POINT DE VUE  
New Security Magazine 143 – juillet 2017

Planification dynamique de la sécurité : avant tout, du bon sens

Aucun directeur de la sécurité n’ignore l’existence de ces « directives sectorielles » qu’il vaut mieux mettre en oeuvre au plus vite dans les processus d’entreprise. À côté des normes de qualité ISO et des exigences légales, on peut notamment citer la règlementation TAPA¹pour les entrepôts de stockage, les dispositions FSR² pour la logistique, le code ISPS³ pour les infrastructures portuaires, les directives AEO⁴ pour le commerce international, la norme LME⁵pour le traitement industriel du métal ou encore le label INCERT⁶ pour les entreprises sensibles aux effractions. Et il y a fort à parier qu’une nouvelle « règle du jeu » viendra s’y ajouter bientôt.

Anticiper de manière dynamique

Sachant que les restrictions et les exigences du prochain certificat indispensable ne sont pas toujours évidentes, le responsable de la sécurité est obligé de faire appel à un consultant en sécurité. Ce spécialiste l’aidera à garantir la conformité de l’entreprise par rapport à la nouvelle norme. Toutefois, comme un bon plan de sécurité n’est jamais qu’un instantané et requiert par conséquent des ajustements empiriques, peut-être quelques mesures supplémentaires suffisent-elles pour satisfaire l’auditeur.

Contrôle direct du risque

Une bonne manière de s’assurer que le plan de sécurité est à jour consiste à dresser l’inventaire des nouveaux risques qui touchent l’entreprise. Et comme la créativité et les ressources des agresseurs évoluent avec la technologie, vous avez tout intérêt à adapter en permanence votre plan de sécurité. Suivre l’actualité consacrée aux incidents de sécurité et aux (ingénieuses) techniques inédites d’effraction permet déjà d’éviter bien des déboires. Cela présuppose toutefois que chaque risque supplémentaire, ou chaque nouvelle directive, se traduise par une solution suffisante dans le plan de sécurité.

Identification et évaluation des risques

Pour identifier les risques, on commencera donc par se poser la question suivante : « Qu’est-ce qui doit être protégé contre quoi/qui ? » Après avoir énuméré les risques, on les classera par ordre d’importance. Le risque d’incendie, par exemple, est plus important que celui de voir un avion s’écraser sur les bâtiments de l’entreprise. Les deux risques existent, et sans doute provoqueraient-ils les mêmes dégâts, mais il est évident que l’incendie pose un risque plus important.

Quantification des risques

Pour subdiviser les risques, les universitaires et les spécialistes ont mis quantité de techniques au point, dont les plus connues sont la Méthode de KINNEY et celle de HAAGSE. En gros, on peut dire que l’importance d’un risque est définie par trois facteurs principaux, à savoir : (1) la probabilité que le risque se concrétise, (2) l’exposition au risque, et (3) la gravité ou les dégâts si le risque vient à se concrétiser.

Risque = impact x fréquence

Une bonne évaluation approximative du risque consiste à multiplier la perte potentielle (impact) par la fréquence du risque. Le résultat fournit une indication objective de l’importance du risque. La quantification est alors un modèle simplifié de chaque risque en soi. Les risques résiduels – il est illusoire de vouloir prévoir tous les risques – peuvent au besoin être assurés. Le meilleur système de détection d’incendie n’exclut pas qu’un incendie puisse se déclarer, pas plus qu’une installation anti-effraction de pointe n’empêchera un travailleur malintentionné de saboter une machine coûteuse. À moins qu’une cyber-attaque ne paralyse le réseau de votre entreprise au moyen d’un ransomware. Sans parler d’une fuite de gaz ou d’un incident AMOK. Allez-vous autoriser ces risques, ou faire appel à un assureur pour vous en protéger ?

Plan d’action pour la protection : partir de l’incident

Après avoir évalué la sécurité et dressé l’inventaire des risques, la troisième étape consiste à établir un plan de sécurité. Ce plan décrit en détail les mesures à prendre par le personnel de sécurité. En cas d’incident de sécurité, ce plan sera logiquement relié aux procédures d’urgence et d’évacuation. Le plan d’action définit deux situations : (1) l’incident n’est pas encore survenu, et il convient alors de tout mettre en oeuvre pour l’éviter, ou (2) l’incident est survenu ou est en cours, et il faut prendre les mesures adéquates pour éviter toute aggravation de la situation. Dans les deux cas, cela revient à concevoir des contre-mesures efficaces en imaginant à l’avance ce que pourrait être la situation. Pour cela, on utilisera de préférence la méthode des scénarios.

La méthode des scénarios : que se passerait-il si... ?

La méthode des scénarios a été mise au point par des stratèges militaires ainsi que par Shell, dans le but de pouvoir envisager plusieurs avenirs possibles. Cet instrument didactique permet une gestion efficace des risques, et d’aboutir de manière simple à un large éventail de conclusions. La méthode des scénarios part toujours de la question « que se passerait-il si... ? », et donne le coup d’envoi du véritable brainstorming. Pas de formules alambiquées, juste du bon sens.

La méthode des scénarios dans la pratique

La question posée distingue trois groupes cibles : les personnes, les ressources de l’entreprise et l’infrastructure. C’est à ces « cibles » que la méthode est appliquée. Pour info, le système de gestion des risques certifié (ISO-31000) suit dans une large mesure cette piste de réflexion. Voici quelques exemples de méthode des scénarios appliquée à un terminal portuaire de type Seveso⁷.

•Que se passerait-il... Si le local informatique prenait feu ?

•… Si la canalisation de gaz se rompait accidentellement, en libérant un nuage toxique ?

•… Si la radio du local de garde était volée ?

•… Si un visiteur pénétrait dans une zone interdite ?

•… Si un marin tentait d’introduire en fraude de la drogue à terre ?

•… Si un membre du personnel était menacé par un visiteur armé d’un couteau ?

•… Si des bagages non accompagnés étaient retrouvés dans le bâtiment administratif ?

•… Si une installation de chargement était sabotée, faisant tomber un conteneur ?

•… Si quelqu’un escaladait la grille et s’enchaînait à un conteneur nucléaire ?

•… Si un remorqueur éperonnait intentionnellement un navire à quai ?

•… Si un gazier détourné par des pirates entrait dans le port et faisait exploser sa cargaison ?

Standard Operating Procedures (SOP) et contre-mesures spéciales

La réponse à toutes ces questions décrit les mesures organisationnelles, architecturales, électroniques et sur le plan des communications nécessaires pour juguler au maximum le risque correspondant. On met au point un plan d’action proactif qui se déploie dès qu’un risque donné se transforme ou pourrait se transformer en incident. Sachant que certains risques requièrent une réaction identique, les contre-mesures peuvent être consignées dans une sorte de mémorandum des SOP connu du personnel et des intérimaires. Le plan d’action des procédures et instructions de sécurité spéciale sera de préférence établi par une task force spécialisée en sécurité... et mis à jour régulièrement. Cette approche est la meilleure garantie pour que votre entreprise obtienne ou conserve le certificat de sécurité lors du prochain audit.

Conscientiser le personnel à la sécurité

Rester conscient en permanence de l’éventualité d’actions malveillantes ou criminelles est une bonne façon de prévenir les incidents. C’est donc la vigilance qui est de rigueur. Un danger imminent ou des agissements suspects doivent être signalés immédiatement puis abordés avec la prudence qui s’impose. Conseil : apprenez aux membres du personnel à identifier et à communiquer (efficacement) un maximum d’informations pertinentes lorsqu’ils repèrent un individu, un véhicule ou un chargement suspect. Il s’agit d’anticiper collectivement les incidents en misant sur les actions proactives (prévention) plutôt que réactives (gestion de crise). Soyez particulièrement attentif à l’éventualité d’embuscades ou de manœuvres de diversion.

Par Philip Vandenbon

1. TAPA : Transported Asset Protection Association

2. FSR : Freight Security Requirements

3. Code ISPS : International Ship and Port facility Security Code (Europe : CE/725/2004)

4. AEO : Authorized Economic Operator

5. LME : London Metal Exchange

6. INCERT : Intrusion Certification

7. SEVESO : évoque la catastrophe industrielle survenue en Italie (1976) et suite à laquelle des directives européennes ont été prises.

Une bonne manière de s’assurer que le plan de sécurité est à jour consiste à dresser l’inventaire des nouveaux risques qui touchent l’entreprise.