Le 17 avril dernier, l’ANSSI a publié des premiers documents doctrinaux concernant la remédiation, qui est définie comme le projet de reprise de contrôle d’un système d’information compromis. Ces documents sont le fruit de l’expérience de l’Agence dans l’accompagnement de victimes d’incidents de sécurité. 

Ce corpus est constitué d’un volet stratégique, d’un volet organisationnel et d’un volet technique. Le volet technique, qui traite à ce stade la remédiation du tier 0 de l’Active Directory1, ou encore cœur de confiance, est appelé à s’enrichir d’autres documents à venir. 

La démarche proposée par l’ANSSI (E3R) s’articule en 3 étapes : 

1. Endiguement de l’attaquant 
2. Eviction de l’intrus du cœur du SI 
3. Eradication des emprises de l’adversaire 

La déclinaison de ces étapes est illustrée à travers 3 scénarios types de la remédiation, de niveaux d’ambition croissants, à arbitrer en fonction de l’urgence du redémarrage et des coûts induits par les dommages à long terme liés à l’attaque : 

1. Restaurer au plus vite les services vitaux
2. Reprendre le contrôle du SI 
3. Saisir l’opportunité pour préparer une maîtrise durable du SI 

La publication de ce corpus s’inscrit opportunément dans les réflexions et projets menés actuellement par de nombreux acteurs publics ou privés, afin de renforcer leur résilience face une cyberattaque réussie qui compromettrait, voire détruirait massivement leur Système d’Information. 

Sur le terrain, le chemin restant à parcourir avant de disposer d’un dispositif de remédiation suffisamment éprouvé, s’évalue plutôt en années qu’en mois pour la plupart des acteurs. 

Ce délai peut s’avérer en décalage avec l’évolution de la menace et avec les échéances règlementaires applicables à certains d’entre eux. 

Plusieurs raisons, variables selon les acteurs, peuvent expliquer ce constat. On peut néanmoins en relever trois : 

1. La prise de conscience du risque cyber, même si elle progresse, reste encore insuffisante chez plusieurs décideurs. Entre adresser les priorités du moment et se préparer au long cours à une hypothétique compromission, le choix d’assigner des précieuses ressources humaines et financières est parfois arbitré. 
2. L’interruption des activités d’une organisation à la suite d’un sinistre informatique a été traitée historiquement via des Plans de Reprise d’Activité / Disaster Recovery Plan. Leurs atouts et limites pour mener une remédiation restent encore mal identifiés au sein des organisations : 
   1. Ils peuvent présenter, selon les principes de reprise retenus, des atouts en matière de savoir-faire de séquencement de la reprise du SI (au même titre qu’un arrêt/redémarrage électrique), de capacités de reconstruction unitaires et groupées, de resynchronisation et de réconciliation de données restaurées, … La remédiation pourra alors tirer parti de ces savoir-faire, s’ils ne se sont pas perdus à la suite de l’adoption de nouvelles solutions (ex : secours actif/actif) ou lorsqu’une « dette » en matière de maintien en conditions opérationnelles et d’exercices du DRP s’est installée. 
   2. Ces plans ont également des limites importantes. Leur architecture repose sur des interconnexions techniques et des réplications de données avec des infrastructures de secours, via lesquelles la compromission pourra se propager. D’autre part, si leur pertinence est avérée dans un contexte déterministe (à tel sinistre correspond telle solution, tel plan), elle l’est nettement moins en raison des caractéristiques et du champ des possibles d’une cyberattaque évolutive. 

Ainsi est nécessaire une approche hybride mêlant les acteurs de la résilience opérationnelle, ceux du « DRP » et ceux du « cyber ». Celle-ci peut être facilitée ou freinée selon la gouvernance en place entre ces populations. 

Afin d’accélérer la montée en maturité nécessaire des acteurs sur le sujet de la remédiation du SI à la suite d’une cyberattaque, plusieurs pistes peuvent être considérées. Nous en citerons quatre : 

1. Aider les décideurs à prendre conscience de la spécificité du risque cyber ; 
2. Ancrer le « compromise by design » dans le quotidien ; 
3. Avoir plusieurs moyens de remédiation à son arc ; 
4. Partager et capitaliser sur les retours d’expérience. 

Aider les décideurs à prendre conscience de la spécificité du risque cyber 

La grande majorité des acteurs n’écarte pas totalement la possibilité d’être vulnérable à une cyberattaque réussie qui paralyserait leurs activités par la destruction logique de leurs actifs informatiques. 

En revanche, une partie notable des acteurs n’a pas encore appréhendé que ses moyens existants en matière de secours informatique sont rarement adaptés aux spécificités de ce type d’attaque. Une cyberattaque peut en effet remettre en cause la disponibilité et la non-compromission des moyens d’exploitation et d’administration, jusqu’aux postes de travail des acteurs du rétablissement du SI. Le temps nécessaire à la remédiation d’un SI massivement détruit par une attaque cyber est communément d’un ordre bien supérieur à celui partagé avec le métier dans le cas d’un sinistre physique. 

Plusieurs acteurs n’ont pas non plus encore pleinement mesuré l’impact de la menace cyber liée à leur écosystème, par exemple : 

• Si leurs fournisseurs de services informatiques de premier rang (infogérant, fournisseur de service Cloud, …), voire des fournisseurs de rang supérieur, sont eux-mêmes impactés par une attaque destructrice réussie ; 
• Si un acteur subit une cyberattaque, avérée ou non, réussie ou non, ses partenaires en ayant connaissance pourront, à des fins de protection, l’isoler de façon unilatérale. 

La sensibilisation des décideurs d’une organisation au risque cyber, à sa déclinaison systémique et à l’impact sur l’activité, doit être développée. Dans le secteur financier, la règlementation DORA ou ses équivalents dans certains pays extra-européens ainsi que les stress-tests annoncés par la Banque Centrale Européenne pour 2024, devraient y contribuer. 

Pour nombre de décideurs, trop de mots techniques habillent ce risque de cyber destruction. Contrairement à des enjeux de conformité, tels que le RGPD, appréhendables par des non-initiés, ce risque est perçu comme un sujet traité entre techniciens. Néanmoins, le sujet est de plus en plus abordé au niveau des comités exécutifs via, par exemple la présence du RSSI/CISO au COMEX et/ou via des intervenants externes rompus à l’exercice d’acculturation des dirigeants. 

Ancrer le « compromise by design » dans le quotidien 

Prendre en compte, depuis la conception des projets jusqu’aux activités d’exploitation, une possible compromission du Système d’Information conduisant à sa destruction, permet de renforcer significativement les capacités de résilience du SI. 

Dès les premières phases projet, les métiers peuvent être sollicités pour identifier et évaluer, avec le support des équipes techniques, des solutions par conception cyber-résilientes. Il peut s’agir entre autres : 

• De faire appel à des fournisseurs de solutions nominales indépendantes techniquement du SI de l’organisation, afin de ne pas faire reposer ses activités exclusivement sur son seul SI ; 
• D’héberger et d’opérer/faire opérer des solutions de secours en dehors du SI de l’organisation ; 
• De recourir à des modèles d’architecture cyber-résilientes sur catalogue « on-premise » ou hébergées dans le Cloud. Ils sont également conçus pour permettre d’éprouver leur résilience tout en limitant l’impact des tests sur la production ; 
• De concevoir des projets permettant un fonctionnement en mode dégradé via : 
  • L’extraction périodique de données métiers au format bureautique, externalisée et protégée dans un service externe de stockage de fichiers ; 
  • La capacité d’applications (et de services tels que la restauration) à fonctionner sans certains services transverses tels que les référentiels d’authentification de l’AD via des comptes locaux de secours, … ;
• D’élaborer des procédures dégradées métiers s’appuyant sur les moyens SI dégradés tels que ceux définis précédemment. 

En outre, l’opportunité de certaines pratiques, bien qu’antinomiques avec des objectifs d’homogénéisation et d’industrialisation, peut être considérée en phase de conception technique, notamment : 

• Favoriser la diversité des technologies de façon à limiter l’exploitation d’une vulnérabilité ; 
• Limiter la dépendance des applications avec le SI transverse afin de les reconstruire et de les rendre opérationnelles plus rapidement. 

En phase de recette, le fonctionnement métier en mode dégradé et la capacité à reconstruire une application peuvent être éprouvés de façon systématique avant mise en production. Ce test peut être revu si besoin à chaque évolution majeure. Il doit être réitéré périodiquement à travers des exercices qui permettront d’éprouver les capacités de remédiation et de faire monter en compétence les différents acteurs opérationnels. 

Au-delà de la phase projet, plus des pratiques de reconstruction des actifs pourront être intégrées dans le quotidien (« Business As Usual »), mieux elles seront maîtrisées et par davantage d’acteurs en cas de remédiation, par exemple : 

• Reconstruction, une ou deux fois par an, à partir de moyens hors SI (ex : services Cloud ou moyens hors ligne), des postes de travail utilisés pour les tâches d’administration et/ou d’activités critiques ; 
• Reconstruction, une fois par an, d’infrastructures essentielles au rétablissement du SI (ex : infrastructures de restauration, cœur de confiance, socle de virtualisation, …), à déterminer sur la base de l’analyse de la menace et des risques ; 
• Développement de pratiques CI/CD au quotidien, notamment dans les environnements Cloud, afin d’automatiser la recréation des serveurs pour leur appliquer des changements, tels qu’une montée de version ou des correctifs. 

Enfin, maintenir au quotidien la cartographie du SI (y compris ses interconnexions avec les partenaires et Internet) et ses interdépendances à jour est un facteur clef de la remédiation, qu’il faut soutenir via des processus, un outillage (cyber-résilient) et des contrôles adaptés. 

Avoir plusieurs moyens de remédiation à son arc 

Face à la difficulté de prévoir à l’avance le déroulement d’une cyberattaque et l’évolution de ses impacts, la préparation d’un plan nécessite de trouver le juste milieu entre deux excès : 

• Élaborer des solutions de reconstruction adaptées à nombre trop restreint de scénarios d’attaque, avec le risque inhérent aux impasses,
• Ou, au contraire, chercher à couvrir l’exhaustivité des scénarios possibles, au prix d’une perte notable d’efficience. 

Une analyse de risque réactualisée des scénarios possibles d’attaque, s’appuyant notamment sur une veille de la menace, permet de prioriser ceux à couvrir, tels que ceux qui présentent la plus forte vraisemblance de réussite et l’impact le plus important dans le contexte de l’organisation.  

Cette analyse facilite l’identification des hypothèses qui vont servir d’entrants à l’élaboration des plans. Par exemple : 

• Prévoir la reconstruction industrialisée de la couche de virtualisation de serveurs physiques n’apparaissait pas comme une nécessité pour la grande majorité des acteurs il y a encore un an ; elle est désormais identifiée comme essentielle. 
• La destruction des ressources Cloud via la compromission de l’accès au tenant (comptes maître ou accès API) voire la compromission du fournisseur Cloud lui-même, apparaît pour plusieurs acteurs comme un nouveau risque à prendre en compte dans leur stratégie de résilience Cloud. 

Une fois des hypothèses de travail choisies ou écartées (ex : tels types de composants et de technologies impactés, telles capacités résiduelles des codes malicieux une fois ses moyens d’interagir avec l’attaquant coupés, …), il est possible d’évaluer la pertinence des différents moyens possibles de reconstruction et de mieux prioriser les travaux : 

• Restauration de systèmes et/ou de données métiers à partir de sauvegardes, le cas échéant dans un environnement isolé (ex : à partir de « snapshots », de sauvegardes hors ligne ou « immuables ») ; 
• « Nettoyage » des environnements restaurés et potentiellement déjà compromis lors de leur sauvegarde (ex : via un antivirus pour les fichiers bureautiques et systèmes potentiellement compromis, via un EDR sur des systèmes relancés dans un environnement isolé ou via des solutions pouvant nettoyer directement l’image sauvegardée d’un serveur virtuel) ; 
• Réinstallation de couches techniques compromises (ex : OS, middleware …) ; 
• Réapprovisionnement des infrastructures virtuelles (ex : Terraform, …) ; 
• Stratégies et solutions pouvant couvrir à la fois le risque de sinistre classique et le sinistre cyber (ex : SI de secours indépendant du SI nominal, dont les données métiers sont rafraîchies par un dispositif maintenant l’étanchéité technique). 

Cette évaluation doit pouvoir conduire à l’élaboration d’un « catalogue » de moyens de remédiation., dont l’application doit être contextualisée au moment du traitement de l’attaque. En complément de chaque solution de reconstruction au catalogue, l’identification d’une solution alternative – peut-être moins industrialisée – permettra de mieux faire face à l’aléa du contexte de l’attaque. 

Partager et capitaliser sur les retours d’expérience 

Afin de gagner plus rapidement en maturité et en efficience dans le domaine de la remédiation, les acteurs du marché gagnent à capitaliser sur l’expérience des autres. 

Il peut s’agir de capitaliser via : 

• Des études, telle que le corpus doctrinal publié par l’ANSSI ; 
• Des échanges directs avec ses pairs ou par l’intermédiaire d’acteurs tiers ; 
• Des groupes de travail où son écosystème de partenaires sera si possible représenté. 

Les retours d’expérience à rechercher peuvent porter sur la spécificité du contexte cyber dans la remédiation mais également sur des aspects plus classiques liés à la reconstruction d’un SI tels que : 

• Les méthodes et démarches mises en œuvre ; 
• Les solutions du marché éprouvées (au-delà des promesses) ;  
• Les performances atteintes (délais de reconstruction) ;  
• Les coûts ;  
• Les aspects logistiques et RH (proches de la gestion de crise) ;  
• Les aspects plus fonctionnels tels que la réconciliation de données, faisant suite à des points de restauration différents et à des flux perdus avec des tiers. 

Autres articles sur le sujet de la remédiation : 

Survivre à une compromission d’Active Directory : les principaux enseignements pour améliorer le processus de reconstruction 

Cyber-attaques : quels risques sur les sauvegardes et comment s’en protéger ? 

Reconstruction d’Active Directory : comment se donner les moyens d’y parvenir ? 

A venir prochainement sur https://www.riskinsight-wavestone.com/ : la remédiation des postes de travail 

Cet article « Compromise by design » ou comment anticiper une cyberattaque destructrice est apparu en premier sur RiskInsight.

Une évolution dans les technologies et les usages de l’Internet

Du côté des utilisateurs, les usages apparus dans la dernière décennie ne feront que se confirmer et s’amplifier à l’horizon 2020. La croissance et la diversification des réseaux sociaux permettra d’accélérer encore le partage de données personnelles avec une hausse des performances techniques et du nombre d’utilisateurs. Ce phénomène, profondément générationnel, pourrait poursuivre son développement et soulever avec lui de nombreuses questions relatives à la confiance en l’information et aux limites de la liberté d’expression.

Du côté des entreprises, dans la continuité de la virtualisation du poste de travail, le télétravail devient un thème dans les feuilles de route stratégiques de nombreux groupes qui y voient une opportunité de réduire les charges de l’immobilier qui constituent ordinairement leur second poste de dépenses. Le Cloud Computing se renforce et permet l’intégration de parts toujours plus vastes du capital informationnel des entreprises par des prestataires spécialisées, notamment dans la sécurité des infrastructures.

Enfin, l’IoT et le Machine Learning provoqueront un bouleversement important des business models et du positionnement des acteurs historiques dans tous les secteurs. 3 nouveaux besoins de société devront impérativement être pris en compte pour être compétitif : la mobilité, la connaissance et la confiance.

Un cadre reglementaire encore a definir

Les récentes démonstrations de puissance des GAFA, capables d’associer des bases de données d’utilisateurs gigantesques à des méthodes d’intelligence artificielle de pointe, initient une nouvelle ère consacrée à l’ultra-personnalisation des services mais aussi à la surveillance de masse. En effet, les immenses opportunités ouvertes dans le champ du marketing par le biais de l’ultra-personnalisation des services et la surveillance de masse cachent une réalité préoccupante : un cadre législatif qui protège très imparfaitement les internautes face aux utilisations abusives et discriminantes d’acteurs publics comme privés.

Dans ce contexte, les « lois renseignement » émergent dans de nombreux pays occidentaux afin de poser un cadre normatif à des pratiques déjà courantes de ces services. Posant la question de libertés individuelles menacées sous le prétexte de lutte antiterroriste, ces textes sont régulièrement adoptés en dépit de fortes protestations de la société civile.

Après plusieurs révélations sur les activités de la NSA en Europe, l’Union Européenne décidait d’invalider en octobre 2015 le Safe Harbour qui permettait jusque-là aux Etats-Unis et à l’Europe d’échanger librement leurs données considérant que son partenaire outre-Atlantique n’était plus en mesure de garantir à ces données un niveau de protection suffisant ou adéquate. Afin de combler le vide juridique entourant l’usage des données personnelles, le GDPR constitue le nouveau texte de référence pour la protection des données à caractère personnel en Europe, applicable par les 28 états de la zone à partir du printemps 2018. Ce texte protègera en effet les utilisateurs au détriment des entreprises qui verront leurs possibilités restreintes a minima à un impératif de consentement « explicite et positif ». De même, la directive européenne NIS, pour la sécurité des services numériques, sera progressivement traduite dans les juridictions nationales, notamment en France en lien avec la loi de programmation militaire.

Finalement, les récents bras de fer entre les géants du web et l’administration américaine ont prouvé l’incapacité du gouvernement à imposer à Apple et Google l’application du Patriot Act. Cela a permis à ces acteurs d’affirmer une primauté du respect des libertés individuelles et une certaine autonomie face aux organes politiques, jusqu’ici seuls maitres à bord dans ce type de situation. Une évolution décisive des rapports de force historiques s’amorce doucement avec la mise en retrait des autorités étatiques face aux acteurs majeurs de l’économie et il est encore difficile aujourd’hui de savoir où cette évolution nous mènera.

Ainsi, deux compétences seront déterminantes d’ici 2020 et même après pour s’adapter à l’époque technologique, innover et survivre à l’évolution rapide des règles de la concurrence : une grande maitrise des limites et contraintes réglementaires, d’une part, et une capacité à tirer le meilleur des données à disposition, sans sortir d’un cadre légal autorisé et évolutif. Tout l’enjeu d’un futur environnement basé sur le web 3.0 sera donc de construire et sauvegarder une relation de confiance mutuelle avec les clients comme avec les parties-prenantes, notamment étatiques.

De nouvelles menaces dans le cyberespace

Dans le cadre d’une analyse prospective visant à établir les évolutions de la cybercriminalité à horizon 2020, un comité d’expert s’est prononcé sur les typologies de menaces attendues de manière récurrentes envers les entreprises privées et les individus. Ainsi, les entreprises auraient à craindre en priorité les atteintes à la disponibilité de leurs systèmes, telles des dénis de service, les vols de données stratégiques motivés par la mise en concurrence et des attaques visant l’image de la société (compagnes de désinformation et de diffamation). Du côté des individus, les escroqueries et les détournements sont les menaces les plus importantes à considérer et auxquelles s’ajouteraient les attaques visant les systèmes d’alarmes et domotiques en soutien à des intrusions physiques.

Deux scénarios se démocratiseront et s’entre-alimenteront pour décrire un paysage d’ensemble de la menace en 2020 :

• L’attaque « as a service » : La croissance rapide et continue du nombre de connexions sur le Web entraînera mathématiquement l’ouverture d’une très large surface d’attaque. Les attaques non ciblées ou basées sur des réseaux de machines esclaves (machines contrôlées à distance par un attaquant et utilisées en grand nombre pour saturer des services web, par exemple) pourront ainsi se déployer de manière massive et gagner une force de frappe dont on peine à imaginer les limites à l’heure actuelle. Une étude d’universitaires israéliens estimait que 6 000 smartphones sont suffisants pour venir à bout d’un système d’appel d’urgence du type 911 aux États-Unis ; que ne pourrait-on pas faire avec un réseau de millions, voire de milliards, d’objets infectés par des Botnet malwares (logiciels malveillants permettant à un hacker de contrôler à distance les machines infectées) ? Ces attaques, de faible complexité mais à l’impact massif.
• La guerre économique : Un contexte de compétition exacerbée entre les acteurs économiques majeurs des pays industrialisés aboutira à un renforcement des menaces « géostratégiques ». L’Internet deviendra un nouveau terrain de conflit sur lequel se joueront les intérêts économiques et politiques des Nations. Les menaces seront ciblées et iront des actions de sabotage, comme ce fut le cas avec le virus Stuxnet, à l’espionnage industriel. Ces offensives pourront atteindre de hauts niveaux de complexité et seront mis en œuvre par des équipes de professionnels bénéficiant de protections diverses et de ressources financières et opérationnelles importantes voire illimitées.

Avec la généralisation du Cloud Computing et des objets connectés, les usages « digitaux » qui émergent aujourd’hui se conforteront largement à horizon 2020. En lien avec cette évolution, de nouvelles menaces, moins ciblées pour les entreprises et les individus et plus ciblées pour les états, sont attendues. Le cadre législatif, fortement évolutif, vise aujourd’hui autant à protéger les internautes, qu’à soutenir les entreprises et l’issue des rapports de force est incertaine.

Cet article Quelle sécurité pour le cyberespace en 2020 ? est apparu en premier sur RiskInsight.

Des actifs logiciels de plus en plus nombreux et difficiles à gérer

Les SI sont aujourd’hui omniprésents dans toutes les fonctions de l’entreprise et s’appuient sur un nombre croissant de briques logicielles marché. Il va sans dire que le volume d’utilisation de chaque actif est en hausse du fait de la multiplication des utilisateurs et des supports (laptops, smartphones, tablettes et autres équipements mobiles…). Les SI sont en outre de plus en plus fortement progicialisés.

Par ailleurs, la gestion de ces actifs s’est complexifiée. On assiste à un recours croissant de technologies de virtualisation, et le BYOD complexifie d’avantage encore le comptage des licences.

En un mot, l’évolution constante du marché des éditeurs ainsi que la diversité et la complexité des modes de licencing ne facilite pas la compréhension des règles à suivre.

Gérer ses actifs logiciels pour couvrir des risques

Une mauvaise gestion des actifs logiciels expose une organisation à des risques majeurs : juridiques, opérationnels et financiers.

Côté juridique, la législation protège le logiciel au titre du droit d’auteur en tant qu’œuvre de l’esprit (article L.112-2 du Code de la Propriété Intellectuelle, suite à la loi n°94-361 du 10 mai 1994) et une mauvaise utilisation, volontaire ou non, est passible d’amendes pouvant s’élever à 1,5 millions d’euros ainsi que d’un blocage des licences utilisées abusivement. Les audits menés par les éditeurs sont de plus en plus fréquents (63% des entreprises ont été auditées au cours des deux dernières années selon l’étude Flexera Software et IDC) et couvrent tous les types d’entreprises, de la PME au grand groupe.

Côté opérationnel, une mauvaise gestion du parc logiciel peut nuire au fonctionnement même de l’organisation. Soit en augmentant la vulnérabilité du système d’information (logiciels non mis à jour avec les derniers patchs de sécurité, parc non couvert dans son intégralité par les logiciels de protection). Soit en créant des problèmes de compatibilité entre les licences et les équipements utilisés pour les supporter : un exemple pouvant être l’arrêt d’une partie de l’activité à cause d’une application qui ne fonctionne plus suite à sa migration sur un nouveau serveur, la licence logicielle étant liée à la configuration matérielle du serveur initial.

Enfin, côté financier, les risques majeurs identifiés peuvent être liés aux risques mentionnés ci-dessus, auxquels il faut ajouter de potentiels surcoûts liés à une surestimation du nombre de licences comparée au besoin effectif.

Centraliser le Software asset management

Dans le cadre du lancement d’une démarche d’optimisation des actifs logiciels, l’enjeu majeur est la centralisation des activités d’achats et de procurement. Dans le cas d’une organisation divisée en plusieurs branches ou entités, il est conseillé qu’une seule entité collecte et gère toutes les demandes (procurement). Il est également fortement préconisé qu’une seule division Achat gère les négociations et les achats de logiciels pour l’ensemble de l’organisation.

Une telle centralisation est un puissant levier d’optimisation permettant d’acquérir une vision consolidée de l’ensemble des besoins et de bénéficier d’une mutualisation à l’échelle de l’organisation toute entière, ce qui contribue à accentuer le pouvoir de négociation auprès des éditeurs.

6 clés pour professionnaliser votre Software asset management

Le Software asset management a pour but d’industrialiser la gestion des actifs. A ce titre, voici 6 clés pour mener à bien cette professionnalisation :

1. Mettre en place un cadre méthodologique clarifiant les rôles et responsabilités des différents acteurs qui permettra de fluidifier leurs interactions, d’éclaircir les conditions d’utilisation des logiciels et de responsabiliser les utilisateurs finaux
2. Mettre en œuvre et maintenir un référentiel unique des licences pour disposer d’une vision globale et à jour de l’état des actifs logiciels
3. Réguler l’ensemble des demandes remontées par le Service management afin d’en vérifier la pertinence et éviter les achats superflus
4. Mettre sous contrôle la transition entre l’achat et le déploiement des licences pour éviter l’utilisation d’une licence différente du besoin initialement remonté (par exemple l’installation de la licence sur un autre serveur que celui identifié à la commande)
5. Analyser les modes de licensing des fournisseurs pour accompagner les Achats et pour vérifier la conformité logicielle et détecter et limiter les occurrences de mauvaise utilisation de logiciels (par exemple en mettant en œuvre des audits ponctuels en anticipation de ceux des éditeurs)
6. Mettre en place une veille technologique afin d’anticiper les évolutions du marché

Nommer votre gestionnaire de licences, véritable chef d’orchestre de la performance

La création d’un rôle de gestionnaire de licences (Software asset manager) permet d’accélerer et de fiabiliser dans la durée la mise en place d’une démarche de Software asset management. Il coordonne la multiplicité des acteurs impliqués dans la gestion des actifs logiciels.

En effet, en fonction de la complexité des organisations, des acteurs aussi bien techniques qu’administratifs sont sollicités à certaines étapes de la gestion des actifs logiciels.

• Les acteurs techniques gèrent les activités de Service management (gestion des demandes métier), de définition des stratégies IT (politique IT, normes et standards), de déploiement et de réalisation d’inventaires.
• Les acteurs administratifs gèrent le procurement et les achats ainsi que l’aspect budgétaire (contrôle de gestion).
• A ces deux populations s’ajoutent les utilisateurs finaux qui utiliseront les postes de travail ou les serveurs sur lesquels seront installées les licences.

Le rôle principal du gestionnaire de licences est de synchroniser les demandes et besoins des acteurs. Sur le long terme, la mise en place de ce rôle sécurisera les actions permettant à une organisation de correctement dimensionner ses besoins en logiciels et de disposer d’une visibilité lui permettant d’anticiper ses échéances et besoins futurs, tout en mettant sous contrôle les risques de mauvaises surprises lors d’éventuels audits.

Les bénéfices apportés par le Software asset management sont donc nombreux et il est fondamental qu’il soit considéré comme un levier d’optimisation important au sein des organisations. Toutes les recommandations ci-dessus permettent de poser les bases d’une gestion pérenne des actifs logiciels. Elles permettent de rééquilibrer les relations existantes avec les fournisseurs, mais aussi de s’essayer avec sérénité à un marché innovant mais prometteur, celui des logiciels de seconde main.

Cet article Software asset management : comment enfin mieux gérer vos licences ? est apparu en premier sur RiskInsight.

Un concept, plusieurs technologies

La virtualisation du poste de travail permet d’héberger et de gérer de manière centralisée un environnement de travail dans un datacenter, l’utilisateur y accédant à distance depuis n’importe quel terminal. Ce concept regroupe en fait différentes technologies :

• Le SBC (Server Based Computing), technologie historique, popularisée par Citrix en particulier, où les utilisateurs accèdent à un bureau virtuel « partagé »,
• Le VDI (Virtual Desktop Infrastructure), où chaque utilisateur dispose de son propre poste de travail sous forme d’une machine virtuelle.

Les solutions des éditeurs intègrent souvent les deux technologies. Les entreprises ont alors le choix de leur implémentation (le SBC étant plus économique, le VDI proposant une meilleure expérience utilisateur). Une autre possibilité est d’utiliser les solutions de DaaS (Desktop as a Service) où l’environnement de travail virtuel est délivré sous la forme de service Cloud.

Le sujet étant assez complexe, les entreprises doivent réfléchir à l’intérêt et à la manière la plus efficace d’appréhender et de mettre en œuvre la virtualisation du poste de travail.

Une approche stratégique de mise en œuvre massive

Certaines entreprises sont pleinement convaincues par les apports de la virtualisation du poste de travail : bénéfices en termes de facilité de mise à jour des postes et des applications, de rapidité et de souplesse de mise à disposition d’environnements, de sécurité… voire de baisse des coûts (ce qui est plus discutable). Elles décident donc de s’engager dans la voie d’une implémentation sur un périmètre très large.

Cette vision peut également être renforcée par les difficultés rencontrées lors de la migration de Windows XP vers Windows 7, avec la volonté de ne pas renouveler cette (douloureuse) expérience. Par ailleurs, la virtualisation permet réellement de répondre à des enjeux actuels de l’entreprise et des Métiers : sécurité, mobilité, rapidité de déploiement, soit autant d’arguments en sa faveur.

Un déploiement massif peut donc être un choix justifié mais il convient de ne pas se leurrer : il s’agit d’un choix fort et d’une véritable rupture par rapport au modèle de poste de travail traditionnel, tant pour les équipes IT… que pour les utilisateurs. Une implémentation massive est un projet long, complexe qu’il convient de ne pas sous-estimer.

Cette approche nécessite donc un travail important de cadrage, d’évaluation des intérêts sans nier les limitations connues (expérience utilisateur pas toujours satisfaisante, utilisation en mode déconnecté…). En particulier, la virtualisation n’est pas le remède miracle permettant de régler tous les problèmes de gestion du poste de travail. Les difficultés liées à la complexité de paramétrage de l’environnement utilisateur, de compatibilités applicatives restent ainsi les mêmes que sur un poste traditionnel. Au final, il s’agit de bien identifier les raisons pour lesquelles on souhaite s’engager dans déploiement massif. Des enjeux importants de sécurité constituent par exemple un bon argument.

Une approche tactique par les besoins et les cas d’usage

Une autre voie, moins ambitieuse (au moins dans un premier temps), est de définir dans quels cas la virtualisation peut être une solution appropriée. Il ne faut cependant pas tomber dans une vision purement technologique mais au contraire adopter une approche centrée sur les besoins et les cas d’usages.

Pour cela, la première étape consiste à faire un état des lieux fonctionnel et technique exhaustif de l’existant au niveau de l’environnement de travail et d’identifier les besoins. Cela peut combiner des besoins purement internes à la DSI (meilleure gestion des postes par exemple), des enjeux au niveau de l’entreprise et des Métiers (continuité d’activité pour des collaborateurs clés) et des cas d’usage (télétravail, travail en mobilité, BYOD…).Il est nécessaire à chaque fois de cerner précisément les enjeux, les attentes, les échéances et les gains escomptés.

Il convient ensuite d’étudier les solutions de virtualisation du poste de travail les plus adaptées aux différents besoins (SBC, VDI, DaaS). Cela nécessite une bonne connaissance du marché et des offres, d’autant plus que celles-ci évoluent encore très régulièrement, notamment les offres DaaS assez récentes. Des rencontres avec les acteurs du marché sont à envisager.

La confrontation des besoins et des solutions possibles doit permettre de faire émerger des opportunités d’utilisation de la virtualisation et des scénarios de mise en œuvre. Chaque scénario doit être évalué selon différents axes afin d’en valider la pertinence : l’intérêt, le périmètre couvert, les coûts, les délais, la complexité, les impacts techniques et organisationnels, la technologie la plus adaptée.

Les scénarios retenus doivent enfin être mis en regard les uns des autres afin de définir une roadmap globale de mise en œuvre selon les priorités et les échéances. Cette roadmap est souvent progressive, permettant de déployer les solutions sur des périmètres restreints, de valider leur fonctionnement et leur adoption par les utilisateurs, avant d’envisager éventuellement un déploiement plus important. Cette approche plus prudente s’avère néanmoins très pragmatique et plus agile à mettre en œuvre.

Quelle approche privilégier ?

Une approche tactique consiste à mettre en place la virtualisation du poste de travail de manière ciblée pour des cas d’usage et des besoins bien identifiés. Dans la plupart des cas, cette dernière semble être plus pertinente. Elle permet à la DSI de mieux anticiper les écueils de la virtualisation des postes de travail, d’affiner son offre de service, sans pour autant s’interdire un déploiement beaucoup plus important par la suite.

Cet article Virtualisation du poste de travail : quelle stratégie adopter ? est apparu en premier sur RiskInsight.

Du VDI à l’environnement de travail Cloud, les promesses du DaaS

Le Virtual Desktop Infrastructure (VDI) annonçait l’ère du « post-PC », soit en somme un environnement de travail sécurisé, accessible quel que soit son emplacement ou son terminal, riche de promesses de réduction de coûts (Total Cost of Ownership) de l’ordre de 20%. Sujet prometteur, sur lequel les grands acteurs tels que VMware, Citrix ou encore Microsoft ont été les premiers à tirer.

Néanmoins, le ticket d’entrée d’un projet de virtualisation massive de postes de travail est élevé : il comporte des  investissements financiers importants (pour les infrastructures et les licences) et nécessite des compétences non négligeables. Et si certaines grandes entreprises ont effectué quelques déploiements ciblés, rares sont celles qui ont choisi de les étendre à des périmètres importants.

De par sa nature Cloud, le DaaS apporte des réponses intéressantes aux interrogations récurrentes des grandes DSI : l’entreprise achète un service et n’a plus à se soucier de conception, de mise en œuvre ou encore d’exploitation d’une infrastructure de postes virtuels. Les coûts, correspondant à l’exploitation et au service, sont de leur côté mieux maîtrisés. À titre d’exemple, Amazon Workspace propose un poste de travail à partir de $35 par utilisateur et par mois.

Par ailleurs, les fournisseurs de services DaaS enrichissent leurs offres de fonctionnalités complètes d’administration. Ainsi, l’offre Desktone by VMware propose un portail d’administration centralisé divisé en 3 parties permettant la gestion des ressources physiques (serveurs, réseaux, stockage etc.), des postes de travail virtuels et l’accès de l’utilisateur à son environnement virtuel (bureau, applications).

La solution Workplace On Command, de Steria intègre pour sa part un portail centré sur l’utilisateur dans lequel les workflows de l’entreprise peuvent être intégrés (self-provisioning d’applications ou activation de terminaux mobiles).

Anticiper l’interconnexion d’une solution DaaS avec votre SI

Séduisantes sur le papier, les offres DaaS sont néanmoins à analyser de manière plus fine avant de souscrire à l’une d’entre elles. Il est nécessaire d’étudier l’interconnexion de la solution DaaS avec le SI de l’entreprise : accès réseau, authentification des utilisateurs, gestion de la sécurité… Et si certaines  problématiques sont déjà connues des entreprises qui utilisent des services Cloud, le DaaS a ses spécificités qu’il ne faut pas négliger.

Les aspects réseau tout d’abord (dimensionnement des liens et temps de latence) influent directement sur la qualité de l’expérience utilisateur. Ce point, déjà sensible avec les solutions VDI, peut être amplifié avec l’utilisation d’internet comme réseau et engendrer par là-même des réticences voire des rejets de la part des utilisateurs.

Un autre point d’attention concerne la mise à disposition des services applicatifs sur le poste virtuel DaaS. S’il est aisé de fournir des applications standards (bureautique, navigateur internet…), les applications internes spécifiques à l’entreprise nécessitent des travaux plus complexes d’intégration avec l’infrastructure et les postes virtuels DaaS. Cela pose des problèmes d’architecture, de sécurité et de domaines de responsabilité entre le client et le fournisseur, d’autant plus lourds à traiter que les applications sont nombreuses.

Au-delà des aspects techniques, l’entreprise doit également vérifier la nécessité d’acheter ou non des licences Microsoft complémentaires, en plus de la souscription au service DaaS. Cela dépend du type de service fourni, des terminaux d’accès et des contrats de licences dont elle dispose déjà. Les fournisseurs de service DaaS sont souvent discrets sur le sujet, alors que cela peut renchérir de manière significative le coût total pour l’entreprise.

Dans quel cas le DaaS est-il un choix pertinent ?

Le DaaS permet de fournir rapidement des postes de travail virtuels avec des applications standards et une intégration limitée avec le SI de l’entreprise, sans oublier une visibilité nette sur les coûts qu’il engage. Une phase pilote permettra de valider de manière concrète le fonctionnement du service et la qualité de l’expérience utilisateur.

Bien sûr, pour les entreprises qui souhaitent aller plus loin, se posent in fine les questions liées à l’intégration des applications sur un poste virtuel hébergé dans le Cloud et de la sécurité associée. De manière générale, les applications Web ou SaaS facilitent la mise en œuvre du Desktop as a Service. Les entreprises peuvent néanmoins toujours se tourner vers des solutions DaaS en mode Cloud privé, qui permettent de concilier avantages du Cloud et besoins de sécurité. Certains fournisseurs comme Orange Business Services avec Flexible Workspace proposent déjà des solutions « sur étagère » qui vont dans ce sens.

La thématique du Cloud Computing fait l’objet d’un dossier spécial sur solucomINSIGHT. N’hésitez pas à le consulter !

Cet article Desktop as a Service (DaaS), le marché entre en lice est apparu en premier sur RiskInsight.

La problématique n’est pas simple. L’architecture IT locale des entreprises rend de nombreux services – services aux utilisateurs (fichiers, messagerie, impression…), services techniques (télédistribution d’application, antivirus, annuaire et authentification, services réseaux…) ou encore hébergement d’applications. S’ajoute à cette première complexité l’hétérogénéité des sites distants : nombre d’utilisateurs, bande passante réseau, usages et niveaux de service différents selon les besoins métiers…

Quelles sont les solutions techniques disponibles pour s’affranchir des serveurs locaux ? Quel impact sur l’expérience utilisateur et sur l’exploitation des services ? Sur le réseau ? Voici 3 clés pour réduire le coût de vos infrastructures locales.

Des quick-wins pour les petits sites

Dans la plupart des cas, supprimer les serveurs locaux sur les plus petits sites suffit à dégager des économies substantielles sans investissement notable. La première étape est donc la rationalisation.

Comment faire ? On supprime par exemple les serveurs locaux et, pour limiter l’utilisation de la bande passante WAN, on déporte les services directement sur les infrastructures locales existantes, comme par exemple les postes de travail. On parle alors de relais locaux.

La fonctionnalité Windows BranchCache – disponible depuis Vista / WS2008 – est un premier exemple. Il s’agit d’une sorte de mode peer-to-peer : les postes de travail adoptent le rôle de relais à la fois pour les fichiers utilisateurs, les packages SCCM, les mises à jour ForeFront… Ce type de solution est également disponible en dehors du monde Microsoft (fonction GUP de l’éditeur Symantec par exemple). Attention toutefois, ces fonctionnalités ont des limites et nécessitent un paramétrage fin : gestion des pics de charge, monitoring des stations relais, sécurité…

Concernant les services d’impression, le Direct IP Printing – transmission directe sans serveur d’impression du job d’impression vers une imprimante – se développe. Windows 8 prend d’ailleurs en compte cette tendance en offrant nativement la fonctionnalité (Branch Office Direct Printing). Toutefois, l’installation des imprimantes et la gestion des drivers en mode Direct IP Printing doit être repensée pour éviter de générer une surcharge sur le helpdesk. Il est alors intéressant de considérer l’utilisation d’un outil spécifique pour adresser ces problématiques.

Il est également envisageable dans certains cas de remplacer les serveurs locaux par des appliances nécessitant une administration moins lourde qu’un serveur classique – notamment pour jouer le rôle de relais de télédistribution ou de cache pour les fichiers.

Pour aller plus loin, une centralisation des services IT nécessaire

Si la centralisation de ces services est plus classique et à présent maîtrisée pour des services tels que l’annuaire d’entreprise (Active Directory..) ou les services réseaux (DHCP, DNS…), cela reste bien souvent un challenge quand on aborde la question de l’accès aux fichiers et de leur restauration. Jusqu’à présent, la présence de serveurs locaux historiques était bien souvent expliquée par le besoin d’avoir un serveur des fichiers en local pour éviter les latences.

Dans cette optique de centralisation, la bande passante disponible devient donc un élément clé. Une étude site par site de cette dernière s’avèrera souvent nécessaire, sous peine d’altérer l’expérience utilisateur.

Un upgrade du réseau WAN pour augmenter sa bande passante reste possible et devient aujourd’hui de plus en plus accessible économiquement. À défaut, des boitiers de compression / cache réseau peuvent également être installés sur certains sites.

Quelques adhérences à garder à l’esprit pour ce type d’initiatives : la nécessité de redimensionner les infrastructures centrales et la difficulté de mutualiser boitiers de cache avec appliances réseaux hybrides.

Cloud et virtualisation pour un résultat optimal

Pour espérer un gain encore plus important, la refonte des infrastructures locales doit se faire dans le cadre d’une approche plus en rupture, poussée par des choix stratégiques et technologiques forts, tels que la virtualisation ou l’adoption de services Cloud. Ces choix ne sont pas neutres en termes de réseau et posent immédiatement la question de la disponibilité des services en mode déconnecté.

Le Cloud est également une possibilité lorsqu’il s’agit de services techniques. On pourra citer Windows Intune, qui embarque à la fois le patch management Microsoft (WSUS) pour la télédistribution d’application et l’antivirus ForeFront. Mais il faudra toutefois se poser les questions suivantes : en cas de bande passante WAN limitée, est-il judicieux d’en consacrer une partie à des services techniques ? Et si oui dans quelles proportions ?

Des services d’impression dans le Cloud – privé ou public – se développent également. On pourra citer Google Cloud Print – où les serveurs d’impression sont dans les datacenters du géant américain. Des limitations importantes existent encore (compatibilité des types de fichiers et des imprimantes) mais on répond ainsi à certains besoins liés à la mobilité (lancement d’une impression sur une imprimante corporate depuis une tablette…).

Le VDI supprime quant à lui le besoin de délivrer des services locaux de télédistribution ou d’antivirus par exemple, les postes étant eux-mêmes déjà centralisés. Toutefois, encore implémenté chez seulement 2 à 3 % de nos clients de manière massive, le VDI peut rarement être mis en place sur l’ensemble d’un périmètre client.

Pour mettre en place ces approches, le réseau devient le nerf de la guerre. Une stratégie innovante en la matière consiste à implémenter des réseaux hybrides, permettant de faire passer directement certains flux vers internet, là où ils transitaient auparavant par le WAN. Cette solution devient particulièrement pertinente lorsque des services sont sourcés dans le Cloud : accès direct aux serveurs dans le nuage, meilleure bande passante et diminution des coûts. Attention toutefois à la maitrise des flux (priorisation des flux, redondance des liens…).

On l’aura compris, l’arrivée à maturité des technologies (réseaux, infrastructures de gestion de l’environnement de travail, virtualisation) et l’arrivée de services techniques Cloud permet aujourd’hui d’aller chercher plus facilement des économies par une démarche de rationalisation et de centralisation partielle des services. Pour aller jusqu’à la centralisation complète des infrastructures locales, il est inévitable d’élargir l’étude pour considérer le même type d’initiative autour du poste de travail lui-même, tout en cherchant à optimiser la consommation du réseau WAN de l’entreprise qui permettra au passage de faciliter l’adoption de services Cloud. Préparez-vous, la Digital Workplace arrive !

Cet article Et si on supprimait tous les serveurs d’infrastructure locaux ? est apparu en premier sur RiskInsight.

Des évolutions de forme…

La norme se compose dorénavant de 14 chapitres contre 11 dans la version 2005. Les nouveaux chapitres intitulés « Cryptographie », « Relations avec les fournisseurs », « Sécurité des télécommunications » et « Sécurité de l’exploitation » sont issus d’un découpage des chapitres existants.

Les objectifs de sécurité passent de 39 à 35, ils sont formulés de manière plus synthétique, plus souple, augurant plus d’efficacité dans l’implémentation.

Certaines mesures de sécurité ont été modifiées ou supprimées, et finalement peu ont été ajoutées (6 seulement), ce qui diminue le nombre global (133 à 113 mesures).

… et des évolutions de fond

Trois sujets ont réellement fait l’objet d’évolutions structurantes.

Le chapitre « acquisition, développement et maintenance » a été revu en profondeur et prend maintenant en compte la sécurité applicative en incluant des mesures sur « System acceptance testing » (outil d’analyse de code, scanners de vulnérabilités), « System security testing during development », « Secure system engineering principles », « Outsourced developement »… Par ailleurs, les mesures deviennent plus générales, en supprimant l’objectif de sécurité sur « le bon fonctionnement des applications » (validation des données en entrée et en sortie, intégrité des messages, etc.). La gestion des données de tests est traitée dans ce chapitre.

Le chapitre “Information security aspects of business continuity management” traite maintenant de la continuité de la sécurité de l’information et non plus de la continuité business ! Ainsi, une note indique que les informations concernant le business continuity management sont disponibles dans les normes  ISO 22301, 27301, 22313. Seul un objectif de sécurité intitulé « redundancies » concerne la disponibilité des « information processing facilities ». Même si la norme réduit la portée de ces mesures, rien n’empêche de conserver les mesures « historiques » sur le PCA.

Le chapitre « contrôle d’accès » se concentre sur la gestion des accès des utilisateurs et sur l’accès aux applications et aux systèmes : le contrôle d’accès réseau, le contrôle d’accès à l’OS, le télétravail ne font plus partie de ce chapitre. En particulier, les mesures portant sur le cycle de vie des habilitations ont été complétées : depuis l’enregistrement des utilisateurs jusqu’aux revues des droits et la suppression des droits en cas de départ. L’authentification par mot de passe a été élargie aux « secret authentication ». Un focus spécifique est maintenant fait sur l’accès au code source.

Concernant les autres chapitres de la norme, les évolutions sont moins notables. On peut relever les points suivants.

Le chapitre « gestion des incidents liés à la sécurité de l’information » est complété par quelques précisions : une phase de « assessment of and decision on information security events » permet de déterminer si les évènements sont considérés comme des incidents de sécurité et une phase de « response to information security incidents » décrit la gestion des incidents. La phase d’apprentissage suite à l’analyse des incidents est assouplie : il n’est plus nécessaire d’évaluer le type, le volume et les coûts des incidents.

Le chapitre « sécurité du réseau » agrège maintenant toutes les mesures liées au réseau et reprend également celles issues du chapitre « gestion des télécommunications et de l’exploitation » (« gestion de la sécurité des réseaux » et « échange des informations ») et celles issues du chapitre « Contrôle d’accès » en ne conservant que le contrôle « cloisonnement des réseaux ».

Le chapitre « relation avec les fournisseurs » concentre tous les contrôles liés à la gestion des fournisseurs, en remplaçant la notion de « tiers » par « fournisseur ». Un nouveau contrôle est ajouté sur le report des mesures de sécurité sur la chaine de sous-traitance, tandis que le contrôle sur « l’identification des risques provenant des tiers » a été supprimé.

En synthèse, la version 2013 n’est pas révolutionnaire, mais les évolutions font apparaître plus de cohérence au sein des chapitres, ce qui rend la norme plus lisible pour les acteurs en charge de la mise en œuvre.

Qu’en est-il des sujets liés aux évolutions des usages et des technologies depuis 2005 ?

Certaines thématiques incontournables en termes de sécurité ne sont toujours pas traitées explicitement dans la norme :

• Des mesures basiques ne sont pas prises en compte, en particulier : le durcissement des postes de travail ou des serveurs, les réseaux sans fil, etc.

• Certaines règles restent trop macroscopiques pour réellement constituer de bonnes pratiques, notamment sur la sécurité du réseau : « networks should be managed and controlled to protect information in systems and applications », « groups of information services, users and information systems should be segregated on networks »

• Les nouvelles menaces (cybercriminalité) et les réponses associées ne sont pas développées : on ne parle pas de surveillance et de corrélation des évènements de sécurité (logique SOC), de sécurisation de l’administration, de sécurisation des accès à l’entreprise, notamment depuis Internet, des dispositifs de réaction en cas de cyber-attaques (logique CERT)…

• Les (r)évolutions technologiques ne sont pas non plus explicitement prises en compte : ni le cloud, ni la virtualisation ne sont abordés

On pourra arguer que la famille ISO 27xxx se complète avec des normes spécifiques (cloud computing, surveillance sécurité, etc.), mais il n’en reste pas moins que ce soit gênant si on considère que l’ISO 27002 reste le référentiel le plus générique et le plus utilisé pour la sécurité du SI.

A noter que la norme ISO 27001:2013 appuie sur le fait de compléter la Déclaration d’Applicabilité avec des mesures qui ne sont pas présentes dans l’ISO 27002, ce qui permet de pallier certains manques.

Une norme qui reste « l’esperanto » de la sécurité

La nouvelle version de la norme ISO 27002 reste donc une liste de mesures de sécurité, ne détaillant pas l’ensemble des caractéristiques de mise en œuvre.

Sa stabilité dans le temps et son caractère « indépendant des technologies » devrait, malgré ces quelques défauts, lui garantir le même succès dans la durée.

Cet article ISO 27002 : tour d’horizon des nouveautés est apparu en premier sur RiskInsight.

La plupart des entreprises ont démarré un projet de migration afin de gérer l’obsolescence des composants XP, tant au niveau du système d’exploitation que des outils fournis aux utilisateurs (navigateur internet, suite bureautique, etc.), mais aussi pour améliorer leur attractivité et l’image de leur DSI. Ce type de projet doit également être un levier de réduction du TCO (Total Cost of Ownership) du poste de travail.

Compte tenu des enjeux économiques et de support, il faut noter une forte volonté de réduire au maximum le nombre de postes fonctionnant sous Windows XP d’ici avril 2014. Néanmoins, il peut être envisageable qu’une partie du parc soit maintenue sous cet OS. Selon la quantité de postes restant à migrer après avril 2014, une négociation avec Microsoft peut en effet être envisagée afin de bénéficier d’une extension de support. Mais les risques induits ne sont pas à négliger : risques opérationnels dus à des applications potentiellement non compatibles, risques techniques dus à des pilotes matériels qui ne sont plus pris en charge, risques liés à la sécurité des postes, etc. Il est donc préférable de réduire au maximum le nombre de postes sous Windows XP, afin d’éviter notamment des coûts liés à une double administration d’OS.

Une industrialisation du processus de déploiement au service de la migration

L’industrialisation du processus de déploiement doit permettre d’optimiser au maximum la migration tout en la sécurisant. Pour cela, les choix d’architecture réalisés en amont devront être pensés de façon à minimiser les impacts éventuels sur la migration, tout en assurant la reprise des données. Il est en effet impératif d’assurer la sauvegarde de certaines données utilisateurs. Se baser sur les outils de sauvegarde existants ou sur les outillages de synchronisation de données pourra faciliter la démarche. Certaines entreprises font le choix de laisser la responsabilité à l’utilisateur. Il est alors chargé de récupérer et stocker ses données avant la migration de son poste, puis de les restaurer une fois la migration effectuée.

À moins d’un an de la fin de support XP, la stratégie de déploiement doit désormais être pensée de façon à optimiser les délais et les coûts. Plusieurs types de scénarios peuvent être considérés, d’une gestion manuelle à l’utilisation d’outils et de technologies d’automatisation. La migration « au fil de l’eau », basée sur le renouvellement du matériel, peut être un levier simple à mettre en place. Cette stratégie est généralement complétée par un projet de migration compte tenu des échéances.

Au vu des délais de moins en moins flexibles, il faudra si possible capitaliser au maximum sur les outils de télédistribution déjà implémentés au sein de l’entreprise. Pour les parcs informatiques importants, se baser sur les infrastructures existantes, permettra d’industrialiser le déploiement, tout en faisant baisser le TCO du poste de travail, notamment sur les aspects de gestion courante, comme la remasterisation et le renouvellement du poste.

L’industrialisation du déploiement se base également sur un inventaire détaillé des utilisateurs et des machines, la planification des rendez-vous avec les utilisateurs, le suivi du déploiement via des outils de reporting, le provisioning et la masterisation des postes. Il faudra veiller à définir le type de support apporté aux utilisateurs durant la migration, tout en mettant en place une véritable conduite du changement, à adapter aux profils plus ou moins technophiles, à leur localisation par plaque régionale pour un ajustement à la culture locale, à leur mobilité, à leur statut dans l’entreprise et de façon plus générale à la culture d’entreprise.

Piloter les inventaires, qualifications et remédiations applicatives

La gestion des applications et de leur compatibilité avec le futur système d’exploitation est un autre levier important pour sécuriser le désengagement de Windows XP et son déploiement.

En premier lieu, il est important d’identifier les applications critiques avec un fort impact business. La qualification de ces applications permettra de mettre en évidence et d’anticiper les éventuelles incompatibilités logicielles de façon proactive. Celles-ci devront alors faire l’objet d’une remédiation pour les adapter au système d’exploitation cible. Le déploiement devra être bloqué tant que ces incompatibilités n’auront pas été remédiées. En se basant sur le statut éditeur ou en réalisant des tests fonctionnels, plusieurs méthodes permettent d’évaluer la compatibilité des applications vers l’OS cible. Les applications web par exemple, devront généralement être redéveloppées, de même que les macros Excel et les développements VBA.

La virtualisation d’applications présente alors un intérêt fort en tant que solution de contournement. Cette technologie va permettre de supprimer les adhérences de l’application avec le système d’exploitation, en créant une bulle applicative où elle s’exécutera. Utiliser la virtualisation d’application pour faire de la remédiation reste toutefois un détournement de la solution et n’offre aucune garantie. D’un point de vue fonctionnel, la virtualisation peut effectivement permettre une montée de version de l’application, car indépendante de l’OS. Mais d’un point de vue technique, cela ne doit être envisagé qu’en tant que solution palliative court-terme. La virtualisation d’application, MED-V ou Citrix ne sont en aucun cas des solutions définitives. Pour faciliter l’étape de remédiation, il est ainsi conseillé de mettre à disposition des métiers des processus de remédiation standards, tout en industrialisant et en pilotant les travaux de ce chantier de packaging applicatif.

Idéalement, ces étapes permettront de participer à la rationalisation du portefeuille applicatif en éliminant notamment quelques logiciels non utilisés ou en doublons. La connaissance fine du parc applicatif étant généralement trop faible, il est illusoire de penser pouvoir traiter simultanément déploiement du poste de travail et rationalisation profonde du parc applicatif. Pour les contextes les plus matures, la gestion de portefeuille applicatif est légèrement enrichie et la mise en œuvre d’une solution de self-service est réalisée. Cette stratégie de shift-left visant à apporter un maximum d’autonomie à l’utilisateur sur les activités de gestion du poste à faible valeur-ajoutée, peut constituer un levier important de réduction du TCO des postes.

Il s’agit d’un chantier long et laborieux à anticiper, la meilleure solution étant de définir des processus récurrents, afin de suivre les mises à jour logicielles de façon optimale. Il faudra pour cela veiller à identifier les couches métier impactées et intégrer ces processus avec les plannings de migration, afin de lisser le déploiement selon les Métiers. Mais cela nécessite l’implémentation d’une vraie gouvernance et un bon niveau de maturité sur la gestion applicative et de leurs composants, ainsi que sur la gestion des licences.

Quoiqu’il en soit, lancer un projet de migration suscite bien des remises en question ! Elle permet de réviser les règles de sécurité déjà implémentées pour mieux les adapter au contexte de l’entreprise. Mais c’est aussi par exemple l’occasion d’adapter les services aux nouveaux usages, tout en réduisant le TCO des postes et en favorisant la flexibilité des services fournis aux utilisateurs, via par exemple des outils modernes de self-service du type application store. Un projet riche sur bien des plans donc.

Cet article Obsolescence programmée : comment réussir le passage à un nouvel environnement de travail ? est apparu en premier sur RiskInsight.

Un usage reposant sur les infrastructures d’accès aux SI déjà en place…

Cet article Télétravail : pourquoi venir au bureau quand on peut rester chez soi ? est apparu en premier sur RiskInsight.

La téléphonie des salles des marchés, un métier à part

La salle des marchés : une organisation tripartite au service du trader

Plus qu’un lieu physique, le terme de « salle des marchés » désigne l’ensemble des services et des personnes qui permettent aux établissements financiers d’intervenir sur les marchés. Son organisation se découpe en trois domaines distincts : le Front Office (négociations et décisions), le Middle Office (suivi des risques et résultats) et le Back Office (administration et contrôles).

C’est au sein du Front Office, centre décisionnel qui se doit d’être à la pointe du progrès technique en termes de communications et de gestion des flux d’information, qu’évoluent les opérateurs marchés : traders, brokers (intermédiaires entre les clients et l’établissement) et analystes financiers.

Les outils de communication mis à disposition des opérateurs doivent leur permettre de traiter une quantité importante d’informations critiques de façon rapide et simultanée avec plusieurs intervenants distants. Parmi les nombreux services offerts (Bloomberg, Reuters…), le téléphone reste le canal de communication privilégié pour 5% des opérations entre salles des marchés. Le poste téléphonique, appelé « platine », joue un rôle clé dans l’environnement de travail des opérateurs. Selon BT Trading « les traders perdraient 100 000 euros par heure s’ils n’avaient pas leur téléphone ». Bien que difficile à vérifier, cette assertion illustre l’importance pour les DSI d’offrir un service de téléphonie fiable et de qualité à ses utilisateurs en salles.

Seuls quelques acteurs sont aujourd’hui capables de répondre aux exigences de cette téléphonie métier spécifique.

Un marché de spécialistes

Cisco, Alcatel-Lucent, Aastra, Avaya… aucun des acteurs de la téléphonie administrative n’est présent sur le marché de la téléphonie Trading. C’est bien un univers de spécialistes, où les leaders se nomment  Orange Trading Solutions (ex Etrali) et BT ou IPC (issu du monde du système).

Les solutions proposées par ces trois constructeurs s’articulent autour de trois briques de services indissociables : l’infrastructure de téléphonie, l’enregistrement vocal et les lignes louées. Le cœur du système, majoritairement TDM (Time Division Multiplexing) aujourd’hui, se compose d’un commutateur en charge du contrôle des communications et de la gestion des ressources téléphoniques. Ce cœur est systématiquement complété par un service d’enregistrement des conversations vocales obligatoire, à but réglementaire et contrôlé par les autorités des marchés financiers. Les lignes louées TDM sont également très largement déployées sur les platines en salles et offrent des connexions permanentes sans numérotation et en point-à-point entre un opérateur et ses contreparties (clients, brokers, partenaires…).

Les solutions de téléphonie de marché Full IP apparues depuis 2010 sont encore très largement en retrait par rapport à un existant TDM omniprésent. Cependant, cette balance risque de fortement s’inverser dans les 3 à 5 prochaines années, la fin de vie des solutions TDM, les nouvelles réglementations financières et les besoins d’intégration de la téléphonie dans le SI poussant vers le monde IP.

Migration vers le modèle IP : une transition hésitante mais inévitable

Des facteurs de pressions externes et internes

L’obsolescence des solutions de téléphonie de marché TDM est l’un des premiers facteurs clés poussant vers une évolution IP. D’ici fin 2016, la majorité des systèmes TDM ne seront plus supportés par les constructeurs qui se concentrent sur le développement de solutions de nouvelle génération en « tout IP ».

Les nouvelles réglementations financières imposées par les autorités de régulation des marchés jouent également en faveur d’une migration vers le tout IP. Les établissements financiers sont soumis à de plus en plus d’obligations en termes de traçabilité et transparence des transactions. Les systèmes d’enregistrements vocaux se doivent d’évoluer pour répondre à la législation en offrant de nouvelles fonctionnalités. Ces nouveaux besoins vont au-delà des possibilités techniques et fonctionnelles des équipements TDM, l’IP étant un prérequis pour y répondre.

Enfin, de nouveaux besoins en termes de convergence des services sont apparus. Les platines IP de nouvelle génération se voient équipées de nouveaux services embarqués permettant une meilleure interaction avec le poste informatique du Trader et son environnement applicatif (CRM, annuaires, vidéoconférence, instant messaging, etc.).

Une évolution inéluctable

Malgré la réticence des DSI à migrer leurs systèmes de téléphonie de marché TDM, réputés pour leur robustesse et leur fiabilité, l’évolution technologique vers l’IP emprunte une trajectoire analogue à celle de la téléphonie administrative démarrée dans les années 2000.

Si dans un premier temps une migration totale vers l’IP présente des coûts supplémentaires par rapport aux systèmes existants généralement amortis, la performance économique peut être réelle à moyen terme par la rationalisation et la virtualisation des infrastructures.

L’adoption du modèle tout IP en environnement salle des marchés semble ainsi se confirmer, et il est fort à parier que les solutions de téléphonie de marché sur IP s’imposeront comme un véritable standard dans les 5 prochaines années.

Cet article La téléphonie en salle des marchés : sur la voie du tout IP ? est apparu en premier sur RiskInsight.

Annoncée début avril, l’acquisition de Wyse Technology par le constructeur Dell replace la virtualisation du poste de travail au cœur de l’actualité IT. Sur quels axes Dell oriente-t-il sa stratégie VDI (Virtual Desktop Infrastructure) pour faire face à la concurrence ?

Le rachat de Wyse : un positionnement stratégique pour Dell

En rachetant le leader sur le marché du client léger, Dell complète son offre sur la virtualisation du poste de travail. Ces terminaux qui embarquent une configuration allégée permettent l’accès aux postes de travail et applications virtuels.

Baptisée Desktop Virtualization Solution (DVS),  l’offre Dell présentée lors du Citrix Synergy 2012 inclut l’ensemble des briques logicielles et matérielles nécessaires pour franchir le pas de la virtualisation.

Dell prend le parti de la simplicité et rend les infrastructures de virtualisation – souvent complexes – plus accessibles grâce à ses offres intégrées supposées faciliter le déploiement.

S’adressant aussi bien aux PME avec l’offre DVS Simplified, qu’aux grandes entreprises via l’offre DVS Enterprise, Dell propose un déploiement complet sur site des serveurs, logiciels et terminaux légers. Un hébergement dans le cloud sous la forme d’une offre Desktop-as-a-Service (DaaS) est également proposé à partir de 30$ par poste et par mois.

La riposte des concurrents

Le géant HP, numéro deux mondial du client léger, a répondu dans la foulée en présentant ses nouveaux modèles de thin-clients et zero-clients.

Cette annonce n’est pas anodine puisque HP qui se positionne sur l’ensemble de la chaîne des infrastructures de virtualisation, des serveurs aux terminaux, vient d’annoncer le lancement d’une offre DaaS hébergée dans ses datacenters.

L’engouement suscité par le marché est tel que plusieurs entreprises viennent emboîter le pas aux deux leaders. Fort du rachat de Sun Microsystems, qui dispose de sa propre gamme de terminaux légers, Oracle construit progressivement son offre VDI intégrée, en capitalisant sur ses infrastructures de stockage et ses serveurs.

L’américain IBM suit lui-aussi de près l’actualité de ses concurrents. Et pour cause : son offre de virtualisation repose sur des terminaux légers issus d’un partenariat avec nul autre que… Wyse ! L’acquisition de Dell fait ainsi planer la menace sur l’avenir de cette alliance et sème le trouble du côté d’IBM.

Le regain d’intérêt pour ce marché peut être annonciateur d’une mutation IT beaucoup plus profonde. C’est le paradigme du poste de travail qui est remis en cause : il devient aujourd’hui virtuel et se désolidarise progressivement du matériel.

Un marché plein de promesses

Depuis plusieurs mois le poste de travail informatique fait couler beaucoup d’encre dans la presse spécialisée : « Le PC est mort ! » ou « L’ère post-PC » sont autant de gros titres que nous pouvons lire.

Une chose est certaine, le poste de travail connaît actuellement une réelle mutation et se transforme en un environnement construit autour des besoins utilisateurs. Cette évolution est suivie de près par les DSI pour qui le poste de travail constitue encore aujourd’hui le premier centre de coûts IT.

Au cœur des entreprises étendues, l’agilité est de mise. Collaborateurs, filiales, prestataires, fournisseurs, tous ont des besoins croissants en termes d’usages informatiques : mobilité, BYOD (Bring Your Own Device), télétravail font plus que jamais partie de leur quotidien. En dissociant les services utilisateurs du matériel informatique, les technologies de virtualisation supportent les nouveaux usages tout en rationalisant les coûts informatiques.

En prenant position sur un marché fortement concurrentiel, Dell cherche à tirer son épingle du jeu en vue de devenir un acteur incontournable de la virtualisation. La firme texane ne compte cependant pas s’arrêter là et entend bien se positionner sur l’ensemble de la chaîne du matériel informatique. Avec le lancement de tablettes sous Windows 8 à l’automne prochain, le message du constructeur est clair : la conquête des entreprises ne fait que commencer.

Cet article La virtualisation du poste de travail : Dell entre dans l’arène est apparu en premier sur RiskInsight.

Après l’énorme campagne de communication déployée par Microsoft depuis quelques mois sur la nouvelle version de l’OS (Operating System) le plus répandu au monde, la sortie de la Consumer Preview de Windows 8 (le 19 février dernier) permet d’en apprécier les nouveautés et d’alimenter le débat sur toutes les problématiques posées par cette nouvelle mouture. Un changement stratégique et ergonomique, annoncé comme le plus important depuis l’avènement de Windows 95.

Pour l’utilisateur, les nouveautés sont de taille, et la plus marquante est certainement la coexistence de deux interfaces : le « Bureau », similaire à Windows 7, et « Metro », orientée vers un usage tactile, pour le web et les applications. Et c’est l’arrivée de Metro qui aujourd’hui fait débat, par le changement qu’il implique dans la manière d’utiliser son poste.

En effet, la suppression du bouton Windows et la philosophie d’utilisation « tablette » vont certainement surprendre la majorité des utilisateurs et la prise en main risque de prendre un certain temps. Et si cette interface a été pensée pour faciliter la consommation d’informations, usage majeur dans la sphère privée, sera-t-elle pour autant adaptée à la production de contenus en entreprise ? Toujours est-il que, malgré l’aide que pourra apporter la généralisation de l’OS dans le monde grand public, toute apparition de Metro en entreprise nécessitera une importante conduite du changement, dont l’ampleur sera fonction de la politique adoptée par l’entreprise (promotion, autorisation ou blocage de l’interface).

Quels changements pour l’entreprise ?

Outre une nouvelle interface, avec Metro arrive aussi une nouvelle génération d’applications, basées sur un nouveau framework (WinRT) et destinées au monde tactile.

En effet, si les applications compatibles Windows 7 devraient également l’être pour le « Bureau » de Windows 8, il sera nécessaire de les repenser entièrement pour les adapter à l’interface Metro. Et si Microsoft a voulu proposer un OS véloce, c’est au détriment de certaines fonctionnalités, comme le non support d’add-ons sur la version Metro d’internet explorer. Cette adaptation, dans laquelle l’entreprise se trouvera confrontée à l’introduction du HTML 5, pourrait constituer un chantier supplémentaire après la difficile migration des applications de XP vers Windows 7. Concernant les éditeurs, très peu d’éléments ont été rendus publics sur leur stratégie, mais ils vont vraisemblablement devoir s’adapter et proposer une version pour chaque « monde ». Parallèlement, le développement vers Metro est aujourd’hui encore très peu documenté.

Mais au-delà de Metro, on retrouve également une meilleure intégration des solutions de connectivité (Wi-Fi Direct, NFC, USB 3.0…), une gestion native du cloud (Microsoft) et de la virtualisation, ainsi qu’une optimisation des performances permettant notamment un démarrage en 8 secondes. On peut noter quelques innovations comme « Windows To Go », permettant d’avoir une version personnalisée et exécutable de l’OS sur une clé USB, et une migration annoncée « transparente pour l’utilisateur » depuis Windows 7. Mais la force majeure de Windows 8 est de proposer un OS unique pour PC et tablettes (et très similaire pour smartphones), à l’heure où l’augmentation des tablettes est inéluctable dans le SI des entreprises (forces de vente, commerciaux, relation client…).

De par son approche moderniste et sa présence en standard sur de nombreux matériels neufs, Windows 8 devrait progresser rapidement sur le marché grand public. Le tout est maintenant de savoir ce qu’il va en être de son adoption par les entreprises. Après l’échec de Vista et le succès toujours grandissant de Windows 7, la version 8 va-t-elle respecter la règle de « une version performante sur deux » généralement constatée au sein des grandes entreprises ?

L’approche « user-centric », une grande nouveauté Microsoft

L’objectif de Windows 8 est également de replacer l’utilisateur au centre de l’environnement de travail. Il lui permettra de retrouver son environnement personnalisé et ses données sur n’importe quel poste grâce à SkyDrive[1], et de télécharger ses applications favorites via la boutique en ligne Windows Store. Tout ceci à travers l’utilisation de son compte personnel Windows Live. Une façon de rassembler les services en ligne Microsoft autour de l’utilisateur, et de normaliser leur usage. En d’autres termes, Microsoft réinvente l’Apple world.

Cette approche « user-centric » pourra nécessiter la revue des modalités d’intégration des machines au sein d’un SI d’entreprise, de par la nécessité de s’authentifier avec un compte personnel. Faudrait-il alors considérer les terminaux Windows 8 comme forme de BYOD[2] ?

Une actualité à suivre de près

De nombreuses questions restent donc ouvertes, et vont encore faire débat dans les mois qui viennent au fil des annonces de Microsoft et des autres grands acteurs. Faut-il migrer vers Windows 8 ? Est-il préférable de migrer au fil de l’eau ou de mettre toutes les applis en conformité Metro avant de migrer ?

À l’heure où les annonces et les spéculations vont bon train, il faudra suivre de près les débats publics d’un côté et les réflexions stratégiques des entreprises de l’autre, afin de savoir qui sera dans le wagon de tête pour migrer vers Metro.

Cet article Windows 8 – Metro, boulot, perso ? est apparu en premier sur RiskInsight.

Même s’il est aujourd’hui peu probable que l’ensemble des collaborateurs soient prêts à acheter eux-mêmes leur matériel avec une subvention de l’entreprise, certains services ou processus peuvent se prêter à ce type d’innovation, en particulier dans les DSI ou pour des sites ayant des activités classiques de gestion, tels que les sièges.

Aujourd’hui 3 grands chantiers se dégagent pour le DSI : la protection du réseau, l’accès aux applications et l’encadrement des pratiques par une charte spécifique.

Comment protéger les informations de l’entreprise lorsque le collaborateur utilise son équipement personnel ?

Lors de la connexion de postes non maîtrisés (et surtout non maîtrisables), il est essentiel de protéger la disponibilité de son réseau. Ceci passe par la mise en œuvre soit d’un contrôle d’accès au réseau local qui isolera les postes dans un espace dédié, soit par la mise en place d’un réseau Wi-Fi parallèle dédié à cet usage. Il sera alors possible d’isoler les postes les uns des autres et de leur donner accès à des services basiques (accès internet par exemple).

Comment faire pour avoir accès aux applications des entreprises ?

Une fois isolé, le poste personnel doit cependant toujours pouvoir accéder aux applications et aux données de l’entreprise. Ceci sans avoir un système d’exploitation compatible (MacOS, Linux, iOS, Android…) et sans avoir la possibilité de faire fuir facilement des informations. La solution la plus simple est la virtualisation du poste de travail et des applications. En utilisant un client de déport d’écran (de type Terminal Service ou Citrix, parfois même en mode web), l’utilisateur pourra se connecter à un poste virtuel, équivalent à un poste classique. Il aura alors accès à l’ensemble des applications depuis cette bulle isolée et maîtrisée par l’entreprise. Même si cette solution n’embrasse pas complètement le modèle BYOD, qui prône l’utilisation des applications natives du poste, elle permet de garantir une compatibilité avec l’existant, un niveau de sécurité acceptable et elle simplifie les habituels casse-têtes de l’accès aux ressources locales (imprimantes, etc.).

De quels moyens dispose le DSI pour sensibiliser ses collaborateurs à ces nouveaux usages ?

Ces solutions ne sont utiles qu’encadrées par une charte d’usage claire et précise, abordant les points acceptés et ceux interdits. Ce document est également nécessaire pour encadrer les nombreux points non directement liés au SI mais plutôt aux aspects RH et juridiques (assurance des équipements, propriétés des données, accès en cas d’investigations/d’incidents…).

L’avènement du BYOD passe certainement par la mise en place de mécanismes encore plus simples, permettant un accès direct aux données. Mais ceci nécessite une protection au plus près des informations et l’évaluation dynamique de la sécurité des équipements utilisés par les applications. Aujourd’hui, ces technologies ne sont malheureusement pas encore assez mûres pour permettre des déploiements larges.

Heureusement des solutions efficaces et disponibles dès aujourd’hui existent pour permettre l’arrivée du BYOD. Cependant, les investissements d’infrastructure sont importants. L’équation économique devra donc être définie et validée dans chaque entreprise en fonction de son existant (contrôle d’accès réseau/ postes virtuels) et des gains apportés par ces usages innovants !

Cet article BYOD et DSI : quelles marges de manœuvre pour sécuriser les données de l’entreprise ? est apparu en premier sur RiskInsight.

Le concept de virtualisation existe depuis plus de 40 ans (avec les mainframe et systèmes IBM), mais s’est véritablement démocratisé dans les années 2000 lorsqu’il est devenu possible d’exécuter simultanément plusieurs systèmes d’exploitation sur un même poste de travail. C’est essentiellement grâce à la virtualisation système (Microsoft, VMware) qu’il est aujourd’hui connu et son succès a atteint des sommets avec le développement du « cloud computing » (Amazon, Google Apps…).

La virtualisation consiste à faire fonctionner sur une machine physique unique plusieurs systèmes comme s’ils fonctionnaient sur des machines physiques distinctes. Ceci repose sur un concept simple : des instances virtuelles sont orchestrées par un hyperviseur, garant de l’accès, la répartition des ressources et l’isolation entre les instances.

La virtualisation doit avant tout son utilisation aux gains financiers qu’elle apporte en favorisant la consolidation des infrastructures et l’optimisation des ressources utilisées. Elle engendre en même temps des bénéfices opérationnels importants en permettant la mise en place rapide de solutions en haute disponibilité : le passage au « tout logique » apporte une facilité de déploiement et une souplesse de provisionning non offerts dans le monde physique.

En 40 ans, au vu de ces bénéfices, les technologies de virtualisation se sont orientées vers des utilisations diverses, s’étendant à d’autres composants du SI que les systèmes d’exploitation d’origine : postes de travail (sessions virtuelles, VDI…), réseaux (VDC, VRF…), équipements de sécurité (Firewalls, IDS-IPS…).

Des risques technologiques … à relativiser !

Les premières craintes des entreprises vis-à-vis de la virtualisation sont liées à la fiabilité des nouveautés technologiques impliquées : les nouveaux composants introduits, en particulier l’hyperviseur, me garantissent-ils l’étanchéité des systèmes supportés par une même machine physique ?

Il existe effectivement un certain nombre de vulnérabilités exploitables sur ces technologies… mais les risques associés sont finalement peu rencontrés : les technologies phares du marché sont des technologies éprouvées et ces risques peuvent être traités, comme pour tout système, par des mesures de gestion opérationnelles de la sécurité qui sont déjà en place dans les entreprises (patch management, durcissement…). Attention cependant ces processus doivent fonctionner avec efficacité vu l’impact en cas d’incident sur les infrastructures de virtualisation.

Des risques humains … à ne pas négliger !

Si les risques les plus courants de la virtualisation ne proviennent pas de la technique elle-même, ils se situent plutôt dans la gestion de ces nouvelles technologies. La virtualisation introduit dans le SI de nouveaux composants (hyperviseur, consoles…), de nouvelles notions d’infrastructure (réseau virtuel…) et les principaux risques de la virtualisation sont le plus souvent issus d’un défaut d’encadrement liés à ces nouveautés :

• Mauvais usage des consoles d’administration, avec des impacts immédiats « effet boule de neige » en cas de mauvaise configuration : arrêt multiple d’instances, activation de fonctions de décloisonnement…
• Mauvaises pratiques de gestion de la plate-forme de virtualisation, notamment sur les aspects de gestion des inventaires et de capacity planning qui doivent être redéfinis.
• Défaut de séparation des tâches entre les équipes système et réseau, avec tous les risques d’erreur, voire de malveillance, dus à la concentration de ces responsabilités.

Les risques « humains » (erreur, malveillance, absence de séparation des responsabilités) prédominent donc sur des risques « technologiques » relativement moins probables et pouvant être limités grâce à des recommandations classiques.

Un projet de sécurisation de la virtualisation, c’est donc bien entendu un projet d’intégration des nouvelles technologies dans la gouvernance opérationnelle de la sécurité pour traiter les risques techniques liés à son utilisation… Mais aussi et avant tout un projet de réflexion sur les rôles, les responsabilités et les compétences de ses administrateurs, afin de traiter les principaux risques de la virtualisation, à savoir les risques humains ! 

Cet article La virtualisation ne virtualise pas les risques humains ! est apparu en premier sur RiskInsight.

De nombreux incidents ont rythmé l’année. Deux cas ressortent particulièrement : Stuxnet, premier virus ciblant spécifiquement des équipements industriels, Wikileaks et la fuite de données gigantesque qui a touché les Etats-Unis. 2010 a également été une année où de nouveaux usages se sont développés! La virtualisation, qui est maintenant définitivement entrée dans les datacenters, le cloud computing, qui fait ses premières preuves ou encore les smartphones et autres tablettes avec des premiers déploiements métiers mais également des premiers usages innovants d’utilisation d’équipements personnels.

Une nouvelle approche pour de nouveaux enjeux

L’ensemble de ces évènements a aussi montré la limite des approches sécurité classiques. Celles-ci sont basées avant tout sur une protection de l’infrastructure du SI. Nous ajoutons des mécanismes de sécurité sur les différentes briques que sont le poste de travail, le réseau d’entreprise, l’accès Internet, voir le datacenter. Mais cette approche ne permet plus de répondre aux nouveaux enjeux ! En effet l’information est de moins en moins traitée sur les infrastructures de l’organisation. Elle est de plus en plus partagée, avec des partenaires et des clients, accédées depuis des équipements mobiles voir personnels, parfois encore traitées sur des systèmes aux contours plus ou moins connus comme dans le cadre du cloud computing.
Une nouvelle stratégie de réponse doit être envisagée face à ces évolutions, une stratégie qui devra être basé sur un principe simple : protéger au plus près les informations les plus sensibles. En effet pour être efficace et pérenne la sécurité doit se rapprocher de l’information, voir être portée par l’information elle-même, pour pouvoir être mieux partagée tout en étant toujours sécurisée.

Quelles en sont les conséquences ?

Ceci nécessite de planifier des chantiers ambitieux, lié par exemple à la classification des informations les plus sensibles, à la mise en place de mécanismes de protections des données (chiffrement, DRM, DLP…) ou encore à l’inclusion des mesures de sécurité dans les applications (chiffrement, scellement, authentification, processus projet…). Bien entendu les fondamentaux de la gestion des identités jouent un rôle essentiel et devront être encore renforcés pour y ajouter la gestion des partenaires et des clients. Mais il faudra aussi faire évoluer les habitudes, en ayant un focus particulier sur les équipes en charge des applications au cœur de cette nouvelle problématique de protection.L’objectif de 2011 est de faire évoluer nos principes pour aller de la protection de l’infrastructure à une vraie protection des données. Voici une année qui s’annonce donc riche en projets et en challenge !

Cet article 2010 – 2011 : protéger les infrastructures ou protéger les données ? est apparu en premier sur RiskInsight.