Quebec BSP Security cheat sheet
Quebec BSP Security · Keep the key ideas within reach.
Surveillance et gardiennage
Le gardien détient un pouvoir d'arrestation citoyen limité : il peut appréhender l'auteur d'une infraction pénale grave vue en flagrant délit, puis doit remettre la personne à un agent de la paix sans délai indu.
La détention préventive par un agent de sécurité doit être la plus courte possible, proportionnée au danger et documentée (heure, motif, témoins) pour limiter la responsabilité civile.
Le recours à la force est gradué : présence verbale, sommation, contrôle physique, force minimale nécessaire; la force mortelle n'est jamais justifiée pour protéger des biens.
La surveillance par vidéo exige une signalisation visible à l'entrée des lieux et un affichage précisant l'usage des images; les caméras dans les zones privées (vestiaires, toilettes) sont interdites.
Un registre de ronde horodaté (ronde horaire, points de contrôle, anomalies) constitue la preuve principale en cas d'incident ou de réclamation.
Le gardien doit consigner par écrit tout incident (rapport d'incident) : qui, quoi, quand, où, comment, actions posées, personnes impliquées et témoins.
La consigne écrite du client ne peut autoriser un acte illégal; en cas de conflit entre consigne et loi, la loi prévaut et l'agent doit signaler le refus par écrit.
Le contrôle d'accès repose sur trois vérifications : identité, autorisation (liste, laissez-passer), et motif de présence; un badge non valide ne remplace jamais une vérification d'identité.
Le gardien ne peut fouiller une personne sans consentement ni fouiller un véhicule privé sans autorisation légale; il peut observer et demander l'ouverture volontaire d'un sac.
Enquête et investigation
La chaîne de possession (chain of custody) exige pour chaque pièce : description, numéro unique, date/heure, nom du collecteur, lieu de dépôt et signature à chaque transfert.
Toute entrevue doit commencer par la mention du droit au silence et du droit à l'avocat lorsque la personne est détenue ou fait l'objet d'une accusation criminelle.
Le rapport d'enquête répond à six questions : qui, quoi, quand, où, pourquoi, comment; chaque conclusion doit renvoyer à une pièce ou à une déclaration vérifiable.
La collecte de preuves numériques exige une image forensique (hash MD5/SHA-256) avant analyse; l'original n'est jamais manipulé.
Le témoignage oculaire est fragile : la contamination par questions suggestives et l'effet de désinformation exigent des entrevues non directives.
La confidentialité des dossiers d'enquête est limitée par la Loi sur la protection des renseignements personnels; seules les personnes autorisées y ont accès.
L'enquêteur privé n'a pas les pouvoirs d'un policier : pas de perquisition, pas de mandat, pas d'écoute électronique sans autorisation judiciaire.
La preuve doit être pertinente, fiable et non obtenue en violation des droits fondamentaux; une preuve illégalement obtenue peut être écartée par le tribunal.
Le rapport final distingue faits établis, hypothèses et recommandations; confondre ces catégories affaiblit la crédibilité du dossier.
Serrurerie (locksmith work)
Les cylindres sont classés par niveau de sécurité (ANSI/BHMA grades 1 à 3) et par résistance à l'effraction (pick, bump, drill); le grade 1 offre la meilleure résistance.
La norme de résistance au feu (UL 10C, 20 minutes, 45 minutes, 90 minutes) impose des quincailleries certifiées et une porte coupe-feu complète, jamais modifiée sans recertification.
Le cylindre à goupilles fonctionne par alignement de goupilles sur la ligne de cisaillement; la clé de serrure à goupilles doit être taillée avec une tolérance précise (souvent ±0,005 pouce).
Le « bumping » exploite une clé taillée à la profondeur maximale pour projeter les goupilles; les cylindres anti-bump utilisent des goupilles de sécurité ou des profilés à clé brevetée.
Un cylindre à clé brevetée (clé non copiable sans autorisation) protège contre la duplication non contrôlée; la gestion des clés doit inclure un registre et une procédure de récupération.
La serrure à mortaiser doit être installée avec un jeu minimal et une plaque de protection (strike plate) renforcée; une porte faible annule la meilleure serrure.
Le « master keying » crée des hiérarchies de clés; chaque niveau ajoute des goupilles de maître et augmente le risque de clé passe-partout non autorisée.
Les serrures électroniques (RFID, code, biométrie) nécessitent une alimentation de secours et un mécanisme de déverrouillage manuel en cas de panne.
L'ouverture d'urgence d'une porte verrouillée doit respecter la propriété et la loi; un serrurier exige une preuve de résidence ou une autorisation écrite du propriétaire.
Systèmes de sécurité électroniques
Un système d'alarme est composé de capteurs, d'une centrale, d'un clavier, d'une sirène et d'un canal de communication; chaque composant doit être supervisé pour détecter une panne.
Les détecteurs de mouvement infrarouges passifs (PIR) réagissent aux changements de chaleur; les détecteurs à double technologie (PIR + micro-ondes) réduisent les fausses alarmes.
La norme de performance d'un système d'alarme (UL 681, UL 1076) définit les niveaux de protection; un système certifié exige une maintenance et des tests périodiques documentés.
Le câblage d'alarme doit être protégé contre le sabotage (boucle supervisée, résistance de fin de ligne) et les câbles doivent être identifiés et protégés mécaniquement.
La vidéosurveillance IP exige une bande passante et un stockage calculés : résolution, images par seconde, durée de conservation et compression influencent directement les coûts.
Le contrôle d'accès doit appliquer le principe du moindre privilège : chaque utilisateur reçoit l'accès minimal nécessaire, révisé périodiquement.
Les systèmes doivent être testés après installation et à intervalles réguliers (test de zone, test de batterie, test de communication) avec un rapport signé.
La protection contre les pannes repose sur une batterie de secours (souvent 4 à 24 heures) et un canal de communication redondant (ligne téléphonique, cellulaire, IP).
La protection des renseignements personnels s'applique aux images et aux journaux d'accès; la conservation doit être limitée à la durée nécessaire et les accès doivent être journalisés.
Transport de valeurs
Le véhicule blindé doit respecter des normes de blindage (niveaux de résistance balistique) et être inspecté avant chaque départ : pneus, freins, communications, serrures.
La procédure de chargement/déchargement exige deux agents minimum, une zone sécurisée, une vérification des scellés et une signature de transfert de responsabilité.
Le principe du « besoin de savoir » limite l'information sur les itinéraires, les montants et les horaires aux seules personnes concernées.
Les itinéraires doivent varier et être communiqués à la centrale de surveillance; un itinéraire fixe et prévisible augmente le risque d'attaque.
Le scellé numéroté est vérifié à chaque étape; un scellé brisé ou non conforme déclenche une procédure d'incident et un rapport immédiat.
La communication radio ou cellulaire doit rester fonctionnelle en tout temps; une procédure de code silencieux signale une prise d'otage ou une contrainte.
La formation des convoyeurs couvre la reconnaissance des menaces, la conduite défensive, la gestion de crise et les procédures d'urgence.
Les valeurs en transit doivent être assurées; la couverture dépend de la conformité aux procédures de sécurité et peut être refusée en cas de négligence.
Conseil en sécurité
L'analyse de risque combine probabilité et impact : risque = probabilité × gravité; les mesures de mitigation visent à réduire l'un ou l'autre, ou les deux.
L'évaluation de sécurité commence par l'inventaire des actifs, l'identification des menaces et des vulnérabilités, puis la priorisation des mesures selon le risque résiduel.
Le principe de défense en profondeur superpose plusieurs barrières (périmètre, bâtiment, zone, objet) pour qu'une seule défaillance ne compromette pas l'ensemble.
Le principe du moindre privilège et la séparation des tâches limitent la fraude interne et les erreurs; les contrôles doivent être documentés et audités.
Une politique de sécurité écrite définit les rôles, les responsabilités, les procédures et les sanctions; elle doit être approuvée par la direction et communiquée.
L'audit de sécurité vérifie la conformité aux politiques et aux normes (par exemple ISO 27001 pour l'information) et produit des constats hiérarchisés.
Le conseiller doit distinguer les mesures préventives (dissuasion, contrôle d'accès), détectives (alarme, surveillance) et correctives (intervention, plan de continuité).
La recommandation doit inclure un coût, un bénéfice attendu et un indicateur de suivi; une mesure sans indicateur ne peut être évaluée.
La confidentialité et les conflits d'intérêts s'appliquent au conseiller : il doit déclarer tout lien avec un fournisseur et protéger les renseignements du client.