Cet article The 2020 French Cyber-Security Startups Radar: our analysis (1/2) est apparu en premier sur RiskInsight.

Cybersecurity fundraising are slowing down in the 2019-2020 fiscal year (from June 2019 to June 2020), how can this be explained?

There was indeed a sharp drop in the amounts raised by tech start-ups in France in March/April 2020. This is even more flagrant in comparison with the previous fiscal year, 2018-2019, which was particularly exceptional for the cybersecurity ecosystem (around €300 million raised, with great fundraisings, such as Vade Secure and Dashlane).

2019-2020 is, in our opinion, an extraordinary year in many ways:

• Significant fundraising was carried out at the end of 2019 and early 2020: 33 million euros for CybelAngel, great fundraising also for Trust-in-Soft, Egerie, Dust Mobile and Quarkslab that we were able to support;
• Those planned for the first half of 2020 were quickly impacted by the health crisis: several planned between February and April were postponed.

Nevertheless, a restart of fundraisings was initiated in mid-April at a steady pace, and we decided at the beginning of the year to invest in four new companies (three in France, one in Europe). Thus, even if the health crisis has led to a short-term slowdown, the end of 2020 should bring new fundraisings, and potentially reverse the trend, particularly in the field of cybersecurity, which is still growing despite the Covid-19 crisis.

Some start-ups decide not to raise any funds. What do you think about this?

It is possible to create an “organic” self-financing business, especially in the service industry, but its development will be much slower.

However, in the cybersecurity market, velocity seems to be essential for a startup: an innovative idea at a given moment can very quickly become obsolete and miss its chance on the market.  We believe that fundraising is an essential step for a company with a software/SaaS offer in cybersecurity that wants to reach the critical size to be a leader in a market that is by nature very international.

From our point of view, the particularly technical topic that is cybersecurity requires a specialized fund with cybersecurity knowledge and therefore able to understand the issues, the technology, the market, to make the right investment choices and to be relevant in supporting companies. This makes ACE Management positioning even more relevant (for entrepreneurs) and differentiating on the market (for investors in our funds).

On that topic, it is also important to note that if Brienne III is today the only fund specialized in cybersecurity in France, there are similar funds in other European countries, such as Germany, and the Netherlands, which are natural partners for us.

All investors have their own magic recipe for identifying gems to invest in, would you share some of yours with us?

Concerning the Brienne III fund, we are targeting startups that have already reached a certain maturity level and are looking to raise significant amounts of capital (at least €5 million, rather Series A or B).

Without revealing the whole recipe, here are some of the key elements we are looking for:

• Ambitious management, knowing how to surround themselves with the right skills for the development of their structure;
• A technically solid value proposition, potentially resulting from R&D funding from large groups or research laboratories;
• In adequacy with the needs of the market, answering a recurring unaddressed problem or protection issues highlighted by recent attacks.

Speaking of market needs, what do you see as the next trends in cybersecurity?

Our discussions with several CISO during the health crisis and our analyses of the market and current events lead us to identify the following:

• Workstations security is back in the spotlight, especially with the generalization of remote access;
• Third party management in a more fluid way while remaining secure and limiting their access;
• Sovereignty questions are more important, but, barring regulatory constraints, should not remain the main selection criterion;
• It also seems to us that the trend towards using the SaaS (Software As A Service) model for security solutions has been passed for a certain number of structures, which are more mature on Cloud models, and have a much lower grasp of them. An element to keep in mind for our start-ups!

About Brienne III and ACE Management:

In June 2019, with an initial closing of 80 million euros, ACE Management launched the Brienne III fund, the first French investment fund dedicated to the financing of innovative cybersecurity companies and the largest in continental Europe. The initial subscribers to this fund are Tikehau Capital (a shareholder of ACE Management), Bpifrance, EDF, Naval Group, Sopra Steria and the Nouvelle Aquitaine region. Other strategic investors and institutions wishing to support the emergence of cyber defense solutions are in advanced discussions with ACE Management to participate in the second closing.

ACE Management, a Tikehau Capital Company, is a private equity firm specializing in the industrial and technology sectors, with €1 billion in assets under management. Founded in 2000, ACE Management invests through sector strategies, such as strategic industries, cybersecurity and trusted technologies. ACE Management has built its model on partnerships with major groups investing in its funds (notably Airbus, Safran, EDF).

Cet article Interview with ACE Management – 2020 French Cybersecurity Startups Radar est apparu en premier sur RiskInsight.

For more information, watch the video presentation of the contest.

For the fourth edition of the contest, data and AI come along with Cybersecurity!

While previous editions of the competition rewarded only startups specializing in the field of cyber security, the 2020 edition has broadened its scope to include new topics, such as artificial intelligence and data, which remain key components of the cyber ecosystem.

All the participating startups, of French or European origin, were able to share all the richness of their diverse technological expertise. Below are the top 5 topics covered by the participants this year:

• Fight against fraud
• Digital identity protection
• Development of artificial intelligence for business
• Data integrity protection
• Detection of incidents and vulnerabilities

A high-profile jury, with analyses and strong messages!

This ceremony was obviously intended to reward the big winners of the 2020 edition, but not only. It was also an opportunity for all the jury members to share their analyses of the current startup ecosystem.

This year, the jury was composed of Claire Calmejane (Group Innovation Director – Société Générale), Christophe Leblanc (Group Digital Resources and Transformation Director – Société Générale), Pascal Imbert (Chairman and CEO – Wavestone), Reza Maghsoudnia (Strategic Development Director – Wavestone), Guillaume Poupard (Managing Director – ANSSI), Jamal Attif (Professor at Dauphine-PSL, head of the MILES team) and a college of experts (Thierry Olivier, Christina Poirson, Julien Molez, Gérôme Billois, Ghislain de Pierrefeu and Severine Hassler).

Lessons and perspectives of the crisis

Although this health crisis is not yet over, it seems in any case a little bit better controlled than in March, when this disease was still unknown to all of us. On that topic, Pascal Imbert and Christophe Leblanc brought their analysis of this crisis and its impacts.

According to them, this crisis has revealed the fragility of both the companies and of our current economic models, but it has also accelerated the trend, with digital technology recently taking an even more important place. This makes the transformations deeper and faster. However, it is not without consequences for companies, which are seeing an acceleration of their transformations, with the need to integrate new factors, such as a better balance between efficiency and resilience, together with a major focus on technology, which represents an economic, technological and sovereignty challenge. According to Pascal Imbert, the startup environment, which is being honored with this competition, is one of the key elements that should enable us to regain control over technology and how it is used.

This crisis is both a factor of digital and strategic transformation, of which data and cybersecurity are an integral part, a factor of agility, with the acceleration of teleworking and the necessary adaptation of IT security rules, and a factor of “stress-testing”, for our economic and technological models.

Artificial intelligence and data at the service of the crisis

Jamal Attif reminded us all from the start: “the value is in the data”. However, according to him, AI as we know it today is unable to solve this crisis. It can help fight it, for example by using bibliographic data mining algorithms to understand the effects of certain drugs. It can also speed up and improve medical diagnostics, through image recognition, but it cannot predict what has never been seen before, such as this epidemic, which has grown very rapidly.

The startup ecosystem today has a real impact on our business models, but he deeply thinks that it is important to combine all the forces, whether from the world of research, large companies or startups, in order to achieve breakthrough innovation that will enable us to respond to such issues.

Cybersecurity: evolution of the threat and innovations

Guillaume Poupard notes two major points concerning digital and cybersecurity today.

First of all, he raises the positive side of the digital transformation, which helped overcome the lack of activity during this period. However, according to him, we must remain cautious, especially in the face of the particularly worrying growth of cybercrime, which now targets large companies, with very serious cases multiplying (50 ransomwares in 2019, against already 130 in 2020, and it’s not over yet). The issue of combating cybercrime is therefore a topic of major importance. It is then useful to perform new risk analyses and information system audits to detect possible cybersecurity flaws that were created in these few months. Like Jamal Attif, he reiterates the importance of public and private stakeholders of all sizes, with different motivations, working together to strengthen our cybersecurity defenses. According to him, it is necessary to put forward those who innovate, and this is one of the objectives of the cyber campus, which should soon be created, in the Paris region.

The other point is to continue to raise these issues at the European Union level, and even beyond, by setting up networks so that all stakeholders can work together. This is notably the objective of the recent launch, by the member states of the European Union, of the Cyber Crisis Liaison Organisation Network (CyCLONe).

Focus on the innovation and startups ecosystem

Reza Maghsoudnia shares the very essence of the startup ecosystem, which is to think outside the box, to challenge established players, and to innovate in order to give more value to the various transformations we are experiencing. The crisis is further increasing the need for innovation, and it is of deep importance for Wavestone to continue to identify these sources of innovation, to support and accompany them.

That is for this reason that, in 2015, Wavestone created a startup accelerator program (Shake’Up), enabling it to be in constant interaction with several hundred innovative players on the market and to identify great startups to accompany them. As of now, more than 40 startups have been supported, including real success stories such as Alsid and Citalid, in the field of cybersecurity. Regarding the French Cybersecurity startup ecosystem, we invite you to read the analysis of our experts, following the 2020 startup radar conducted by Wavestone.

61 startups competed, 8 startups retained and 4 startups rewarded

Isahit, Special Prize – Data for good & Ethics

Founded in 2016, the French “Tech for Good” Isahit offers companies a digital impact sourcing platform for processing digital tasks that cannot be handled by artificial intelligence.

Watch the video presentation of the startup Isahit.

CryptoNext, Special Prize – Cybersecurity Made in France

Founded in 2019, CryptoNext has developed an encryption technology to make data resistant to the power of quantum computing. Its software is intended to be implemented in the offerings of major players in the IT security sector.

Watch the video presentation of the startup CryptoNext.

Inqom, Data & AI Grand Prix

Founded in 2015, Inqom has built a SaaS software for automating accounting production, allowing real time generation of the balance sheet. Using artificial intelligence, the solution processes and enriches accounting data to create centralized, standardized and intelligent accounting.

Watch the video presentation of the startup Inqom.

Hackuity, Cybersecurity Grand Prix

Founded in 2018, Hackuity provides a platform that rethinks the way IT vulnerabilities are managed across the enterprise by collecting, standardizing and orchestrating all security assessment practices, whether automated or manual.

Watch the video presentation of the startup Hackuity.

Cet article Banking Innovation Awards: together they are building the bank of tomorrow! est apparu en premier sur RiskInsight.

Cybersecurity remains a fast-evolving ecosystem that presents new threats to enterprises every day with hackers becoming increasingly innovative in their attempts to break into corporate networks and steal valuable data. As such, cybersecurity start-ups are playing an even more critical role in providing disruptive and innovative solutions to novel cybersecurity challenges.

Discover our infographic on the 2019 UK cybersecurity start-up landscape to find out the latest market trends, our key findings in this area and a booming UK market.

Cet article 2019 UK Cybersecurity Startup Radar est apparu en premier sur RiskInsight.

Improving knowledge of threats and attackers

Cyber-threat intelligence (CTI) platforms

Cyber-Threat Intelligence (CTI or Threat Intel) is a discipline that brings together the collection, consolidation, and exploitation of all information on cyber-threats. “Know your enemy” says Sun Tzu in the Art of War. Although this quote refers to “physical” wars, the principle remains true, and is probably even more true when it comes to “cyber” battles.

Today, a large number of security approaches rely on knowledge of attacks: the signature-based approach of antivirus and IDS solutions, targeted detection scenarios, etc. Even though this trend is reversing (in particular with the detection of anomalies) the vast majority of security products still rely—and will continue to rely—on the principles of Threat Intelligence.

With companies’ needs becoming more specific, and attackers ever more specialized, Threat Intel solutions are becoming increasingly popular, with services being offered directly to companies. In addition to commercial offerings, more and more exchange platforms and partnerships are enabling direct collaboration with other companies (in the same sector or geographical area, etc.).

Threat Intel offers a range of services. On the one hand, ‘strategic’ Threat Intel helps an SOC better understand the context and specific threats to the company. To do this, the risks from various ecosystems are studied: geographical, political, ideological, sectoral, etc. This information enables security teams to better understand the threats they face and guides their decisions to define “long-term” strategy (solutions to be deployed, etc.).

On the other hand, ‘tactical’ Threat Intel provides more precise information on attackers’ methods, allowing the SOC to facilitate detection and tailor existing measures: new threat scenarios to monitor, ports to block, etc.

In addition to these approaches, ‘technical’ Threat Intel contributes greatly to the analysis of security events by providing, on request (from SOAR in particular—see below), elements that enable the veracity of an alert to be judged: an IP belonging to a botnet, a file hash corresponding to a known virus, etc.

Threat Intelligence approaches are therefore among an SOC’s most versatile tools, enabling it to make the most of existing devices, by remaining up to date and prioritizing the threats to be detected, as well as identifying future tools and measures to be deployed.

Examples of Threat Intelligence publishers:

The standardization and automation of the response process

Security Orchestration, Automation and Response

Security Orchestration, Automation and Response (SOAR) is derived from the combination of three SOC tools: Security Incident Response Platforms (SIRPs—more details here), Security Orchestration Automation (SOA— orchestration and automation solutions) and some of the functionality of Threat Intelligence platforms. In summary, these are platforms that provide help and automate responses to security incidents. The solutions are similar to traditional ticketing tools (ITSMs) but include functionalities specific to cybersecurity issues. SOARs offer three main capabilities, each linked to one of the three types of tools from which they are derived.

First, like SIRPs, they allow the definition of response processes that are tailored to each security event. These are based on pre-defined playbooks provided by the publisher, published by the community using the solution, or created manually to better tailor things to the needs of the business. In particular, this task requires response teams to establish a clearly defined process that encourages them to ask themselves the right questions when they create response procedures, as well as to capitalize on and retain the knowledge gained.

The benefits of a SOAR, however, come more from the automation of the various stages that follow detection. During the analysis phase, the tool will automatically enrich knowledge about a security event by retrieving contextual information about the IS (identity in the AD, criticality of a resource, etc.), and querying external Threat Intelligence services (via APIs) or those that are offered as part of the solution. In addition to automating the enrichment and analysis steps, SOARs also facilitate the work of analysts:  the investigation of terminals, the interrogation of VirusTotal etc. in one click—when their involvement is required.

But automation doesn’t stop there! Although controversial, the automation of the response (via the connection to security equipment, a legacy of SOA) can represent an important gain for security teams: the blocking of a URL, the generation of the signature of a file and its propagation to antivirus tools, the blacklisting of an IP, etc.

The goal of SOARs is clear: to make it easier for the teams in charge of analysis and response, by helping them to define processes and automate tasks to the greatest extent possible. Although SOARs are very adaptable and can therefore help in response to any type of attack, they really shine when it comes to automating the treatment of common attacks (such as ransomware, phishing, etc.), which are very repetitive and tie up the resources of response teams.

Once these tasks have been automated, the security teams responsible for responding can focus on more complex alerts, where their knowledge adds real value.

Provided they are prepared to put in the initial effort (the formalization of processes, etc.), the likely reactivity and load gains are significant. SOARs will change the way SOC teams work, especially with respect to top-level analysts. Even though these solutions are still rarely deployed in France, they are set to become an essential tool for SOCs in the coming years.

Examples of SOAR publishers:

Even though tools are only part of equipping an SOC, each of these solutions has distinct advantages that can help detection teams keep up to date in terms of the evolution of ISs and threats.

All the tools are promising, and some are coming to maturity. However, it’s important to keep in mind that current toolkits already raise a raft of alerts, which presents a challenge when it comes to processing. It’s therefore advisable to complete the deployment and automation of what exists (using SOARs, for example), before turning toward new solutions.

And, as for any innovative product, a cool head is needed: the deployment of a new solution must be the result of well-defined needs.

Cet article SOAR, UEBA, CASB, EDR and others: which tools do you need for you SOC? (3/3) est apparu en premier sur RiskInsight.

Enhancing detection with new approaches

Think identity to detect suspect behaviors: UEBA

User and Entity Behavioral Analysis (UEBA—previously known as UBA) technologies are among the latest tools being used to enhance SOC’s detection arsenals. As their name suggests, they take a specific approach—leaving aside the technical considerations of current solutions (SIEM, etc.), and, instead, analyzing the behavior of users and entities (including terminals, applications, networks, servers, connected objects, etc.).

The principle is simple, but its implementation much less so. To be effective, UEBA approaches require a diversity of sources, and a variety of data formats. Traditional sources, such as SIEM and log manager(s), are employed and, in addition, certain resources (such as ADs, proxies, BDDs, etc.) are often used directly.

But, to perfect their detection capabilities, UEBA solutions also draw on new sources: information on users (HR applications, badge management, etc.), exchanges between employees (chats, video exchanges, emails, etc.), or any other relevant sources (business applications that need to be monitored, etc.).

Taking all this information together, UEBA solutions analyze the behavior of users (and entities) to identify potential threats. They can use static rules, in the form of signatures to be detected (which are often already implemented in SIEM solutions): simultaneous connections from two different locations, or unusual times of use, etc.

But the real strength of UEBA lies in the use of Machine Learning algorithms to detect changes in the behavior of users or services: suspicious business-function operations, access to critical, previously unused applications during holidays, unusual data transfers, etc.

Although UEBA was initially conceived to counter fraud, its role has gradually broadened to cover some areas that typically pose problems for SIEM: data theft, compromise or loan of application accounts, terminal or server infection, privilege abuse, etc.

Thus, today, UEBA is positioning itself as complementary to SIEM, adding to the latter’s “technical” approach by providing “user” visibility, and bringing an additional layer of intelligence to the analysis.

The market’s view is that, in the coming years, UEBA solutions will probably cease to exist in their present form. Instead, they’ll be integrated into existing solutions (SIEM, EDR, etc.), changing their form from products to functionalities.

Examples of UEBA publishers:

Trapping attackers: deceptive security

Deceptive Security can be considered as a move to a higher form of the Honey Pot approach. Here, decoys, in the form of data, agents, or dedicated environments, are distributed widely throughout all, or part of, the IS.

Depending on the needs and solutions, Deceptive Security tools can serve two purposes. By diverting the attention of attackers away from real resources and leading them down false trails, they can act as a means of protection.

But above all, monitoring these decoys can detect threats that are spreading within the IS. In fact, the decoys have no other use than to lure potential attackers or to provide false information; any communication with them is then, by definition, suspect.

This type of solution isn’t a replacement for existing measures but addresses very specific use cases where conventional detection approaches are ineffective: APTs, which are specially designed to circumvent them, and, more broadly, horizontal movements within the IS.

For more detail on Deceptive Security solutions, read our dedicated article here.

Examples of Deceptive Security publishers:

Detecting weak signals on the network: machine learning sensors

Traditional detection sensors (IDPSs), based on traffic analysis and comparisons with known attack signatures, are not particularly effective when it comes to detecting subtle attacks (APTs, etc.) or unknown threats (0-day, etc.). To overcome this problem, new-generation IDPSs integrate Machine Learning capabilities (sometimes presented as Artificial Intelligence) into their detection arsenals.

Depending on the solution, two types of use for Machine Learning can be distinguished. On the one hand, the use of these algorithms in supervised mode to learn to recognize the behavior of certain attacks, or phases of attack (during the active phases): command and control, scans, lateral movements, data leakage, etc.

On the other, once the sensor has been deployed, adjustment of the detection thresholds to the client context is also based on Machine Learning algorithms (something already used by many traditional IDPS solutions).

This mode of operation enables rapid deployment (solutions that can be used out-of-the-box with shorter learning phases), and a better ability to detect previously characterized attacks. Conversely, the detection of attacks that have not been subject to learning, or are completely unknown, remains difficult.

In contrast to this approach, some solutions rely on unsupervised learning to detect attacks. Here, during deployment, sensors are positioned on the network to observe the traffic and learn how to recognize what constitutes legitimate traffic.

Once the learning phase is over, the sensors can detect anomalies and raise alerts when suspicious behavior occurs. This approach enables the detection of unknown attacks, but generally requires a longer learning phase if it is to be effective and achieve an acceptable false alert rate.

In both cases, the “Machine Learning“ sensors make it possible to enhance an SOC’s arsenal (which, today, is mostly aimed at detecting known attacks) through detection capabilities that can discern complex, unknown attacks, or those designed to circumvent conventional security approaches.

Initial feedback from the field shows that these technologies can indeed detect threats that bypass conventional security measures. False positives, however, are very common (the learning curve varies widely, depending on solutions and contexts), and it remains difficult to judge how comprehensively threats are being detected.

“Machine Learning” sensors therefore have a definite future among SOC tools, even if they need to further mature to reach their full potential.

Examples of Machine Learning sensor publishers:

You can find our third, and final, article in this series here.

Cet article SOAR, UEBA, CASB, EDR and others: which tools do you need for you SOC? (2/3) est apparu en premier sur RiskInsight.

Against a backdrop of an acute shortage of cybersecurity skills, these issues cannot be addressed solely by increasing the size of SOC teams. The use of new tools, based on four strategic areas, is essential in enabling SOCs to stay ahead of threats.

Here, extending the scope of detection enables the protection of new areas of the IS that are not sufficiently secure (such as the cloud) and of resources that are increasingly being chosen as targets (through ransomware attacks on terminals, targeted attacks using ADs, etc.).

At the same time, new approaches need to be adopted to detect targeted attacks (0-day, “low signal”, etc.), whose increasing sophistication is undermining existing security measures.

In addition to these new detection tools, an advanced knowledge of threats and attackers can improve existing detection capabilities, help prioritize incidents to be dealt with, and increase the effectiveness of the response.

But SOC teams are already struggling to process the events generated by existing tools. As a result, it’s essential to standardize and automate interactions between teams and systems, and, wherever possible, the sequence of analysis and response.

Follow our series on the topic and learn how to tool up in these four strategic areas!

Extending the scope of detection to new perimeters

A unique solution to secure all clouds: CASB

Cloud Access Security Brokers (CASBs) address an area of the IS that is poorly served by traditional security measures: the cloud. The very nature of the cloud means that protection in this area requires a different approach to that used for a conventional IS; there is little or no control of resources (infrastructure, OSs, or applications—depending on the type of offering), assets are located outside the IS, etc.

CASBs aim to centralize and ensure that security policies are applied. Some cloud providers offer their own CASB security services (for example, Microsoft’s Cloud App Security); but, depending on the needs, it may be preferable to use third-party solutions, even though there is a cost to adding in another player. While CASBs aim to ensure security levels in the cloud, relying on the cloud service providers to perform this monitoring role can be counterproductive: it’s preferable to make use of a “trusted third party”.

In all cases, CASBs offer a diversity of solutions that can include a very large number of services—their degree of maturity depending on the solution’s publisher, the cloud provider, and the type of hosting (IaaS, PaaS, SaaS, etc.).

On the one hand, CASB solutions make it possible to deal with specific cloud issues, by addressing the lack of visibility in these environments (through shadow IT detection, usage statistics, etc.) and ensuring that they are compliant (verification of configurations, etc.).

On the other hand, they play a part in the application of traditional security measures in this cloud. In particular, data security issues (such as DLP and encryption measures, which are of special concern to regulators) and threat detection (centralization of cloud logs for transmission to SIEM, detection of abnormal behavior using UEBA (see our dedicated article on this), etc.) are parts of a CASB traditional capabilities. In addition, some stakes associated with IAM can also be addressed by these solutions (SSO, access contextualization, etc.).

There are two main modes of deployment when putting these features in place, each with its advantages and disadvantages. Proxy-type solutions are placed between users and the cloud service.

In contrast, when using API-type solutions, which are sometimes called “out-of-band”, the cloud service’s consumers communicate directly with it. Each time it’s accessed, the service queries the CASB’s APIs to evaluate the risks and authorize (or prohibit) the consumption of the service. However, to operate, API solutions rely on the interfaces offered by the cloud provider, which may limit the options.

At present, CASBs are relatively new and immature solutions, and their deployment is limited. However, given the increasingly broad adoption of cloud services (already well advanced), CASBs undoubtedly have a bright future. They’ll enable SOC teams to extend their surveillance to this area, which will soon represent a large proportion of any IS.

Examples of CASB publishers:

The new Swiss army knife for securing terminals: endpoint detection and response (EDR)

Endpoint Detection and Response (EDR) solutions are set to enhance SOC’s detection and response capabilities for terminals (PCs, servers, etc.).

As the name implies, EDRs play a part in detecting attacks. In fact, they are plugging the gaps in anti-virus solutions (and other HIPSs) which make use of specific attack signatures and are therefore unsuited to detecting certain attack types—in particular advanced attacks (APTs). EDRs are based on other detection methods, with publishers generally offering a combination of techniques commonly used elsewhere.

Among these techniques, a large number of solutions detect the exploitation of known vulnerabilities or attack patterns (the opening of suspicious ports to dubious addresses, etc.), the analysis of files using a sandbox (local emulation, submission in the cloud, etc.), and behavioral approaches based on Machine Learning (in particular UEBA solutions—see the dedicated chapter on this). Depending on the SOC’s needs, the alerts produced can be integrated as SIEM sources, or made available directly from the solution management console.

In addition to their advanced detection capabilities, EDR solutions also result in a considerable increase in visibility on devices: lists of processes and services launched, lists of files in certain system directories, as well as other information that facilitates investigation in cases where an alert is raised. Some solutions go beyond mere recovery of the state of the terminal at the time of the request, enabling its history to be recovered too: generation of logs, recovery of deleted files, etc.

But EDRs’ features don’t end at the detection and analysis phase. In fact, these solutions enable remote remediation actions to be performed, and the complexity of these depends on the publisher: deleting or quarantining files, ending processes, quarantining the terminal from the network, modifying registry keys, etc.

EDRs, thus, are comprehensive solutions that come into play at every stage of the process: from detection, through analysis, to response. However, they are not intended to replace anti-virus solutions: it’s always more effective to block known attacks, even though publishers are increasingly offering solutions that combine these two types of functionality.

For more details on EDR solutions, read our dedicated article here.

Examples of EDR publishers:

Protecting the keys to the kingdom: Active Directory supervision

Directories are among an IS’s most critical components. They provide the authentication and authorization functionality for almost all IS resources—both technical and business function—including the most critical ones. It’s therefore not surprising that compromising the AD is one of the most frequent attack methods used, since it opens numerous doors to an attacker.

Despite this criticality, and the fact that AD architectures are well known and have evolved little in recent years, their security has scope to improve. This is due, in particular, to their specific mode of operation (OUs, domains, trees, forests, users, etc.), which renders traditional protection and surveillance methods ineffective; a significant concern given that any vulnerability can represent a major risk for the rest of the IS.

AD surveillance solutions aim to overcome this problem by supervising (in real time, or during an audit) the specificities of directories (configuration, status of accounts, etc.) and detecting vulnerabilities that could result in them being compromised. To do this, AD supervision solutions have a highly detailed knowledge of how ADs function, and, in particular, the associated security issues.

When the solution detects a vulnerability, it raises an alert (via the SIEM, or directly) and can provide remediation advice to facilitate the work of the teams responsible for rectifying the problem.

AD supervision tools also enable the SOC to detect any changes in configuration (legitimate, accidental, or malicious) and continuously assure security levels for these critical components. In doing so, they make the task of numerous attackers decidedly more complex.

In addition to directly strengthening the AD’s security levels, such solutions can also be used to ensure compliance with standards or regulatory requirements (for example PCI DSS, etc.).

These solutions are not widely applied today, and their use is generally limited to one-off audits. However, given the considerable security improvements associated with the provision of detection and remediation advice, and their ease of use, such solutions have strong potential and are likely to find their place among the tools used by SOCs.

Examples of AD supervision publishers:

You can find our second article in the series here.

Cet article SOAR, UEBA, CASB, EDR and others: which tools do you need for you SOC? (1/3) est apparu en premier sur RiskInsight.

Dans le cadre de cette compétition, les participants, d’origine européenne ou française ont su démontrer une richesse dans leur expertise technologique. Le spectre des thématiques abordées a ainsi permis de mettre en valeur la force de cet écosystème cyber.

On peut ainsi dresser le top 5 des types de solutions les plus présentées parmi les candidats aux concours :

• L’authentification, au cœur du SI, pour moderniser la vérification de l’identité
• La sécurité des infrastructures, la France en particulier se positionne comme un leader sur le sujet
• L’anti-fraude pour contrer le risque majeur que cela présente pour le secteur bancaire
• La sécurité applicative afin d’accompagner la multiplication des supports et des services
• La protection des données, une thématique au cœur de l’actualité avec le RGPD

Au terme d’une sélection difficile, 4 start-ups ont été retenus par les membres du jury et les collaborateurs. Retrouvez en exclusivité une interview croisée de ceux qui construisent la cybersécurité de la banque de demain.

• CopSonic, gagnante du grand prix BCSIA, développe et commercialise une technologie de communication sans contact utilisant les ultrasons comme moyen d’interaction et de transmission de données entre les dispositifs électroniques

(Retrouvez l’interview d’Emmanuel Ruiz ici) 

• GitGuardian récompensée du prix protection des données clients, aide les entreprises à se protéger contre les fuites de données sensibles hébergées dans le cloud. Elle alerte les entreprises lorsque les identifiants à leurs services cloud sont compromis ou utilisés de façon abusive

(Retrouvez l’interview d’Eric Fourier ici)

• ICARE Technologie ayant reçu le prix spécial France, développe une bague intelligente couplée à une application smartphone permettant au porteur de la programmer pour remplacer l’intégralité du portefeuille et du porte-clefs

(Retrouvez l’interview de Georges Bote ici)

• ubble, lauréate du prix IA et lutte contre la fraude, permet aux consommateurs de confirmer facilement et en toute sécurité leur identité en ligne et d’utiliser dans le monde digital leur documents d’identité physique régaliens de façon fiable, pratique, et respectueuse de la vie privée

(Retrouvez l’interview de Juliette Delanoë ici)

 Dans le cadre de la remise des prix une table ronde sur le sujet de la relation entre les grands comptes et les startups a eu lieu. Les intervenants, Guillaume Poupard, Thierry Olivier, Yves Vilaginés, Emmanuel Gras et Gérôme Billois ont évoqué chacun leur point de vue. Voici les principaux messages qui en ressortent :

 Un écosystème cyber qui reste à construire

 Les membres de la table ronde ont mis en avant la difficulté pour un entrepreneur cyber de se lancer. En effet il n’existe pas, à ce jour, de structure officielle pour les accompagner. Par ailleurs, les investissements sont encore insuffisants. L’exemple évoqué était le suivant :  les start-ups cyber en France en 2017 ont levé en moyenne 3,8 millions d‘euros pour un total de seulement 26,2 millions d’euros.

Une concurrence historique, compliquée à challenger

Les participants à la table ronde ont par ailleurs soulevé l’autre difficulté majeure pour les start-ups cyber : des produits à l’innovation parfois insuffisante. De leur point de vue, très peu d’entrepreneurs se lancent dans de nouvelles offres, la plupart préférant réinventer des solutions de sécurité existantes.

Ils en tirent la conséquence suivante : face à des éditeurs historiques de logiciels de sécurité qui sont déjà connus et en place dans des grands groupes, les start-ups peinent à convaincre. Leur compétitivité amoindrie freine donc leur croissance.

La nécessaire réconciliation entre stabilité et innovation

Il a ainsi été argumenté que les start-ups sont face à deux besoins contradictoires. Elles doivent tout d’abord chercher à stabiliser leur produit pour le vendre et ainsi diminuer la pression financière qui pèse sur elles. Et dans le même temps, on exige d’elles qu’elles démontrent une agilité, une innovation permanente pour concurrencer les éditeurs existants, ce besoin les empêchant parfois d’aboutir leur produit.

Cependant, pour les experts présents durant cet échange, ces deux dimensions sont loin d’être irréconciliables. Ils ont ainsi avancé trois pistes pour aider les start-up cyber à innover tout en continuant à croitre.

D’une part, la première solution consiste à impliquer les grands groupes pour accompagner les start-ups en les rémunérant durant leurs tests (Proof Of Concept) contrairement à l’usage actuel qui veut que les POCs soient gratuits alors même qu’ils peuvent durer plusieurs semaines, voire plusieurs mois. En les finançant de la sorte, les grands groupes permettront aux start-ups de démontrer la pertinence de leur produit sans mettre en danger leur pérennité financière.

Ensuite, il convient aussi de les aider à gagner en visibilité : pour cela, les intervenants ont suggéré de développer un incubateur spécialisé en cybersécurité et y dédier des fonds pour structurer l’ensemble du marché.

Enfin le dernier axe concerne les start-ups elles-mêmes : il leur faut prendre du recul sur leur solution et, au-delà de l’aspect technique, tenter de mettre en avant leurs avantages compétitifs pour la vendre de manière globale en se différentiant de leurs concurrents.

Pour conclure, l’ensemble des participants à la table ronde s’est accordé pour dire que le marché est très prometteur : les entrepreneurs cyber ayant dans l’ensemble de bons profils techniques et des idées très intéressantes, il convient de leur donner les clés pour se démarquer dans un écosystème compétitif.

La meilleure solution pour cela restant donc de mobiliser autour des start-ups, des métiers, des RSSIs, des investisseurs mais également des grands groupes ou des experts du secteur afin de leur offrir conseil et visibilité comme dans le cadre des Banking CyberSecurity Innovation Awards. Rendez-vous en 2019 pour la troisième édition !

Cet article BCSIA : ILS CONSTRUISENT LA CYBERSECURITE DE DEMAIN est apparu en premier sur RiskInsight.

Calling time on passwords

Authentication means using an agreed method to prove that someone is the person they claim to be. From the earliest times, the most widely used method has been, almost certainly, the password. However, passwords are an irritation for users and have numerous security limitations.

A collective sense of having “had enough”…

We all imagine, from time to time, not having to rack our brains for the right password when we connect to our most used applications. But it’s clear that this remains just a fantasy at present.
The promise of single sign-on is a long way from being a reality in corporate settings, and the increasing popularity of password vaults reveals something of the challenges faced by users: the multiplicity and patchy relevance of password policies, obligatory password changes, not to mention the irritation of having to reset passwords.
Having said that, the password’s main advantage remains its universal applicability and familiarity.

…but with a limited degree of security

Many cyber-attack scenarios rely, at some point or other, on a password—ideally that of a privileged account—being compromised. Various techniques are employed: high-volume combination tests (Brute Force), intercepting communications (Man in The Middle), and reconstituting passwords from their footprints (Rainbow Table).

Security measures to guard against these attacks exist (such as encryption, hashing, salting, and blocking accounts), but these are not always implemented systematically—or satisfactorily. As the saying goes, “From a corporate point of view, passwords are like nuclear waste: just bury them deep and hope they don’t leak.”

In addition to the technical weaknesses already discussed, user behavior presents a major risk: reusing the same password for different applications, passwords that are too weak or easy to guess, incrementation, etc. When a password is reused for several applications, it acts as the weakest link—thus weakening the whole chain.

Ultimately, the poor user experience and limited level of security offered by passwords are forcing companies to look for new authentication methods.

What are the options?

Authentication methods are generally divided into four categories:

What I know

These authentication methods are based on a key or code that the user knows. They represent the bulk of the solutions used today in both professional and private setting. Today’s solutions include traditional passwords, PIN codes, and secret questions. The latter, however, are rarely used, because they are either too generic (for example, “What’s your favorite color? “) or too difficult to remember.

What I own

Here, security is based on a specific piece of equipment being in the user’s possession. In particular, we are seeing the following in use:

• Smartphones

Smartphones allow—both in professional and private settings—the securing of the most sensitive operations: accessing internal company networks, confirming online payments, or carrying out non-typical banking operations.

Smartphones can be used to achieve authentication in a number of ways:

• Authentication tokens

A token often takes the form of a mini-calculator that makes it possible to generate a single-use code (OTP), with the token itself protected by a PIN code chosen by the user. Historically widely used in companies (for VPN access in particular), and occasionally in the private sphere to connect to particular customer areas, tokens are, nonetheless, giving way to smartphones, which provide a less expensive method.

• Smartcards

Smartcards contain a certificate that is used to prove the holder’s identity. A card reader is essential for this type of authentication; moreover, certificate management requires infrastructure and life-cycle-management procedures (covering issue, withdrawal, loss, etc.). Normally reserved for the corporate world, their use tends to be limited to specific groups or uses (IT administration, financial operations, etc.).

• U2F keys

This item comes in the form of a standard USB stick, but instead of storing files, it stores a unique key linked to the user. Based on a standard developed by the FIDO Alliance, the solution combines a robust level of security (including resistance to phishing attacks) with a good user experience (the keys can remain connected to one of the device’s USB ports) because a simple key press is sufficient for authentication. Note, however, that this does not involve fingerprint recognition.

• A connected object, such as a watch

This last solution—the most innovative in this category— allows users to connect via a connected object that they already own. As an authentication method it’s little used in corporate settings, but Apple, for example, offers an option to unlock a computer by simply approaching a device with another Apple connected object.

Solutions like this, based on the possession of a device, are differentiated mainly by their degree of ergonomics. In any case, it’s essential to manage “enrollment” (the linking of the object to its holder), replacement, loss, and theft of the relevant device.

Who I am

The physiological characteristics of a person, such as a fingerprint, the vein pattern of a hand, irises, faces, the signature of a voice, or even a heart rate, also make it possible to authenticate a user. The use of these solutions, for most people, is limited to opening their workstation or smartphone (via a fingerprint or face recognition). However, companies have used such solutions for a number of years to control access to rooms or highly sensitive areas.

What I do

Keystroke rhythms, mouse movements, using a phone, or touching a screen, are different ways to distinguish a legitimate user from an impostor or robot. These behavioral, biometric solutions require a large amount of data in order to be reliable, but this is improving, thanks to new Machine-Learning-based approaches. These solutions are used more as security measures that complement authentication (detecting robotic-attacks, account sharing, etc.).

As a summary, the figure below shows the different authentication solutions according to their level of security and ease of use.

User experience and security, a circle that can’t be squared?

We believe that it is possible to reconcile the user experience with security. Below we set out four possible routes to achieving it.

Route 1: simplifying the use of passwords

While it seems too fantastic to imagine the use of passwords being completely abandoned, some of their failings can be addressed. The frequency of data entry can already be reduced via identity-federation mechanisms that provide access to both corporate and partner services. In addition, chatbots are emerging to simplify the password resetting process, and are helping drive significant improvements in user experience. As for security, raising users’ awareness about the proper use of passwords is still an essential activity if risks (from social engineering, spam, phishing, password theft, etc.) are to be reduced.

Route 2: adapting the security requirements to the context

Just as you have to adapt your road speed to the weather conditions, the concept of risk can guide us in the level of security needed to authenticate a user. Thus, to access non-sensitive information, a simple password will suffice; but more sensitive operations (a bank transfer involving a significant amount, for example) will require the user to be authenticated with greater certainty, using a combination of several authentication factors. Other criteria can be taken into account to assess risk, for example the PC or smartphone being used, the geographical location, the time of connection, or even whether the user is exhibiting their habitual behavior.

Beyond the authentication phase, the level of risk can also influence the time allowed before issuing a new authentication request (no need to retype a Facebook password as long as the user stays on the same PC or smartphone, reauthentication via webmail every X days only, etc.).

In the end, then, authentication is no longer seen as an event but as a continuous process.

Route 3: let the use choose the authentication method

Rather than imposing a single authentication method on all users, Bring Your Own Token (BYOT) lets users choose the one that best suits their needs. The idea is to offer a choice of solutions with comparable levels of security.

Today, Facebook and Google offer BYOT as a second authentication factor, using a registered smartphone or secure USB key, for example.

In the world of work, this method remains less developed at present, but it’s easy to imagine such a method being offered to specific groups: those with particular work mobility requirements, the technological appetite for it, etc.

Route 4: make use of accounts that exist already

It’s more and more common for people to use their social media accounts (Facebook, Google, or LinkedIn, for example) to connect to e-commerce sites or other websites. A Social Login enables the creation of an account on the new site to be simplified, and limits the number of passwords to be remembered.

However, not all online services are designed to use a Social Login. Public or parapublic services for example, favor a State Login which allows users to log in using a tax, health, or similar identifier, and to carry out a range of online administrative activities. And these uses are in continuous development.

In conclusion

While passwords are not set to disappear completely, the search for alternatives is gathering pace: uses and technological solutions are evolving rapidly, consortia and new standards (such as OAuth2 and OIDC) are emerging, and, these days, the user experience, as well as security, is core to the thinking.

Cet article Painsswords: a look at the alternatives to passwords? est apparu en premier sur RiskInsight.

Corporate accounts: essential but complex targets

The economic fabric of France relies heavily on big groups that have substantial investment capacity. For start-ups seeking to market their cyber-security offers, these are the prime customers. However, the rigid and complex processes of these large companies constitute a major obstacle for start-ups.

After all the pitfalls involved in identifying the multiple budget holders in the structure (ISSM, architect, expert, IT Manager, purchasing, etc.), it remains very difficult to sign the first contract. The purchasing process can take from three to six months, and is too complex for the way that start-ups operate, with them being asked for proof of profitability, years and years of experience, and references from other customers – impossible for the first contracts.

This situation is exacerbated for cyber-security as start-ups often cannot count on the innovation hubs created by the corporate accounts to facilitate their exchanges with the innovation ecosystem. On the one hand, because start-ups struggle to convince businesses of the benefits provided by their proposed solutions, and on the other because the innovation teams have difficulty understanding the practical benefits given the specific nature of the issues. Feedback on successes shows that cyber-security departments in the corporate accounts often have to be the driving force, or even develop the relationships with the cyber start-ups themselves.

Attitudes that must change within the large companies

Once contact has been established, there remains the step of carrying out tests in live conditions (Proof of Concept). It’s an example of the difficulty that start-ups have in competing with the established cyber-security developers in the corporate world. These tests are needed to evaluate the effectiveness of the new solution. The big developers, with substantial financial resources, offer ‘PoCs’ free of charge to their customers, who in turn have become used to these ‘free’ tests carried out for their benefit.

For start-ups, however, the situation is different as their working capital requirements are acute and carrying out such tests free-of-charge can endanger their very existence!

It is therefore necessary for the big groups to have suitable budgets, often in the order of only a few thousand euros, to test the innovative solutions proposed by the start-ups.

Positive feedback from interactions between start-ups and corporate accounts in France

However, successful collaboration between start-ups and corporate accounts shows that these two worlds can work together. And the effort made pays back in a big way. Start-ups like Alsid and Idecsi thus benefit from the testimony of large customers that are in a position to reassure other companies and the investors.

A French cyber-security ecosystem that values innovation

In France, the presence of an ecosystem that regularly promotes innovation by including corporate accounts and start-ups is highly visible: the “Assises de la Sécurité” with the Prize for Innovation, the International Cyber-security Forum (FIC) with the Innovative SME prize, and the competition devoted to cyber-security in the banking industry, jointly organized by Société Générale and Wavestone. These initiatives help to highlight cyber-security innovations, as well as promoting direct contact between the different players. They contribute to creating the relationship of trust needed for the corporate accounts to invest in the solutions proposed by start-ups.

The importance of having a French offer for digital sovereignity

Cyber-security is a global issue but also affects national security. The benefits of having reliable products in this area is obvious.

Even if much remains to be done to guarantee digital sovereignty, the initiatives of certain French start-ups have made it possible to import concepts that initially existed only in other countries. This is the case, for example, with Bug Bounty’s platforms. In France, three start-ups, Bug Bounty Factory, Bug Bounty Zone and Yogosha offer services in this field. Over time, this could make it possible to retain knowledge of sensitive vulnerabilities within Europe or indeed in France.

It is important to note that the French domestic market for cyber-security is largely driven by players in the defense sector, both public and private, who invest and help start-ups to grow. But these growth opportunities are, at the same time, an obstacle to exports and make it more difficult to communicate references.

Tomorrow, successfully growing beyond national borders

The research sector is becoming structured

Research in cyber-security is also very active in France with many  laboratories being involved and some leading-edge initiatives. The Allistene grouping, which includes INRIA, CEA, CNRS and a number of higher education institutions is just one example. Prominent chairs have been devoted to cyber-security issues and its practical applications, for example for autonomous vehicles. Together with the initiatives launched the big companies, this all adds up to the creation of fertile ground for numerous start-ups to bloom and grow.

Overcoming purely French considerations to grow internationally

France has much talent in terms of cyber-security, fertile ground to facilitate the emergence of start-ups, and a market that can support these structures. But this very positive situation must not be allowed to mask the principal difficulty currently faced by our start-ups: achieving international success and growth.

Apart from a few success stories, such as Qualys in the past, and more recently Linkurious in the United States, French start-ups struggle to go beyond their own borders. They face barriers in terms of their ability to communicate effectively in English, the weakness of French customer references, legal issues, and also psychological barriers to expatriation. Whereas the quality of French cyber-security specialists is widely acknowledged, the quality of the start-ups remains unknown.

Breaking through this glass ceiling requires joint initiatives with the government, large companies, and the strong entrepreneurial spirit of start-up founders.

Let’s start working together, pooling all our strengths, so that this becomes a reality in years to come.

Cet article Cyber-security start-ups in France, a booming ecosystem (2/2) est apparu en premier sur RiskInsight.

Cybersecurity in France

A dynamic base of over 100 start-ups

There are currently over 100 innovative start-ups and SMEs active in the field of cyber-security in France. This constantly growing number reflects the dynamism of the sector in France and the advantages it offers in this area. The sector represents over 1,000 direct jobs. And while that may not seem a lot, this number is expected to increase significantly over the next few years.

Most start-ups choose to reinvent security solutions that are already well established

60% of start-ups enter the market with the intention of improving on security solutions that already have a proven track record (device security, network security, email security, identity management, etc.).

As a general rule, tackling an already consolidated market is not simple. But there are still windows of opportunity, particularly in application security. Many of the major players are present in this field, and yet they still do not offer truly satisfactory solutions. The innovative approaches taken by start-ups such as Sqreen, Ingen and Yagaan can provide new paths forward.

Industrial security, cryptography and reverse engineering : innovative fields in which France is well-positioned

In reality, numerous French start-ups (40%) have positioned themselves in technologies where everything remains to be done.

For industrial systems, for example, French players such as Sentryo and Seclab are particularly well placed.

This is also the case for technologies used to analyze malware, with products and services such as those offered by Tetrane and Quarkslab. Their expertise is internationally acknowledged, including by major American groups.

In cryptography, the French school of mathematics enables start-ups to enjoy access to cutting-edge expertise, difficult to access in other countries. This helps them to develop innovative vulnerability analysis tools such as Cryptosense.

On the other hand, certain fields continue to be neglected in France despite strong growth potential, including deception techniques (that aim to provide false information to a hacker to slow them down), which are gaining popularity in Israel, and even at a European level.

French start-ups experience difficulties with communication and appreciation of their expertise

The national ecosystem of start-ups is very dynamic and even the highly specialized forms of expertise exist, helping to turn ideas into reality and launch the first products. A key point is nevertheless required for the cyber-security market: the ability to communicate effectively. Our contact with several foreign incubators shows a striking difference in terms of communication with Anglo-Saxon start-ups able to promote their products using hard-hitting pitches and effective marketing.

This lack of commercial know-how is particularly negative for French start-ups that wish to take their products to an international level.

France – fertile ground for cyber start-ups

For several years, many initiatives have been developing to support the cyber sector in France. We could mention the government’s Digital Security strategy driven by the French IT security agency (ANSSI) or the investments made by the Ministry of Defense. Different economic clusters are involved, which in practice translates into a geographic concentration of start-ups. Paris, as is often the case, is in the lead, but Lyon, Rennes and the south of France are also very much present.

Methodology for the construction of the start-up radar

Since 2015, Wavestone has been actively monitoring the start-up ecosystem as part of its ShakeUp program. With its many contacts and activities within the ecosystem of cyber-security innovation in France, the start-up radar now lists almost 400 structures across Europe and the world, with a special focus on France. The criteria for joining the French radar: registered office in France, less than 35 employees, and a legal structure that is less than 7 years old (excluding for major hubs).

Following these monitoring activities by the cyber-security practice and digital trust teams, we meet up with the most innovative start-ups to evaluate their solution, and some are selected to join ShakeUp, the Wavestone accelerator program.

Support structures are numerous and active, but not very specialized

France is a global leader in innovation with no less than 228 incubators, and around fifty accelerators. But in comparison to Israel, Switzerland and the United Kingdom, we do not have incubation or acceleration structures dedicated specifically to cyber-security. Certain incubators have created clusters to concentrate the necessary skills, but they still do not provide specialized support. It is therefore rare to find coaches in these structures who have an in-depth knowledge of the cyber market, its players and its specificities, particularly the product purchasing and qualifying process. Axeleo and Wavestone are perhaps the most similar to the dedicated foreign structures. Looking forwards, a regional initiative called Ocssimore will be starting in Toulouse in September 2017. “FrenchTech”, which enjoys excellent international visibility, has recently begun to focus on the issue of cyber-security with the creation of the Security & Privacy network.

A favorable, but perfectible funding ecosystem

France has real strengths when it comes to funding innovation, and many start-ups are evidence of its effectiveness. The “Programme Investissement Avenir” (invest in the future) invests 22 billion euros in research; the Research Tax Credit and the status of “Jeune Entreprise Innovante” (young innovative enterprise) help to reduce the costs of R&D, social charges, and corporate taxation.

For its part, BPI France provides a wide range of funding opportunities for entrepreneurs and support activities thanks to its partners (banks, investors, local authorities, etc.) and, through accelerators, it offers participatory loans and can stand as guarantor for the banks.

Many forms of regional support  are also available. At the same time, we are seeing a distinct increase in corporate ventures, as well as Business Angels who are often even in competition with each other to invest in the best cyber start-ups.

Nevertheless, the complex ecosystem with its many different players often makes finding funding complicated. The formalities for raising funds often resemble a real marathon, with bureaucracy still very much present. It is necessary to have a detailed plan of attack, to apply for every scheme at the right time with the right application… but without sacrificing the time needed to grow the start-up! Finally, few major French groups tend to acquire start-ups, with the latter being tempted to accept offers from foreign companies.

France has a vibrant cybersecurity start-up ecosystem; the country ranks among global leaders in this field. Indeed, the creation of start-ups in France is supported by numerous structures. But these start-ups need to find many customers for their development so they seek them among corporate accounts.

Cet article Cyber-security start-ups in France, a booming ecosystem (1/2) est apparu en premier sur RiskInsight.

Les grands comptes : des cibles existentielles mais complexes

Le tissu économique français repose beaucoup sur des grands groupes disposant de capacités d’investissement important. Pour les startups cherchant à commercialiser leur offre en cybersécurité, ce sont des clients de choix.  Cependant, les processus rigides et complexes de ces grandes entreprises constituent un obstacle majeur pour les startups.

Après les embûches liées à l’identification des multiples donneurs d’ordre dans la structure (RSSI, architecte, expert, DSI, achats…), il reste très difficile de signer son premier contrat. La durée du processus d’achat allant de 3 à 6 mois et sa complexité ne correspondent pas au fonctionnement des startups, qui se voient demander des preuves de rentabilité, un nombre important d’années d’existence ou des références d’autres clients, ce qui est impossible lors des premiers contrats.

Cette situation est exacerbée pour la cybersécurité car les startups ne peuvent pas souvent compter sur les pôles Innovation créés par les grands-comptes pour faciliter les échanges avec l’écosystème de l’innovation. D’une part car les startups ont du mal à convaincre les apports métiers des solutions proposées et d’autre part car les équipes Innovation ont du mal à comprendre les apports concrets vu les spécificités des sujets abordés. Les retours d’expérience réussis montrent que la filière cybersécurité des grands-comptes doit souvent donner l’impulsion, voir porter elle-même les relations avec les startups cyber.

Des habitudes à faire évoluer dans les grandes entreprises

Une fois la mise en relation réalisée, il reste une étape : la réalisation de tests en conditions réelles (Proof of Concept). C’est un exemple de la difficulté pour les startups de rivaliser avec les éditeurs cybersécurité classiques dans le monde des grands comptes. Ces tests sont demandés pour évaluer l’efficacité d’une nouvelle solution. Les grands éditeurs, aux moyens financiers importants, offrent ces « PoCs » à leurs clients, qui en retour se sont habitués à ces tests « gratuits » à leur profit.

Pour les startups cependant la situation est différente car leur besoin en fonds de roulement est très court et réaliser de tels tests gratuitement peut mettre en péril la structure toute entière !

Il est donc nécessaire que les grands groupes prévoient des budgets adaptés, souvent de l’ordre de quelques milliers d’euros seulement, pour tester les solutions innovantes proposées par les startups.

En France, des retours positifs dans les interactions startup/grands comptes

Cependant des collaborations réussies entre startup et grands comptes montrent que ces deux mondes peuvent travailler ensemble. Et l’effort consenti apporte ensuite énormément. Des startups comme Alsid ou Idecsi bénéficient ainsi de témoignages de clients d’ampleurs à même de rassurer d’autres sociétés et les investisseurs.

Un écosystème cybersécurité français valorisant l’innovation

En France, la présence d’un écosystème qui fait la promotion régulière de l’innovation en associant grands comptes et startups est notable : Assises de la Sécurité avec le Prix de l’Innovation, le FIC avec le prix de la PME Innovante ou encore le concours dédié à la cybersécurité dans le milieu bancaire coorganisé par la Société Générale et Wavestone. Ces initiatives permettent une mise en lumière de l’innovation en cybersécurité, ainsi que la mise en relation directe de différents acteurs. Elles participent ainsi à la création de la relation de confiance nécessaire pour que les grands comptes investissent dans les solutions proposées par des startups.

L’importance de l’existence d’une offre française pour la souveraineté numérique

La cybersécurité est une problématique mondiale mais relève aussi de la sécurité nationale. L’intérêt d’avoir des produits de confiance dans ce domaine est évident.

Même si beaucoup reste à faire pour garantir une souveraineté numérique, les initiatives de certaines startups françaises ont permis l’importation de concepts n’existant initialement qu’à l’étranger. C’est par exemple le cas des plateformes de Bug Bounty (en français, « chasse aux failles »). En France, trois startups, Bug Bounty Factory, Bug Bounty Zone et Yogosha proposent des services dans ce domaine. Ceci pourra permettre à terme de garder la connaissance de vulnérabilités sensibles sur le territoire Européen ou national.

Il est important de noter que le marché hexagonal de la cybersécurité est largement animé par des acteurs du secteur de la défense, publics ou privés, qui investissent et aident aux développements de startups. Mais ces opportunités de développement sont en même temps un frein à l’exportation et rendent plus difficile la communication de références.

Demain, arriver à sortir des frontières

Le secteur de la recherche se structure

La recherche en cybersécurité est aussi très active en France avec de nombreux laboratoires mobilisés et des initiatives de premier plan. Le collectif Allistene, regroupant l’INRIA, le CEA, le CNRS et plusieurs grandes écoles, en est un exemple. De premières chaires sont dédiées aux sujets de la cybersécurité et de ses applications concrètes, par exemple pour les véhicules autonomes. Conjointement avec les initiatives des grandes entreprises, tout concourt à créer un terreau positif pour l’éclosion et la croissance de nombreuses startups.

Dépasser le cadre franco-français pour croître à l’international

La France possède de nombreux talents en cybersécurité, un terreau facilitant l’émergence des startups et un marché permettant de faire vivre ces structures. Mais ce bilan très positif ne doit cependant pas masquer la principale difficulté actuelle de nos startups : connaître le succès et la croissance à l’international.

Hormis quelques success story, comme historiquement Qualys ou plus récemment Linkurious aux Etats-Unis, les startups françaises ont du mal à sortir des frontières hexagonales. Elle se heurtent à des barrières sur leur capacité à communiquer de manière percutante en anglais, sur la faiblesse de références clients françaises, sur des problèmes juridiques mais aussi psychologiques à s’expatrier. Alors que la qualité des profils français en cybersécurité est largement reconnue, la qualité des startups, est-elle encore inconnue.

Dépasser ce plafond de verre requiert des initiatives conjointes de l’Etat, des grandes entreprises et un esprit de conquête exacerbé chez les fondateurs de startups. Mobilisons-nous collectivement, chacun avec ses forces, pour que cela devienne une réalité dans les années à venir.

Cet article Startup cybersécurité en France, un écosystème en pleine explosion (2/2) est apparu en premier sur RiskInsight.

La cybersécurité en France

Un tissu dynamique de plus de 100 startups

Aujourd’hui, la France compte plus de 100 startups ou PME innovantes en matière de cybersécurité. Ce nombre, en constante augmentation, reflète le dynamisme du secteur et les atouts de la France dans ce domaine. Le secteur représente plus de 1000 emplois directs. Même si cela peut paraître faible, ce nombre devrait augmenter fortement dans les prochaines années.

Une majorité de startups choisissent de réinventer des solutions de sécurité déjà bien implementées

60% des startups entrent sur le marché avec la volonté de faire évoluer des solutions de sécurité ayant déjà fait leurs preuves (sécurité des terminaux, du réseaux, de la messagerie, gestion des identités…).

De manière générale, attaquer un marché déjà consolidé est complexe. Mais il reste des fenêtres d’opportunités, en particulier dans la sécurité applicative. De nombreux acteurs importants sont présents sur ce domaine sans pour autant parvenir à proposer de solutions vraiment satisfaisantes. Les approches innovantes de jeunes pousses comme Sqreen, Ingen ou encore Yagaan peuvent apporter un renouveau.

Sécurité industrielle, cryptographie, et reverse engineering : des domaines innovants sur lesquels la France est bien positionnée

En regard, de nombreuses startups françaises (40%) ont su se positionner sur des technologies où tout reste à construire. Sur les systèmes  industriels, par exemple, les acteurs français comme Sentryo ou Seclab sont particulièrement bien positionnés. C’est aussi le cas pour les technologies d’analyse de logiciels malveillants avec des produits ou des services comme ceux de Tetrane et Quarkslab. Leurs expertises sont reconnues internationalement, y compris par des grands groupes américains.

Côté cryptographie, l’école française de mathématiques permet aux startups d’avoir accès à des expertises pointues difficiles d’accès dans d’autres pays. Cela permet le développement d’outils innovants d’analyse de vulnérabilités comme Cryptosense.

En revanche, certains domaines sont encore négligés en France alors qu’ils ont un fort potentiel de développement, comme les techniques de « tromperie » (« deception » en anglais, qui vise à fournir des fausses informations à un attaquant pour le ralentir) dont l’essor est déjà amorcé en Israël et même au niveau Européen.

Des startups françaises avec des difficultés de communication et de valorisation de leur expertise

L’écosystème national de startups est très dynamique et les expertises, même très spécifiques, ne manquent pas pour concrétiser des idées ou lancer des premiers produits. Un point-clef est cependant requis sur le marché de la cybersécurité : la capacité à communiquer efficacement. Les contacts entretenus avec plusieurs incubateurs étrangers nous montrent une différence frappante en termes de communication entre des startups anglos-axonnes qui savent valoriser leurs produits grâce à des pitchs percutants et un marketing efficace.

Ce manque d’expertise commerciale est particulièrement pénalisant pour les startups françaises qui souhaitent internationaliser leurs offres.

La France, une terre propice pour les startups cyber

Depuis plusieurs années, de nombreuses initiatives se développent en France pour soutenir le secteur cyber. On peut citer la stratégie de Sécurité Numérique du gouvernement portée par l’ANSSI ou encore les investissements du Ministère de la Défense. Différents pôles économiques sont mobilisés, ce qui se traduit concrètement par une concentration géographique des startups. Paris est, comme souvent, en tête mais Lyon, Rennes ou le sud de la France sont aussi très présents.

Présentation du radar des startups

Depuis 2015, Wavestone réalise une veille active sur le domaine des startups dans le cadre de son programme ShakeUp. Fort de ses nombreux contacts et actions au sein de l’écosystème de l’innovation cybersécurité en France, le radar des startups compte aujourd’hui près de 400 structures répertoriées à l’échelle européenne et internationale avec un focus particulier sur la France. Les critères pour intégrer le radar français : siège social en France, moins de 35 salariés et moins de 7 ans d’existence de la structure juridique (hors pivot majeur).

Suite à ces actions de veille par les équipes de la practice cybersécurité et confiance numérique, les startups les plus innovantes sont rencontrées pour réaliser une évaluation de leur solution et certaines peuvent rejoindre ShakeUp, le programme d’accélération de Wavestone.

Des structures d’accompagnement nombreuses et actives mais peu spécialisées

La France est un des leaders mondiaux dans l’innovation avec pas moins de 228 incubateurs nationaux et une cinquantaine d’accélérateurs. Mais par rapport à Israël, à la Suisse ou au Royaume-Uni, nous ne disposons pas de structures d’incubation ou d’accélération spécifiquement dédiées à la cybersécurité. Certains incubateurs ont créé des clusters pour concentrer les savoir-faire mais sans pour autant spécialiser les accompagnements. Ainsi, il est rare de trouver dans ces structures des coachs ayant une forte connaissance du marché cyber, de ses acteurs et de ses spécificités notamment dans le processus d’achat et de qualification de produits. Axeleo ou Wavestone sont ce qui se rapprochent le plus des structures étrangères dédiées.

A suivre, une initiative régionale nommée Ocssimore va démarrer à la rentrée 2017 à Toulouse.  La FrenchTech, très présente et visible à l’international, se mobilise depuis peu sur le sujet de la cybersécurité avec la création du réseau thématique « Security & Privacy ».

Un écosystème de financement favorable mais perfectible

La France a de véritables atouts pour le financement de l’innovation, dont de nombreuses startups témoignent de l’efficacité.  Le « Programme Investissement Avenir » investit 22 milliards d’euros dans la recherche ; le « Crédit Impôt Recherche » et le statut de « Jeune Entreprise Innovante » permettent de réduire les coûts de R&D, les charges sociales et l’impôt sur les sociétés.

De son côté, BPI France multiplie les financements dédiés aux entrepreneurs et les actions d’accompagnement grâce à ses partenaires (banques, investisseurs, régions…) et, par le biais d’accélérateurs, elle propose des prêts participatifs et peut se porter caution auprès des banques.

De nombreuses aides régionales sont également disponibles. En parallèle, nous assistons à une nette augmentation du corporate venture ainsi que les Business Angels sont parfois même en concurrence pour investir dans les meilleures startups cyber.

Cependant, l’écosystème complexe, avec un grand nombre d’acteurs, rend souvent le parcours de financement compliqué. Les démarches pour lever des fonds s’apparentent à de véritables marathons où la bureaucratie est encore très présente. Il s’agit d’avoir un plan de bataille précis, pour solliciter chaque dispositif au bon moment avec le bon dossier… sans pour autant sacrifier le temps destiné au développement de la startup ! Enfin, peu de grands groupes français font l’acquisition des startups, qui peuvent alors être tentées d’accepter les offres d’entreprises étrangères.

La France possède donc un formidable écosystème de startup dans le domaine de la cybersécurité, plaçant le pays parmi les leaders mondiaux. En effet, la création de startup en France est soutenue par des structures d’accompagnement adaptées. Mais pour assurer leur pérennité, ces startups cherchent à attirer de nombreux clients, notamment parmi les grands groupes français.

Cet article Startup cybersécurité en France, un écosystème en pleine explosion (1/2) est apparu en premier sur RiskInsight.

Qu’est-ce que l’informatique quantique et pourquoi s’y intéresser ?

La manière dont les ordinateurs sont encore très majoritairement conçus aujourd’hui repose sur une architecture principalement séquentielle : les opérations sont effectuées par l’ordinateur les unes après les autres, selon un programme d’instructions écrit par l’homme. Le micro-processeur exécute alors les opérations de façon quasi séquentielle, et c’est ici l’une des principales faiblesses de cette architecture et de ses variantes.

L’informatique quantique viendrait alors combler cette faiblesse en proposant des machines dotées d’une faculté de parallélisme, permettant d’augmenter considérablement la puissance de calculs complexes, la rapidité de traitement et la capacité (théorique) de stockage. Cette technologie s’appuie sur le phénomène de superposition d’états quantiques pour développer des capacités de calcul beaucoup plus importantes que l’informatique classique. En effet, l’information est représentée par des « quantum bits » (qubit) similaires aux bits binaires utilisés dans l’informatique numérique. Pour rappel, le bit peut prendre deux valeurs, 0 ou 1 selon l’état du transistor. Le qubit, peut avoir trois états, le 1, le 0 mais aussi les deux à la fois : c’est ce qu’on appelle la superposition.

Cette capacité de superposition multiplierait le nombre d’opérations complexes réalisables dans un temps limité. Ainsi, là où le traitement d’informations volumineuses peut parfois prendre plusieurs jours, semaines, mois à être traitées par des ordinateurs classiques, les systèmes de l’informatique quantique le traiteraient en quelques secondes.

Malheureusement, cette technologie impose de maintenir l’état quantique pour atteindre de telles capacités de calcul, le problème étant que cet état ne peut être atteint qu’en plaçant l’ordinateur proche du zéro absolu, soit -273 °C, seules températures pour lesquelles le qubit est réellement stable. De manière évidente, il est extrêmement complexe de maintenir de telles températures avec un système simple, peu onéreux et peu encombrant pour une longue période de temps.

L’informatique quantique comme outil de sécurité

Les apports de l’informatique quantique en matière de capacité de résolution et de traitements rapides d’opérations complexes sont très convoités, et principalement dans le domaine de la sécurité informatique, où les mesures de protection et de détection nécessitent de plus en plus de rapidité d’exécution.

Par exemple, la lutte contre la fraude est aujourd’hui l’une des principales problématiques de sécurité du secteur bancaire et a pour enjeu d’exploiter des techniques poussées de détection de fraude, basées sur la collecte, le traitement et l’analyse, en temps réel, de données volumineuses. Ces techniques sont très gourmandes en puissance de calcul et, bien qu’aujourd’hui réalisables par nos ordinateurs les plus performants, elles pourraient être encore plus efficientes avec plus de puissance. Les ordinateurs quantiques, s’ils voient le jour, pourraient ainsi constituer un pilier de la lutte contre la fraude, à travers leur forte capacité (théorique) de stockage et leur rapidité de traitement.

De même, les systèmes quantiques pourraient notamment permettre de détecter et de corriger les erreurs. En effet, le qubit, sur lequel repose tout le fonctionnement de cette nouvelle génération informatique, est en effet très sensible aux perturbations de son environnement (interception, changement de configuration, variations de température, champs magnétiques…). Le qubit peut constituer ainsi, dans ces conditions, un moyen fiable pour garantir l’intégrité des données stockées.

L’informatique quantique comme source de menace

Les communications sécurisées, les systèmes sécurisés de paiements, les transactions financières, les monnaies virtuelles telles que le bitcoin, reposent tous sur des mécanismes cryptographiques, et en particulier sur les protocoles de chiffrement asymétriques. La sécurité de ces protocoles dépend principalement du fait qu’il faudrait plusieurs fois l’âge de la Terre à des ordinateurs classiques pour casser une code par la « force brute ». Pour un ordinateur quantique, ce décryptage est théoriquement réalisable et en très peu de temps. D’où le risque non négligeable pour les systèmes de chiffrement actuels si ces ordinateurs quantiques venaient à être démocratisés.

De plus, plusieurs attaques informatiques telles que les attaques par déni de service (DOS ou DDOS) nécessitent d’exploiter de fortes ressources en termes de traitement informatique qui, à l’aide des futurs ordinateurs quantiques, pourraient devenir facilement exécutables.

C’est précisément pour ces raisons que les instigateurs de l’informatique quantique se focalisent notamment sur le domaine de la sécurité afin de combler les failles qui pourraient potentiellement être occasionnées par l’apparition des ordinateurs quantiques, et espérant ainsi offrir des communications totalement sécurisées aux utilisateurs, en misant sur la cryptographie quantique. En effet, un réseau de communication quantique serait théoriquement inviolable. Toute tentative visant à intercepter la « clé de chiffrement quantique » modifierait l’intégrité physique des données quantiques, changerait alors leurs états (passage au 0 ou au 1 par exemple), et pourraient ainsi déclencher une alerte qui avertirait les personnes concernées. Actuellement, plusieurs laboratoires dans différents pays tentent de tirer le meilleur parti de cette technologie.

Par ailleurs, l’histoire nous a montré que lorsqu’un protocole de chiffrement était devenu « cassable », des solutions de chiffrement plus sécurisées voyaient le jour au même moment. On peut donc imaginer que si un jour un ordinateur quantique permet de casser un chiffrement « classique », une solution de chiffrement plus robuste, potentiellement basée sur la cryptographie quantique, sera disponible.

L’informatique quantique, concrètement…

Dans l’état actuel des recherches, tous ces concepts restent théoriques et seuls quelques embryons d’ordinateurs quantiques existent dans le monde, confinés encore à des laboratoires académiques, au sein des institutions les plus prestigieuses. Une quête dans laquelle IBM et Google se sont déjà lancés depuis plusieurs années. Intel a également rejoint la course à l’informatique quantique en annonçant investir 50 millions de dollars sur le sujet. La France n’est pas en reste, avec notamment le Laboratoire Kastler Brossel qui a reçu récemment un troisième Prix Nobel pour des travaux allant dans ce sens.

Du reste, les avis divergent sur cette nouvelle génération de l’informatique : Le National Institute of Standards and Technology (ou NIST) américain a prévenu que les différentes agences gouvernementales devront être prêtes à adopter de tels systèmes en 2025.  La NSA, l’agence nationale de la sécurité, conseille de mettre en place des processus de sécurité quantique aussi rapidement que possible. A l’opposé, certains cryptographes ne partagent pas cet avis, et ont déclaré lors de la dernière Conférence RSA qu’ils doutent que les progrès dans le calcul quantique et l’intelligence artificielle transformera réellement la sécurité informatique. Aussi, Eleni Diamanti, chercheuse au CNRS et membre de Paris Center for Quantum Computing, affirme pareillement que « même si un qubit est plus puissant qu’un bit, il en faut au moins un millier pour concurrencer les machines actuelles », ce qui est loin d’être concrétisé aujourd’hui, au vu de la complexité de création d’un qubit et de maintien dans des conditions stables.

Cet article Informatique quantique et sécurité : menace ou opportunité ? est apparu en premier sur RiskInsight.

Le parallèle assez systématique qui est établi entre les prémisses de l’Internet grand public et la période actuelle d’effervescence autour de la Blockchain est révélateur de ce que nombreux pressentent comme la prochaine révolution numérique, disruption des transactions en écho à la disruption de l’information incarnée par Internet. Ce changement étant rendu possible par la distribution de la confiance et, in fine, une désintermédiation plus ou moins importante des échanges de tout type.

Cette confiance distribuée qui singularise la Blockchain porte en creux une promesse d’horizontalisation de la société. En fonction des choix de gouvernance, publics et privés, nationaux et internationaux, qui seront faits, on pourrait assister à une redéfinition assez profonde de modèles commerciaux et institutionnels qu’on pensait immuables.

La Blockchain ou la réponse technologique au déport de confiance

En tant que technologie, la Blockchain apporte une réponse nouvelle à la décentralisation de registres et à l’automatisation de contrats, et en corollaire suscite naturellement des questionnements ayant trait à sa sécurisation et aux conditions de sa mise en œuvre à grande échelle. Ce qui n’est ni plus ni moins l’histoire naturelle des technologies émergentes : des espoirs plus ou moins exagérés et des obstacles à surmonter.

Originellement la Blockchain est la technologie sous-jacente à l’échange de bitcoins. Elle fut donc à ce titre le premier moyen de réaliser des transactions financières indépendamment de l’intervention des banques. Le contexte, post crise financière de 2008 a son importance car l’initiative a rencontré son public et ses usages à la faveur d’un climat de perte de confiance envers les institutions financières traditionnelles. Ce qu’on observe aujourd’hui c’est un report de la confiance, traditionnellement acquise aux institutions, vers des communautés d’utilisateurs/fournisseurs, dans un mouvement d’horizontalisation de la société. Le succès des plateformes en tout genre est un signal fort de ce mouvement. En effet, la confiance nécessaire avant de réaliser une transaction sur l’une de ces plateformes est désormais davantage conditionnée par les retours d’expérience de la communauté, via les systèmes de notation généralisés entre pairs, que par les autres formes de garanties.

Cependant, se pose toujours la question de la fiabilité de ce modèle de confiance communautaire. C’est dans cette question que se niche la nouveauté de la proposition de valeur de la Blockchain et peut-être l’étape post plateformes : fiabilité et auditabilité distribuée via le consensus pour un modèle purement pair à pair. Dès lors que sont résolues ces questions, la disparition des tiers devient théoriquement envisageable.

L’immensité du champ d’application de la Blockchain ne suppose pas pour autant qu’on puisse y recourir pour tout et n’importe quoi et surtout sans se poser la question du modèle à adopter et de la forme de gouvernance à mettre en œuvre. Ainsi, tous les usages ne nécessitent pas de recourir à la « preuve de travail », qui implique une communauté importante et impose un coût énergétique plus que substantiel.

Des promesses et des possibles

Dans le secteur marchand, les promesses d’automatisation laissent entrevoir des perspectives de réduction des coûts et de fluidité de certaines transactions dont pourraient bénéficier in fine les consommateurs, mais qui supposent également des acteurs commerciaux une capacité de transformation importante. On pense inévitablement au secteur des services financiers, déjà fortement chahuté par la concurrence des fintechs. Au-delà du seul sujet des crypto-monnaies, pour les banques, l’objectif consiste aujourd’hui à s’approprier la technologie, sans implémenter le modèle largement distribué sous-tendu par le bitcoin, afin d’en tirer des bénéfices concurrentiels : offrir aux clients des services à valeur ajoutée, par exemple des transferts d’argent ou de titres quasi-immédiats, moins chers puisque sans intervention humaine dans le processus, et défendre ainsi sa position de tiers et son avantage compétitif. Il en va de même pour les assureurs qui étudient opportunément les gains potentiels qu’offriraient la Blockchain grâce à l’exécution automatique de contrats d’assurance, ou encore la réponse qui pourrait être apportée aux problématiques de déshérence. On pourrait ainsi établir une liste infinie de secteurs et d’usages concernés, sans compter les usages qui émergeront demain et dont nous n’avons pas encore idée.

La plupart des expérimentations en cours portent sur des Blockchains « privées » donc relativement en rupture avec le modèle originel de la Blockchain bitcoin. Ces expérimentations vont apporter du recul sur le sujet et les investissements colossaux qui sont consentis actuellement vont sans doute permettre de se forger des convictions, si ce n’est voir un acteur ou un modèle s’imposer. Les différentes piste étudiées et expérimentées actuellement sont prometteuses, elles témoignent d’une considérable énergie collective sur le sujet et laissent entrevoir des promesses de gains tant pour les entreprises que pour les consommateurs. Pour autant, la promesse de désintermédiation « absolue » ou l’uberisation des plateformes n’en sera pas forcément la résultante.

Dans le secteur non-marchand,  l’État se trouve tout à la fois dans une position de potentiel utilisateur, promoteur, maître d’œuvre et régulateur de la Blockchain.

• Utilisateur dans le cadre d’automatisations de mécanismes transactionnels complexes et coûteux, on peut notamment penser à des usages pour l’administration fiscale, mais également pour tout ce qui relève de l’accès aux droits.
• Promoteur dans l’accompagnement des initiatives publiques et privées, soutien à un écosystème français dynamique.
• Maître d’œuvre et régulateur d’une future Blockchain publique, porteur d’un modèle fonctionnel de gouvernance à l’échelle nationale et internationale.

La société civile n’est pas en reste qui trouve dans la Blockchain un moyen idéal de mettre en œuvre de nombreux projets collaboratifs nés du modèle des communautés et donc nativement adhérents au concept de confiance distribuée. Le vaste domaine de l’échange de biens et services entre particuliers pourrait parfaitement opérer un glissement d’un modèle commercial de type plateforme vers un modèle purement associatif tendant vers un coût minimal pour l’usager/membre. Reste à savoir si le consomm’acteur, séduit par ce modèle, serait prêt à consentir une expérience transactionnelle plus dépouillée. On a du mal à projeter un parcours client très riche dans ce type de modèle, sauf à tabler sur une communauté de développeurs dévouée, ce qui n’est au demeurant pas exclu. Par ailleurs, il semble complexe de projeter un usage massif ou d’élargir le concept à une activité nécessitant une prise en charge des risques. L’autre principale promesse de la Blockchain à la société civile concerne toutes les possibilités relatives à une expression démocratique plus directe, notamment via les systèmes de votes qui sont explorés par différent pays actuellement. Plus proche encore, on songe aux polémiques qui ont pu naître sur la fiabilité et la légitimité des systèmes de pétitions en lignes et on peut tout à fait imaginer le rôle positif que pourrait jouer une implémentation Blockchain d’un système de pétition pour garantir à la fois la pétition et les pétitionnaires.

La Blockchain présente donc un intérêt à la fois pour la sphère privée et la sphère publique, reste à déterminer s’il s’agira en cible d’une Blockchain et de ses instanciations ou de la coexistence de différents modèles.

Une innovation de rupture qui se cherche un modèle de gouvernance

Ce rapide et non-exhaustif tour d’horizon permet de mesurer l’étendue et la profondeur des implications de l’avènement des Blockchains. Guy Kawasaki, éminent spécialiste de l’innovation, rappelait fort justement dans son intervention à la TED Conférence de Berkeley en 2014 les caractéristiques d’une grande innovation, entendons par là de celles qui changent le monde :

• Profondeur ;
• Intelligence ;
• Globalité ;
• Empowerment ;
• Élégance.

À coup sûr les Blockchains sont porteuses de ces attributs. Il est certain également, que la multiplicité des opportunités ne trouvera à s’exprimer concrètement, que dans une configuration où acteurs privés et publics s’emparent du sujet dans une approche ouverte et pluridisciplinaire. De là pourront émerger un ou plusieurs modèles de gouvernance qui permettront aux nouveaux usages de s’épanouir pour le bénéfice du plus grand nombre.

Cet article La Blockchain ou l’illustration d’un monde qui change est apparu en premier sur RiskInsight.

Travail en extérieur, température, graisse… quels usages possibles en milieu industriel ?

Les opportunités d’utilisation pour les collaborateurs sur le terrain sont nombreuses. La digitalisation de documentation technique, de guide métier en est une. Les métiers de maintenance notamment nécessitent de nombreuses documentations de contrôle ou de modes opératoires : les mettre à disposition sur un unique support numérique est simplificateur.

Les outils numériques et connectés permettent également les remontées d’informations en temps réel et donc un meilleur pilotage et partage d’informations. Ce point est d’autant plus prégnant pour les métiers s’exerçant sur un territoire étendu.

Par ailleurs en digitalisant les outils métiers les retours d’expérience sont alimentés par des données « terrain », enrichissant ainsi les bases d’analyse et améliorant la capitalisation, les processus d’amélioration.

C’est également sans compter que les outils digitaux offrent la possibilité d’utilisation de photos, de vidéos, de lecteur  de tags ou QR code, etc. augmentant ainsi la richesse des informations remontées. Parmi les exemples d’usages « multimédias », la possibilité de mettre à disposition des tutoriels ou  une assistance à distance des collaborateurs. Ces fonctionnalités proposées par les tablettes ou smartphones grand public sont tout à fait accessibles pour les milieux industriels, que le choix soit porté sur un appareil mobile « durci » ou grand public renforcé par des accessoires de protection ad hoc. Se pose en revanche la question de la connectivité qui est nécessaire pour permettre des usages en temps réel, surtout pour les métiers hors ateliers (travaux sur des voies par exemple).

Qu’ils soient génériques ou spécifiques à un métier ou une opération donnée, les usages envisageables sont donc nombreux ! Mais  au-delà de l’usage, ce sont les bénéfices apportés qui peuvent accélérer le mouvement de digitalisation.

Simple gadget ou réel apport ?

La digitalisation ne consiste pas en l’introduction de simples gadgets dans les métiers industriels. Elle ne répond pas non plus en  un simple mouvement inéluctable suivant l’utilisation de smartphones ou de tablettes dans la vie privée. Les initiatives relèvent d’un réel mouvement stratégique des entreprises pour répondre à leurs enjeux voire à leurs fondamentaux : augmentation de productivité, amélioration de la sécurité, de la qualité, réponse à des exigences de conformité, etc.

Prenons pour exemple la digitalisation de documents qui est souvent un des premiers pas du digital. Elle permet à la fois d’optimiser la performance de la production et de la diffusion documentaire (cycle de mise à jour plus rapide), tout en standardisant les pratiques, améliorant ainsi la conformité et la sécurité. Leur mise à disposition sur un outil mobile les rend plus simplement disponibles pour les collaborateurs. Outre le confort d’avoir moins de documents papiers à transporter, disposer d’une application permet de structurer l’information pour la rendre plus simple d’accès.

La modernisation de l’outil est également un vrai facteur de valorisation des salariés. Et ces atouts sont d’autant plus visibles lorsque les salariés sont impliqués dans les projets.

Faire de la transformation digitale un projet pour et par les agents terrain

Les collaborateurs en ateliers, en usines, sur le terrain doivent être acteurs du projet. Il est primordial en effet de comprendre les usages du futur utilisateur : comment travaille-t-il avant la digitalisation ? Quelle valeur ajoutée pour lui ? Comment serait-il impacté par le changement ? Outre les utilisateurs finaux, il est indispensable de construire avec l’ensemble des autres acteurs intervenants dans la chaîne de valeur. En prenant toujours l’exemple d’une digitalisation de documents, en amont de leur utilisation, c’est toute la chaîne de production et de diffusion du document qui est impactée.

Réussir cette transformation c’est savoir co-construire progressivement un nouvel environnement de travail digital avec les collaborateurs. En impliquant les bonnes parties prenantes dès la phase d’étude d’opportunité, l’initiative prend en considération l’expérience utilisateur, elle répond à un réel besoin et tient compte des exigences du métier. Une telle démarche donne une vraie légitimité au projet, et pose les premières pierres de l’accompagnement du changement. Un premier pas vers la réussite d’une transformation aujourd’hui inéluctable.

Cet article Digitalisation des métiers industriels, une nouvelle (r)évolution ? est apparu en premier sur RiskInsight.

Jusqu’à présent, les principales motivations d’adoption du Cloud computing sont les coûts (économie et modèle) et la flexibilité apportée (rapidité de provisioning, élasticité à la demande). L’étape suivante pour ces entreprises consistera sans aucun doute à se recentrer davantage sur leur cœur d’activité et à apporter plus d’innovation. Voici quelques exemples de cas d’usage de demain.

Le Cloud computing comme incubateur

L’un des usages émergents est l’utilisation du Cloud public en tant qu’incubateur. Prenons le Big data par exemple : le Cloud est une excellente opportunité pour les entreprises qui souhaitent éprouver et  expérimenter ces nouvelles technologies pendant un Proof-Of-Concept (POC), quitte à rebasculer ensuite sur un hébergement on-premise pour la phase de mise en production.

Auparavant, réaliser un POC nécessitait d’investir sur des infrastructures, de contractualiser pour disposer de licences de test, de prendre en compte les délais de mise en œuvre. Désormais, les fournisseurs Cloud proposent des offres prêtes à l’utilisation immédiatement et facturées selon l’usage qui en est fait.

Le modèle économique Cloud se prête parfaitement à ce cas d’usage et favorisera demain l’innovation technologique.

Le Cloud comme promesse d’une meilleure qualité de service

La disponibilité des applications critiques reste un enjeu majeur des DSI aujourd’hui. Les infrastructures utilisées doivent pouvoir répondre aux aléas qui surviennent, tels que les incidents ou les pics de charge. C’est l’une des promesses du Cloud, qui se concrétisera demain grâce à plusieurs leviers.

Prenons l’exemple du Plan de Reprise d’Activités (PRA) permanent. Il s’agit de répliquer l’application plusieurs fois et de simuler en continu, via un loadbalancer, la perte de l’une d’elles. Ce mécanisme permet de garantir une meilleure disponibilité du service.

Autre exemple, pour les sites web worldwide, il sera possible de répliquer les infrastructures sous-jacentes dans les différents datacenters du fournisseur et de diriger les utilisateurs qui s’y connectent en fonction de leur localisation géographique. Cette fois-ci, c’est le temps de réponse qui sera optimisé.

Dernier exemple, les entreprises commencent à implémenter des applications pour lesquelles l’infrastructure qui l’héberge pourra d’elle-même s’étendre ou se réduire en fonction des connexions réelles, voire s’éteindre en période d’inactivité. Ce mécanisme de « scale up / scale down » permet à la fois de réduire les coûts (dans un modèle de facturation à l’usage), mais également de garantir une disponibilité optimale en cas de forte activité. Cela se traduit techniquement par l’évolution des ressources même des serveurs ou de leur nombre, en fonction des socles installés dessus, mais nécessite surtout des applications dont le design est spécialement étudié pour.

Une accélération du cycle de vie des applications

Côté PaaS, de nombreuses évolutions sont encore à venir, visant principalement à réduire le time-to-market des applications, via une simplification de leur déploiement.

L’approche par containers est un premier levier visant à répondre à cet objectif. Le marché s’oriente vers des plates-formes capables d’exécuter du code quel que soit le serveur d’application sous-jacent. Cela est rendu possible par l’utilisation de containers, qui embarquent le code, l’application et les binaires du serveur d’application, et sont exécutables sur tout environnement d’exécution. Des solutions se développent pour faciliter la création et la gestion de ces containers, Docker par exemple.

Ainsi les entreprises n’auront plus à choisir entre des offres PaaS proposant  un serveur d’application ou un autre, l’utilisation de containers permettra d’exécuter le code quel que soit l’environnement utilisé. L’approche par containers est un premier levier visant à faciliter le déploiement d’applications sur les offres PaaS.

Le second moyen qui se démocratise est l’utilisation d’un gestionnaire de configuration qui permet d’automatiser le déploiement de composants logiciels. Cette industrialisation peut se faire à l’aide d’outils comme Chef, Puppet, CFEngine… et apporte de nombreux bénéfices. Ces outils en pleine expansion permettront ainsi d’accélérer le cycle de mise en production des applications pour suivre plus facilement les évolutions applicatives demandées plus fréquemment par les Métiers.

Cela ne pourra toutefois pas se faire sans une adaptation du cycle de vie des applications, pour adosser les usines logicielles aux offres PaaS qui les hébergent, et une adaptation de l’organisation et des processus existants. C’est justement l’objectif de l’approche appelée  « DevOps », qui se caractérise par une coopération étroite entre la maîtrise d’œuvre, les équipes chargées des développements, et celles de l’exploitation. Il n’y a par exemple pas d’intérêt à ce qu’une nouvelle fonctionnalité soit demandée chaque semaine et effectivement développée, si les mises en production de l’application ne sont prévues que tous les 6 mois. L’objectif de cette méthode est donc de prendre en compte dès le lancement d’un projet applicatif les besoins fonctionnels en amont, afin d’aligner ensuite les fréquences de mise à disposition de nouvelles fonctionnalités et celles de mise en production.

De nombreux cas d’usage seront rencontrés demain et les exemples présentés ici n’ont pas tous le même degré de maturité : il existe déjà quelques POC réalisés sur des plateformes Cloud, alors que la mise en œuvre du mécanisme de « scale up / scale down » reste aujourd’hui une promesse difficilement réalisable. Quant à l’évolution du cycle de vie des applications, et à l’industrialisation de leur déploiement, on voit que cela se fera une période plus longue, car une transformation des processus, des compétences et des équipes au sein de la DSI seront également nécessaires.

Cet article Cloud computing : les cas d’usage de demain est apparu en premier sur RiskInsight.

Lego Serious Play®: kesako ?

Lego Serious Play® est une technique d’animation et de projection conçue pour renforcer l’esprit d’équipe, développer la créativité et contribuer à la réflexion stratégique et opérationnelle de l’organisation. Cette technique d’animation est particulièrement efficace pour apporter rapidement des solutions créatives aux problématiques d’innovation. La méthodologie a fait ses preuves : en 2003, la Nasa, par exemple, y a eu recours afin de détecter les problèmes de la navette Challenger.

Quid du déroulé d’un atelier ?

Un atelier Lego Serious Play® est animé par des “facilitateurs” (un pour 8 à 12 participants). Contrairement aux participants, ils ne contribuent pas à la réponse de la problématique. Leur rôle est de créer un climat propice à l’expression des participants, de cristalliser les idées clés et de faciliter la logistique de l’atelier. Ils peuvent assister les participants d’un point de vue technique, mais ne doivent pas interférer dans leur réflexion individuelle.

La session se déroule en quatre étapes clés :

• Le facilitateur énonce la problématique, formulée de façon claire mais ouverte.
• En réponse, chaque participant construit son modèle 3D et une histoire autour.
• Chaque participant partage l’histoire qu’il a construite avec le reste de l’équipe.
• Le facilitateur et les participants cristallisent les idées clés et demandent des précisions sur les modèles 3D. Le facilitateur résume les points communs entre les modèles et les éléments ayant suscité la surprise.

Un atelier dure entre une demi-journée et deux jours. En fonction de sa complexité, la problématique peut être déclinée en différents axes de travail pour lesquels les étapes clés se répètent.

Quel matériel ?

Chaque participant dispose d’un kit de Legos® (personnages, briques, etc.) grâce auquel il réalise ses modèles 3D. A la fin de l’atelier, des connecteurs permettent de consolider un modèle synthétique à partir des idées clés cristallisées par le groupe.

Pourquoi choisir cette méthode ?

D’après les experts du MIT, la manipulation des Legos® active un lien entre le cerveau et les mains, ce qui aide les participants à matérialiser leur pensée, même pour des idées complexes. Le facilitateur aide les participants à se détacher de la construction de maquettes, afin de ne pas reproduire fidèlement la réalité. Au contraire, les Legos® peuvent être utilisés comme des outils métaphoriques. Celles-ci sont indispensables pour véhiculer des concepts difficiles à décrire avec des mots. Elles servent également à questionner les convictions du groupe.

Les modèles 3D servent de support pour construire une histoire en réponse à la problématique. Cette verbalisation de l’idée permet au participant de structurer ses idées. Le storytelling sert également à tester les conséquences de certaines décisions que pourraient prendre le groupe de travail et de partager une vision collective.

La modélisation en 3D est réalisée par chaque participant et est suivie de sa présentation. Cela permet de donner à chacun l’opportunité de s’exprimer. Tous les membres de l’équipe sont placés sur un pied d’égalité, quels que soient leur rôle hiérarchique, leur influence ou leur charisme : l’ensemble des idées du groupe sont ainsi collectées et de capitaliser sur l’intelligence collective. Tous les participants ont la parole pour présenter leur histoire : cela assure un engagement à 100% envers les actions décidées en séance. L’implication des participants dans la définition des solutions facilite et accélère leur mise en œuvre.

Quelles bonnes pratiques respecter ?

Comme pour n’importe quel atelier de réflexion de groupe, la session est plus efficace lorsqu’elle débute par un échauffement créatif. Cette phase ludique met le participant en condition, lui permet de déconnecter de son quotidien pour se concentrer sur l’atelier et est l’occasion pour le facilitateur de rappeler la règle essentielle : les débats et les jugements ne sont pas autorisés. L’échauffement créatif peut être l’occasion de manipuler une première fois les Legos®, afin de s’approprier l’outil et les concepts de métaphores et de storytelling.

Notre expérience d’animation d’ateliers Legos nous dit qu’il est nécessaire d’expliquer en préambule aux participants l’intérêt de cette méthode créative. En effet, la culture de l’entreprise provoque parfois des réticences pour mobiliser des collaborateurs autour d’un jeu d’enfance. La compréhension des atouts de la méthodologie désamorce ces aprioris.

Enfin, l’animateur n’est pas obligé de se contenter de la méthodologie Lego Serious Play® : il peut être pertinent de s’appuyer en complément sur d’autres méthodes d’animation pour accompagner le groupe dans la résolution de la problématique. Par exemple, l’intégration d’une étape intermédiaire de jeux de rôles dans le déroulé aide les participants à se décentrer et à réfléchir à la problématique sous des angles nouveaux. En fonction du sujet, l’animateur peut également s’inspirer d’outils de stratégie – par exemple le Blue Ocean – pour structurer son atelier.

Lego Serious Play® est une technique d’animation et de projection très efficace pour résoudre des problématiques de groupe : améliorer l’organisation, identifier et résoudre des situations conflictuelles, renforcer la cohésion, préparer une équipe à un changement important, définir une stratégie, innover…

Cet article Le contraire de jouer n’est pas travailler : la preuve en Legos ! est apparu en premier sur RiskInsight.

Les 8 caractéristiques de l’Open data

Selon les critères retenus par L’Open Government Data¹, pour être « ouvertes », les données doivent être :

1. Complètes : exception faite de celles relevant de la vie privée, la sécurité ou des privilèges d’accès,

2. Élémentaires : diffusées telles que collectées à la source, sans avoir été agrégées ou modifiées,

3. Opportunes : mises à disposition rapidement pour garder toute leur valeur,

4. Accessibles : au plus grand nombre d’utilisateurs possible,

5. Exploitables : dans un format qui permet leur utilisation ; lemonde.fr épinglait récemment la HATVP (« Haute Autorité pour la Transparence de la Vie Publique ») sur le manque d’exploitabilité de ses données ouvertes. Le format .pdf utilisé pour la publication du patrimoine des ministres, le 27/06, a en effet contraint les data journalistes à un travail laborieux de structuration²,

6. Non discriminatoires : sans inscription préalable,

7. Non propriétaires : non soumises à un usage exclusif,

8. Libres de droits

Une ouverture des données timorée côté entreprises

Cet article Open API ou Open Data ? Le cœur des DSI chavire… est apparu en premier sur RiskInsight.

L’innovation en 7 leviers incontournables

 1.Tout d’abord, une démarche d’innovation doit s’inscrire dans la stratégie de l’entreprise. Bien sûr elle suit sa propre stratégie, mais elle ne saura être efficace que si elle est couplée à un engagement et une communication forte de la direction. Ce facteur clé est un pilier pour une démarche forte et engageante.

 2. Par ailleurs, un processus d’innovation est un processus à part qui doit bénéficier de critères et de comités d’évaluation propres à chacune de ses phases. Il vit en parallèle des processus plus classiques de l’entreprise.

 3. Les collaborateurs participant à la démarche d’innovation doivent être responsabilisés. La création d’espaces  d’autonomie permet notamment à des personnes n’ayant pas forcément de responsabilités managériales de se sentir en confiance pour porter des projets innovants au fur et à mesure des phases.

 4. Naturellement, ces espaces d’autonomie n’empêchent pas un accompagnement formalisé des collaborateurs. Outre des formations et des suivis, l’intervention d’experts métiers fait gagner les projets en pertinence. Cet accompagnement prend également la forme de livrables prédéfinis pour chacune des phases et l’organisation de challenges réguliers pour animer la communauté.

 5. Cette communauté doit en outre être transparente, tout autant que la démarche. Une vision claire des objectifs de la démarche, de l’avancement et de l’évolution de chaque projet aussi bien au sein de la communauté qu’auprès du reste de l’entreprise permet à la fois de valoriser le travail effectué et de stimuler l’intérêt des autres collaborateurs tout en mettant en avant des synergies entre différents projets qui gagneront en valeur dans la collaboration.

 6. Le sixième levier est un des plus complexes à mettre en œuvre. Comment inciter les collaborateurs à participer à une démarche d’innovation ? Comment mettre en valeur leur implication. La rétribution financière est ce qui semble parfois le plus simple et le plus adapté. Au même titre que l’intéressement aux parts de l’entreprise, ce n’est pourtant pas toujours la réponse la plus pertinente. Une rétribution financière, si elle est objectivée sur la quantité, peut mettre en péril la qualité de la démarche. Par ailleurs, l’incitation doit se faire pour chaque phase du processus, bien que le dépôt d’une idée n’a, a priori, pas la même valeur que la participation à l’implémentation d’un projet plus abouti. Et pourtant, sans idée, pas de projet. Une évaluation spécifique et adaptée à chaque action doit donc être mise en place.

 7. Enfin, un temps libre, dédié à la démarche doit être accordé aux participants afin que leur travail principal ne soit pas impacté et que dans le même temps, les créneaux  réservés à la démarche soient plus efficaces. La combinaison de ces 7 leviers garantit la mise en place d’une démarche d’innovation plus pertinente, plus porteuse de valeur et surtout plus pérenne.

Alors comment appliquer ces 7 leviers à une démarche d’innovation ouverte ?

Un échange avec l’écosystème nécessaire à l’open innovation

Dans un environnement interconnecté, une entreprise ne saurait survivre sans son écosystème. Il en va de même pour une démarche d’innovation. Aussi bien les clients que les concurrents ou les législations peuvent être sources d’inspiration. Pour ce qui est de l’open innovation, son principe même est fondé sur cette ouverture. Wikipedia et les logiciels d’open source l’ont démontré : une entreprise ne peut plus penser que le savoir est concentré uniquement en son sein. Le savoir est partout et la collaboration, les échanges l’enrichissent à chaque instant.

Une démarche d’innovation ouverte permet de développer plus facilement des projets innovants d’envergure de par son organisation. Elle peut notamment mener à un essaimage de ces projets facilitant ainsi l’incitation à participer à la démarche. Si la valorisation de la participation à travers une participation au capital de l’entreprise peut présenter un intérêt limité (la croissance boursière d’une structure importante a souvent une tendance stagnante ou en faible augmentation), proposer une participation au capital d’une entreprise née de l’intrapreneuriat et son essaimage est de son côté beaucoup plus stimulante. Outre une croissance plus forte les premières années, l’accomplissement est également plus important. L’idée de participer à la création d’une entreprise et à son expansion représente la motivation principale des entrepreneurs et, a fortiori, des intrapreneurs.

Une question se pose alors : comment l’entreprise peut-elle profiter de la valorisation ? De manière générale, comment, dans le cadre d’une démarche d’innovation, travailler avec des start-ups aussi bien rachetées que celles nées de l’essaimage ? Pour les start-ups nées de l’essaimage, comme pour celles qui ont été rachetées et à l’image du processus d’innovation qui vit en parallèle des processus classiques, une prise de participation dans le capital est une bonne option. En revanche, ces startups doivent absolument pouvoir évoluer et croître en parallèle de l’entreprise mère. Une  réintégration complète et par conséquent une application des processus classiques mettront fin à l’innovation. Ces startups doivent donc être traitées comme des projets de la démarche d’innovation avec des critères d’évaluation et un accompagnement adaptés à leur stade de développement. Les échanges entre les experts de l’entreprise et ceux des startups permettront en outre de développer de nouvelles connaissances pour chaque partie ou même de nouveaux projets issus des synergies ainsi créées.

Les démarches d’innovation ont connu une évolution à la hauteur des enjeux économiques qu’elles représentent. La question pour les entreprises n’est donc plus de savoir si elles se lancent, ni même selon quelle méthode, mais de savoir adapter chacun des facteurs clés de succès à leur environnement tout en tirant partie de leur écosystème. Écosystème qui demain ne saura se limiter à la collaboration avec les clients mais bien englober fournisseurs, concurrents, législateurs et les autres acteurs qui gravitent autour de l’entreprise pour augmenter la valeur créée par l’innovation.

Cet article 7 clés de succès au service d’une démarche d’innovation… ouverte ! est apparu en premier sur RiskInsight.

L’innovation en entreprise

Selon le manuel d’Oslo de l’OCDE, l’innovation est « la mise en œuvre – la commercialisation ou l’implémentation – par une entreprise, et pour la première fois, d’un produit ou d’un procédé nouveau ou sensiblement amélioré, d’une nouvelle méthode de commercialisation ou organisationnelle dans les pratiques d’une entreprise, l’organisation du lieu de travail ou les relations avec l’extérieur. » De plus en plus de grandes entreprises veillent à développer des démarches d’innovation en interne notamment comme une réponse face à la crise. Cependant, les processus d’innovation ne sauraient survivre dans un environnement classique, ils doivent se développer en parallèle de celui-ci. Alors comment innover ? Comment amener son entreprise à mettre en place des processus stimulants et durables ? Comment aller plus loin que la basique boîte à idées ?

Au-delà de ses multiples facettes, l’innovation se caractérise par un processus complet, de la stimulation de la création des idées jusqu’au lancement auprès du public cible. On représente souvent ce dernier sous la forme d’un entonnoir afin de mettre en avant le fait que pour 100 idées proposées, seules 2 ou 3 arriveront sous forme mature et travaillée sur le marché.

Les trajectoires de l’innovation

Ces 100 idées n’émergeront pas spontanément. Pour les récolter, il faut mettre en place une phase dite d’idéation, souvent liée à une phase d’inspiration, pour laquelle il est nécessaire de stimuler la naissance des idées à travers des ateliers de créativité ou des challenges thématiques. Une fois les idées récoltées, il faut réaliser une première analyse afin d’écarter celles qui ne répondent pas à la stratégie de l’entreprise ou tout simplement qui existent déjà.

Vient alors la phase de prototypage qui concerne en moyenne 30% des idées. L’objectif est de réaliser des tests de l’idée sur un marché réduit et représentatif de la cible. À la fin de cette phase, durant laquelle le prototype aura pu évoluer pour s’adapter aux besoins du terrain, une évaluation de la pertinence et de la valeur de l’innovation est réalisée.

7% des idées récoltées à l’origine vont alors entrer en phase d’implémentation. Cette phase doit accompagner l’évolution de l’innovation vers un produit suffisamment mature pour une mise sur le marché. Enfin, pour stimuler l’innovation sur le long terme, une valorisation adaptée à chacune des étapes précédentes doit être mise en place.

Afin de prendre en compte ce processus, les entreprises ont, ces dernières années, misé sur un système d’innovation dit inside-in. En résumé, l’innovation était développée uniquement par des ressources internes à l’entreprise, grâce notamment à des systèmes de management des idées à destination des collaborateurs, des incubateurs internes ou encore via la R&D.

Aujourd’hui cependant, alors que, les frontières entre une entreprise et son écosystème tendent à se dématérialiser, la tendance est à l’ouverture. C’est ce qu’on appelle l’open innovation. Littéralement «innovation ouverte », cette démarche se décline en deux trajectoires. La plus pratiquée est celle de l’outside-in qui consiste à aller chercher en dehors de l’entreprise des connaissances ou même des ressources. Des géants comme Apple ou Google ont savamment mis en place une communauté pour préparer leur écosystème à l’arrivée d’innovations de rupture comme l’iPhone hier et les Google Glass aujourd’hui. Des grands groupes français organisent quant à eux des hackatons, 48h durant lesquels tout un chacun peut venir proposer et développer une application avec les données qui sont mises à disposition. Dans cette trajectoire on note aussi beaucoup de systèmes de management des idées ouverts au grand public. À l’inverse, l’inside-out permet de mettre à disposition ressources et savoirs d’une entreprise auprès de l’écosystème.

Le premier type de dispositif inside-out est celui de la vente de brevets sous forme de licence. Il peut également s’agir d’essaimage. Ces deux trajectoires, loin d’être divergentes, se doivent d’être complémentaires. Pour cela, Google par exemple, a mis en place des démarches « d’intrapreneuriat », c’est à dire des dispositifs permettant de stimuler l’entrepreneuriat au sein même de l’entreprise.

Au-delà de la compréhension et de l’implémentation des différentes phases de l’innovation et des dispositifs associés, il existe des facteurs clés à la réussite d’une telle entreprise. C’est d’ailleurs ce que nous verrons dans un prochain article.

Cet article Démarche d’innovation : le succès passe par l’ouverture est apparu en premier sur RiskInsight.

Un triptyque de spécialistes du Smart

1 – Les spécialistes de la relation client, agrégateurs de services

Ce sont des acteurs qui connaissent très bien les clients et leurs comportements de consommation et surtout qui sont considérés par les clients comme légitimes pour leur proposer de nouvelles offres, de nouvelles expériences de consommation. On peut dire que ce sont les interlocuteurs clients de « 1ère intention ».  Leur position peut paraître simple, mais il n’en est rien car ils doivent :

• Être capables d’anticiper les besoins, y compris en se projetant dans de nouveaux domaines de consommation ;
• Parvenir à offrir une relation simple, fluide quels que soient les canaux, les moments et les motifs de contact ;
• Maîtriser les savoir-faire du métier d’intégrateur de services qui ne consiste pas à additionner des composants, mais à co-concevoir avec ses partenaires des services qui prendront leur sens une fois assemblés. Cette ingénierie de l’assemblage est particulièrement délicate, le Graal étant un véritable saut de valeur.

2 – Les spécialistes de l’innovation : équipements, systèmes et usages

Une grande partie des usages Smart provient d’innovations valorisant des technologies existantes en les associant et en inventant un usage, c’est-à-dire un résultat utile pour un client. Bien sûr, les structures de recherche et développement des grands groupes consacrent des ressources importantes à cette recherche, mais force est de constater que le foisonnement de l’innovation est presque infini chez les petits acteurs et que de nombreux usages ou « briques de services » Smart ont été développés par ces entreprises fonctionnant sur une logique de start-up, comme par exemple AlertMe.

Pour ces acteurs, il ne s’agit pas simplement de surfer sur les technologies, il s’agit d’abord de trouver de nouveaux usages et de convaincre des clients ou des partenaires de les tester et de les développer… pour les imposer dans le paysage. Ils doivent donc à la fois bien connaître les clients pour raisonner usage et conduire une stratégie partenariale très forte. Innovation client et stratégie partenariale sont les deux impératifs majeurs pour que ces acteurs restent durablement autonomes. Cependant, dans la pratique, bien souvent, ils sont rachetés par des grands groupes agissant dans leur secteur majeur d’activité.

3 – Les spécialistes des infrastructures et services critiques (back-office) indispensables au bon fonctionnement de l’ensemble de l’écosystème Smart

L’exemple d’Atos (voir notre Synthèse Smart page 10) montre que la stratégie de spécialisation back-office est tout à fait centrale dans l’univers du Smart. Il s’agit d’abord de la gestion des données Big data, mais aussi de composants plus élémentaires d’équipements communicants comme les cartes SIM. Il y a en France aujourd’hui plus de cartes SIM que d’habitants, puisqu’au-delà des téléphones, elles équipent par exemple les tablettes et les automobiles. Les spécialistes du back-office doivent à la fois industrialiser leurs offres et co-concevoir les services du futur avec leurs partenaires, en particulier les acteurs du front-office… sans compter qu’ils doivent promouvoir et imposer leurs standards pour devenir, effectivement, incontournables.

Une évolution dynamique des positionnements

Le positionnement ne se limite ni aux trois rôles types présentés ci-avant, ni à une vision statique. Si l’on s’intéresse maintenant aux dynamiques, on peut schématiquement distinguer quatre grands types de mouvements.

1 – L’émergence

On pense bien sûr aux start-up, mais cela peut aussi concerner le lancement de nouvelles activités dans des entreprises installées. Les enjeux sont multiples : pertinence de l’offre, accès aux clients, rentabilité du modèle économique, stratégie de développement ou de valorisation capitalistique.

2 – Le déplacement centripète

Des acteurs du back-office se diversifient ou se transforment en acteurs du front-office. C’est une stratégie fondamentale du secteur industriel européen depuis de nombreuses années : créer de la valeur par une offre combinant produits et services avec en cible une facturation au résultat. De nombreuses entreprises suivent cette stratégie, comme Schneider Electric qui développe des offres de prise en charge de la performance énergétique des clients. Ce mouvement se traduit par un fort enjeu de développement de la « culture services ».

3 – Le déplacement centrifuge

Ce mouvement est plus rare, il est cependant clé dans l’univers du Smart où le back-office joue un rôle central. C’est aussi, pour les start-up innovantes, un moyen pour trouver des gisements de croissance en adoptant une stratégie de développement en « marque blanche » (cf. le cas d’AlertMe en page 10 de la Synthèse).

4 – L’extension circulaire

L’intérêt d’une vision multisectorielle du Smart, c’est qu’elle fait apparaître le potentiel de ce type de mouvement. Il peut concerner tout type d’acteurs :

• D’abord, bien sûr, les spécialistes des infrastructures, puisqu’en général celles-ci peuvent être utilisées pour tous les types d’usage ;
• Les spécialistes de la relation client et de l’intégration de services ensuite, qui doivent sans cesse renforcer leur légitimité en cherchant à couvrir le plus largement possible les besoins des clients avec des accès et des services ergonomiques et simples ;
• Les spécialistes de l’innovation, mais cela s’avère plus difficile parce que cela suppose une aptitude à se projeter dans des univers d’usages très différents.

Tous ces mouvements sont à la fois des opportunités de développement ou des menaces concurrentielles. À tout moment, de nouveaux acteurs peuvent apparaître dans son propre champ concurrentiel. Il faut donc y être très attentif.

Pas de Smart sans cadre réglementaire

Bien sûr, les innovations technologiques et les innovations d’usages sont deux moteurs fondamentaux du Smart, mais ces innovations ont besoin d’un terreau favorable pour se développer. Ce terreau ne correspond ni à la demande spontanée des clients ni à la rentabilité intrinsèque des offres.

C’est le cadre réglementaire qui apparaît comme étant le socle de développement du Smart. Par exemple dans le secteur du bâtiment, la réglementation thermique (aujourd’hui la RT 2012) joue un rôle central pour l’installation de solutions intelligentes de pilotage des consommations énergétiques. Les pouvoirs publics ont donc une responsabilité essentielle pour « créer » les territoires du Smart : « les collectivités locales sont à la Smart city ce que Apple est au smartphone. ». Ainsi, le véhicule électrique ne se développera que lorsque les pouvoirs publics fixeront les règles et les aides qui permettront de créer une infrastructure de recharge : par exemple permettre à un copropriétaire d’installer une prise sur son emplacement de stationnement sans avoir besoin d’obtenir la majorité en assemblée générale.

Cet article Comment se positionner dans l’écosystème foisonnant du Smart ? est apparu en premier sur RiskInsight.

Le Smart ré-invente la vie quotidienne des consommateurs

Pour mieux comprendre le Smart, nous avons partagé avec vous ce que sera le quotidien de Monsieur Dupont lors d’une  journée à SmartVille, tant dans sa vie personnelle que professionnelle.

La majorité des technologies que comporte l’illustration (stores automatiques, smartphone, voiture électrique, tablette, GPS, smart TV ) existent déjà. Si certaines sont encore à l’étape de prototype, comme par exemple le paiement par NFC (Near field communication), d’autres ont atteint le stade de démonstrateurs, comme les Smart grids à Lyon et à Nice. D’autres, à l’instar des applications délivrant des informations sur le trafic ou la géolocalisation des bornes de vélos urbains, sont déjà largement répandues.

Face à cette pluralité et à cette richesse, parvenir à une définition du Smart est  inévitablement génératrice de débats ! On pourrait néanmoins le faire en ces termes : « Le Smart, c’est la rencontre entre la vie quotidienne des clients et des équipements communicants offrant, à chaque instant, un nouveau mode de consommation personnalisé et maîtrisé ».

 Un Smart tributaire des avancées technologiques… et des aspirations socio-culturelles

Le Smart s’applique à de nombreuses réalités : smartphones, smart grids, smart cities… Adossé à un appareil mobile, à un réseau électrique ou à une ville toute entière, le Smart, comme bien d’autres concepts avant lui semble de prime abord s’incarner dans la technologie qui dote ces entités de capacités de pilotage et d’intelligence enrichies. On l’aura compris, la technologie joue un rôle important : pas de smartphone sans processeur avancé, pas de Smart grids sans compteurs communicants, pas de Smart cities sans SI évolués.

Pourtant, cette vision d’un marché où l’offre crée automatiquement la demande laisse de côté un peu vite le rôle du client.  Car au-delà des nouveaux usages que permettent le Smart, c’est bien la capacité d’appropriation par les clients, et donc l’existence de besoins sous-jacents et pré-existants, qui en détermineront le succès. Le Smart comme ses ancêtres est bien tributaire des aspirations socio-culturelles et économiques de la société. La réussite du walkman de Sony, a été décortiquée en mettant en exergue l’individualisation de la société, et l’aspiration croissante à une consommation individuelle plutôt que collective de la musique. Le walkman a ainsi tiré son succès de la concordance de sa disponibilité avec la glorification de cette aspiration individualiste.

On pourrait dans le cas du Smart distinguer 3 principales tendances de fond, chacune se traduisant en bénéfices pour le consommateur :

• L’omniprésence des nouvelles technologies comme moyen de faciliter le quotidien : par exemple, le déploiement des technologies NFC permettant de payer, de prendre les transports en commun, de cumuler des points de fidélité, etc.
• La recherche d’optimisation économique : dans le contexte actuel de crise économique mondiale, les solutions Smart permettant d’obtenir le meilleur ratio confort / coût d’usage répondent à une aspiration globale du « mieux pour moins ».
• L’ère d’une consommation responsable et éclairée : le client accepte de moins en moins de subir ses usages et cherche à piloter ses choix de consommation, via une capacité d’arbitrage entre différentes opportunités possibles (voiture versus transports en commun, niveau de confort versus économies…)

Pour répondre à ces aspirations, pas de martingale technologique ou d’innovation révolutionnaire : le Smart naît avant tout de la rencontre entre différentes solutions existantes qui, combinées, permettent de nouveaux usages. Ceci peut partiellement expliquer que le phénomène du Smart reste une réalité méconnue pour le grand public. Fin 2011, le taux de notoriété du terme n’était que de 21% aux États-Unis (source : JD Power). Dans une société technologique inondée par le marketing de l’innovation, l’émergence d’un écosystème intelligent prendra du temps pour se développer.

En attendant que le grand public ne s’en empare, ce sont bien entendu les entreprises qui sont au 1^er rang pour accompagner son essor. Votre entreprise sera-elle à la pointe de ce mouvement ? Pour le savoir, évaluez son coefficient de Smart’titutde »

 1. Le Smart est-il inscrit dans votre plan stratégique pour les 3 prochaines années ?

2. Êtes-vous en train de conduire une ou plusieurs expérimentations liées au Smart ?

3. Suivez-vous de manière active les travaux des instances de réglementation liées au Smart ?

4. Participez-vous à des initiatives de lobbying autour de ces sujets ?

5. Êtes-vous membre d’un consortium industriel autour du Smart ?

6. Avez-vous déjà, dans votre catalogue, des offres réalisées en partenariat avec d’autres entreprises ?

7. Considérez-vous que l’orientation client de votre marketing et de votre service client est satisfaisante ?

8. Avez-vous en cours un projet d’évolution majeure de votre système d’information client ?

9. Une réflexion Big data est-elle déjà initialisée dans votre entreprise ?

10. Êtes-vous une entreprise de services ?

 Si vous n’avez pas répondu « Oui » à l’ensemble de ces questions, c’est que vous découvrirez forcément quelque chose dans la Synthèse « Smart : au-delà du buzzword, préparez la transformation ! » .

Cet article La révolution smart arrive… êtes-vous prêts ? est apparu en premier sur RiskInsight.

Gares et aéroports, un rôle historiquement monofonctionnel

Autrefois appelées « embarcadères », les gares ont été des éléments clés de la révolution industrielle et de l’urbanisation des villes du XIXème siècle. Elles ont participé au façonnage des transports modernes en assurant une interconnexion continue entre les grandes agglomérations et les villes de province.

Situés en périphérie ou au cœur de la ville, ces espaces ont longtemps été réduits à des lieux de correspondance. La gare était centrée sur l’acheminement des voyageurs aux quais. L’aéroport assurait pour un départ ou une correspondance l’accès aux avions grâce aux zones d’embarquement.
Cependant le vieillissement des infrastructures et la hausse progressive du trafic voyageur rendent caduque ce modèle. Un travail d’adaptation aux nouvelles habitudes des voyageurs est en marche.

Des infrastructures vivantes au quotidien …

Gares et aéroports s’humanisent et se transforment en pôles d’échanges multimodaux où viennent se greffer une multitude de services. Les importants chantiers de modernisation de la Gare Saint-Lazare et de l’Aéroport Paris-Charles de Gaulle illustrent cette tendance de fond.
La Gare Saint Lazare a ainsi subi une véritable remise à plat de son espace public fin 2012 ; une reconversion marquée notamment par le réaménagement de son espace en galerie marchande qui permet d’enrichir le parcours du voyageur et de diversifier les revenus de l’entreprise SNCF par la rétrocession d’une quote-part des loyers des franchises.
Dans le même esprit, l’aéroport Paris-CDG a développé de nouvelles infrastructures sous la bannière du projet « Hub 2012 ». Un vaste chantier qui consiste à déployer une nouvelle salle d’embarquement pour les passagers des longs courriers et une zone commerciale proposant une gamme de service étendue (institut de soins, espace de relaxation, bars, restaurants, boutiques haut de gamme, …).Ces investissements seront complétés par l’installation d’un centre commercial premium « Aéroville » à proximité de Roissy.

Ces changements se traduisent au quotidien par des évolutions visibles par le client voyageur :
Au-delà d’une offre de service diversifiée et montant en gamme, les espaces d’attente s’aménagent et intègrent des aires de jeux pour enfants ou encore une connexion Wi-Fi gratuite. Pour offrir plus de confort, l’intérieur des espaces est ré-agencé avec des équipements plus modernes et un mobilier urbain pratique (ascenseur, escalators, identité visuelle et sonore…).
Au sol, un guidage et des itinéraires améliorent significativement l’orientation et les conditions d’accès aux trains. De l’entrée de la gare ou de l’aéroport à la zone de départ, le parcours du voyageur est balisé à l’aide de multiple points d’appui pour un repérage efficace (signalétique, luminosité, …).
Aux abords, on note un réaménagement des gares routières pour les correspondances avec les lignes de bus. L’accès immédiat aux quais ou aux halls d’embarquement est facilité, notamment pour les populations à mobilité réduite. Des bornes d’accès aux vélos en libre-service sont implantées… et connectées en temps réel avec l’usager
Les gares et les aéroports veulent tirer au maximum partie de l’omniprésence des technologies de l’information de la sphère individuelle, et s’appuient notamment sur la démocratisation des mobiles et l’explosion des réseaux sociaux.
Les smartphones permettent de rendre l’usager acteur de son parcours. Le mobile devient un vecteur de services personnalisés et d’informations en temps réel:

• Information commerciale : le voyageur réceptionne des SMS promotionnels et des coupons de réduction à son passage dans la zone commerciale. Il peut effectuer ses achats par mobile en utilisant les murs virtuels des magasins de distribution.
• Information sur l’offre de transport : le voyageur peut consulter les informations des panneaux d’affichage des autres transporteurs sur son mobile de manière dynamique. Des bornes interactives et tactiles complètent les informations.
• Information en temps réel : l’usager consulte une information continue sur le temps d’attente des trains, les perturbations éventuelles, les solutions de délestage en cas de forte affluence ou de situation dégradée.
• Des applications de mobilité développées par les opérateurs ferroviaires pour appuyer les voyageurs dans l’organisation de leur trajet en amont de celui-ci.

La relation entre le voyageur et la gare/aéroport prend une nouvelle dimension. La multiplication des occasions de contact avec les voyageurs contribue à faire émerger une relation « client/fournisseur ». En effet, le voyageur peut signaler via son mobile/une borne interactive les dysfonctionnements éventuels sur des installations en place ou sa perception de la qualité de service. En même temps, l’opérateur de transport collecte des informations lui permettant d’ajuster au mieux le contenu de son offre de services.

Et demain : l’émergence d’une plate-forme de services de mobilité ?

Une nouvelle approche collaborative se dessine qui permettra au voyageur de s’exprimer tout au long de son trajet.En surfant sur le vague des « réseaux sociaux », le voyageur participe pleinement à enrichir le socle de connaissance de son Transporteur par ses remarques et son expérience terrain.

L’innovation permanente et la coopération constitueront des axes forts de la phase de conception des services. Cette étape pourrait s’appuyer sur une plate-forme de mobilité ou viendront se greffer de multiples acteurs de la chaîne (intégrateurs, experts SIV, utilisateurs, exploitant, …), un processus de fabrication maîtrisant de manière complète les informations des canaux de production « Transporteur » et « Exploitant », des technologies innovantes au service des usages quotidiens et un pilotage global pour garantir la cohérence des services et enfin une organisation « agile » en cas de changement majeur (ouverture à la concurrence, nouvelles offres, etc. ).

Nul doute que pour les principaux acteurs du transport, ce laboratoire d’innovation ouvert sur le monde extérieur va certainement affiner la manière de concevoir et de consommer les services de mobilité.

Pour plus d’informations sur le sujet, consultez Transport Shaker, le blog transport des consultants Solucom

Cet article Gares et Aéroports : vers une transformation simultanée ? est apparu en premier sur RiskInsight.

Orchestrer la gestion de la demande en bonne intelligence avec les Métiers

Le processus de gestion de la demande doit faciliter l’alignement stratégique et clarifier la prise d’engagement. De fait, la construction d’une vision pluriannuelle du portefeuille projets doit permettre de favoriser les échanges entre la DSI et les Métiers. La DSI peut ainsi partager ses contraintes (donc sa capacité à faire) ce qui facilite la compréhension des Métiers vis-à-vis de l’IT. Par ailleurs, mener efficacement la gestion de la demande implique des décisions d’arbitrage plus argumentées et fondées sur des analyses d’impacts approfondies sur le portefeuille projets d’une part mais aussi sur la stratégie IT de manière plus globale. De son côté, la DSI doit également être plus précise sur les engagements qu’elle prend, étape par étape pour clarifier la valeur apportée et les conditions de réalisation. Par exemple, en fin d’étude d’opportunité, la DSI doit s’engager sur des KPI coûts / qualité / délai extrêmement précis.

Parallèlement, il est essentiel de remettre sous contrôle le pilotage des évolutions. Car s’il est bien maîtrisé pour les « projets », force est de constater que les dérives budgétaires sont fréquentes côté « évolutions ». Plusieurs pratiques permettent pourtant de limiter ces dérives. D’abord, il faut savoir détecter les projets qui sont dissimulés dans les évolutions. Il n’est pas rare que des évolutions aient en effet des impacts sur les architectures ou sur les coûts du run. Ensuite, la mise en place d’une gouvernance spécifique pour les évolutions est nécessaire. L’introduction de mailles d’arbitrage assure une meilleure anticipation des dérives budgétaires et donne des leviers d’action. On retrouve, en général, les mailles d’arbitrage par regroupement (logique de train d’évolution) ou encore par enveloppe (logique de validation trimestrielle).

Challenger le choix des solutions et des niveaux de services

Dans un contexte de maîtrise ou de réduction des coûts, la DSI ne doit pas se limiter à une posture d’ « exécutant ». Elle doit au contraire développer une posture de conseil et de prescripteur vis-à-vis des Métiers.

Tout d’abord, la DSI doit proposer aux Métiers un choix entre des solutions différenciées et évaluées. Il faut en effet éviter d’aller trop vite vers une solution informatique là où un processus métier manuel reste plus rentable et concevoir des solutions équilibrant processus métiers et outils informatiques. La proposition systématique d’au-moins deux solutions crédibles en ayant mesuré leurs avantages et inconvénients (évaluation en termes de valeur et de coût) est également une bonne pratique.

Par ailleurs, la DSI doit se doter d’une offre de services différenciée. Cette offre intègre différents niveaux de services et fournit de véritables alternatives aux Métiers si tant est que ces services soient  bien valorisés tant en termes de valeur que de coûts. La DSI doit également savoir créer de la rupture dans les services qu’elle rend, en identifiant des périmètres sur lesquels des offres low-cost sont pertinentes. C’est déjà le cas sur des services infrastructures comme la messagerie par exemple mais cela reste très marginal sur des services applicatifs.

Enfin, la DSI doit également renforcer la compréhension des coûts IT par les Métiers. Cela passe à la fois par une meilleure maîtrise de ses coûts IT mais également par la fourniture aux Métiers de clés de compréhension des paramètres influant sur les coûts IT dans leur langage. Il s’agit bien de redonner des leviers de maîtrise de la facture IT aux Métiers !

Donner à la DSI des rôles plus orientés métiers

L’évolution du cœur de métier de la DSI et de ses nouvelles responsabilités vers un rôle de partenaire exige une plus grande ouverture qui ne peut se faire sans une évolution des rôles et un apport de nouvelles compétences Métiers.

La DSI doit en effet s’approprier les enjeux de performance opérationnelle des Métiers et les décliner / diffuser au sein de la DSI. Des rôles vont renforcer cette diffusion : les business analysts pour traduire les besoins Métiers en solution IT, les architectes d’entreprise pour garantir la cohérence du SI avec ces mêmes besoins, etc. Il faut également créer de la proximité et de la légitimité avec les Métiers : le client manager, représentant des DSI au sein des Métiers, va garantir cette relation.

Au-delà de ces rôles, une évolution des compétences sera nécessaire. L’évolution vers la double compétence Métier / IT est assez évidente. Une évolution des compétences managériales sera également nécessaire pour renforcer la capacité de dialogue mais également l’excellence dans le pilotage des actions et des engagements.

Somme toute, renforcer la proximité avec les Métiers passe ainsi nécessairement par un changement de posture de la DSI. Ce partenariat Métiers / DSI ne sera possible que par l’évolution de la gouvernance, des processus de pilotage de la DSI et des rôles associés (incarnés par des acteurs précis dont le choix sera crucial).

Alors, prêt à changer de posture ?

Cet article DSI : renforcez votre proximité avec les Métiers ! est apparu en premier sur RiskInsight.

Peu voire pas de surprises dans les nouvelles fonctionnalités offertes, car elles sont intimement liées à iOS 7 déjà présenté en juin dernier.

Mais cette annonce avant tout matérielle fait la part belle à la sécurité…

Des améliorations qui restent incrémentales

Apple n’a pas cédé à l’appel du low cost : l’iPhone 5C vient remplacer l’iPhone 5 tandis que l’iPhone 5S porte les innovations, et l’iPhone 4S reste au catalogue en prix d’appel.

Outre sa coque plastique, l’iPhone 5C reprend en effet la majorité des caractéristiques de l’iPhone 5. Il élargit cependant sa compatibilité 4G en supportant les gammes de fréquences utilisées par les opérateurs français.

Les nouveautés sont à chercher sur l’iPhone 5S, avec 3 points mis en avant par Apple.

En premier lieu, une amélioration des performances de l’appareil, à laquelle Apple nous a habitués à chaque nouvelle version. Le nouveau processeur A7 est en 64 bits, une première dans un smartphone.

Celui ci se voit par ailleurs assisté d’un contrôleur de mouvement dédié, dont le stockage des données et les possibilités de désactivation sont à suivre du point de vue de la protection des données personnelles.

Deuxième domaine touché par l’amélioration incrémentale : l’appareil photo et ses optiques.

Et si Apple mettait la sécurité à la mode ?

La véritable nouveauté réside dans le troisième point mis en avant : un bouton d’accueil faisant office de lecteur d’empreintes digitales, appelé TouchID.

Apple prétend répondre avec ce dispositif à l’absence de mot de passe sur une grande partie des iPhone. Ce point est moins critique pour les flottes d’entreprises disposant de MDM à même d’imposer des contraintes de robustesse sur le code ou mot de passe de verrouillage. Reste que la fonctionnalité permettra de faciliter grandement la vie des utilisateurs, et par là même de faciliter leur consommation sur différents Stores ou magasins en ligne, l’empreinte digitale valant acceptation de paiement.

Pour les entreprises, si l’on rapproche cette annonce de la fonctionnalité de SSO d’Entreprise annoncée pour iOS 7, et s’il est possible forcer l’utilisation de TouchID par MDM, l’iPhone pourrait constituer une solution robuste d’accès au SI. Il reste néanmoins à éprouver la fiabilité du lecteur en terme de faux positifs et de facilité d’enrolement.

Selon Apple la confidentialité est garantie car toute la reconnaissance d’empreinte s’effectue hors ligne sur l’iPhone, et aucune donnée d’authentification n’est envoyée vers le Cloud. Ces données seraient stockées dans une partie dédiée du processeur A7, sorte de TPM intégré au SoC.

Si TouchID tient ses promesses en termes de fiabilité et d’ergonomie, il pourrait constituer un nouveau standard et embrasser de multiples usages : signature électronique, paiement mobile, signature à valeur probante. Apple attendra probablement à son habitude de valider l’adoption par les utilisateurs avant de donner les clefs de TouchID aux développeurs pour en étendre les usages.

Cet article Et si Apple mettait la sécurité entre toutes les mains avec l’iPone 5S ? est apparu en premier sur RiskInsight.

Au-delà d’un nouveau design, coloré et animé (fond d’écran, icônes…), il faut aller chercher en profondeur des évolutions qui vont certainement susciter des interrogations dans les entreprises.

De nouveaux risques à évaluer

iOS 7 propose des nouvelles fonctionnalités dont il faudra évaluer les risques. Il s’agit en particulier d’AirDrop. Ce système de transfert de contenus (photos, contacts…) permet d’échanger très simplement avec les périphériques en proximité. Il sera également accessible aux développeurs via des API de Peer To Peer Connectivity. Même si l’utilisateur peut décider de son niveau de visibilité, il sera important de le sensibiliser et d’évaluer la solidité du mécanisme.

Une autre évolution concerne l’écran de verrouillage qui permettra d’accéder aux notifications. Très pratique au quotidien, il peut cependant représenter un risque de fuite d’information à évaluer.

Nous pouvons également citer la mise à jour automatique des applications. Très utile pour disposer des dernières versions, corrigeant souvent des soucis de sécurité, cela pourrait entraîner quelques casse-têtes pour la gestion du cycle de vie des applications, ou la conduite du changement avec les utilisateurs.

Activation lock, SSO multi-applications et autres évolutions bienvenues

Apple, avec iOS 7, promet plusieurs avancées utiles en entreprise mais aussi pour les particuliers.

Par exemple la fonctionnalité Activation Lock permettra de verrouiller « définitivement » un téléphone. L’objectif premier est de limiter les vols, le terminal ne pouvant plus être remis à zéro sans utiliser le compte iTunes de la personne concernée.

Des fonctionnalités dédiées à l’entreprise ont été annoncées. On peut citer le VPN par application, qui limitera la consommation en bande passante et épargnera la batterie, ou encore le SSO multi-application qui pourra simplifier la vie des utilisateurs. Des nouveautés sur la gestion de la configuration des applications sont également attendues. Elles permettront certainement de pré-configurer les applications avant leur déploiement, voire de les installer et les supprimer de manière transparente pour l’utilisateur.

Diverses autres avancées sont attendues : une simplification de l’ajout d’un périphérique dans un système MDM, une refonte du système de partage de connexion et également une fonctionnalité de « Data Protection By Default » pour les développeurs. Lors de premiers tests, nous avons également constaté de nouveaux contrôles sur le matériel, en particulier une demande d’autorisation du micro par les applications et également une capacité à faire confiance ou pas à un ordinateur auquel l’iPhone est connecté.

Voici une évolution majeure qui ne se résume pas à un changement cosmétique ! Apple a bien compris l’intérêt qu’il a à faciliter l’utilisation de ses terminaux en entreprise. Et les jours prochains nous révèleront certainement quelques nouveautés !

Cet article iOS 7 et l’entreprise, quelles nouveautés ? est apparu en premier sur RiskInsight.

Architecture d’entreprise : 4 raisons d’entreprendre la démarche

1. Rationaliser les coûts – C’est là le leitmotiv récurrent, les réponses étant à adapter au niveau de maturité de l’entreprise. Forte de la réponse globale (infrastructures, applications ou processus de gouvernance) qu’elle peut apporter, l’architecture d’entreprise y contribue fortement. Ce sont néanmoins principalement les couches dites « basses » du SI qui bénéficient de cette logique de rationalisation grâce à la définition et à la mise en œuvre de socles techniques. Seules les entreprises les plus matures sauront réussir leurs tentatives de rationalisation des couches dites « hautes » (notamment en termes de services métiers comme le promettaient les démarches SOA).

2. Connaître l’existant – Connaître son SI accélère la phase d’analyse de l’existant préalable à toute étude dans le cadre d’évolutions métiers ou technologiques. L’architecture d’entreprise permet d’accéder à cette vision globale du SI et de l’entreprise et donc de gagner en réactivité. Par exemple, l’évolution majeure du poste de travail ou de l’infrastructure demande une bonne connaissance du parc applicatif pour définir la stratégie de migration.

3. Définir la cible SI – Définir une cible SI pour répondre au mieux aux enjeux stratégiques de l’entreprise est, malgré les apparences (« c’est trop théorique ! »), un exercice de projection essentiel qui permet de poser les 1ers jalons de réalisation du SI qui serviront à valider au fur et à mesure les orientations des différents projets.

4. Être force de proposition vis-à-vis des Métiers – Restreindre la DSI à un ensemble de techniciens est monnaie courante. Pour briser cet a priori, la DSI doit apprendre à se positionner vis-à-vis des Métiers. L’architecture d’entreprise permet à la DSI notamment d’instaurer un dialogue dans la durée (pour mieux comprendre les besoins et contraintes des Métiers). Par ce biais, la DSI peut jouer un rôle de conseil en vulgarisant pour les Métiers les nouvelles technologies et leurs apports. Loin du simple fournisseur de solutions techniques, elle devient incubateur d’innovation pour les Métiers ! 

L’architecture d’entreprise en pratique : étapes de mise en œuvre

Il est bien entendu essentiel de définir les contours d’une 1^ère version de la démarche. Une entreprise et son SI sont souvent représentés en couches (stratégie, métier, fonctionnelle, applicative et technique), l’architecture d’entreprise se concentrant sur les trois dernières. Il est illusoire de vouloir s’attaquer de but en blanc à l’ensemble des couches. Aussi faut-il choisir ses combats en se concentrant sur les faiblesses de l’entreprise et sur certains quick wins.

Par la suite, il faut mettre en place une organisation et des process.

• Définir des rôles clés s’avère incontournable. Créer le rôle d’architecte d’entreprise est indispensable. Il est celui qui saura allier connaissance du SI et du Métier, celui qui saura le mieux dialoguer avec toutes les parties prenantes, au-delà de son expertise technique. Un deuxième rôle qu’un sponsor de haut niveau est indispensable pour légitimer ce rôle dans l’entreprise et l’inscrire dans la durée.
• Construire et mettre à jour le référentiel est aussi rapidement nécessaire. Élément clé de toute démarche d’architecture d’entreprise, il comporte notamment un ensemble de cartographies du SI (fonctions SI, applications, services applicatifs, éléments techniques, objets métiers…) qu’il faudra enrichir, un catalogue des solutions applicatives et techniques référencées (ensemble des composants validés et recommandés par la DSI pour constituer les réponses SI aux besoins métiers ou techniques) ainsi que différents patterns d’architecture. Attention néanmoins : se noyer dans trop de détails est préjudiciable à la pertinence du référentiel d’architecture et augmente les chances de ne pas être à jour. À l’inverse, un manque d’informations peut nuire aux besoins des projets SI.
• Mettre en place un process de veille et d’innovation doit également permettre à la DSI de capter les nouveaux usages et d’en expliquer les enjeux et contraintes aux Métiers pour ne plus les subir.

Seules des instances de gouvernance transverse sauront par ailleurs soutenir ces différents process. Il s’agit d’établir un dialogue récurrent avec les Métiers avec pour ordre du jour partage des contraintes, présentation par la DSI des sujets d’innovation technologique (économies réalisées, diminution du temps de mise en production d’un nouveau produit…), etc.

Pour autant, tous ces process ne sauront être efficaces si la DSI n’arrive pas vendre son projet d’architecture d’entreprise en interne ! Deux types d’acteurs sont à convaincre de l’intérêt de la démarche : les Métiers, à qui il faut très clairement expliquer qu’il ne s’agit pas de « marcher sur leurs plates-bandes » mais de mieux les accompagner, et les acteurs de la DSI elle-même qui, pour certains, pourraient l’interpréter comme une façon d’être contrôlés. Il faut au contraire convaincre ces derniers de l’accès à des activités stratégiques à plus forte valeur ajoutée (et comprenant plus d’interactions avec les Métiers de l’entreprise).

Aussi, inutile de se poser la question ! Vous n’avez aujourd’hui plus le choix et devez vous lancer dans une démarche d’architecture d’entreprise. Les évolutions majeures que vit ou va vivre votre entreprise amènent naturellement à lancer ce type de démarche. Autant éviter la marche forcée et accompagner le changement en douceur ! C’est la garantie d’une amélioration sensible de vos relations avec les Métiers.

Pour lire d’avantage sur l’architecture d’entreprise cliquez ici.

Cet article Et si l’architecture d’entreprise permettait enfin de briser la glace avec les Métiers ? est apparu en premier sur RiskInsight.

 Un outil collaboratif améliorant la productivité et l’efficacité des équipes

L’utilisation de Lync répond en premier lieu à un besoin utilisateur : il leur permet en effet de retrouver les fonctionnalités dont ils disposent dans leur environnement privé. Au-delà de satisfaire ce besoin, l’outil permet une amélioration de la productivité au quotidien.

Cette solution collaborative, qui s’intègre nativement avec l’écosystème Microsoft (Active Directory, Exchange…),  offre des fonctionnalités de messagerie instantanée, de partage d’écran et d’applications, très simples à utiliser, et disponibles via un seul et même outil.

Le chat, au contraire du mail, est un outil synchrone permettant des échanges rapides et adaptés à des situations moins formelles, alors que le statut présentiel permet de visualiser si le contact recherché est disponible à cet instant. Les fonctionnalités de partage d’écran, d’application, ou de tableau blanc rendent plus efficaces les discussions téléphoniques, quand un simple clic permet d’afficher le contenu visualisé par le correspondant, et d’interagir avec lui. Il est également possible pour des collaborateurs à distance de suivre en direct le déroulement d’une présentation menée par l’animateur depuis son poste. Lync Web App permet  au présentateur de réaliser ce partage avec des collaborateurs externes à l’entreprise ou ne disposant de compte ou de client Lync. Avec la version 2013, et le module Office Web Apps, le partage est rendu disponible sur de nombreux appareils mobiles.

Si l’utilisation de ces fonctionnalités est très simple au quotidien, il ne faut toutefois pas négliger la communication et l’accompagnement du changement, qui est une clé essentielle pour obtenir l’adhésion des utilisateurs.

Une solution de communication génératrice d’économies ?

Une partie des entreprises se tournent vers Lync à des fins de réduction de coûts, notamment les frais de déplacements et de téléphonie. En effet, Lync, grâce à la VoIP, permet de réaliser des communications audio et vidéo, avec une ou plusieurs personnes, évitant par exemple à des collaborateurs d’une entreprise internationale de se déplacer.

Toutefois, pour assurer le bon fonctionnement de ce type de communications, le facteur clé est la bande passante qui leur est allouée. Le débit nécessaire est à calculer en fonction des besoins et usages auxquels on souhaite répondre à l’aide d’abaques officiels. Il sera éventuellement nécessaire de procéder à l’augmentation de cette capacité, pouvant donc générer des coûts récurrents supplémentaires. Pour limiter les débits engendrés, il existe une solution de bridage dans la console d’administration, la CAC (Call Admission Control). Il reste recommandé de préférer à son utilisation une augmentation des capacités réseau, sous peine de voir les appels utilisateurs fréquemment refusés, poussant ces derniers à délaisser Lync pour des appels téléphoniques.

Trois solutions d’implémentation de la solution existent : on premise, dans le Cloud, ou de manière hybride (combinaison des deux modes précédents). Certaines sociétés font le choix du Cloud avec Lync Online, afin  de réduire les coûts d’infrastructure. Cette alternative leur apporte une certaine souplesse d’administration, et facilite également les migrations vers des versions supérieures, qui permettent d’intégrer rapidement les innovations. Des calculs de ROI standards existent, mais restent à projeter sur des contextes techniques et contractuels propres à chaque entreprise. Nombre d’entre elles préfèrent néanmoins garder la maîtrise de leur infrastructure.

 La solution collaborative Lync offre donc un large éventail de fonctionnalités répondant à un  besoin utilisateur, et permettant une augmentation de la productivité qui ne se mesure que de manière qualitative, et qui ne garantit pas une réduction des coûts IT. Comparé à d’autres solutions plus traditionnelles de salles de conférence, Lync apporte souplesse d’utilisation et facilité d’intégration. Néanmoins, cette solution implique une conduite du changement et une intégration de ce nouveau service dans un environnement déjà existant, et donc des contraintes d’architecture à ne pas sous-estimer.

Cet article Lync : un levier de productivité et d’économie en entreprise ? est apparu en premier sur RiskInsight.

Authentec, une cible inattendue pour Apple

En annonçant le rachat d’Authentec pour 356 millions de dollars, Apple a surpris le marché. Il s’agit en effet d’un achat au prix fort, Authentec réalisant quasiment 70 millions de dollars de chiffre d’affaires et étant actuellement déficitaire avec une perte nette de 10 millions de dollars. C’est  une des opérations les plus importants pour Apple. Cible inattendue, d’autant que la sécurité n’est pas au cœur du métier d’Apple, connu pour ses solutions grand public.

Une stratégie pour acquérir des brevets de premier plan sur la sécurité ?

Authentec est une société bien installée sur le secteur de la téléphonie mobile, elle compte aujourd’hui pour clients des géants du secteur comme Samsung, Nokia, Motorola… Et surtout cette société détient plus de 200 brevets sur de multiples solutions de sécurité (protection des données, communication sécurisée…), et en particulier les brevets « fondamentaux » sur l’authentification biométrique. De là à imaginer qu’Apple voudrait renforcer son arsenal de brevets, il n’y a qu’un pas ! Cela serait une mauvaise nouvelle pour l’innovation… Nous observons tous les jours les effets délétères des guerres que se livrent les grands acteurs du secteur : Oracle et Google, Apple et Samsung, et bien d’autres…

Les récentes annonces font pencher la balance vers l’innovation !

Des documents récemment révélés par la SEC (le gendarme de la bourse aux Etats-Unis) montrent que cette acquisition a été réalisée de manière rapide, apparemment avant tout pour garantir l’approvisionnement en composants auprès d’Apple. Voilà qui pourrait cacher les futures innovations qui seront peut être présentes dans l’iPhone 5 ? En effet, Authentec dispose de technologies qui lui permettent d’intégrer des lecteurs d’empreintes digitales de manière simple dans les smartphones. Les derniers produits présentés permettraient même d’imaginer un lecteur d’empreintes digitales dans le bouton « Home » de nos iPhone !

Une idée qui pourrait plaire à Apple pour simplifier l’authentification de ses clients et ainsi faciliter l’adoption de technologie comme le NFC, mais aussi constituer un avantage distinctif de son futur système de « portefeuille virtuel » Passbook ! L’utilisation d’authentification biométrique pourrait à la fois simplifier la vie de l’utilisateur (plus de mots de passe…)  et rassurer les cybermarchands (diminution des cas de fraude…).

Voilà donc un rachat qui pourrait s’avérer une avancée significative dans l’adoption de mécanismes de sécurité dans le grand public ! Croisons les doigts et attendons peut-être le 12 septembre pour voir si la prochaine « Keynote » révèlera les plans du géant à la pomme dans ce domaine.

Cet article Apple et Authentec : guerre des brevets ou réelle innovation ? est apparu en premier sur RiskInsight.

Les raisons ne manqueront pas pour alimenter un climat général de doute, d’incertitude et d’attentisme économique, le manque de visibilité sur la conjoncture générant une plus grande prudence des entreprises. La pression opérationnelle pousse à gérer les actions en urgence, engendrant des décisions relativement court-termistes. Pour les nouveaux projets, un certain attentisme s’instaure et leur lancement est repoussé à des lendemains plus sûrs. Oui, mais si ces lendemains ne reviennent plus, il va donc nous falloir considérer les choses autrement.

Se résigner ? Non. Innover ? Oui ! L’innovation doit être vue comme un moyen de sortie de crise ou, tout du moins, comme un modérateur de celle-ci.

L’innovation comme outil de différentiation

C’est bien sûr un des buts les plus recherchés des démarches d’innovation. Il est faux de croire qu’en temps de crise, les clients ne sont pas sensibles aux produits et services innovants. Quand l’innovation fait sens, elle trouve son marché. Citons deux exemples. 1993/94, crise du Système Monétaire Européen ; 1995, décollage du GSM en Europe. 2008, crise économique majeure ; 2009, explosion des ventes de l’i-Phone. De plus, l’entreprise innovante, en tant que pionnière, se constitue un avantage concurrentiel fort sur le marché, avec une image de marque très valorisable.

L’innovation au service de la compétitivité de l’entreprise

Mais l’innovation peut aussi être utilisée comme outil de rationalisation et d’optimisation des coûts et processus. De nombreuses entreprises ont lancé des programmes spécifiques pour stimuler les réflexions innovantes autour de la baisse des coûts de production des biens ou des services.
Par exemple, dans l’industrie, les démarches d’analyse de la valeur s’appuient sur des groupes d’innovation pluridisciplinaires qui, lors de séances de créativité, travaillent sur un poste de coût en particulier et imaginent toutes les solutions qui permettraient de le réduire.

L’innovation comme pilier de l’animation des équipes

Last but not least, l’innovation constitue un véritable pilier d’une politique de stimulation du travail entre les équipes. L’animation de l’intelligence collective, tous les process et outils collaboratifs sont autant de formidables catalyseurs d’échanges au sein de l’entreprise. De plus, ils renforcent les liens entre des directions pour lesquelles les tensions peuvent être plus vives en temps de crise (ex : la DSI dont les budgets ont été réduits et les métiers qui cherchent à avoir le plus de réactivité possible pour trouver de nouvelles sources de développement)

Pour conclure, n’oublions pas que l’innovation n’est pas une incantation ; elle est avant tout un état d’esprit. Elle est pragmatique et progressive, n’entraînant pas forcément de gros investissements ou de coûts déraisonnables.

L’innovation n’est pas l’invention, l’innovation est un moyen concret qui peut permettre à l’entreprise de sortir du marasme économique, ou tout du moins, de traverser plus aisément cette passe difficile. Mon cadeau pour 2012 est cette belle maxime de Tite-Live « Il faut oser ou se résigner à tout ». Alors en 2012, OSEZ L’INNOVATION !!

Cet article INNOVATION : Adieu 2011, année de crise. Bonjour 2012… année de crise ! est apparu en premier sur RiskInsight.

L’ouverture sous toutes ses formes

Tout d’abord, l’ouverture vers de nouveaux métiers et de nouveaux partenaires est essentiel pour réussir dans un monde aujourd’hui friand d’alliances parfois improbables entre secteurs (qui aurait imaginé, par exemple, que les banques vendraient un jour des  forfaits de téléphonie ?).

L’ouverture, c’est également un élan vers de nouveaux horizons de développement, par exemple à l’international ou vers les nouveaux marchés émergents, relais de croissance essentiel.

L’ouverture, c’est aussi promouvoir de nouveaux usages et de nouvelles manières de faire. L’arrivée en force des smartphones et des tablettes l’illustre bien. Le cloud computing, vecteur de réduction des coûts mais aussi de la création de SI plus souples, a commencé à démontrer ses bienfaits.

L’ouverture est d’ailleurs de plus en plus exigée par les utilisateurs eux-mêmes. Les réseaux sociaux, publics ou d’entreprise, la volonté d’utilisation d’équipements personnels des collaborateurs (le fameux BYOD « Bring Your Own Device ») seront certainement des sujets d’actualité en 2012.

Maîtriser l’ouverture du SI

Bien évidemment, l’actualité récente et les différents incidents de sécurité majeurs rencontrés à l’étranger comme en France, nous rappelle que l’ouverture doit être raisonnée et réfléchie. Il ne s’agit pas d’ouvrir sans contrôle un SI au cœur de la performance de l’entreprise et de laisser en libre accès des informations confidentielles.

Dans ce contexte, il est crucial de bien maîtriser les fondamentaux de la protection de l’information. Savoir où sont les informations sensibles, qui les possède, comment elles sont utilisées sont des éléments clés ! Cette connaissance permet de protéger de manière adéquate les informations les plus sensibles tout en autorisant de nouveaux usages sur le reste du système d’information, moins sensible.

Transformer son SI pour tendre vers l’ouverture

Pour autoriser l’ouverture, des mouvements de fonds dans le SI doivent être envisagés. Les priorités de 2012 seront certainement la création de « sanctuaires » pour protéger les informations les plus sensibles de manière avancée, le renforcement de la sécurité des applications (à la fois lors de l’expression des besoins, mais aussi et surtout du développement et des recettes) et finalement la création de systèmes de gestion d’identité et d’accès qui seront capables d’interagir avec les services du cloud pour garantir la continuité de la protection. La surveillance du SI et l’adaptation des processus de gestion de crises et d’incidents aux nouvelles menaces seront aussi des éléments clés.

L’ouverture est essentielle pour accompagner et développer nos organisations et les rendre compétitives tout en préservant leurs ressources ! 2012 sera sans conteste l’année de l’ouverture, comme un levier de réduction des coûts et d’émergence de nouveaux services. Un incontournable pour assurer le développement des grandes organisations !

Cet article OUVERTURE – La clé du développement des grandes organisations est apparu en premier sur RiskInsight.

Tous les analystes constatent que la rentabilité de la division PSG a toujours été moindre que la rentabilité globale de HP : la marge opérationnelle de PSG tourne autour de 6% contre presque 10% pour le groupe, en baisse pour la première fois depuis 5 ans. En se séparant de cette division, HP cherche à rassurer les marchés et ses actionnaires. Mais le marché ne semble pas réagir favorablement à cette annonce.

Les smartphones et les tablettes sont les deux produits de l’informatique personnel qui ont le plus fort potentiel de croissance. Avec le rachat de Palm, HP aurait pu occuper ce segment de marché prometteur.

Mais le paysage des OS pour les matériels mobiles est déjà bien encombré avec trois acteurs majeurs : Apple/iOS, Google/Android, qui occupent toujours plus de parts du marché (à deux ils représentent 75 % du marché américain) et RIM/Blackberry (23 %). Il ne reste que peu d’espace pour d’autres OS, et malgré les annonces rassurantes de HP concernant l’avenir de WebOS, le choix de s’appuyer sur celui-ci a probablement été une erreur stratégique qui lui a coûté les échecs des lancements de ses derniers produits.

Le retard pris par HP sur ce marché risquant de peser sur les résultats de l’entreprise sur le court terme, externaliser ou céder l’activité de la division PSG, permet à celle-ci de reprendre le temps de rattraper les autres acteurs et redevenir profitable.

Quelles peuvent être les conséquences pour les clients HP ?

La situation est aujourd’hui assez floue, les premiers retours montrent bien que les équipes opérationnelles ont été autant surprises que le marché. Et elles l’ont d’ailleurs fait savoir en modifiant les sites internet du groupe pour faire passer leur message de manière temporaire. Pour les clients, le passé montre que des mouvements similaires, en particulier celui d’IBM, a bien été accompagné. Mais ce mouvement était franc et orchestré. Le problème aujourd’hui c’est l’incertitude qui règne coté HP.

Quel serait un scenario envisageable?

Un critère clé dans ce secteur reste l’innovation. Le poste de travail connaît, ou va connaître prochainement, de fortes ruptures : arrivée en force des tablettes, premières initiatives de consumerization / Bring Your Own Device, l’acteur en charge de la division PSG devra à la fois s’emparer de ses évolutions, les porter auprès des grands acteurs et continuer à faire évoluer ses gammes classiques. Le challenge est important, et au-delà de la forme juridique que prendra la future structure, l’important sera d’évaluer son autonomie, ses moyens et son ambition pour décupler le succès historique d’HP.

Article publié sur le JDNet : http://www.journaldunet.com/solutions/systemes-reseaux/changement-strategique-chez-hp/benoit-paroissin-solucom.shtml

Cet article HP arrête sa division PC est apparu en premier sur RiskInsight.