Sécurité physique : le sujet oublié des entreprises cloud-first
La plupart des équipes de sécurité exploitent désormais tout dans le cloud et pensent rarement aux serrures et aux caméras. La plupart des référentiels les exigent encore, et les auditeurs continuent de poser la question.
Cet article couvre les 11 référentiels que ControlMapping avait mis en correspondance au moment de sa rédaction. Depuis, DORA, CPS 234, Cyber Essentials ont été ajoutés le 2026-10-27 ; leurs pages et la matrice de couverture les intègrent.
La sécurité physique est devenue le sujet oublié des programmes de sécurité modernes. Les charges de travail tournent dans le centre de données de quelqu'un d'autre, le personnel travaille depuis son domicile, et le bureau se résume surtout à des postes de travail et à une machine à café. Pourtant, la plupart des référentiels exigent encore des contrôles physiques ; or, lorsque nous avons audité nos propres correspondances, nous avons constaté qu'elle était sous-représentée, et nous lui avons donc consacré un sujet à part entière.
Qui exige quoi
| Référentiel | Sécurité physique | Lien |
|---|---|---|
| NIST CSF 2.0 | PR.AA-06DE.CM-02PR.IR-02 | Définition du sujet |
| ISO 27001 | A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12 | Correspondance |
| CIS v8.1 | — | Aucune correspondance dans nos données |
| SOC 2 | CC6.4 | Éditorial |
| PCI DSS | 9.2.19.2.39.3.19.2.1.19.3.1.19.3.2 | Correspondance |
| CMMC | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6 | Correspondance |
| 800-53 | PE-2PE-3PE-6PE-8PE-13PE-14 | Correspondance |
| HIPAA | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c) | Correspondance |
| GDPR | — | Aucune correspondance dans nos données |
| NIS2 | 13.113.213.3 | Correspondance |
| Essential Eight | — | Aucune correspondance dans nos données |
Détail complet et raison de chaque lien : Sécurité physique dans les référentiels →
Les référentiels les plus exigeants
PCI DSS est le plus détaillé : contrôles d'accès aux installations hébergeant des systèmes de données de titulaires de cartes, surveillance des zones sensibles par caméras ou systèmes de contrôle d'accès, autorisation et journalisation des visiteurs, prises réseau et matériels restreints, stockage et destruction sécurisés des supports, et inspection des terminaux de lecture de cartes pour détecter toute altération (Exigence 9). CMMC Level 2 comporte une famille complète : limiter et surveiller l'accès physique, accompagner les visiteurs, tenir des journaux d'accès, gérer les dispositifs d'accès et protéger les CUI sur les sites de travail de substitution (PE.L2-3.10.1 à 3.10.6). ISO 27001 prévoit quatorze contrôles physiques dans son thème A.7, des périmètres et contrôles d'accès jusqu'au bureau propre, à la maintenance des équipements et à la mise au rebut sécurisée. HIPAA définit un ensemble complet de garanties physiques au §164.310.
Ceux qui n'en traitent pas
Les CIS Controls ont abandonné la sécurité physique dans la version 8. Le RGPD (GDPR) et l'Essential Eight ne la traitent pas. SOC 2 la couvre au travers d'un seul critère (CC6.4), et les auditeurs d'entreprises entièrement cloud acceptent souvent pour celui-ci le rapport propre au fournisseur cloud.
Ce que demandent les auditeurs à une entreprise cloud-first
Attendez-vous à une courte liste de questions, même si vous ne possédez aucun serveur :
- Quels fournisseurs cloud et d'hébergement en colocation accueillent vos systèmes, et où se trouve leur rapport d'assurance ?
- Comment contrôlez-vous l'accès à vos bureaux, et qui détient les clés ou badges ?
- Les visiteurs sont-ils enregistrés et accompagnés là où des informations sensibles sont visibles ?
- Comment les ordinateurs portables sont-ils protégés en cas de perte ou de vol (chiffrement, effacement à distance, procédure de signalement) ?
- Comment les disques, ordinateurs portables et documents papier sont-ils mis au rebut ?
Des réponses claires, appuyées de quelques preuves (export du système de badges, registre des visiteurs, rapport MDM, certificats de destruction), permettent généralement de clore rapidement le sujet.
Points clés
- La plupart des référentiels exigent encore des contrôles physiques.
- Les entreprises cloud-first héritent de l'assurance des centres de données et de la sécurisation de leurs bureaux, ordinateurs portables et supports.
- Les paiements par carte en présentiel ramènent les exigences physiques de PCI dans le périmètre.
- PCI DSS est le plus détaillé, jusqu'aux journaux des visiteurs et à l'inspection des lecteurs de cartes pour détecter toute altération.
Y répondre sans centre de données
Pour une entreprise sans serveurs propres, la sécurité physique se résume à quatre points :
- Hériter du centre de données. Le rapport SOC 2 ou le certificat ISO de votre fournisseur cloud couvre ses installations. Lisez le périmètre et consignez dans votre propre documentation que vous vous y fiez.
- Sécuriser votre bureau de façon proportionnée. Accès par badge, enregistrement des visiteurs, stockage verrouillé pour tout élément sensible et politique de bureau propre (ISO A.7.7).
- Considérer les ordinateurs portables comme le périmètre. Chiffrement intégral du disque, verrouillage d'écran, effacement à distance et procédure pour les appareils perdus couvrent l'essentiel de ce que les contrôles physiques assuraient autrefois.
- Gérer les supports et leur mise au rebut. Effacez ou détruisez les disques et appareils avant réutilisation ou mise au rebut (ISO A.7.14, PCI 9.4.7, HIPAA §164.310(d)).
Si vous acceptez des paiements par carte en personne, lisez attentivement l'Exigence 9 de PCI DSS : les terminaux de lecture de cartes au point de vente ramènent les contrôles physiques dans le périmètre, quelle que soit la nature cloud de votre infrastructure.
La page du sujet Sécurité physique répertorie chaque exigence avec sa source, et l'analyse d'écarts montre ce qu'un nouveau référentiel ajoute à celui que vous appliquez déjà.
Questions
Les CIS Controls couvrent-ils la sécurité physique ?
Non. CIS Controls v8 a supprimé la sécurité physique, raison pour laquelle il n'existe aucune correspondance pour ce sujet.
Comment les entreprises entièrement cloud répondent-elles aux exigences de sécurité physique ?
En s'appuyant sur l'assurance de leur fournisseur cloud pour les centres de données (par exemple son rapport SOC 2 ou son certificat ISO) et en couvrant elles-mêmes leurs bureaux, appareils, supports et visiteurs.
Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.
Articles connexes
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-27Cyber Essentials face à l'Essential Eight : deux référentiels nationaux comparésLe Cyber Essentials britannique et l'Essential Eight australien visent tous deux les attaques courantes, mais ils ne couvrent pas les mêmes domaines. Ce qui se recoupe, ce qui ne se recoupe pas, et pourquoi.
Analyse · 2026-10-27DORA vs NIS2 : ce qu'un programme NIS2 couvre déjàDORA et NIS2 partagent l'essentiel de la sécurité, mais DORA ajoute registre, clauses et tests basés sur la menace. Article par article, ce qui se reporte.