Qui voit quoi, qui a fait quoi et comment le prouver ensuite

Un droit n'est pas un gros interrupteur. IRIS répartit 315 droits en 66 modules, accordés ou retirés un par un : on décide qui voit quelle caméra, qui exporte de la vidéo et qui ne peut rien faire d'autre que regarder. Huit profils arrivent tout faits — administrateur, opérateur, auditeur, superviseur, technicien et quelques autres — et celui qui en veut un autre les duplique et les rogne, sans limite. Au-dessus du droit vient la portée : quel site, quelle caméra, quelle enquête, avec une date d'expiration et une alerte une semaine avant. Et une règle s'affiche à l'écran : si un groupe refuse quelque chose, ce refus l'emporte toujours, même si le profil l'accorde. C'est ce qui permet de donner un profil large et de le rogner pour une équipe précise sans inventer un profil de plus.

Le journal d'audit n'accepte que des ajouts : une fois écrit, on n'y touche plus. Ce n'est pas une promesse du logiciel, c'est une règle du magasin de données lui-même, qui refuse toute tentative de modifier ou de supprimer une entrée à la main, quel que soit son auteur. Chaque entrée conserve 27 informations — qui, quoi, sur quoi, depuis quelle adresse, l'état avant et l'état après — et se rattache à la précédente par une empreinte. Dans une installation en service, cela fait 489 actions différentes enregistrées : connexions et déconnexions, changements de droits, l'ouverture d'un enregistrement, le déplacement d'une caméra, exports, changements de configuration. Un bouton parcourt toute la chaîne et répond si elle est intacte, ou à quelle entrée et à quelle date elle a cassé. Le journal est en outre scellé par périodes, pour que dans deux ans on puisse recouper l'état qu'il avait aujourd'hui.

Les données personnelles se traitent par type, pas en bloc. Chaque table porte son délai avec sa base légale écrite à côté, et un passage nocturne les applique seul en laissant la trace de ce qu'il a effacé ; avant de l'armer, on peut le lancer à blanc, ce qui n'efface rien et montre ce qui tomberait. Les sept demandes qu'une personne peut déposer — accès, rectification, effacement et les autres — ont chacune leur écran, leur délai et leur alerte à l'approche de l'échéance, et n'importe quel utilisateur dépose la sienne depuis son profil. Une violation de données s'ouvre avec son compte à rebours de 72 heures bien visible, et le tableau de bord signale celles qui l'ont dépassé. Les zones privées d'une caméra restent noires pour tout le monde, et les découvrir exige un motif écrit, une deuxième personne qui l'approuve et une durée limitée. Les données biométriques ont leur propre délai, séparé de la vidéo, et l'écran écrit noir sur blanc qu'allonger ce délai augmente l'exposition juridique, au lieu de le laisser s'allonger sans que personne ne dise rien.

La conformité se tient comme une liste, pas comme un discours. Il y a les 79 mesures du schéma national de sécurité espagnol de niveau élevé et les 93 de l'annexe A de la norme ISO 27001, chacune avec son état, ses preuves, la date de la dernière revue et son auteur ; les deux référentiels sont croisés entre eux, de sorte qu'une seule déclaration d'applicabilité répond aux deux audits. S'y ajoutent un registre des systèmes d'intelligence artificielle en service et une file où une personne revoit les décisions de la machine et les confirme, les annule ou les fait remonter. Et il faut dire ce que ce n'est pas : IRIS est conçu pour aider à respecter ces référentiels, mais il n'est ni certifié ni homologué au titre d'aucun d'eux. C'est l'organisation qui exploite le système qui se certifie, avec ses procédures et ses locaux ; ce que le produit apporte, ce sont les preuves pour y arriver. La seule homologation par un tiers que nous ayons vraiment est celle du comptage de personnes, délivrée par le Centre espagnol de métrologie.

La panne qui coûte cher est celle qu'on découvre le jour où l'on a besoin de la vidéo. D'où un tableau qui classe chaque caméra — connectée, sans image, éteinte volontairement, non mesurée, non surveillée — et indique depuis quand elle est ainsi, combien de coupures elle a eues ces 24 dernières heures et ces sept derniers jours, et quelle a été la plus longue. Pour les services et les serveurs, même chose : quand quelque chose tombe, on n'affiche pas une icône rouge, on écrit le motif, et ce motif distingue il n'est pas démarré, il n'a pas été rafraîchi depuis des heures, il répond mais ne produit rien, et il a été arrêté volontairement. S'y ajoute un diagnostic qui traque les pannes muettes, celles qui ne lèvent jamais d'erreur : deux services qui se disputent le même port, un changement de base jamais appliqué, une surveillance à l'arrêt. Et une décision en dit long sur le produit : quand une chose n'a pas été mesurée, l'écran ne la peint pas en vert. Pas de panne et pas pu vérifier ne sont pas la même chose, et les deux sont distingués.

Toute la configuration vit dans le système et se règle depuis le navigateur : 1 524 valeurs réparties dans 44 services — caméras, stockage, réseau, délais, langues et fuseaux horaires — sans un seul fichier à éditer et sans se connecter au serveur. Chaque changement retient qui l'a fait et quand, et chaque paramètre est documenté dans la plateforme elle-même : ce qu'il commande, dans quelle unité, quelle est sa valeur par défaut et ce qui se passe si on le met à zéro, ce qui ne veut pas toujours dire illimité. L'inventaire des certificats est de la même école : il les liste tous, alerte sur ceux qui expirent et lève de lui-même deux avertissements que presque personne n'écrit dans une brochure : qu'on sert avec le certificat d'usine, le même dans toutes les installations, et qu'il existe des adresses de la machine qui ne figurent dans aucun certificat. En renouveler un redemande le mot de passe de l'administrateur, car une session ouverte ne suffit pas pour remplacer un certificat, et une copie de l'existant est conservée avant de toucher à quoi que ce soit. De petits détails, et justement ceux qui manquent au bout de six mois.