Taxonomie des contrôles de sécurité

Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 11 minutes

Face à un risque identifié, on peut déployer des dizaines de contrôles différents — un badge, une politique disciplinaire, un pare-feu, une caméra. Pour ne pas s’y perdre, la profession classe chaque contrôle selon deux axes indépendants : sa catégorie (de quelle nature est-il ?) et sa fonction (à quel moment agit-il ?).

Premier axe : la catégorie du contrôle

Catégorie	Nature	Exemples
Technique (ou logique)	Mis en œuvre via la technologie	Pare-feu, chiffrement, authentification, IDS
Physique	Agit dans le monde matériel	Clôture, serrure, agent de sécurité, caméra
Administratif	Politiques, procédures, formation	Séparation des tâches, politique de sécurité, procédures de recrutement

Ces trois catégories ne s’excluent pas : un même objectif de sécurité est presque toujours atteint par la combinaison des trois, pas par une seule.

Second axe : la fonction du contrôle

Contrôles dissuasifs

Ils découragent un attaquant potentiel en augmentant le coût ou le risque perçu d’une tentative, sans l’empêcher physiquement.

Catégorie	Exemple
Administratif	Politique disciplinaire affichée
Technique	Bannière d’avertissement légal au login
Physique	Panneau « Attention au chien »

Contrôles préventifs

Ils bloquent l’incident avant qu’il ne se produise.

Catégorie	Exemple
Administratif	Séparation des tâches
Technique	Authentification et contrôle d’accès
Physique	Clôture

Contrôles détectifs

Ils identifient un événement de sécurité en cours ou après coup, sans nécessairement l’empêcher.

Catégorie	Exemple
Administratif	Équilibrage des rapports financiers
Technique	Système de détection d’intrusion (IDS)
Physique	Capteur de mouvement

Contrôles correctifs

Ils réagissent après détection pour ramener le système à un état normal et corriger la cause.

Catégorie	Exemple
Administratif	Retrait d’un suspect de la zone
Technique	Isolation d’un système compromis du reste du réseau
Physique	Système de suppression d’incendie

Contrôles compensatoires

Ils fournissent une mesure alternative quand le contrôle primaire est irréalisable, trop coûteux ou temporairement absent — souvent pour satisfaire une exigence de conformité malgré une contrainte technique. Exemple concret : un système qui ne peut pas appliquer une politique de mots de passe complexes pour des raisons de compatibilité peut compenser par l’authentification multifacteur.

Pourquoi cette double grille est utile en pratique

Un même risque appelle rarement un seul type de contrôle : une salle serveur combine typiquement un contrôle préventif physique (porte verrouillée), un contrôle détectif technique (capteur de mouvement, journal d’accès) et un contrôle dissuasif administratif (politique affichée sur les conséquences disciplinaires d’un accès non autorisé).

Lors d’un audit, c’est précisément cette grille croisée catégorie × fonction que l’auditeur utilise pour vérifier qu’aucune case n’est restée vide sans justification — un angle mort fréquent étant l’absence totale de contrôle correctif documenté, l’organisation ayant beaucoup investi en prévention mais rien prévu pour la suite d’un incident.

Synthèse

Un contrôle de sécurité se décrit toujours selon deux axes : sa catégorie (technique / physique / administratif) et sa fonction (dissuasif / préventif / détectif / correctif / compensatoire).
Les contrôles compensatoires ne remplacent pas un contrôle primaire par choix, mais par nécessité — coût, faisabilité ou absence temporaire du contrôle idéal.
Une sécurité robuste combine systématiquement plusieurs catégories et plusieurs fonctions sur un même actif, plutôt que de tout miser sur un seul type de contrôle.

Prochain chapitre

Conformité et audits

Junior TSAFACK – 09/10/2026