’Importance Vitale. Ces mesures incluent le contrôle d’accès physique aux locaux hébergeant les SIIV, la surveillance des zones critiques, et la protection des équipements contre les accès non autorisés. Pour les OIV et les OSE, les recommandations de l’ANSSI en matière de sécurité physique deviennent des obligations réglementaires.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Le critère CC6.4 du référentiel SOC 2 évalue les contrôles d’accès physique mis en place par l’organisation pour protéger ses systèmes et ses données. Il couvre les mécanismes de contrôle d’accès aux locaux, la surveillance des zones sensibles, et la gestion des accès des visiteurs et des prestataires.
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701Les exigences de sécurité physique héritées de l’ISO 27001 s’appliquent intégralement dans une dimension protection des données à caractère personnel. La couverture est partielle : ISO 27701 ne définit pas d’exigences spécifiques supplémentaires en matière de sécurité physique, mais les contrôles A.7 de l’ISO 27001 s’appliquent à la protection des locaux hébergeant des données personnelles.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORAL’article 9 du règlement DORA impose aux entités financières des mesures de protection des systèmes TIC incluant des aspects physiques. La couverture est partielle : DORA se concentre principalement sur la résilience opérationnelle numérique, mais reconnaît que la protection physique des infrastructures TIC est une composante de cette résilience.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 21.2(e) de la directive NIS 2 impose aux entités essentielles et importantes de prendre en compte la sécurité de l’acquisition, du développement et de la maintenance des systèmes, incluant les aspects physiques. Le Référentiel Cyber France (ReCyF) publié par l’ANSSI en mars 2026 précise que les mesures de sécurité doivent inclure des contrôles d’accès physiques pour limiter l’accès aux locaux et ressources nécessaires. La couverture est partielle : NIS 2 n’impose pas de mesures physiques spécifiques mais exige une approche tous risques incluant la protection des environnements physiques.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDL’article 32 du RGPD impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles. La sécurité physique des locaux hébergeant des données personnelles contribue directement à cette obligation. La couverture est partielle : le RGPD n’impose pas de mesures physiques spécifiques mais exige que des mesures appropriées soient en place pour protéger les données contre les accès non autorisés, y compris physiques.
Sécurité physique en 4 questions
Quelles sont les principales menaces physiques contre les systèmes d’information ?
Les principales menaces physiques incluent l’intrusion dans les locaux pour accéder directement aux équipements, le vol de matériel (ordinateurs portables, supports de stockage), le sabotage d’équipements critiques, les menaces environnementales (incendie, dégâts des eaux, coupure électrique), et les accès non contrôlés de prestataires ou de visiteurs. L’ANSSI recommande une approche par zones pour y répondre de façon proportionnée.
Quelles sont les obligations légales en matière de vidéosurveillance des locaux professionnels ?
La CNIL encadre strictement les dispositifs de vidéosurveillance dans les locaux professionnels. Les obligations incluent l’information des personnes filmées, la limitation de la durée de conservation des images à un mois maximum dans la plupart des cas, l’interdiction de surveiller en permanence les postes de travail, et la restriction de l’accès aux images aux seules personnes habilitées. Le dispositif doit être inscrit dans le registre des activités de traitement et peut nécessiter une AIPD.
Comment détruire sécuritairement des supports de stockage contenant des données sensibles ?
L’ANSSI recommande d’adapter la méthode de destruction à la sensibilité des données et au type de support. Pour les données sensibles, l’effacement cryptographique (destruction de la clé de chiffrement) est recommandé pour les SSD et les supports cloud. Pour les données hautement sensibles, la destruction physique (broyage, démagnétisation) est préférable. Dans tous les cas, la destruction doit être documentée et tracée, avec un certificat de destruction pour les supports les plus critiques.
La sécurité physique est-elle obligatoire dans le cadre de la certification ISO 27001 ?
Oui. Les contrôles A.7.1 à A.7.14 de la norme ISO 27001:2022 couvrent l’intégralité de la sécurité physique et environnementale. Ils font partie intégrante du SMSI et sont évalués lors des audits de certification. Une organisation qui néglige la sécurité physique ne peut pas obtenir ou maintenir la certification ISO 27001.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
