Cybersécurité - Innovations digitales et numériques

Le cloud computing est bien plus qu’une simple technologie, il s’agit d’une véritable révolution qui touche tous les services informatiques. Certes, nous avons déjà décrit ce phénomène maintes fois sur ce blog, dont les premiers articles remontent déjà à il y a 5 ans ! Mais le niveau de maturité est tel qu’aujourd’hui, ce sont les DSI eux-mêmes qui mettent en avant ce changement de paradigme.
Comme à chaque révolution informatique, c’est la même constatation, celle que les organisations humaines sont fortement impactées par ces changements quand ils sont réels, et que les aspects humains de conduite du changement priment sur tout. Ce n’est pas une découverte pour beaucoup d’entre nous, mais ce qui est signe de changement, c’est ce renouveau du dialogue entre les DSI et les utilisateurs, qui ne peut qu’être salué comme une énorme avancée.

Légitimement, votre DSI vous alertera sur les risques liés à la sécurité. Après tout, vous souhaitez utiliser des serveurs mutualisés avec d'autres clients de l'opérateur cloud, peut-être vos concurrents. Certes, il est possible de demander à l'opérateur de vous dédier un serveur. Mais il n'en reste pas moins inquiétant de confier ses données à un prestataire externe. Bien sûr, tous vous assurent que tout est sécurisé. Assurez-vous quand même que vos données soient bien protégées derrière différents remparts informatiques successifs, les firewall. Ne loger pas toutes vos informations à la même enseigne. Plus elles sont importantes, plus elles doivent être isolées du reste du réseau. Les plus sensibles méritent sûrement d'être cryptées. Dernier point, lisez bien votre contrat et vérifiez bien que l'opérateur cloud ne prend pas possession de vos données au moment où elles arrivent sur ses serveurs. De même, renseignez-vous bien quant aux possibilité de mettre à terme au contrat  : l'opérateur gardera-t-il vos informations ?

 En tant que fournisseur de service dans l’environnement du nuage, nous avons recherché une solution flexible et à l’épreuve de l’avenir qui assurait des connexions hautement sécurisées, » explique Sascha Carroccio, DPT de swiss cloud computing ag. Les critères additionnels comprenaient l’indépendance de carte SIM relative au périphérique et au serveur. Lors de l’événement World Hosting Days 2013 à l’Europapark de Rust, Carroccio a rencontré Erich Kronfuss, directeur de la filiale autrichienne de ProSoft Software Vertriebs GmbH, pour parler des possibilités offertes par la solution d’authentification forte de SecurAccess élaborée par SecurEnvoy. Le logiciel de gestion d’identité a fait une première impression excellente. Suite à des discussions intenses avec M. Kronfuss et une phase pilote réussie, la société suisse a donc opté pour SecurAccess. La solution propose un éventail de canaux de transmission pour l’identification numérique à six chiffres, telle que l’identification par SMS, l’application de jeton virtuel ou l’identification par e-mail. En outre, pour le DPT, le fait que ProSoft ait fourni un service et une assistance de qualité pendant toute la période d’évaluation, par exemple concernant l’intégration du portail SMS, a représenté un facteur important. « Sur la base de nos expériences, il est clairement apparu dès le début que la transmission par SMS serait le canal de choix pour nous, parce qu’il s’agit de la méthode de communication la plus pratique et la plus familière. Nos clients utilisent nos services parce que nous sommes en mesure de répondre à leur souhait de flexibilité et de mobilité. L’acquisition de matériel coûteux supplémentaire pour générer les numéros d’identification n’était donc pas une option possible. L’authentification forte utilisant les SMS est déployable, présente un modèle de tarification concurrentiel, assure la continuité de l’activité et convient parfaitement à notre mission de qualité, de transparence et de sécurité », explique Sascha Carroccio.

Il faut dire que le SEPA va changer la vie des PME sur plusieurs points : trésorerie, juridique, informatique (mises à jour de logiciels de comptabilité et de paie) et gestion achats-commercial-RH (voir encadré ci-dessous). Au niveau des grandes entreprises, ce n’est pas forcément évident non plus de modifier le système d’information aux nouvelles normes de paiement unifié. Ainsi, fin novembre 2013, Silicon.fr signalait chez EDF un bug affectant 40 000 clients d’EDF associé à cette migration.

Pour résoudre ce problème, « La meilleure approche est de déployer des solutions en mesure de surveiller les applications SaaS, et autres formes de trafic Web, et d’appliquer uniformément les politiques sécuritaires de l’entreprise, sans pour autant restreindre les capacités des employés à mieux faire leur travail », conclut David Grout.  

Enfin, quand bien même on aurait misé sur le mauvais cheval à long terme, rappelons-nous que l’essentiel des gains d’une démarche de Cloud sont liés à la transformation de l’entreprise (voir Pousser le Cloud privé au bout de sa logique : un potentiel énorme ). Une technologie non pérenne qui aurait permis de se mettre en route et commencer à changer la culture de l’entreprise pour exploiter le paradigme Cloud n’est pas complètement un mauvais choix.

Débuté en 2010 en Australie, le déploiement de la solution se fait progressivement. Les équipes de Cegid ont notamment dû industrialiser les processus d'intégration pour suivre le rythme exigé par L'Occitane. Cette méthode semble d'ailleurs avoir porté ses fruits puisque l'éditeur a réussi à déployer la solution dans 220 magasins européens répartie sur 8 pays en une seule nuit. Aujourd'hui, 1 000 points de vente utilisent Yourcegid Retail.
Grâce à cette solution, l'Occitane bénéficie non-seulement d'une solution globale de gestion capable de s'adapter aux spécificités de chaque pays mais également de fonctions de GRC qui répondent aux ambitions de sa stratégie orientée client. En outre Yourcegid Retail permet également au groupe d'accéder à la mobilité en magasin, l'intégration omni-canal ou des services "click and collect".

En France, si la plupart des investissements ont été réalisé dans le Saas (59%), ceux du Iaas (Infrastructure as a service) sont non négligeables à 41%. Mais le Paas (Plateforme as a service) reste à la traîne à 29% surtout en comparaison du reste du monde où le Paas atteint 43% des investissements. Les Google App Engine, Windows Azure et autre Amazon EC2 auraient-ils du mal à convaincre les DSI hexagonaux ?

Pont vers l'avenir. Le problème, c'est qu'avec certains prestataires d'applications en ligne, il devient difficilement envisageable de se séparer. Avant tout engagement dans le cloud, il est donc indispensable de se préoccuper de ce qu'il adviendra des données à la fin du contrat (c'est ce que l'on appelle la réversibilité). Ainsi, quand l'Américain Nirvanix a annoncé la fermeture de son service de stockage dans le nuage, suite à son dépôt de bilan, il a donné seulement deux semaines à ses clients pour récupérer leurs données ! Il est donc indispensable de réfléchir en amont à la bonne manière de procéder en cas de défaillance du prestataire.Mais transférer des données de l'un à l'autre est un projet informatique en soi, dont le coût dépend de la nature des informations et du type de logiciel qui les gère. Un projet de migration peut ainsi se révéler très coûteux si toute la relation client de l'entreprise a été placée dans le cloud, ou si toute son activité industrielle et sa comptabilité sont gérées dans un logiciel à la demande. La société doit en effet s'assurer d'avoir accès à toutes ses données afin de créer de nouveaux fichiers complets, ou encore bâtir des ponts informatiques entre l'ancienne et la nouvelle application (les fournisseurs de cloud n'utilisent évidemment pas tous les mêmes technologies).Les prestataires compétents et les outils de transfert existent pour les grands acteurs du secteur tels que Salesforce.com ou Microsoft Dynamics CRM. Bien entendu, les choses se compliquent - et, donc, coûtent plus cher - lorsqu'il est question de services plus pointus. Ceux qui n'auront pas anticipé cet aspect au moment de basculer dans le nuage risquent de regretter amèrement les économies réalisées précédemment. Autant de points qu'il convient d'intégrer à son calcul de coûts lorsqu'on décide de basculer ses données vers le cloud. Même les plus beaux cumulus dégénèrent parfois en orages.

A travers l'utilisation de White Canyon WipeDrive, EndSec Remove dispose de toutes les certifications documentées pour assurer la destruction sécurisée et complète des données sur ordinateurs, smartphones ou tablettes. A ce titre, White Canyon WipeDrive a obtenu la plus haute certification NIAP EAL4+ par Common Criteria, seul organisme reconnu internationalement dans l'évaluation du niveau de sécurité des produits et systèmes informatiques, qui regroupe 27 pays membres, dont la France (ANSSI). Réalisée par le laboratoire Booz Allen Hamilton Common Criteria Testing, cette validation atteste que White Canyon WipeDrive efface d'une façon définitive toutes les données présentes sur les disques (partitions DCO et HPA incluses). Elle garantit que l'ensemble des données est irrémédiablement supprimé et que l'utilisation d'un utilitaire de récupération restera sans conséquence.