Un cadenas et un planning de service ont fait mieux que le système de sécurité

Dans une étude de modélisation publiée, des ingénieurs de l’Instituto Militar de Engenharia de Rio de Janeiro avaient conçu un système de protection pour une installation abritant des déchets radioactifs. Sur le papier, il répondait aux exigences de l’autorité nucléaire brésilienne. Ils l’ont ensuite testé face à un adversaire défini, en chronométrant chaque chemin d’accès aux matières.

La référence était une probabilité de 85 % d’arrêter l’intrus. Le dispositif conforme obtenait 6,5 %.

La première amélioration ne nécessitait aucun nouveau matériel. Le modèle supposait que le délai d’intervention pouvait être ramené de 464 à 200 secondes en modifiant les procédures, les communications et le positionnement des intervenants. Le résultat passait à 78 %.

La seconde amélioration était un cadenas. Il ajoutait 90 secondes de retardement à un portail proche des matières. Le score atteignait 92 %.

L’installation était hypothétique et les chiffres provenaient d’un modèle, ce qui permettait de publier ces détails. Le résultat reste difficile à ignorer. Dans le modèle, les changements apportés aux procédures de réponse et un cadenas bien placé ont modifié le résultat parce qu’ils ont modifié les délais.

La sûreté fonctionne au chronomètre

Les projets de sûreté s’achètent généralement par morceaux : caméras, capteurs, clôtures, portes, salles de contrôle et contrats d’intervention. Le problème est qu’un intrus les rencontre comme une seule séquence.

Une fois l’intrusion détectée, une condition compte : le retardement encore devant l’intrus doit durer plus longtemps que l’arrivée des intervenants. Sinon, le système peut enregistrer parfaitement l’événement sans parvenir à l’interrompre.

C’est la logique du point critique de détection utilisé dans la conception de la protection physique. Détectez une intrusion avant ce point et il reste assez de temps pour agir. Détectez-la après et la réponse prévue risque de ne plus arriver à temps.

Le délai d’intervention déplace ce point. Une réponse plus rapide rend une plus grande partie du site défendable. Une réponse plus lente repousse la limite de détection utile vers l’extérieur. Ce lien se perd facilement lorsque capteurs, barrières et gardiennage sont spécifiés par des équipes différentes.

Les chiffres que je veux voir

Je recherche deux mesures presque embarrassantes de simplicité. Combien de temps l’intervention prend-elle réellement ? Et, après le déclenchement de l’alarme, combien de temps les barrières restantes tiendront-elles ?

Le mot « réellement » compte. Le délai recopié d’un contrat n’est pas celui mesuré à trois heures du matin, par mauvais temps, avec les effectifs habituels. C’est à ce dernier que la conception doit résister.

La performance des barrières demande la même honnêteté. Un portail d’apparence solide n’est pas une durée. Il existe des portes, des fenêtres et des barrières anti-véhicules classées, dont la résistance peut être inscrite au cahier des charges. Quand les données formelles sont restreintes ou indisponibles, la conception doit au moins préciser quelles barrières sont censées faire gagner du temps et contre quelle menace elles ont été évaluées.

Un classement exige aussi un contexte. Quinze minutes face à des outils manuels ne promettent pas quinze minutes face à un disque de coupe. La question utile n’est jamais simplement : « Est-ce sécurisé ? » Elle est : « Combien de temps cela nous fait-il gagner contre l’attaque prévue dans notre scénario ? »

Les sites isolés changent la réponse

J’en ai appris la version la plus exigeante sur des projets dans les hautes terres de Papouasie-Nouvelle-Guinée. Certains sites n’étaient accessibles qu’en hélicoptère. La météo pouvait transformer quelques minutes d’intervention en plusieurs heures. Aucune clôture, aucun portail ni aucune porte raisonnablement envisageable ne pouvait tenir aussi longtemps.

La détection doit alors se déplacer vers l’extérieur. Elle peut devoir commencer sur la route d’approche, sur l’eau ou dans les airs, tandis qu’un véhicule ou un navire reste loin de l’actif. Ce n’est pas un argument pour une technologie précise. C’est simplement ce qu’exige le temps disponible.

Il arrive que la condition soit impossible à respecter. Le rapport doit alors le dire avant l’incident, pas l’expliquer après. Le système peut encore fournir une alerte plus précoce, de meilleures preuves, un confinement ou une perte réduite. Ce sont des résultats utiles, mais différents de l’arrêt de l’événement.

Avant d’ajouter un capteur ou de renforcer un portail, je demanderais donc deux durées mesurées : la réponse et le retardement. Si le retardement ne dure pas plus longtemps que la réponse, le reste de la conception ne peut pas compenser. Et si personne ne connaît encore ces chiffres, c’est probablement là que le prochain travail doit commencer.