For the time being less well known and less widespread in Europe than its sisters EBIOS RM & Mehari (among others), the FAIR risk analysis method nevertheless fills the gaps left by other approaches. Already highlighted by Wavestone in a previous article, its main assets lie in the perspective of data usually ignored by traditional risk analysis on the one hand, and on the other hand in its ability to generate metrics dedicated to strategic decision support and adapted to the language of decision-makers, such as Value at Risk.

Nevertheless, as this same article points out, this approach is a priori undermined by time, human resources and the multiplicity of knowledge required to carry it out. Therefore, although the concept is attractive, is it realistic to deploy the FAIR method? How can its nomenclature be translated operationally? What about its automation? More generally, does it provide enough added value to justify its use?

Despite its undeniable effectiveness in quantifying risks, such an approach requires both an appropriate technical system and functional support, which is essential in the collection of data. Quantifying its potential financial losses in the event of a cyber incident is not enough: it is also necessary to have the capacity to put them into perspective in an ecosystem of polymorphous and evolving threats. This is Citalid‘s innovation: to be able to carry out a dynamic quantification of cyber risk for decision-makers, by automatically crossing the reality of the threat that weighs on a company, its business context and its defensive maturity. And, above all, not to stop at analysis alone: to generate an action plan that reflects the optimal balance between efficiency and profitability.

Empiricism as FAIR’s automation framework

Contextualizing the external environment

As in any analysis, the objectivity of the observation increases with the number of parameters considered. If it is frequent, even usual, that the internal context of an information system is studied, it is rarer for the analyst to be interested in all the external dynamics that can influence the analysis. These dynamics, which can take on a variety of realities as we shall see, can however strongly influence the frequency and intensity of cyber threats. However, it is difficult to draw up an exhaustive typology of these data, and taking them into account is almost systematically a mixture of two ingredients:

• Curiosity and the logical mind of the analyst (in fine, his capacity to project himself into / adapt to a context);
• The good visibility of the person(s) responsible for the system and the activities within their perimeters;

Among the exogenous criteria that can influence the risk analysis are: the competitive environment, the company’s position on its market, its geographical locations, geopolitical dynamics, internal policies, the normative framework, the socio-economic climate, the diversity of its activities, etc.

However, it would be easy to get lost in this labyrinth of criteria. It is therefore necessary to support the decision-maker in the creation of a cartography of its environment in the most comprehensive sense of the term. It is therefore through exchange and collective intelligence that a first level of filter is created, by drawing up a perimeter of analysis that is both structured and flexible.

While defining the perimeter of the analysis makes it possible to establish a coherent framework, a multitude of risks can nevertheless be inserted into it. It should also be noted that the defined perimeter can itself be a component of a broader scope of analysis. In this sense, the various perimeters determined can be articulated in the form of a hierarchical tree, often tracing the internal organisation of the company (see diagram below).

Thus, in the example opposite, the group level is represented by the “Energy Company” perimeter, which aggregates the risk of all its “children” perimeters (here its “business units“). However, each perimeter has its own context and risks. This tree structure plays a predominant role in the construction of a relevant library of related risk scenarios. One could easily be tempted to go back up to the group level to globalize its scenarios, but this often de facto deteriorates the granularity, and therefore the quality, of the analysis due to the particularities of each perimeter.

Build a relevant library of scenarios

This framing work therefore conditions the choice and parameterisation of risk scenarios. This parameterisation and the resulting calculation is made complex by the number of criteria to be taken into account and the uncertainty inherent in cyber risk. Without going back over the FAIR methodology already discussed on this blog, it can therefore be long and tedious to build a large number of scenarios of risk while considering the specificities of each perimeter. A solution to this problem therefore lies in the construction of a library of scenarios that can be adapted to each business context and encompass several types of threats. Based on operators’ experience and accumulated data, Citalid now has several libraries of scenarios and losses, listed in ‘Business’ directories. These are easily exportable on the platform, while retaining a degree of flexibility that allows the scenarios indicated to adapt very precisely to the business context. Following on from the use-case used above, the image below illustrates a ‘fictitious’ library of scenarios related to the Energy sector. As this is a ‘Demo’ version, this panel is however not exhaustive.

Citalid‘s library of scenarios is thus part of a double dynamic that at first sight seems contradictory: capable of meeting the requirements of efficiency and automation of the analysis, it remains flexible enough to be implemented with precision and relevance in any context. Each typology of threat, combined with the characteristics of the perimeter analyzed, determines the frequency of occurrence and the financial losses, whether primary or secondary, inherent in the chosen scenario. In the case of an economic espionage scenario, for example, it is safe to say that there will systematically be a loss related to the remediation of the incident, a loss related to the exfiltration of data and a loss resulting from damage to the entity’s reputation if the attack were to become public.

In addition, for the quantitative parameters (frequency of the threat, IS resistance to the attack, frequency and magnitude of losses, targeted assets, etc.) of the scenario to remain relevant, they must be profiled on the characteristics of the target perimeter. Therefore, Citalid’s expertise lies in part in defining and keeping up to date – cyber threats and available abacus evolving rapidly – a library of templates from which the analyst must be able to draw to easily and automatically initiate his risk assessment.

Accumulating data on cyber threats and their impacts therefore makes it possible to calibrate scenario “templates” and thus gradually automate the FAIR analysis. By combining threat intelligence, technical models and abacuses from open source analysis and customer feedback to assist analysts, Citalid‘s award-winning innovation platform leverages collective intelligence to ensure scientific rigor and unparalleled accuracy in quantifying financial losses.

Putting risks in perspective with the defense ecosystem

The CISO as pilot of his IS

In terms of cybersecurity management, the CISO is, unsurprisingly, the focal point of the system. To do this, he must be able to quickly visualize the entire panorama of cyber risks weighing on his IS – a “cockpit” view, in order to then inflect orientations on a larger scale. He therefore needs a GPS to guide him in his decisions: how to take his IS from point A (current risk situation) to point B (desired risk exposure), taking care to optimize his trajectory (cyber investments) while avoiding obstacles (threats) that appear dynamically along the way.

Example of a risk dashboard, illustrating the ISSM’s cockpit vision.

Once the various scenarios have been established and the quantification carried out, the difficulty lies in the possibility of translating these “raw” risks into a strategic roadmap. The first step is to put these risks into perspective by comparing them with the current defensive infrastructure of the IS. Knowledge of its environment is a prerequisite for the CISO’s analysis. All the more so as, in terms of defensive infrastructure, two major options exist and sometimes complement each other: opting for a logic of defensive maturity based on compliance with one or more reference systems (ISO 27k, NIST, CIS, etc.) or carrying out – and then comparing with peers – an inventory and evaluation of all the security solutions deployed on the perimeter.

“A permanent confrontation between theory and experience is a necessary condition for the expression of creativity” [1]. 1] The aphorism could not be more revealing of the method described here: that of the confrontation between theory (raw risks) and experience (evaluation of defensive maturity based on a multitude of feedback and incidents) as a necessary condition for the creation of a roadmap. The confrontation makes it possible to obtain the “net” risk with which the company is really confronted, lower than the gross risk since it considers the defenses of the IS.

Fueled by “actionable” metrics, the decision-maker will now be able to have visibility on his real risk in his own language, and consequently be able to arbitrate and determine its destination – his B point – according to his appetite for risk and the company’s policy. Which scenarios should be dealt with by investing to reduce the associated risk? Which ones should be maintained, given their low economic impact? Which ones to share with a cyber insurer? However, as we will see, the modelling of net risk described in the previous paragraph requires a consequent knowledge of the threat ecosystem in which it is embedded.

Cyber Threat Intelligence, a catalyst for optimal risk management

One of the main shortcomings of risk management in cybersecurity is the difficulty in deploying an approach that reflects the reality of the risk “on the ground”. The CISO or Risk Manager must therefore also have a radar to dynamically detect obstacles in his path (threats) and, as far as possible, anticipate and prevent impediments.

Thus, just as a rock slide on a road is the result of a conjunction of multiple factors (weather conditions, geological characteristics, human activity, etc.), an attacker’s action depends on many elements. These elements should, as far as possible, be observed and included in the risk analysis. Consequently, Cyber Threat Intelligence (CTI), a discipline dedicated to the study and contextualization of attackers’ operating modes, enriches and energizes traditional risk analyses. The mastery and inclusion of this discipline in cyber risk management is one of Citalid’s major differentiators and permeates its entire corporate culture.

How can CTI data be operationally and sustainably combined with the risk calculations announced in the previous paragraph? We can get an intuition of this by noting the following three facts:

• The company’s market segment helps to determine the operating methods most likely to be of interest to the company;
• The attack techniques used by these operating methods and their centers of interest within the targeted information systems make it possible to identify the most critical assets and to know how to improve their protection;
• By comparing again the CTI data defined in the two previous points with its defensive infrastructure, the entity can identify which scope (in the sense of a security repository) or which defense solution is not cost-effective enough (reduction of the risk in relation to the cost).

The diagram above represents a concrete example of the application of CTI to risk analysis, acting as a real catalyst for drawing up guidelines. A modus operandi is technically expressed through its “Kill Chain”, i.e. the sequence of attack techniques it uses to achieve its objective. Citalid has mapped the links between these TTPs (Tactics-Techniques-Procedures) and specific points of different security reference systems (here the CIS20), the latter being the defensive measures best adapted to the TTPs defined in the diagram. On the first line, for example, the CIS 16.3 measure (among others) is sufficiently deployed at the target entity to limit the impact of the TTPs indicated at this stage of the Kill Chain. On the second line, on the other hand, the opposite occurs: the CIS 11.1 measure is not mature enough to provide effective protection against the sophistication of the attacker.  It is therefore on this line that the defender potentially needs to concentrate.

The last line crystallizes the interests of the enrichment of the analysis by the CTI. The yellow square determines the maturity progression due to the implementation of security solutions relevant to the CIS 11.1 measure (e.g. a network device management system), which are automatically determined and recommended to the user in the case of the Citalid calculation engine. In other words, this differential indirectly expresses a path towards optimal maturity and resilience for this specific scenario, the starting point for the definition of a tailor-made cyber investment strategy.

Turning analysis into strategy

Formulate a cyber strategy aligned with group objectives

A successful and relevant risk analysis is characterized by the ease with which the observer can immediately visualize how to translate data into action. It must therefore be intelligible and coherent for the recipient, whatever his or her technical level and position in the organization chart. In other words, risk analysis alone is insufficient: it can only be truly useful if it gives rise to a long-term strategy.

This vision, strongly oriented towards the most strategic levels, marks the very DNA of Citalid. Behind the calculation of the risks (raw and real) and the most effective recommendations (referential as solutions) thanks to CTI, the objective is to be able to propose an indicator of the return on investment (ROI) of the security solutions. By visualizing his initial position (A), his desired position (B) and the different possible paths (defense investments), the final decision-maker must be able to compare the ROI of the different options and draw up a cyber investment strategy in line with his budget and real objectives.

Moreover, the objective behind this singular approach is twofold. Firstly, it is a question of accompanying our clients in the definition of their cyber security strategies and in the application of a co-constructed action plan, aimed at compensating for the flaws made visible by the analysis. However, in order to keep this strategy realistic, it is essential to ensure that it can be part of a global dynamic and therefore quickly assimilated by a higher hierarchical body (COMEX). To meet this need, Citalid has refined its service so that it is in line with the realities of the CISO:

• By adapting the platform in terms of ergonomics, level of technicality and language, so that the dashboards are transparent and easy to interpret;
• By assisting our clients in defining budgets and in their legitimization and justification (advocacy) in view of the reality of the threat.

By aligning cybersecurity strategies with broader investment strategies, in line with the objectives set by the group, Citalid intends to guarantee and reinforce the predominant role of the CISO in steering cyber resilience.

Capitalizing on the approach through the deployment of a risk index

The major advantage in choosing to take a global approach to security lies in its potential for aggregating risk at any level (group, business unit, application, project, etc.) and for standardization (comparison between perimeters and peers). Like rating agencies, this “scoring” of the entity, which takes into account not only its level of maturity on its exposed assets but also its risk management strategy, internal organization, the reality of the threat, its own business context, etc., can be transformed into a global risk index, symbol of the entity’s resilience and monitored by its management. This is truer since a scientific approach based on many heterogeneous parameters presents a desirable objectivity, for the entity as well as for its partners and collaborators.

This time, it is no longer just a question of positioning oneself in one’s environment, but of positioning oneself in relation to possible peers (comparison) and partners (guarantees). A risk index reflecting high resilience and sound risk management will ensure that its suppliers or end customers have optimal security and respect for their data, while reassuring investors that their funds are being used correctly.

Examples of risk indices produced by Citalid: in this case, a ‘Cyber Weather’ that identifies variations in a client’s media exposure.

Other players could also benefit from such an index: the insurance industry, and cyber-insurers. The quantification of cyber risk remains an obstacle for them, as traditional actuarial approaches are limited by the lack of historical cyber security data. Citalid’s model, presented here, combines threat expertise, advanced probabilistic models and innovative attack-defense simulations to overcome this lack of data. Our scoring and metrics, based on risks rather than on a simple level of defense, allow us to refine the insurance model to be as close as possible to the real needs of our clients.

Thus, quantifying cyber risk and the return on investment of security solutions is one of the biggest challenges facing today’s CISOs, Risk Managers and insurers. Through its innovative approach, Citalid responds to this need to reposition cyber security at the heart of corporate strategies and to optimize its action plans and investments.

^[1] Attributed to Pierre Joliot-Curie

Cet article Citalid | Shake Up – Cyber Threat Intelligence for optimizing cyber budgets est apparu en premier sur RiskInsight.

Comment ? Par le biais du sourcing notamment, car avec des taux d’externalisation élevés au sein des DSI, il est un levier à activer pour dégager cette performance. Pour autant, les pratiques de sourcing héritées des récentes transformations sont complexes et hétérogènes. Optimiser la performance des fournisseurs n’est pas si simple… aussi, pour améliorer la relation DSI / fournisseurs, la mise en place d’un VMO (Vendor Management Office) s’avère clé.

Le VMO a en effet pour mission de maximiser la performance de ses fournisseurs, durant toutes les phases du cycle de vie du sourcing, et ce quel que soit le produit ou le service fourni à la DSI (matériels, logiciels, hébergement…). Il contribue notamment à un meilleur pilotage économique et à une mise sous contrôle de la qualité de service, dans une démarche pérenne. Souvent rattaché à la DSI ou directement au niveau d’une direction Étude / Production, le VMO s’appuie sur les acteurs de la relation fournisseur (pilote opérationnel, pilote contractuel).

Le VMO, levier de performance « fournisseurs »

Pour améliorer la performance des fournisseurs, il faut déjà savoir la mesurer et également identifier les services et activités présentant un potentiel d’optimisation ! Le VMO est là pour consolider cette vision globale de l’apport des fournisseurs en mettant en œuvre des processus, des outils de remontée d’informations et d’agrégation des indicateurs quantitatifs et qualitatifs de performance de toutes les prestations, y compris en avant-vente ou durant les phases de réversibilité et de transition. Cette vision sous forme de tableau de bord synthétique et factuel (balanced scorecard) peut être partagée au plus haut niveau pour le lancement d’un plan d’actions ou la réorientation d’un partenariat.

Force est de constater que de nombreux acteurs sont impliqués en interne dans le pilotage des fournisseurs (du pilotage opérationnel au pilotage stratégique en passant par le pilotage tactique) et que la mesure de la performance fournisseur n’est que peu partagée. Cela est nuisible à l’efficacité de la relation fournisseurs. La gouvernance de la relation fournisseurs s’avère nécessaire pour garantir la cohérence des actions et des prises de décisions côté Direction générale comme du côté opérationnel. Le VMO met en œuvre cette gouvernance et contribue à l’animer avec l’ensemble des interlocuteurs des fournisseurs (directions opérationnelles comme juridique, financière, achats…).

Le VMO, clé de voûte des modèles de sourcing innovants

Les nouveaux modèles d’externalisation (Cloud, centres de services, centres de compétences…) et le travail à distance font que l’intégration des nouveaux modèles de sourcing, dans la chaîne globale de fourniture de services de la DSI, demande une attention particulière. Le VMO effectue une veille marché pour que la DSI ait les informations et le recul nécessaire pour sécuriser ses choix d’externalisation.

Gestion des demandes, des incidents, de la qualité… autant de processus et d’outillage à mettre en œuvre pour échanger avec le nouveau fournisseur. Le VMO s’assure aux côtés des fonctions achats, juridiques et opérationnelles de la DSI que les choix réalisés répondent aux enjeux de chacun, y compris à ceux des fournisseurs, et s’inscrivent dans une cohérence globale au sein de la DSI. Pour éviter que les processus et outils mis en œuvre soient le résultat de choix isolés, le VMO s’appuie sur un cadre de référence, véritable guide des principes et bonnes pratiques du sourcing.

Les nouveaux modèles d’externalisation occasionnent aussi de véritables ruptures au sein de la DSI qui doivent être anticipées et accompagnées : nouvelles compétences, nouvelles postures, nouveaux modes de fonctionnement, nouveaux métiers… Ces changements dans la vie des internes doivent se préparer et être accompagnés ! Là encore le VMO intervient pour mettre en place des plans de communication, de formation voire des accompagnements personnalisés.

Attention cependant. Au-delà des bénéfices escomptés, la réussite du VMO n’est pas garantie. Le VMO reste un savoir-faire mal maîtrisé et émergent au sein des DSI. Il est primordial de le légitimer en privilégiant notamment des actions permettant des résultats rapides (une BSC sur les fournisseurs stratégiques…), un déploiement progressif et un fort sponsorship au niveau de la direction.

Cet article Vendor Management Office : un levier clé de performance des fournisseurs de la DSI est apparu en premier sur RiskInsight.

Véritable figure de style imposée, la réponse commerciale à un appel d’offres (AO) public nécessite un réel savoir-faire, tant dans la compréhension des choix qui ont conduit à sa rédaction, que dans celle du cadre de réponse et de la démarche attendue en retour.

En effet, la qualité de la réponse apportée à un AO public est souvent le fruit d’une expérience construite sur plusieurs années ; dès lors il importe de s’entourer de toute l’expertise nécessaire (sollicitation d’experts, retour d’expérience, base documentaire…). Ceci afin de situer l’appel d’offres dans le cadre plus général des marchés publics, d’identifier les caractéristiques spécifiques qui nécessiteront une attention approfondie, d’optimiser le délai de rédaction de la réponse administrative, et enfin de concentrer son énergie sur les facteurs d’appréciation et de différentiation commerciale, permettant d’optimiser les chances de succès.

Des marchés publics structurés …mais multiples

Historiquement le code des marchés publics s’est toujours construit autour d’une volonté de  « bonne utilisation et d’efficacité des deniers publics ». Dès lors, et pour mettre en œuvre une égalité de traitement des candidats sur des secteurs et des compétences les plus divers, les marchés publics se sont profondément structurés. Et même restreints au domaine des prestations intellectuelles, ils se déclinent de nombreuses façons, chacune avec ses critères, sous-critères et règles de gestion spécifiques.

La principale caractéristique est le type de procédure adoptée, qui définit les règles générales qui vont procéder in fine au choix du/des titulaire(s). Parmi les procédures les plus utilisées, on trouve : les procédures simples, adaptées, négociées, les AO ouverts ou restreints, le dialogue compétitif…

Le type de procédure sélectionné sera ainsi fonction du montant financier du marché, mais également du mode d’approche que l’établissement public aura déterminé comme étant le plus efficient pour répondre à sa problématique. Par exemple, une procédure de type dialogue compétitif permettra à un projet peu mature la rédaction d’un cahier des charges à partir de plusieurs séries d’échanges réalisées avec les candidats, alors même que le titulaire définitif du projet n’a pas encore été retenu…

La complexité des marchés publics peut s’illustrer par de nombreux autres aspects. Citons pêle-mêle le type d’établissement concerné (état, collectivité ou autre), les options d’allotissement, les accords-cadres, la sous-traitance, les AO à bons de commandes, les marchés subséquents …

Optimisation de l’approche commerciale

Bien évidemment, les contraintes et le parcours d’obstacles inhérents à la rédaction d’un appel d’offres public sont autant d’éléments de différenciation qui valorisent les savoir-faire. L’expertise en marchés publics pourra intervenir à plusieurs niveaux. L’expert saura en particulier analyser les caractéristiques et particularités d’un appel d’offres public, décrypter plus facilement les enjeux et attentes spécifiques du client. Il permettra également, de par son expérience, une bonne quantification de l’effort de rédaction à fournir (très variable selon les cas de figure, jusqu’à 3 mois). Il saura idéalement favoriser le re-use, et retrouver les particularités d’une législation en constante évolution.

Par ailleurs, la partie administrative (nécessairement « sans-faute ») pourra idéalement être déléguée à des ressources rodées à ce genre d’exercice, permettant aux forces commerciales de se concentrer sur le cœur de réponse, à savoir les parties techniques et financières.

A partir de là, une stratégie commerciale pourra être élaborée par appropriation de la problématique client, conception d’un dispositif jugé le plus adapté, optimisation de la phase de questions-réponses (permettant de valider ou d’infirmer certaines hypothèses). La répartition du ratio financier/technique sera également prise en considération. Enfin, l’équipe commerciale s’attachera à se forger et à présenter ses propres « convictions », parti-pris de la problématique cliente, véritable facteur de différentiation, et qui portent un « risque » dans l’interprétation et dans le choix de la solution présentée, et à partir desquels découleront la proposition ainsi que la mise en avant des facteurs clés de succès de la mission.

Dans un contexte de réduction de la dépense publique, ce marché est devenu extrêmement concurrentiel au même titre que beaucoup d’autres. D’où l’importance d’une stratégie d’approche bien pensée…

Cet article Marchés publics, quelle stratégie d’approche commerciale ? est apparu en premier sur RiskInsight.

Se baser sur une analyse exhaustive hors budget

Ne jamais faire référence au budget précédent. S’engager à construire le suivant autour des conclusions tirées de l’analyse. S’assurer de couvrir l’ensemble du périmètre et des fonctions adressées. Voici les partis pris de la méthodologie ZBB.

A l’inverse des processus traditionnels de construction d’un budget incrémental, les entreprises menant un programme ZBB s’attachent à l’analyse exhaustive de leurs coûts et besoins. Cette analyse de l’existant leur permet d’identifier les leviers qu’elles pourront mettre en place pour réduire leurs coûts.

Par la suite, la méthode consiste en l’élaboration de plans d’actions qui permettront d’implémenter ces leviers et de déterminer le ROI associé ainsi que leur date d’atterrissage.

Au sein de la DSI, le projet peut être mené auprès des études ainsi que des infrastructures. Alors que les infrastructures permettent d’optimiser les coûts de matériel et technologies (télécom, logiciels, data services…), côté études, on s’intéressera plus particulièrement aux activités, au parc applicatif et aux projets menés afin d’optimiser l’utilisation des ressources.

Anticiper les obstacles et difficultés liés à la méthode…

Le succès de la méthode ZBB reposant sur l’exhaustivité des données collectées, il en résulte une charge de travail importante à l’initialisation du programme, tant pour les équipes internes que pour l’équipe projet. Cette charge est fonction de la maturité des outils de remontée des informations utilisés mais aussi de la multiplicité des sources d’information. Cette phase comporte également un risque sur la validité des données fournies par les acteurs ainsi que sur la résistance au changement que peuvent opposer les opérationnels.

La phase d’identification et quantification des leviers induit deux contraintes majeures. L’investissement nécessaire pour implémenter les leviers doit être pris en compte ainsi que les adhérences et impacts de ces derniers sur les autres services.

Enfin, la phase d’élaboration des plans d’actions doit prendre en compte la complexité d’une mise en place simultanée de plusieurs leviers. Il s’agit aussi de s’assurer que les gains associés seront perçus dans un délai raisonnable aux vues des objectifs du programme d’optimisation.

…et savoir les déjouer…

Un tel projet nécessite un sponsorship important de la part du management pour donner la légitimité indispensable aux équipes qui collectent les données. Il est également important de réaliser ce type de projet en dehors de toute période de construction budgétaire et ainsi éviter la tendance naturelle des opérationnels de vouloir se raccrocher à l’existant.

Par ailleurs, une délimitation précise du périmètre et du niveau de détail souhaité permettra de cibler avec exactitude les informations recherchées et les outils à utiliser pour les collecter. Il est aussi important de déterminer le niveau de granularité souhaité afin de définir la charge des équipes mobilisées.

Enfin, la co-construction est essentielle pour impliquer les équipes ; l’expertise méthodologique combinée à la connaissance du contexte sont nécessaires pour mener à bien le projet. La co-construction permet, par ailleurs, d’éviter la résistance au changement et de faire des équipes internes les porteurs de leurs leviers et plans d’actions sur leur périmètre.

La promesse faite par la méthode ZBB : atteindre entre 10 et 30 % de gains récurrents. Elle assure la rationalisation des activités en identifiant et éliminant les éléments obsolètes et sources de pertes. Optimiser l’allocation des ressources en répondant aux besoins des métiers, une méthode qui fait sens.

[Article rédigé en collaboration avec Chloé Viseux, consultante]

Cet article Optimisation des coûts de la DSI : et si on reprenait tout à zéro ? est apparu en premier sur RiskInsight.

Les DSI ont toujours eu à gérer des relations avec des fournisseurs, que ce soit pour l’achat de matériel informatique ou de prestations intellectuelles du type assistance technique de moyen terme. Elles cherchent cependant aujourd’hui de plus en plus à piloter et à maîtriser ces relations. Pour cela, elles créent depuis quelques années des cellules dédiées à la gestion des contrats avec les fournisseurs, nommées Vendor Management Office (VMO). Pourquoi les DSI ont-elles eu besoin de créer un VMO ? Quelles sont les bonnes pratiques à mettre en œuvre ? Quels gains peuvent-elle attendre et comment en piloter l’attente ?

Le VMO, conséquence de l’externalisation des services

Les évolutions des pratiques d’externalisation transforment les relations entre les DSI et leurs fournisseurs. En effet, l’Outsourcing, l’Offshoring ou encore les centres de service désorganisent le pilotage classique des fournisseurs. Par exemple, la transformation d’un contrat d’assistance technique en centre de service casse le modèle habituel de la relation client/fournisseur et introduit une distance entre les collaborateurs de la DSI et ceux du prestataire. La DSI se structure alors en équipes, chacune fournissant un service particulier. La cohésion entre la DSI et ces fournisseurs est plus difficile à installer ; ce qui introduit une distance dont le facteur impactant est plus le relationnel et l’humain que l’éloignement géographique. Une synergie entre DSI et fournisseur est toutefois possible si les bons mécanismes et les bons outils sont mis en place.

Instaurer le règne de la confiance au sein du VMO

Pour que la synergie s’installe, il est nécessaire qu’une équipe chapeaute la relation au niveau opérationnel. C’est cette même équipe qui pilotera globalement les interactions DSI/fournisseur. En effet, l’enjeu d’un VMO est de construire une relation de confiance entre la DSI et ses fournisseurs et de contrôler les services réalisés par ceux-ci. Dans un premier temps, il est essentiel de référencer les fournisseurs par catégorie. Idéalement, tous les fournisseurs sont pilotés au sein du VMO – bien que ceux considérés comme stratégiques dans le fonctionnement de la DSI aient une place plus importante. La rationalisation des fournisseurs est une étape primordiale pour améliorer le suivi. La catégorisation et la rationalisation facilitent :

• La mise en place d’une gouvernance partagée,
• La mesure de la performance de chaque fournisseur dans sa globalité,
• La refonte des contrats pour synthétiser et clarifier les engagements de chaque partie,
• La gestion des flux financiers, des risques et des relations.

Une réduction de coûts suivie d’une amélioration de la qualité de service

Le VMO est la tour de contrôle des interactions de la DSI avec ses fournisseurs. Cela engage des ressources internes et/ou externes qui ne sont pas négligeables et ne doivent pas être négligées pour en tirer le maximum de gain. Bien que le VMO représente un investissement conséquent, des leviers permettent de réduire les coûts. L’économie d’échelle et la mutualisation des ressources garantissent des gains à court terme. Par la suite, le pilotage de la performance (cf. mindmap d’indicateurs ci-dessous) permet d’assurer une amélioration constante des relations et une optimisation des services. Ainsi, deux paliers successifs se distinguent durant la création d’un VMO : le premier apporte une réduction de coûts, le deuxième améliore la qualité de service.

Le Vendor Management Office permet ainsi d’assurer une relation pérenne avec les fournisseurs en particulier stratégiques. Maximiser la valeur de ces fournisseurs permet une optimisation des coûts suivie d’une amélioration de la qualité de service. Ces nouveaux modèles d’organisation nécessitent une transformation des DSI, notamment le passage du « faire » au « faire-faire ». Cette transition requiert la sélection de profils et de compétences particuliers qui ne sont a priori pas classiques au sein des DSI.

Cet article Le VMO, un acronyme tendance ou un incontournable ? est apparu en premier sur RiskInsight.

Le concept de virtualisation existe depuis plus de 40 ans (avec les mainframe et systèmes IBM), mais s’est véritablement démocratisé dans les années 2000 lorsqu’il est devenu possible d’exécuter simultanément plusieurs systèmes d’exploitation sur un même poste de travail. C’est essentiellement grâce à la virtualisation système (Microsoft, VMware) qu’il est aujourd’hui connu et son succès a atteint des sommets avec le développement du « cloud computing » (Amazon, Google Apps…).

La virtualisation consiste à faire fonctionner sur une machine physique unique plusieurs systèmes comme s’ils fonctionnaient sur des machines physiques distinctes. Ceci repose sur un concept simple : des instances virtuelles sont orchestrées par un hyperviseur, garant de l’accès, la répartition des ressources et l’isolation entre les instances.

La virtualisation doit avant tout son utilisation aux gains financiers qu’elle apporte en favorisant la consolidation des infrastructures et l’optimisation des ressources utilisées. Elle engendre en même temps des bénéfices opérationnels importants en permettant la mise en place rapide de solutions en haute disponibilité : le passage au “tout logique” apporte une facilité de déploiement et une souplesse de provisionning non offerts dans le monde physique.

En 40 ans, au vu de ces bénéfices, les technologies de virtualisation se sont orientées vers des utilisations diverses, s’étendant à d’autres composants du SI que les systèmes d’exploitation d’origine : postes de travail (sessions virtuelles, VDI…), réseaux (VDC, VRF…), équipements de sécurité (Firewalls, IDS-IPS…).

Des risques technologiques … à relativiser !

Les premières craintes des entreprises vis-à-vis de la virtualisation sont liées à la fiabilité des nouveautés technologiques impliquées : les nouveaux composants introduits, en particulier l’hyperviseur, me garantissent-ils l’étanchéité des systèmes supportés par une même machine physique ?

Il existe effectivement un certain nombre de vulnérabilités exploitables sur ces technologies… mais les risques associés sont finalement peu rencontrés : les technologies phares du marché sont des technologies éprouvées et ces risques peuvent être traités, comme pour tout système, par des mesures de gestion opérationnelles de la sécurité qui sont déjà en place dans les entreprises (patch management, durcissement…). Attention cependant ces processus doivent fonctionner avec efficacité vu l’impact en cas d’incident sur les infrastructures de virtualisation.

Des risques humains … à ne pas négliger !

Si les risques les plus courants de la virtualisation ne proviennent pas de la technique elle-même, ils se situent plutôt dans la gestion de ces nouvelles technologies. La virtualisation introduit dans le SI de nouveaux composants (hyperviseur, consoles…), de nouvelles notions d’infrastructure (réseau virtuel…) et les principaux risques de la virtualisation sont le plus souvent issus d’un défaut d’encadrement liés à ces nouveautés :

• Mauvais usage des consoles d’administration, avec des impacts immédiats « effet boule de neige » en cas de mauvaise configuration : arrêt multiple d’instances, activation de fonctions de décloisonnement…
• Mauvaises pratiques de gestion de la plate-forme de virtualisation, notamment sur les aspects de gestion des inventaires et de capacity planning qui doivent être redéfinis.
• Défaut de séparation des tâches entre les équipes système et réseau, avec tous les risques d’erreur, voire de malveillance, dus à la concentration de ces responsabilités.

Les risques “humains” (erreur, malveillance, absence de séparation des responsabilités) prédominent donc sur des risques “technologiques” relativement moins probables et pouvant être limités grâce à des recommandations classiques.

Un projet de sécurisation de la virtualisation, c’est donc bien entendu un projet d’intégration des nouvelles technologies dans la gouvernance opérationnelle de la sécurité pour traiter les risques techniques liés à son utilisation… Mais aussi et avant tout un projet de réflexion sur les rôles, les responsabilités et les compétences de ses administrateurs, afin de traiter les principaux risques de la virtualisation, à savoir les risques humains ! 

Cet article La virtualisation ne virtualise pas les risques humains ! est apparu en premier sur RiskInsight.