En poursuivant votre navigation sur ce site, vous acceptez l'utilisation de cookies pour recueillir vos informations de connexion, collecter des statistiques en vue d'optimiser les fonctionnalités du site et adapter son contenu à vos centres d'intérêt.
En savoir plus et paramétrer les cookies Accepter
Comparateur de logiciels de gestion
Avec notre comparateur en ligne, trouvez en quelques clics la solution à votre besoin
agenda
Agenda
Solutions IT
  • 06/12/2017
    Paris Open Source Summit

    Paris Open Source Summit, premier événement européen libre et open source, est le fruit de…

    en détail En détail...
  • 15/11/2017
    Cloud Expo Europe Paris 2017

    Cloud Expo Europe, Paris 2017, c'est le grand rassemblement d'experts dédiés au Cloud. Parmi les…

    en détail En détail...
Jalios_Digital Summit 2017_leaderboard

Pas de lieu sûr pour les données sans gérer les habilitations

Jalios_Digital Summit 2017_pave
sécu-authentification

Protéger ses données sensibles passe par une gestion rigoureuse des droits d’accès aux applications, par une classification des informations et par des procédures adaptées. C’est ce qu’il ressort des témoignages recueillis aux Assises de la sécurité.

Les grandes marques n’ont plus le choix face aux fuites de données entachant leur réputation. Elles se penchent sur la gestion des identités et sur les habilitations auprès des serveurs critiques. Passer par un portail unifié d’accès aux applications simplifie le quotidien des utilisateurs, ils interagissent avec plusieurs services distants à l’aide d’une seule déclaration – un couple identifiant-mot de passe le plus souvent. Au passage, l’auditabilité concerne les accès aux applicatifs du portail et à leurs données, un must en matière de traçabilité.

Matthieu Lamothe, La Poste

Matthieu Lamothe,
La Poste

«Nous travaillons avec la solution Sign&go d’Ilex qui regroupe une fédération d’identités et une gestion des accès via un portail web SSO (Single Sign-On). Les 250 000 utilisateurs des bureaux de poste disposent d’un accès simple aux systèmes sensibles du siège, de la RH et de la comptabilité. Chaque salarié voit l’ensemble de ses applications sous son portail et y accède d’un clic, sans se déclarer à nouveau», retrace Matthieu Lamothe, chef de Projet IAM (gestion des identités et des accès) à la DSI centrale de La Poste.

Sécurité et productivité réconciliées

Gain de productivité et de sécurité vont enfin de pair : La Poste constate une baisse des appels au support technique grâce à l’unification des mots de passe et la facilité d’accès aux programmes. Le projet IAM est mené sans rogner sur le niveau de sécurité, en soignant l’intégration des applications et le respect des protocoles standards. La généralisation du SAML (Security Assertion Markup Language) et de l’annuaire LDAP (Lightweight Directory Access Protocol) fédèrent ainsi les identités au-delà du réseau interne : «Début 2015, les utilisateurs des filiales de la Poste, identifiés dans leur branche, accéderont de façon transparente à nos applications, via une synchronisation de nos annuaires menée en tâche de fond», prévoit le chef de projet. Quant au risque de fuites de données vers l’extérieur, il est couvert par le périmètre du réseau interne et par la corrélation et l’analyse constante de journaux systèmes. Après un audit de l’existant, la Poste a identifié ses applications sensibles à migrer en priorité – une soixantaine de services distribués.

Traitant des données financières et de santé, Docapost BPO (filiale du groupe La Poste depuis l’été dernier) emploie 2 000 salariés, une vingtaine d’informaticiens à la production et trois experts en sécurité IT. Ces derniers surveillent, en particulier, les incidents liés aux menaces externes et internes : attaques ou erreurs humaines.

Un bastion protège les données sensibles

Yannick Kereun, Docapost BPO

Yannick Kereun,
Docapost BPO

Chaque information numérique est classifiée, selon quatre niveaux de confidentialité, du public au secret. Et deux chartes d’utilisation sensibilisent les utilisateurs de la bureautique d’une part, et les exploitants de bases de données et de comptes à privilèges d’autre part. «Nous avons complété notre dispositif de corrélation d’événements de sécurité par un outillage préventif de contrôle d’accès, en mode bastion, d’origine Balabit. En cas d’incident, on peut remonter dans le temps pour vérifier ce qui s’est passé sur un serveur sensible, et distinguer une malveillance avérée d’une simple maladresse», précise Yannick Kereun, le RSSI Docapost BPO.

Acteur impliqué dans la dématérialisation, le traitement de chèques, le vote et la signature électronique, Docapost BPO conserve une traçabilité complète de l’activité de ses serveurs et équipements d’interconnexion pour former un faisceau de preuves en cas de besoin.

Se roder aux enquêtes cybercriminelles

Loïc Guezo, Trend Micro

Loïc Guezo,
Trend Micro

Le smartphone, prolongation du cadre itinérant, devient une cible majeure pour les cybercriminels. Il transporte de nombreuses données personnelles et contient des applications sensibles reliées au SI de l’entreprise ou à celui de la banque à distance, rappelle Loïc Guezo, directeur de Trend Micro pour l’Europe du sud : «Notre cellule de veille constate l’apparition de plusieurs millions de malwares sur mobiles, en croissance exponentielle.» L’éditeur japonais répond maintenant aux demandes d’OIV français (opérateurs d’importance vitale). Quitte à s’exposer davantage aux attaques en réseau, il renouvelle sa collaboration avec Interpol au niveau mondial, pour trois ans, en contribuant à développer de nouvelles capacités d’enquêtes cybercriminelles. Freiner la captation de données numériques, c’est aussi renforcer les connexions des terminaux mobiles vers les serveurs du Cloud. Apporter un chiffrement robuste et des fonctions d’étanchéité entre les applicatifs mobiles, c’est la promesse de Cloud App Security pour Office 365, nouveau service proposé par Trend Micro sur le Cloud Azure. Loïc Guezo explique que «beaucoup d’entreprises basculent leur bureautique en mode Cloud Office 365. Or on sait que Microsoft a collaboré avec la NSA depuis 2007. De nombreux décideurs s’interrogent donc sur le devenir de leurs données lorsqu’elles sont mises à disposition des partenaires étendus de l’éditeur. Notre solution consiste à mettre en place des fonctions de sécurité indépendantes de Microsoft, sous la garantie complète du client final ou d’une tierce partie de confiance.»

Vu sous l’angle de la sécurité, le Cloud computing ne résout pas toutes les difficultés propres à chaque entreprise et ses métiers. La gestion des accès, l’inventaire et la classification des données évitent de sur-sécuriser des informations qui ne le méritent pas. Des mesures importantes pour garantir le bon niveau de sécurité d’un système d’informations.

Enfin, parmi les derniers terminaux vulnérables, les objets connectés, bracelets communicants et autres sondes de traçabilité sont sensibles aux failles systèmes telles que Bash Shellshock. Leurs fournisseurs doivent donc anticiper la découverte de brèches et faciliter la mise à niveau, à distance, de leurs systèmes embarqués.

Auteur : Olivier Bouzereau

Dossier publié dans Solutions IT N°2

Pas de lieu sûr pour les données sans gérer les habilitations
Notez cet article

Pénurie de compétences IT ?

Anticipez en formant vos équipes. Trois conseils aux responsables informatiques pour garder une longueur d'avance

Lire le livre blanc Vodeclic

Sondage

Windows 10 et vous

Voir les résultats

Loading ... Loading ...
Nos derniers dossiers
Témoignages
Juridique
  • Amazon : Bruxelle veut mettre au pas le géant américain - 250 M € à rembourser

    Bruxelles inflige aujourd'hui une amende de plusieurs centaines de millions d'euros à Amazon, alors que…

    > En savoir plus...
Paroles d'experts
Paroles
d'experts
  • Avis d'expert - Pour un « manifeste de l’automatisation »

    L'automatisation a le pouvoir de transformer la société, de révolutionner la façon dont les entreprises…

    > En savoir plus...
Etudes/Enquêtes
  • Gestion de l'expérience collaborateurs : à charge des RH ou des DSI ?

    Les ressources humaines (RH) ont longtemps été considérées comme étant responsables de l'expérience des employés.…

    > En savoir plus...
newsletter
Inscription Newsletter

Restez informé. L’abonnement à la newsletter est gratuit.

> Abonnement

Guide de la cybersécurité 2017-2018

Bomgar_Cybersecurity_skycraper
Agenda
livres blancs
Les Livres
Blancs
elo_processus pointe_skyscraper