La semaine dernière, nous partagions avec vous les mesures prises par le Groupe ADP pour faire face aux risques auxquels est exposé le groupe : interactions avec les différents services internes et externes (Etats, prestataires). Cette semaine nous revenons avec la suite de l’interview d’Alain ZABULON sur les menaces du groupe.
Vous pouvez retrouver la première partie de l’entretien ici.
P.IE. : Vous devez faire face à de nombreuses menaces. Quelles sont-elles ? Quelles sont les réponses que vous apportez ?
A. ZABULON : Tout d’abord, nous avons au quotidien les vicissitudes et les aléas d’une énorme ville aéroportuaire puisque pour Roissy, nous accueillons environ 180 à 200 000 passagers par jour et plus de 110 000 salariés travaillent pour nos trois aéroports. Nous devons faire face ainsi à des incidents tous les jours : SDF, tensions entre taxis et VTC, délinquance etc. – même si cette dernière est limitée en raison d'une forte présence des services de l'Etat.
ADP prend évidement en compte la menace terroriste qui est à la fois exogène et endogène. Dans le domaine du transport aérien, la menace exogène, nous l’avons vue se réaliser à Bruxelles et à Istanbul de manière dramatique, avec des attaques suicides meurtrières. Nous travaillons donc sur des scénarios de tuerie massive, le but des terroristes étant de faire un maximum de victimes puis de mourir en "martyr". Cette menace est gérée par l’Etat qui suit de très près le risque. Nous avons, de notre côté, augmenté les moyens de surveillance dans les aérogares : rondes, équipes cynophiles, agents de détection comportementale, caméras de surveillance, etc. Cependant, ces dispositifs viennent en complément et en articulation de ceux de l’Etat, mais jamais en substitution ; nous n’avons pas le pouvoir d’interpellation, cependant nous pouvons signaler un individu suspect. Nous sommes avant tout dans une logique de coproduction de sécurité.
Nous sommes aussi sensibles à la menace endogène avec nos salariés et nos très nombreux prestataires pour la sûreté, les commerces, la logistique, le transport, l’entretien, les bagagistes, les plateaux-repas, etc. Il ne vous a pas échappé que nous sommes situés dans des départements très urbanisés dans lequel sont situés nos principaux bassins d’emplois. Ces bassins peuvent comprendre, et c’est un point de vigilance, des personnes qui sont parfois sensibles aux thèses de l’Islam radical. Je tiens à dire que le Groupe ADP pratique depuis toujours une politique très ouverte de prise en compte de la diversité de ses salariés. La religion ne nous fait pas peur. Dans notre cahier des charges, nous offrons à nos passagers un service cultuel avec des lieux dédiés et nous avons, parmi nos salariés, des représentants des cultes qui sont salariés d'ADP et qui sont chargés de dispenser le service cultuel. Nous devons en revanche être attentifs aux risques de la radicalisation qui touche la société française et n'épargne pas le monde de l'entreprise. Pour cela, l’Etat assure la régulation par le système d’habilitations administratives que j'ai expliqué précédemment. Plusieurs dizaines de retraits d’habilitations ont été effectués par le préfet délégué depuis janvier 2015 pour des faits de radicalisation. De notre côté, nous avons mis en place une formation expérimentale, d’un jour et demi, pour nos managers afin de comprendre le phénomène, d'être capables de le détecter et de le signaler aux services de l’Etat. Cette formation, effectuée par un prestataire extérieur, se déroule depuis septembre 2016 : nous avons ainsi formé près de 170 managers d’ADP à cette problématique de la radicalisation en entreprise. Le taux de satisfaction frôle les 95% et la formation est soutenue par les représentants du personnel. Par le biais de la formation, nous introduisons l’intelligence, la connaissance et la distance, sur un sujet qui suscite incompréhension et crispation. Je fais régulièrement des communications au comité exécutif sur l’état de la menace au niveau national de manière à ce que nous soyons en posture de vigilance, de réactivité, d’anticipation. Le transport aérien demeure une cible prioritaire pour l’Etat Islamique, mais aussi pour al q'Aïda.
P.IE. : Nous avons beaucoup parlé de la menace terroriste, qu’en est-il des autres menaces ? Le « drone » est-il à considérer comme une menace ?
A. ZABULON : Vous avez raison. Côté piste, une des nouvelles menaces auxquelles nous avons à faire face est le drone. Il y a deux catégories de drones : le « drone-ami » qui peut être utile pour des missions de surveillance et le « drone hostile », pouvant représenter un véritable risque pour la sécurité des avions. Nous avons rendu public, lors du Salon du Bourget, le procédé technologique Hologarde, conçu avec des industriels et la Direction Générale de l’Aviation Civile (DGAC), qui permet de détecter un drone à l'approche. Le drone est donc un sujet sur lequel nous sommes très vigilants. Nous avons à ADP une petite cellule de quelques personnes, qui s’occupe de veille technologique à la fois dans le domaine de la sûreté mais également dans le domaine du digital, de la satisfaction client, des développements des nouveaux services, etc.
P.IE. : Réalisez-vous des exercices de crise ?
A. ZABULON : Oui, nous avons récemment effectué trois exercices de crise. Nous avons réalisé, à Orly, un exercice sur table et un exercice en conditions réelles d’exploitation de nuit à Orly et à Roissy. Cela permet à la fois aux services spécialisés de s’entraîner dans des conditions réelles dans un terminal et aux services d’ADP d’évaluer sa capacité de résilience : gérer la crise et le redémarrage de l’exploitation. Cette capacité de résilience a été mise à l'épreuve en mars 2017, lors de l’attaque sur des militaires en opération Sentinelle, à Orly. Il ne suffit pas seulement de neutraliser l’agresseur, il faut s’assurer que, dans l’aéroport, l’agresseur n’a pas de complices ou d’explosifs cachés. Il y a tout un travail de vérification qui doit durer plusieurs heures afin de « décontaminer » la zone avant de pouvoir reprendre l’exploitation. Le défi est alors de remettre l’aéroport en exploitation le plus rapidement possible puisque, durant toutes ses heures, aucun avion ne décolle ni n’atterrit.
P.IE. : Nous allons maintenant nous intéresser aux sujets liés aux nouvelles technologies. Comment conciliez-vous la pratique de la collecte de l'information, parfois sensible, et la limitation des risques de fuite de ces données ?
A. ZABULON : Dans le cadre de sa politique clients, la direction des commerces mène une révolution digitale avec la mise en place d’applications qui permet aux clients de bénéficier de divers services. Cela signifie qu’une collecte de données personnelles est effectuée. J’ai mis en place un comité de pilotage pour assurer la montée en puissance de cette digitalisation et pour se mettre en conformité avec le Règlement Général de Protection des Données (RGDP). Nous avons une correspondante informatique et liberté et nous sommes l’interlocuteur au quotidien de toutes les directions métiers. Nous possédons une fonction réelle de conseil et d’accompagnement vis-à-vis des directions métiers en matière de collecte, de traitement et de conservation des Données à Caractère Personnel (DCP). Nous leur rappelons qu’il ne faut pas collecter les données qui ne sont pas utiles, qu’il y a des règles en matière de durée de conservation des données. Tous les traitements de DPC donnent lieu à une déclaration auprès du correspondant informatique et liberté qui s’assure de la conformité du fichier. J’ai fait faire un audit par un prestataire extérieur de tous les fichiers existants au sein de la direction pour avoir un diagnostic sur le niveau de conformité. A l’issue de cet audit, un rappel sur un certain nombre de règles à respecter a été effectué pour éviter les sanctions qui, en application du RGPD, peuvent aller jusqu’à 4% du chiffre d’affaires consolidé. La direction sureté est un peu la vigie du groupe sur les questions de protection des DCP.
P.IE. : Comment utilisez-vous les nouvelles technologies ? Quelles sont les innovations qui seront mises en place dans un avenir proche ?
A. ZABULON : Les caméras, au nombre d’environ 10 000, sont un élément clé. Evidemment, il n’y a pas un agent dernière chaque écran, cela est impossible. Avec les progrès de l’Intelligence artificielle, nous sommes en situation de veille et nous expérimentons notamment des caméras intelligentes. Voici quelques exemples d’application : dans le monde de demain, une caméra sera capable d’identifier un visage et de faire correspondre ce visage avec un autre visage enregistré dans une banque de données. Des expérimentations sont menées avec des salariés volontaires d’ADP et l’autorisation de la CNIL. Le but est, demain, et si ce dispositif reçoit une base légale, de repérer une personne fichée et sa localisation pour pouvoir faire intervenir la police. La caméra devient un élément de la procédure d’alerte. Les précédents sont prometteurs et intéressants pour les services de l’Etat.
Le deuxième exemple est technologiquement un peu plus complexe : la caméra qui détecte des mouvements du visage qui trahissent un stress anormal. Cette technologie n’est pour le moment pas encore aboutie. Actuellement, nous avons des agents qui repèrent les comportements anormaux. S’il est possible de les doubler par des caméras, c'est un plus pour la sûreté de nos aéroports.
Un autre cas d’application est possible concernant les bagages abandonnés qui sont un "cauchemar" pour l'exploitation. Il y a eu environ 1 300 alertes pour 2016 : des bagages oubliés pour certains d’entre eux, mais aussi, bien souvent, volontairement abandonnés notamment à cause des politiques de plus en plus sévères en matière de taxation des excédents de poids des compagnies aériennes. Il est nécessaire de mettre en place une procédure très contraignante à chaque abandon de bagage, avec un périmètre de sécurité. Cela est très impactant pour l’exploitation de l’aéroport alors que dans 99,9% des cas les bagages sont inoffensifs et peuvent dans certains cas être détruits lors de l’intervention des services de déminage. La caméra intelligente de demain enregistrera la scène de l’abandon de bagage, pourra repérer le visage du passager et le suivre pour le localiser en zone d’embarquement, par un système de tracking vidéo. Grâce à la caméra, l’idée est d’avoir une politique de sanction dissuasive pour mettre fin à cette pratique d’incivisme. Actuellement, les auteurs de ces "oublis" sont difficiles à retrouver. Tout cela n'est encore qu'au stade expérimental.
P.IE. : Qu’en est-il au niveau du filtrage et du contrôle aux frontières ?
A. ZABULON : Le point d’inspection filtrage (PIF) du futur va être très largement automatisé pour accélérer encore la fluidité. La règle imposée aux prestataires est que 90% des passagers doivent passer le contrôle sûreté en moins de 10 minutes. La satisfaction des passagers mesurée est en constante progression. Le PIF du futur se composera de plusieurs postes de travail côte à côte pour que chacun se prépare à passer la sécurité. Cela permet à ceux qui prennent plus de temps et qui n’ont pas l’habitude de voyager de prendre leur temps pour se préparer sans bloquer la file. Le PIF du futur comportera également un shoe scan, dans lequel il suffit de poser son pied et l’appareil détecte l'éventuelle présence d'explosifs sans avoir besoin d'ôter ses chaussures. Tous ces nouveaux process sont en cours d’expérimentation dans un terminal de Roissy.
Pour les contrôles frontières, nous avons une croissance du trafic donc de plus en plus de passagers à traiter. Or les contraintes budgétaires de l’Etat ne permettent pas l’augmentation des effectifs de la PAF à proportion du trafic, même si récemment le ministère de l’Intérieur a consenti des efforts non-négligeables de renfort. Pour autant, la dégradation du temps d’attente est liée à plusieurs facteurs : augmentation du trafic et augmentation du nombre de contrôles, notamment depuis l’établissement de l’état d’urgence. Le contrôle frontière, à la différence du contrôle sûreté, est une compétence régalienne de l’Etat qui, en l’état actuel, ne peut pas être déléguée. En revanche, nous avons fait l’acquisition de sas PARAFE qui sont des portails qui permettent de faire un contrôle automatisé. Aujourd’hui, il y a 37 sas PARAFE première génération à reconnaissance digitale et, en 2018, 95 sas PARAFE à reconnaissance faciale seront installés, ce qui permettra de gagner du temps : le temps de passage pourra alors être divisé par deux. L’enjeu de passer à la reconnaissance faciale est de pouvoir traiter tous les passeports européens et pas seulement ceux français. ADP a donné son accord pour en ajouter de nouveaux et s’investit au sein d’un groupe de travail avec le ministère pour calibrer le nombre de sas supplémentaires. L’utilisation est uniquement réalisée par les services de l’Etat : ADP achète les sas, les installe et assure leur maintenance, c’est tout. La volonté de l'entreprise est de recourir massivement à ces équipements de haute technologie que nous mettons à disposition de l'Etat. Il existe néanmoins une limite pour étendre cette technologie aux passeports hors-UE : le sas ne sait pas lire les visas.
P.IE. : Quelles sont les menaces cyber pesant sur l’aéroport ?
A. ZABULON : Nous avons dans un aéroport des systèmes d’exploitation extrêmement critiques : le système informatique de balisage des pistes, par exemple. La direction des services informatiques a classé leurs systèmes d’information par niveau de criticité. L’Agence Nationale pour la Sécurité des Systèmes d’Information (ANSSI), autorité de contrôle, est l’entité auprès de laquelle sont déclarés nos systèmes informatiques d'importance vitale (SIIV) avec en face les éléments de robustesse qui sont mis en place pour les protéger. Aujourd’hui le principal risque cyber est le ransomware, du type WannaCry, sans cible prédéterminée mais dont le but est de corrompre le plus de systèmes informatiques possibles. Il s’agit de malveillance pure et simple. Notre direction des systèmes d'information (DSI) est extrêmement vigilante sur les risques cyber, notamment parce qu’on est un OIV. Dans ce sens, dans notre plan de sûreté, il y a un chapitre cyber. Nous devons parer également aux attaques en déni de service pour empêcher le fonctionnement d’une application informatique. Le risque cyber se porte également sur les rançongiciels dont le but est crapuleux.
P.IE. : Effectuez-vous une veille comparée sur les pratiques des autres aéroports internationaux en matière de sécurité ? Comment les aéroports de Paris se positionnent par rapport à leurs homologues ?
A. ZABULON : De manière générale, nous entretenons une relation suivie avec le Club des majors, c’est-à-dire les cinq plus gros exploitants aéroportuaires européens. Il y a régulièrement des réunions au sommet entre les directeurs de ces aéroports mais aussi entre les directeurs de sûreté. Nous effectuons des échanges de bonnes pratiques et des benchmarks. De fait, tout n’est pas dit car il ne faut pas oublier que nos aéroports sont en concurrence. Néanmoins, nos intérêts sont communs en matière de sûreté et nous avons tous les mêmes défis et les mêmes risques.
Propos recueillis par Julie Soulié (Club Risques) et Pierre Lasry (Club Sûreté)