Abonnez-vous à ce blog par e-mail.

Saisissez votre adresse e-mail pour vous abonner à ce blog et recevoir une notification de chaque nouvel article par email.

ITIL – 6 autres erreurs de mise en oeuvre

Après la publication de notre article intitulé ITIL – 5 erreurs majeures de mise en oeuvre, nous vous proposons 6 autres erreurs parmi les plus importantes et les plus courantes commises pendant dans la phase d’implémentation.

ITIL - 6 autres erreurs de mise en oeuvre ou comment chaque erreur d'implémentation des meilleurs pratiques ITSM peut conduire votre organisation à l'échec
Crédit © Photo 5000 – 2018

Dans un précédent article, j’ai décrit cinq façons différentes de mal utiliser ITIL :

  • Vouloir absolument « implémenter » ITIL,
  • Se focaliser seulement sur les processus,
  • Miser sur un nouvel outil de gestion des services informatiques (ITSM) p
  • our résoudre tous les problèmes,
  • Démarrer la réalisation de projets (ou de programmes) volumineux et trop longs à générer de la valeur,
  • Et enfin assigner une personne pour chaque rôle.

Dans ce nouvel article, je propose six autres erreurs parmi les plus courantes dans le cadre de la mise en oeuvre des bonnes pratiques ITIL. Bien sûr je vous indique également ce que vous pouvez faire pour les éviter.

Il n’est pas nécessaire d’avoir lu mon précédent article. Cependant il peut vous aider à mieux comprendre tout ce qui pourrait empêcher votre organisation de tirer pleinement parti des avantages offerts par ITIL.

Il existe donc six autres façon de mal comprendre et de mal utiliser ITIL.

Erreur N° 6 : Mettre en place des SLA pour de mauvaises raisons

Un accord de niveau de service (SLA) est un accord signé entre un fournisseur de service et son client. C’est donc un « contrat » entre deux parties sur la fourniture d’un service dans lequel le fournisseur prend des engagements. La différence entre un SLA et un contrat c’est que dans le cas d’un SLA les deux parties peuvent appartenir à la même organisation. Il n’y a donc généralement pas de clause juridique dans un SLA. Cependant, tout comme un contrat, le SLA contient une description du service, ainsi que les mesures et objectifs convenus. Ce sont ces objectifs qui seront utilisés pour mesurer et consigner dans quelle mesure le fournisseur fournit le service.

Les accords de niveau de service sont des outils utiles pour formaliser la relation entre deux parties prenantes. Les conseils de meilleures pratiques ITIL suggèrent qu’ils sont très utiles. Toutefois, certains fournisseurs de services informatiques pensent que s’ils respectent les mesures du contrat de niveau de service, ils ont alors fait tout ce qui était nécessaire. Malheureusement, les SLA sont souvent rédigés par le service informatique avec très peu ou pas de participation des clients. Trop souvent, les clients sont totalement insatisfaits, même lorsque tous les paramètres SLA ont été respectés.

Les mauvaises raisons pour la mise en oeuvre des SLA

Le premier cas consiste à mettre un SLA en place à l’initiative du département informatique afin de montrer aux métiers que l’informatique est performante malgré leur mauvais ressenti. Les indicateurs et les métriques sont alors élaborés dans ce sens. Au final le client est toujours insatisfait, mais en plus il s’aperçoit qu’on a essayé de le tromper. Cela n’améliorera pas la relation.

A l’inverse, le SLA peut également être mis en oeuvre à l’initiative des clients qui ne sont pas satisfaits du service. Ils veulent ainsi démontrer de façon tangible que les services délivrés par le département informatique sont de mauvaise qualité. Le risque c’est qu’alors, afin de satisfaire les clients, le département informatique accepte des engagements de niveau de service irréalisables. Cela est souvent dû à un manque de ressources ou à une prise de risque trop importante.

La bonne approche pour les accords de niveau de service

Si vous avez convenu d’un accord de niveau de service avec votre client, il est important de respecter les engagements que vous avez pris. Mais il est bien plus important encore de satisfaire les besoins réels du client, même s’ils sont difficiles à mesurer et à consigner. Les clients sont tout à fait capables de vous dire ce qu’ils ressentent vraiment si vous leur demandez. Un accord de niveau de service peut être un outil utile si vous souhaitez fournir de bons services. Par contre, il est beaucoup plus important de parler à vos clients et de vous assurer qu’ils sont satisfaits de ce que vous livrez. C’est là l’objectif de la gestion de la relation client dont l’implémentation doit être réalisée en parallèle de la gestion des niveaux de service. Malheureusement, c’est rarement le cas dans les entreprises que j’ai pu conseiller.

Erreur N° 7 : Oublier les attentes des vrais clients de l’informatique

J’ai travaillé avec de nombreuses organisations informatiques constituées de groupes cloisonnés (on parle de silos) qui ne comprennent pas comment ils s’intègrent dans une chaîne de valeur globale. Chaque groupe effectue simplement le travail qui lui est assigné de la manière la plus logique. Il n’a aucune idée de la manière dont cela contribue à la création de valeur pour les clients payants. Cela aboutit le plus souvent à des activités inefficaces et peu rentables, qui n’apportent aucune valeur réelle pour l’organisation ou ses clients.

Il y a de nombreuses années, un manager très sage m’a dit: « Je veux que vous arrêtiez ce que vous faites au moins une fois par jour et que vous vous demandiez: « Si les clients payeurs savaient qu’ils finançaient cette activité, que ressentiraient-ils? « . C’est un exercice fabuleusement simple que tout le monde peut faire. Et cela aide vraiment les gens à se concentrer sur la création de valeur pour les clients réels.

Une autre façon d’éviter les comportements cloisonnés consiste à rassembler des personnes appartenant à différentes équipes informatiques. Par exemple, organisez un atelier où les participants font un suivi détaillé de leur travail. L’objectif est de voir comment chacun contribue à la réalisation des objectifs généraux. Un exercice comme celui-ci peut aider à identifier les principales opportunités d’amélioration. En effet, il indique les domaines dans lesquels il ya un gaspillage important et où certaines équipes peuvent difficilement obtenir des résultats.

Erreur N° 8 : S’intéresser uniquement à la transition et à l’exploitation

Certaines personnes pensent qu’ITIL conseille uniquement sur la gestion des incidents, des problèmes et des changements. Ces éléments sont importants, certes, mais ils ne peuvent en aucun cas suffire à créer de la valeur pour vos clients. Si vous ne gérez pas le cycle de vie complet du service, il manquera des éléments essentiels.

ITIL 2011 décrit très précisément le cycle de vie des services qui est composé de 5 étapes :

  • La stratégie de service consiste à comprendre les marchés, à engager le dialogue avec les clients, à définir une orientation, à définir un portefeuille de services et à gérer les finances nécessaires pour offrir la valeur requise.
  • La conception de services consiste à collecter des exigences détaillées et à concevoir tout ce qui est nécessaire pour que les services nouveaux ou modifiés répondent aux besoins des clients.
  • La transition de service consiste à concevoir, créer le service nouveau ou modifié, à s’assurer qu’il est adapté à son usage et à son utilisation, et à le mettre en production tout en gérant les risques associés.
  • L’exploitation du service consiste à garantir que le service continue de fournir la valeur attendue aux clients et aux utilisateurs.
  • L’amélioration continue du service consiste à surveiller et à améliorer tout ce que vous faites dans l’informatique, pas seulement les processus, mais également les services, les compétences, la conception de l’organisation, les rapports, etc.

La mise en oeuvre de chacune de ces phases est absolument nécessaire dans votre implémentation ITSM. A défaut il y aura des « trous dans la raquette » et vos ne satisferez pas les besoins de vos clients. Est-ce vraiment le cas donc votre organisation?

Erreur N° 9 : L’Obsession d’avoir des mesures positives

Les praticiens ITSM comprennent l’importance de mesurer ce qu’ils font. Les métriques sont idéales pour signaler les tendances et pour déclencher des actions. Mais dès que la métrique devient l’objectif, peu importe la qualité de ces métriques, elles cessent d’avoir du sens.

La loi de Goodhart (du nom de l’économiste Charles Goodhart) dit que « lorsqu’une mesure devient une cible, elle cesse d’être une bonne mesure« . Cela est aussi vrai dans l’ITSM que dans l’économie. Si vous dites à quelqu’un que sa prochaine augmentation de salaire dépend de l’obtention d’un indicateur spécifique, fera tout ce qui est nécessaire pour que ce objectif soit correct. Mais cet objectif correspond-il vraiment à ce que vous ou votre client souhaitez qu’il fasse.

Une chose que je fais toujours lorsque je définis des indicateurs de performance clés (KPI) est de demander: «Quel comportement les gens adopteront-ils pour s’assurer que cet indicateur de performance clé est respecté?». C’est souvent suffisant pour me dire que l’indicateur causera un comportement que je ne veux pas encourager. C’est donc un indicateur que je ne devrais PAS mesurer ni signaler. Deux questions sont essentielles. Vos clients sont-ils satisfaits des métriques que vous utilisez? Et savez-vous quels types de comportement sont induits par vos indicateurs de performance clés?

Erreur N° 10 : Déléguer l’amélioration continue à quelqu’un d’autre

Certaines organisations ignorent complètement en quoi consiste l’amélioration continue. D’autres désignent un responsable de l’amélioration continue. Alors le plus souvent,  tous les autres présument qu’ils ne sont pas obligés de participer, car «c’est le travail de quelqu’un d’autre».

C’est bien d’avoir un responsable de l’amélioration continue qui facilite et encourage l’amélioration continue. Mais cela suppose que tout le monde s’attende à assumer la responsabilité de certains aspects de l’amélioration continue. Il est essentiel que chaque processus, chaque service, chaque technologie, chaque équipe et chaque individu contribue à une amélioration continue. Et cela ne peut être fait que par des personnes qui connaissent, comprennent et s’approprient ce qui doit être amélioré.

Par exemple, je pense à mes propres compétences et à mon expérience et j’identifie les choses que je peux faire pour améliorer. Il peut s’agir de lire un livre ou un blog, d’assister à un cours de formation, de travailler avec un mentor, de télécharger et de essayer un outil logiciel, etc.

Erreur N° 11 : Investir uniquement sur des formations ITIL de base

Il existe de nombreux cours de formation ITIL Foundation et de nombreux professionnels de l’informatique réussissent leur certification ITIL. Malheureusement ces cours ne permettent pas, le plus souvent, de faire progresser la compétence de leurs étudiants. Nombreux sont ceux qui deviennent des professionnels certifiés ITIL mais ne savent absolument pas comment appliquer les concepts ITIL.

La vérité est que tout le monde peut lire un guide de l’étudiant et apprendre les concepts ITIL. Malheureusement cela ne les mènera pas très loin, pas plus que leur organisation. ITIL est un guide et non un évangile. Vous devez donc comprendre son impact et son intégration dans votre organisation. La seule façon de le faire est d’investir dans le cours de base ITIL Foundation avec un instructeur expérimenté qui peut montrer aux étudiants comment appliquer ITIL à leur organisation. Mais surtout, vous ne devez pas vous limiter à apprendre par coeur des concepts du vocabulaire (ce qui est l’objet du cours Foundation).

Vous devez approfondir ces concepts et apprendre à les mettre en pratique. C’est l’objet des formations Intermediate Capability et du niveau Practitioner. Dans la réalité peu de professionnels de ‘ITSM (moins de 5%) suivent ces cours et obtiennent les certifications correspondantes. Ils restent donc sur le bord de la route à parler de sujets qu’ils ne comprennent pas en profondeur. Lorsqu’ils essaient de les mettre en oeuvre, l’échec est souvent au bout de la route.

En conclusion…

ITIL peut être extrêmement utile si ses concepts sont soigneusement adoptés et adaptés. Et si vous envisagez de l’utiliser pour soutenir votre organisation, rien ne remplace la réflexion sur ce que vous faites. Évitez les erreurs que j’ai décrites dans cet article. Adoptez et adaptez avec soin les meilleurs pratiques. Dès lors, vous et vos clients obtiendrez une réelle valeur ajoutée grâce à ITIL. Parlez nous de votre expérience!

RGPD – La CNIL ordonne l’effacement de 14 millions d’enregistrements

La société SINGLESPOT produit une solution technique permettant aux développeurs d’applications mobiles de monétiser leur applications grâce à de la publicité ciblée. Le 26 Mai 2018, dans le cadre du RGPD (GDPR), cette société est l’objet d’un contrôle par la CNIL. Celle-ci met alors en demeure SINGLESPOT d’effacer 14 millions d’enregistrements de données personnelles.

RGPD / GDPR : La CNIL met SINGLESPOT en demeure d'effacer 14 millions d'enregistrements de données personnelles
Crédit © rawpixel 2018

C’est le premier contrôle de la CNIL réalisé depuis l’entrée en vigueur des sanctions prévues par le RGPD. Mais Singlespot est la troisième start-up du secteur du marketing mobile à être mise en demeure par la CNIL cette année. Celle-ci souhaite informer le public sur l’utilisation de technologies s’appuyant sur la géolocalisation des téléphones portables.

Les grands groupes ne sont pas les seuls concernés par la protection des données personnelles. Près de cinq mois après l’entrée en vigueur du RGPD, les start-ups sont, elles aussi, surveillées de près par la CNIL. « Les entreprises sont toutes concernées, à partir du moment où elles gèrent une quantité importante de données », rappelle Mathias Moulin, directeur de la protection des droits et des sanctions à la CNIL.

Après Teemo et Fidzup, Singlespot est la troisième start-up utilisant des données de géolocalisation à des fins publicitaires à être mise en demeure par la CNIL. Alors que la procédure liée à Teemo a été clôturée, celle liée à Fidzup est toujours en cours. De son côté, Singlespot dispose de trois mois, à compter du 23 octobre, pour se mettre en conformité avec le RGPD. A défaut, la société s’expose à des sanctions financières importantes.

Pourquoi rendre public le cas de Singlespot?

Nul doute que ce n’est pas la seule organisation à avoir été contrôlée par la CNIL depuis le 25 Mai 2018. Pourtant toutes les infractions, pas plus que toutes les mises en demeure ne sont pas rendue publiques.

La délibération du bureau de la CNIL, datée du 18 octobre 2018 explique clairement les raisons de cette publicité. Le bureau estime que la publicité de la décision de mise en demeure se justifie par les caractéristiques des manquements. Alors quels sont ces manquements si graves qui justifient cette décision?

Les constats effectués par la CNIL

La société SINGLESPOT s’appuie sur une technologie dénommée SDK afin de collecter des données à caractère personnel via les smartphones et d’effectuer des campagnes publicitaires mobiles auprès des personnes.

À l’occasion de ses investigations, la CNIL a constaté que la société collecte des données de géolocalisation. Et elle le fait sans recueillir le consentement des personnes. Un tel traitement constitue, de fait, un risque particulier au regard de la vie privée. En effet, il révèle les déplacements des personnes et leurs habitudes de vie.

Le bureau de la CNIL indique également que le nombre massif de personnes susceptibles d’être impactées par le traitement mis en œuvre par la société SINGLESPOT constitue une justification pour la publicité de cette décision. En effet, le SDK est intégré à des dizaines d’applications mobiles et une partie importante de la population possède un smartphone. À cet égard, le bureau relève que le SDK installé sur les applications collecte les données de géolocalisation des personnes environ toutes les cinq minutes. De plus, il a été constaté par la délégation de la CNIL que plus de 5 millions d’identifiants avaient été collectées par la société.

Les raisons profondes de cette publicité

Le bureau estime, que, vu la gravité des faits constatés, il est du devoir de la CNIL de mettre les personnes concernées en mesure de conserver le contrôle de leurs données. Cet objectif ne saurait être atteint qu’en assurant le plus haut niveau de transparence sur la collecte des données, notamment de géolocalisation, et la finalité du traitement mis en œuvre par la société SINGLESPOT.

Enfin, la CNIL dont on connaît le manque de moyens, souhaite sensibiliser les professionnels du secteur. Cette sensibilisation est d’autant plus importante que la collecte de données à caractère personnel à des fins de profilage et de ciblage publicitaire, notamment à partir des lieux fréquentés par les personnes, connaît une forte croissance. De plus, l’utilisation de tels mécanismes s’inscrit dans un écosystème faisant intervenir plusieurs acteurs. Il s’agit en particulier des éditeurs d’applications mobiles et des clients annonceurs. Il est donc essentiel de les alerter sur les enjeux de la protection des données personnelles des clients.

Le bureau de la CNIL rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisation se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.

Les faits constatés par la CNIL

L’activité de l’entreprise

La mise en demeure adressée par la CNIL à la société SINGLESPOT révèle le détail des faits constatés lors des investigations.

La particularité de la solution technique mise en place, du point de vue RGPD, tient à ce que la société établit des profils de consommateurs géolocalisés. Elle peut ainsi suivre les utilisateurs au long de leurs déplacements et leur proposer des publicités en fonction de leur localisation. “Sont ainsi, par exemple, ciblés les mobinautes s’étant rendus dans des magasins concurrents et ceux ayant visité le magasin d’un client au cours des 15 derniers jours”.

Les données collectées étaient les suivantes : l’identifiant publicitaire mobile, le nom et la version de l’application mobile et le système d’exploitation utilisé (ANDROID ou IOS). Ces données étaient ensuite croisées avec des points d’intérêts, déterminés par les annonceurs (ex: boutiques concurrentes) afin de qualifier le profil de l’utilisateur pour le ciblage publicitaire souhaité.

Le constat réalisé par la CNIL

La délégation de la CNIL a pu constater que la collecte des données de géolocalisation des personnes était opérée :

  • tous les 200 mètres pour les applications installées sur le système d’exploitation IOS ;
  • toutes les cinq minutes sur le système d’exploitation Android.

Les données des utilisateurs étaient transmises à la société SINGLESPOT sans que les personnes n’en soit spécifiquement informées et sans que leur consentement ne soit recueilli pour cette transmission.

Au terme du contrôle effectué, la CNIL constatait que plus de 14 millions d’identifiants publicitaires étaient présents dans les bases de données de SINGLESPOT, dont plus de 5 millions associés à des données de géolocalisation. Il s’agit là d’un identifiant unique lié au téléphone mobile des personnes ayant utilisé les applications des éditeurs partenaires de l’entreprise.

La CNIL notait également que les données de géolocalisation des personnes étaient collectées et conservées dans les bases de données de la société, même lorsque les utilisateurs étaient situés en dehors des points d’intérêts géographiques déterminés. De pus la durée de conservation par Singlespot atteignait treize mois à compter de la date de la collecte.

La non conformité au RGPD

Du point de vue du RGPD nous sommes apparemment face à un traitement dit de “profilage”. Le profilage est défini par l’article 4.4 du RGPD comme “toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique”.

Or, on le sait, la CNIL est particulièrement sensible à ce type de traitement.

D’un point de vue juridique, on voit quatre problèmes se profiler. La CNIL les a évidemment relevés :

  • une collecte de données personnelles sans information préalable et sans consentement
  • une violation probable des principes de loyauté et de transparence (art. 5.1.a)
  • la violation probable du principe de minimisation (art. 5.1.c)
  • une interrogation quant à la base légale sur laquelle repose le traitement (consentement ?).

Les manquements relevés par la CNIL

Lors de son contrôle, la CNIL a relevé plusieurs manquements aux dispositions légales sur la base du RGPD :

  • Un manquement à l’obligation de disposer d’une base légale pour la mise en œuvre du traitement. L’entreprise affirmait que les opérations de ciblage étaient basées sur le consentement des personnes. Or la CNIL a relevé “qu’au moment de l’installation des applications contrôlées, les personnes ne sont pas informées de la collecte de leurs données de géolocalisation via le SDK à des fins de profilage des utilisateurs et de ciblage publicitaire”
  • Le non-respect de l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement. Il s’agit là, en fait, du principe de minimisation du RGPD. A ce titre, la CNIL mentionne à juste titre : “la Commission considère que l’utilisation des dispositifs de géolocalisation est particulièrement intrusive au regard des libertés individuelles, dans la mesure où ils permettent de suivre de manière permanente et en temps réel des personnes, aussi bien dans l’espace public que dans des lieux privés. Ainsi, la CNIL estime que les données de géolocalisation ne peuvent être conservées que pour une durée strictement proportionnée à la finalité du traitement qui a justifié cette géolocalisation”
  • Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données. En fait, le mot de passe administrateur consistait en un mot de passe de 16 caractères composé uniquement de trois types caractères différents (majuscules, minuscules et chiffres). Ceci contrevenait à la charte de sécurité de l’entreprise. Celle-ci préconisait un mot de passe de 10 caractères minimum composé de majuscules, minuscules, chiffres et caractères spéciaux. La CNIL relève également une utilisation non conforme des données utilisateurs des bases de données de production. En effet, celles-ci étaient utilisées dans les environnements de développement. Cette utilisation viole ainsi le principe de confidentialité

Le dernier manquement concernant la sécurité informatique relevé par la CNIL. Il semble ressortir des faits que l’entreprise développait ses applications directement dans des environnements de production. Cette pratique représente un risque majeur en matière d’intégrité des données des personnes concernées. Ce risque bien se rajouter à celui qui pèse sur la confidentialité.

Le contenu de la mise en demeure adressée par la CNIL

En conséquence, la société SINGLESPOT a été mise en demeure sous un délai de trois (3) mois à compter de la notification de la décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :

  • ne pas procéder sans base légale au traitement des données de géolocalisation des personnes à des fins de ciblage publicitaire, en particulier recueillir, de manière effective, le consentement préalable des utilisateurs des applications éditées par les partenaires de la société SINGLESPOT au traitement de leurs données par cette dernière (par exemple par la mise en place d’un pop-up contenant une information et une case à cocher dédiées ou un bouton de refus) et à défaut, supprimer lesdites données collectées ;
  • sous réserve de base légale du traitement, définir et mettre en œuvre une politique de durée de conservation des données raisonnable, en particulier :
  • supprimer les données de géolocalisation des utilisateurs collectées en dehors des zones de POIs une fois la correspondance entre les données de géolocalisation et les zones de POIS effectuée ;
  • définir une durée de conservation des données de géolocalisation proportionnée à la finalité du traitement et procéder à la purge ou, le cas échéant, à l’anonymisation des données anciennes ;
  • prendre toute mesure nécessaire pour garantir la sécurité des données à caractère personnel des utilisateurs, notamment en mettant en place une politique contraignante relative aux mots de passe utilisés par les comptes accédant aux bases de données ou aux plateformes d’administration de ces bases, respectant l’une des modalités suivantes :
    • les mots de passe sont composés d’au minimum 12 caractères, contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial ;
    • les mots de passe sont composés d’au moins 8 caractères, contenant 3 des 4 catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux) et s’accompagnent d’une mesure complémentaire comme par exemple la temporisation d’accès au compte après plusieurs échecs, (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : captcha ) et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum 10).
  • un stockage des mots de passe sous une forme hachée (par exemple, à l’aide de l’algorithme SHA256 avec l’utilisation d’un sel) ;
    • en mettant en place une politique de séparation entre les environnements de tests de développement (ou de recette) et les environnements de production.
  • justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.

À l’issue de ce délai, si la société SINGLESPOT s’est conformée à la mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.

À l’inverse, si la société SINGLESPOT ne s’est pas conformée à la mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par la loi.

Les conséquences potentielles

Rappelons qu’en application des articles 121-2, 131-37, 131-38 et 226-17 du Code pénal combiné le fait, pour une personne morale, de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 était puni d’une amende de 1 500 000 euros. Avec la mise en application du RGPD, les sanctions se sont nettement alourdies. La société risque maintenant une amende allant jusqu’à 4% de son CA mondial avec un minimum de 20 millions d’euros.

COBIT 2019 – Vos questions, nos réponses

Depuis la publication de notre article présentant, en avant-première, les nouveautés de COBIT 2019, vous nous avez posé de nombreuses questions. Nous vous apportons quelques réponses. Pour l’heure, nous ne pouvons pas encore tout vous dire. Soyez patients. Nous vous donnerons notre avis détaillé sur cette nouvelle version du cadre de référence en Gouvernance de l’Information dès que les deux premières publications seront disponibles sur le site de l’ISACA.

Cadre de gouvernance COBIT 2019 - Questions réponses
Crédit © rawpixel 2018

L’accélération de la transformation numérique a rendu l’information et la technologie (I&T) cruciales pour le soutien, la croissance et la durabilité des entreprises. Les conseils d’administration et les cadres dirigeants ont pu jadis déléguer, ignorer ou éviter les décisions liées à l’I&T. Cependant ils savent maintenant que cette approche est mal avisée. Ce ne sont pas uniquement les entreprises digitales qui dépendent de l’I&T pour leur survie et leur croissance. La création de valeur par les parties prenantes (c’est-à-dire la réalisation des bénéfices à un coût optimal en ressources tout en optimisant les risques) est également souvent obtenue par la digitalisation de nouveaux modèles d’affaires, grâce à des processus efficaces et à des innovations réussies.

L’I&T est maintenant totalement intégrée à la gestion des risques d’entreprise et de la création de valeur. Un accent particulier a donc été mis sur la gouvernance de l’information d’entreprise et de la technologie (GEIT) au cours des deux dernières décennies. COBIT a reflété cet accent mis sur la GEIT dans ses dernières mises à jour, aboutissant à COBIT 5. Toutefois, une nouvelle édition, dont la sortie est prévue en novembre 2018, étendra et facilitera encore cette tendance.

La nouvelle édition s’appelle COBIT 2019. Les mises à jour de COBIT ne seront dorénavant plus identifiées par des numéros de version. Au lieu de cela, elles porteront  la date de la dernière mise à jour. Cela correspond à un environnement I&T dynamique qui génère des changements à un rythme si rapide qu’il est difficile de les suivre. COBIT 2019 prend en compte ces problèmes et les résout en faisant de COBIT un cadre de gouvernance I&T dynamique pouvant être mis à jour plus rapidement, en appliquant les commentaires des utilisateurs pour qu’ils restent pertinents pour la communauté internationale des professionnels de la gouvernance.

Vos questions, nos réponses

Qu’est-ce que COBIT?

Le processus de mise à jour de COBIT a impliqué des efforts considérables pour mettre en perspective ce qu’il est et ce qu’il n’est pas. Cet article décrit chaque côté de l’équation, en commençant par ce qu’il est.

COBIT 2019 peut être décrit comme un cadre pour la gouvernance et la gestion de l’I&T des entreprises, destiné à l’ensemble de l’organisation. L’I&T d’entreprise fait référence à tous les traitements I&T mis en place par l’entreprise pour atteindre ses objectifs, quel que soit le lieu où cela se produit dans l’organisation. En d’autres termes, l’I&T d’entreprise ne se limite pas au service informatique d’une organisation, mais il est certain qu’elle l’inclut. Elle inclut aussi sans aucun doute d’autres départements tout aussi importants comme les ressources humaines.

COBIT 2019 définit les composants permettant de construire et de maintenir un système de gouvernance : politiques, processus et procédures, structures organisationnelles, flux d’informations, compétences, infrastructure, culture et comportements. Celles-ci étaient appelées «facilitateurs» (« enablers » en anglais) dans COBIT 5. Il définit également les facteurs de conception que l’organisation doit prendre en compte pour créer un système de gouvernance parfaitement adapté.

Il aborde les problèmes de gouvernance en regroupant les composants de gouvernance pertinents dans des domaines prioritaires pouvant être gérés aux niveaux de maturité requis.

Qu’est-ce que COBIT n’est pas?

Après avoir décrit ce qu’est COBIT 2019, il est important de définir ce qu’il n’est pas. Cela implique de tordre définitivement le cou à certaines idées fausses au sujet de COBIT, telles que :

  • COBIT 2019 ne décrit pas complètement l’environnement I&T d’une organisation.
  • Ce n’est pas un cadre pour organiser les processus métier.
  • Ce n’est pas un cadre technique (informatique) pour gérer toutes les technologies.
  • Il ne prend ni ne prescrit aucune décision liée à l’informatique. Par exemple, il ne répond pas aux questions telles que: quelle est la meilleure stratégie informatique? Quelle est la meilleure architecture? Combien devrait coûter l’informatique? Au lieu de cela, il définit tous les composants qui décrivent quelles décisions doivent être prises, comment et par qui elles doivent être prises.

Pourquoi le logo a-t-il changé?

COBIT 5 a été publié en 2012, ce qui fait presque 7 ans. Depuis cette époque, d’autres cadres et les normes ont évolué, créant un paysage différent. L’émergence de nouvelles technologies et les tendances business en matière d’utilisation des technologies de l’information (transformation numérique, DevOps, par exemple) n’étaient pas intégrées dans COBIT 5. Un réalignement était donc nécessaire.

Pour rester pertinent, il est impératif que COBIT continue d’évoluer, ce qui nécessitera des mises à jour plus fréquentes et plus fluides. Dans le nouveau logo, la flèche rouge symbolise cette notion d’évolution continue. De plus, pour assurer un contrôle efficace des versions, toutes les mises à jour futures comporteront l’année correspondant à la publication la plus récente.

Quelles sont les publications de COBIT 2019 et quand seront-elles disponibles?

La famille de produits COBIT 2019 est n’est pas limitée aux produits qui seront prochainement publiés. Le développement de nouvelles orientations, formations et ressources pour soutenir la famille de produits COBIT 2019 sera continuellement évaluée en fonction de la demande du marché. Ce développement sera géré en cohérence avec les autres produits de l’ISACA.

Disponibles le 12 novembre 2018

  • Cadre COBIT 2019: Introduction et méthodologie – Introduction aux concepts clés de COBIT 2019.
  • Cadre COBIT 2019: Objectifs de gouvernance et de gestion. Cette publication décrit de manière exhaustive les 40 objectifs fondamentaux en matière de gouvernance et de gestion, les processus qu’ils contiennent, et d’autres composants connexes. Ce guide fait également référence à d’autres normes et référentiels du marché.

Disponibles le 10 décembre 2018

  • Guide de conception COBIT 2019: Conception d’une solution de gouvernance de l’information et de la technologie. Ce guide explore les facteurs de conception pouvant influencer la gouvernance. Il inclut un flux d’activités afin de planifier un système de gouvernance sur mesure pour l’entreprise.
  • Guide d’implémentation COBIT 2019: Implémentation et optimisation d’une solution de gouvernance de l’information et de la technologie. Ce titre représente une évolution du Guide de mise en œuvre de COBIT 5.  Il propose l’élaboration d’une feuille de route pour l’amélioration continue de la gouvernance. Il peut être utilisé en combinaison avec le Guide de conception COBIT 2019.

Les publications COBIT 2019 seront-elles gratuites pour les membres ISACA?

Dans le cadre de l’engagement de l’ISACA d’apporter une valeur optimale à ses membres, le téléchargement au format PDF des quatre publications principales de COBIT 2019 suivantes seront gratuites pour les membres :

  • Cadre COBIT 2019 : Introduction et méthodologie
  • Cadre COBIT 2019 : Objectifs de gouvernance et de gestion
  • Guide de conception COBIT 2019 : Conception d’une solution de gouvernance de l’information et de la technologie
  • Guide d’implémentation COBIT 2019: Implémentation et optimisation d’une Solution de gouvernance de l’information et de la technologie

De plus, les membres de l’ISACA recevront des réductions exclusives sur l’achat de publications imprimées. Pour en savoir plus, consultez le site de ‘ISACA : http://www.isaca.org/COBIT.

COBIT 2019 est-il aligné avec les autres normes et cadres internationaux?

L’un des principes directeurs appliqués tout au long du développement était de maintenir son positionnement de COBIT 2019 en tant que cadre général de gouvernance. Ainsi, il continue de s’aligner sur un certain nombre de normes, cadres et / ou réglementations pertinents. COBIT 2019 comprend des références et s’aligne sur des concepts provenant d’autres sources. Par exemple COBIT 2019 est aligné, entre autres, sur ITIL, ISO 27001, ISO 20000, DEVOPS, PRINCE2, PMBOK, TOGAF, COSO, SFIA, etc..

Dans ce contexte, l’alignement signifie que :

  • COBIT 2019 ne contredit aucune indication des référentiels et normes correspondants,
  • Le cadre COBIT 2019 ne copie pas le contenu de ces référentiels et normes associés,
  • COBIT 2019 fournit des conseils ou références équivalents aux normes et référentiels correspondants.

Une liste complète des normes et guides pratiques utilisés dans le cadre du développement de COBIT 2019 est fournie dans la présentation PPT intitulée  COBIT® 2019 Overview. Celle-ci, en anglais, est disponible dans la boîte à outils COBIT 2019 sur le site de l’ISACA. Cette liste figure également dans la publication Cadre COBIT 2019 : Introduction et méthodologie.

Y aura-t-il un cursus de formation de certification COBIT 2019?

Un nouveau parcours de formation et de certification sera proposé dès le début 2019. COBIT 2019 est un cadre en évolution continue. En conséquence, l’ISACA continuera en permanence à évaluer le marché et à proposer de nouveaux modules de formation. Les premier modules seront disponibles selon le calendrier suivant :

Janvier 2019 : Atelier de transition COBIT 5 vers COBIT 2019 (1 journée)

Ce cours de transition d’une journée présente les concepts, les modèles et les définitions clés du nouveau cadre en mettant l’accent principalement sur les différences majeures entre COBIT 2019 et COBIT 5.

Janvier 2019 : Formation et certification COBIT 2019 Foundation (3 jours)

Développée pour préparer les participants à l’examen de certification COBIT 2019 Foundation, cette formation plongera dans le contexte, les composants, les avantages et les principales raisons pour lesquelles utiliser COBIT en tant cadre de gouvernance de l’information et des technologies en entreprise.

Avril 2019 : Formation et certification COBIT 2019 Conception et mise en oeuvre (3 jours)

Cette formation de 3 jours prépare les participants à l’examen de certification COBIT 2019 Design and Implementation. Les participants apprendront comment concevoir un système de gouvernance parfaitement adapté au contexte de leur entreprise en s’appuyant sur le cadre de gouvernance de l’ISACA.

Où puis-je me former et passer les certifications?

La formation ainsi que les examens de certification seront disponibles à partir de janvier 2019. Vous pourrez y accéder via les canaux suivants:

  • Centres de formation accrédités par ISACA (via APMG ou Peoplecert);
  • Chapitres ISACA;
  • Conférences ISACA et ateliers pré-conférence;
  • Programme de formation sur site d’ISACA.

Pour ce qui nous concerne, 2AB & Associates sera accrédité par l’ISACA dès le lancement des modules de formation. Nous avons d’ores et déjà commencé le développement des trois modules initiaux prévus par ISACA. Les premières sessions COBIT 2019 Bridge et COBIT 2019 Foundation sont déjà à notre calendrier dès janvier 2019. Nous proposons également pour les personnes déjà certifiées COBIT 5 Foundation un atelier d’une journée leur permettant de faire la transition de leur certification actuelle vers la nouvelle version.

Nous organisons également, à la demande, des présentations d’une demi-journée destinées aux dirigeants des entreprises. N’hésitez pas à consulter le site www.2abassociates.fr ou www.2abassociates.ca pour en savoir plus.

Les programmes de formation COBIT 2019 remplaceront-il les formations COBIT 5?

ISACA continuera à soutenir l’accréditation et la délivrance de la formation et du cursus de certification COBIT 5. Ainsi, la formation COBIT 5 continuera à cohabiter avec la formation COBIT 2019. Il ne serait donc par judicieux de remettre votre formation COBIT à plus tard en attendant le nouveau cursus de formation/certification. Tout au contraire, nous vous invitons à profiter de notre offre promotionnelle sous forme de package Formation et certification COBIT 5 Foundation + atelier de transition vers COBIT 2019.

Les publications COBIT 5 resteront-elles disponibles en 2019?

L’ISACA continuera de soutenir les nombreuses organisations gouvernementales et  non gouvernementales qui, depuis 2012, ont mis en oeuvre COBIT 5. Tous les guides COBIT 5 (et produits dérivés) vont donc rester disponibles pour téléchargement ou achat en ligne. De plus, tous les produits, ressources et programmes de formation COBIT 5 resteront disponibles (parallèlement à COBIT 2019).

Quelles sont les différences entre COBIT 2019 et COBIT 5?

COBIT 2019 offre une plus grande flexibilité et une plus grande ouverture pour améliorer la pertinence dans le temps de COBIT.

  • L’introduction de nouveaux concepts tels que les domaines de focalisation et les facteurs de conception permet de proposer des bonnes pratiques pour adapter un système de gouvernance aux besoins de l’entreprise.
  • La mise à jour de l’alignement sur les normes, les cadres et les meilleures pratiques améliore la pertinence de COBIT.
  • Un modèle de type «open source» permettra à la communauté mondiale de la gouvernance de contribuer aux futures mises à jour  en apportant des commentaires, en partageant des applications et en proposant des améliorations au
    cadre et aux produits dérivés en temps réel. De la sorte, de nouvelles évolutions de COBIT pourront être publiées sur une base cyclique.
  • De nouvelles orientations et de nouveaux outils soutiennent l’élaboration d’un système de gouvernance optimal. Cela rend donc COBIT 2019 plus prescriptif.

Les changements à l’ère de DEVOPS

ITIL propose un processus de gestion des changements destiné à ne mettre en production que des services éprouvés pour éviter les impacts négatifs sur les utilisateurs. A l’heure où les entreprises sont en recherche permanente d’agilité et où DEVOPS s’impose, l’approche ITIL semble dépassée. Mais est-elle vraiment dépassée où n’est-ce pas plutôt un échec de mise en oeuvre des meilleurs pratiques qui est en cause? Dans cet article, nous allons faire un gros plan sur ce que devrait être la gestion des changements. Et nous allons nous intéresser tout particulièrement au CAB (Comité Consultatif des Changements), mal utilisé le plus souvent.

ITIL - Le CAB à l'heure de DEVOPS
Crédit © rawpixel.com 2018

La seule raison pour laquelle la plupart des personnes et des organisations ont entendu parler du CAB (Change Advisory Board) est qu’il est décrit dans la section sur la gestion du changement des publications ITIL. La plupart des organisations ont alors considéré que si le CAB est décrit dans ITIL, c’est qu’il est obligatoire. Souvent il a donc été mis en œuvre avec enthousiasme comme mécanisme de contrôle de la qualité dans les grandes entreprises. Pour beaucoup de professionnels des opérations non informatiques, le CAB est leur seul contact avec ITIL. Il en est d’ailleurs presque devenu synonyme. Cela signifie également qu’ITIL est lui-même devenu synonyme de douleur récurrente qui revient toutes les deux semaines…

Le conte des trois erreurs

Il en va de la gestion des changements comme de beaucoup d’autres domaines de l’informatique. Il y a une différence significative entre la théorie et la pratique. Pourtant, il est exact que la théorie (dans l’ITSM) a été (partiellement) construite sur la base des pratiques du monde réel. Cependant, il s’agit en fait d’une version idéalisée d’une tentative de description globale destinée à être adaptée à chaque situation particulière. Ce n’est en aucun cas une prescription de ce qui doit être mis en oeuvre tel quel dans les organisations.

Nous allons tenter de mettre tout le monde d’accord pour commencer à travailler à améliorer la pratique de la gestion des changement. A mon sens, c’est une approche à privilégier plutôt que d’essayer de se rassurer dans des initiatives de type «dénigrement» ou «coup de tête». Elles conduisent le plus souvent à des actions de type « paniqué-coupé-renommé-collé » à partir d’une théorie mal comprise..

Il y a trois domaines principaux dans lesquels la confusion à propos du CAB (Change Advisory Board / Comité Consultatif des Changements) et des pratiques de gestion du changement en général ont entraîné des dysfonctionnements importants. Nous allons essayer de les identifier avant de les comprendre dans le détail..

Survol des trois erreurs

Tout d’abord, il y a beaucoup d’incompréhension quant à la signification de la lettre «A» dans l’acronyme «CAB». Deuxièmement, il y a également une incompréhension quant aux changements qui devraient «passer par le CAB». Troisièmement, il existe une confusion relative à la séparation des pratiques de gestion des changements et des pratiques de gestion des mises en production. Cela fait beaucoup pour un seul processus, certes majeur, parmi les 25 processus décrits dans les publications ITIL 2011.

Commençons par rappeler quelques notions issues d’ITIL, mais souvent incomprises :

  • CAB signifie «Change Advisory Board» (Comité Consultatif des Changements) et non pas «Change Approval Board» (Comité d’Autorisation des Changements).
  • Le CAB n’est pas obligatoire dans ITIL, pas plus que l’envoi de toutes les demandes de changement (RFC) au CAB.
  • A chaque fois que les auditeurs exigent des décisions du CAB, ils confondent la fin et les moyens.
  • Lorsque les managers exigent des décisions du CAB, alors c’est qu’il existe probablement un problème de confiance.
  • L’automatisation (pour les modifications logicielles) rend même les auditeurs plus heureux.
  • Le logiciel circulant dans le pipeline CI / CD (intégration continue / livraison continue) n’est pas destiné à passer par le CAB.
  • L’amélioration des pratiques de gestion du changement requiert la réduction du nombre d’intermédiaires intervenant dans le processus pour améliorer son efficacité.

1 – « A » pour « Advisory » (conseiller)

Comme son nom l’indique, le CAB (Comité Consultatif sur les Changements) a pour objectif de conseiller sur l’évaluation des changements. Il est utile principalement lorsqu’il s’agit de changements à haut risque ou de changements à grande échelle qui vont au-delà du champ de perception d’une équipe particulière. Dans ce cas de figure, ils nécessitent la coordination et la gestion de situations complexes. Il faut alors faire face à des priorités conflictuelles et faire des choix en raison de coûts ou de délais. Le rôle du CAB, dans de telles situations, est essentiel car il permet de recueillir les avis de toutes les parties prenantes.

Pour diverses raisons, le mot «Advisory» (Consultatif) est devenu «Approval» (Approbateur) dans de nombreuses entreprises. Le CAB s’est alors transformé en un mécanisme de création de retard sans valeur ajoutée. Il est censé être là pour des raisons de qualité, mais il atteint rarement son objectif. La différence entre les mots est loin d’être seulement une question pédante de sémantique :

  • Advisory: avoir ou exercer le pouvoir de conseiller
  • Approval: acte ou instance d’approbation de quelque chose

Un mode de fonctionnement inefficace qu’il faut absolument améliorer

De plus, les CAB, dans les entreprises, ont souvent tendance à être statiques. C’est toujours même groupe de managers qui discute de tous les changements qui leur sont apportés, quels que soient l’équipe / l’application / le service concerné. Ils invitent parfois les auteurs de RFC (Request For Change / Demande de Changement) ternes et volumineuses à y ajouter un peu de couleur. Cette approche introduit un niveau d’intermédiation qui perd beaucoup de détails.  Par conséquent le risque est grand de créer un type de pratique, fonctionnel techniquement mais défaillant dans la pratique. L’absence d’avis est une chose, mais l’échec en matière d’approbation en est une toute autre.

La pratique consistant à utiliser des RFC dans l’entreprise semble davantage venir d’un livre de recettes que de l’ITSM. La dynamique de la mise en œuvre repose alors sur un examen minutieux afin de s’assurer que tous les champs du formulaire sont remplis. Elle ne repose pas sur des conseils pertinents. En effet, souvent, les RFC contiennent des informations destinées au CAB. Elles ne contiennent pas les questions et les réponses de / à la personne ou l’équipe recherchant un avis.

Cela ne veut pas dire que des contrôles de qualité ne doivent pas être mis en place. Cependant un mécanisme intervenant tardivement dans le jeu, de type Potemkin, est plus susceptible de gêner que d’aider l’entreprise à atteindre ses objectifs. La réduction du nombre d’erreurs est alors obtenue en évitant les changements plutôt qu’en améliorant la résilience du système. En effet, la dynamique est tellement lourde, coûteuse et chronophage que les « petits » changements seront rejetés. Ceci peut souvent conduire, en retour, à un besoin de changements de grande ampleur. C’est notamment le cas  lorsque le système a dépassé sa date de péremption et échoue sur plusieurs fronts simultanément.

Pour améliorer les pratiques dans ce domaine, une réduction réfléchie et consciente des intermédiaires est nécessaire. Ainsi l’évaluation de l’impact et la prise de décision seront rapprochées du lieu où le travail est réalisé. L’efficacité, les coûts et les délais n’en seront qu’améliorés.

2 – Pratiques obsolètes et manque de confiance

Comme nous venons de le voir, le CAB peut être un élément utile de la gestion des changements pour certains types de changements. Il sera beaucoup moins utile pour d’autres. Notez bien que je dis «peut être», ce qui signifie que le CAB est facultatif et en aucun cas obligatoire. Il ne devrait être introduit que s’il est vraiment utile. Sa conception, sa portée, son rôle et sa valeur doivent être réexaminés de manière continue.

Parmi les autres raisons, il y en a deux concernant le «CAB abusif» que je voudrais évoquer ici. La première concerne les pratiques d’audit. Il s’agit de l’exigence de documenter et d’approuver chaque changement. Il est alors tentant de considérer le CAB comme la seule / meilleure méthode pour y parvenir. La première partie de cette exigence est plutôt raisonnable. Pourquoi ne voudrions-nous pas garder la trace des changements? La deuxième partie, par contre, est un exemple de prédominance du « comment » sur le « pourquoi ». Cette exigence est souvent tellement enracinée qu’elle ressemble à une loi intangible. Elle élimine alors d’autres méthodes de travail qui permettraient d’atteindre le même résultat, mais avec un fonctionnement différent.

Les pratiques obsolètes pour satisfaire les auditeurs

Demander au CAB de signer chaque demande de changement a peut-être été le seul moyen pour l’organisation de répondre aux exigences de la vérification par le passé. Ce n’était certainement pas une préconisation figurant dans les directives ITIL. Il suffit de voir, par exemple, l’autorité de changement et la notion de changement standard. Cela a, très probablement, satisfait les objectifs de la gestion des risques, sur papier uniquement. Et finalement cela a été considéré comme suffisant.

Du matériel coûteux, des temps d’approvisionnement longs et des temps de planification encore plus longs ont rendu les approches, idéales d’un point de vue théorique, plutôt populaires. Cependant, le monde a changé.  La plupart des entreprises disposent maintenant d’un soutien suffisant pour investir dans les méthodes et les pratiques informatiques modernes. Il n’est donc plus nécessaire de continuer à jouer ainsi sur le registre de la gestion des risques.

Evitons donc de compter sur des revues de qualité souvent gérées par des personnes ignorantes du contexte. Nous pouvons plutôt utiliser des pratiques d’automatisation, dans lesquelles la documentation détaillée de chaque changement est fournie par défaut. Outre l’amélioration de la qualité du service, nous disposerons alors d’une grande quantité d’informations, plus fiables. Et nous pourrons fournir ces informations aux auditeurs qui seront satisfaits.

L’option d’automatisation s’applique principalement, à priori, aux changements logiciels. Or, dans le contexte du cloud, ceux-ci incluent des éléments de gestion d’infrastructure (« infrastructure as a code »). Mais ensuite, dans quelle mesure est-il raisonnable de prendre en compte les changements logiciels individuels dans le cadre de la gestion «traditionnelle» des changements?

Le manque de confiance dans les équipes

La deuxième raison pour laquelle les CAB sont si populaires et pourtant mal utilisés est la méfiance. Derrière cela se cache aussi la nécessité de sauver ses fesses au cas où quelque chose se passerait mal. Le CAB devient alors un mécanisme pour imposer un contrôle sur des équipes de spécialistes. En effet, sinon, comment savoir si elles travaillent exactement comme on le souhaite?

Dans ce scénario, plutôt que d’utiliser le concept d’autorité de changement et de laisser les équipes les plus proches du travail prendre des décisions, toutes ces décisions sont transférées au niveau du CAB. C’est là que les responsables du responsable du responsable de l’équipe discutent et décident des changements acceptables. Même si le pouvoir décisionnel revient au CAB, c’est toujours le demandeur du changement qui est tenu pour responsable. C’est-à-dire que, si quelque chose se passe mal, le CAB pourra prétendre avoir demandé des informations complètes et justes. Alors, la raison pour laquelle des résultats inattendus sont obtenus sera qu’il disposait d’informations erronées ou incomplètes. Et, on vous expliquera que dès qu’on identifiera qui est l’individu responsable du fiasco, on s’assurera que cela ne puisse plus se reproduire…

3 – La bataille du RAP

La troisième incompréhension porte sur la confusion entre les changements et les mises en production. Mais elle renvoie également au défi que pose la portée du CAB. La gestion du changement détermine si quelque chose doit être changé et quand. La gestion des mises en production vérifie si le package de modifications, quel que soit son contenu, est prêt à être mis en production et à quel moment. Par souci de simplicité, examinons la gestion des mises en production dans le cadre de la gestion des changements…

La manière dont le CAB a été conçu dans de nombreuses organisations pour les changements liés aux logiciels est en réalité un processus d’approbation de mise en production (RAP : Release Approval Process). D’ailleurs ce processus est assez amusant. Plutôt que d’évaluer l’état de préparation à la mise en production et au déploiement (ce qui est à nouveau une tâche à effectuer, de préférence de manière automatisée avec beaucoup de retours), le RAP/CAB évalue la viabilité du changement lorsque le travail sur ce changement a déjà commencé, ou même le plus souvent, a déjà été achevé. C’est évidemment bien trop tard!

Les processus de prise de décision pour les changements (si une modification logicielle est nécessaire) et pour les mises en production (comment valider au mieux la modification) sont déconnectés et mal alignés. Dans ces organisations, la pratique de gestion du changement – bien que généralement non dénommée ainsi – s’appuie sur« le métier», et« l’informatique » et permet de prendre les commandes une fois la décision prise, de livrer ce qui était prévu (mais rarement décrit correctement), et d’assurer qu’aucune perturbation ne surviendra sur aucun service.

Il y a trop de dysfonctionnements dans ce scénario pour pouvoir les détailler et les intégrer dans cet article. Aussi, ce que je voudrais faire, c’est proposer un point de vue différent pour examiner les changements logiciels. Cela permettra peut-être de supprimer en partie la tension entre la communauté ITSM et la communauté DevOps.

Etendre le mandat

Examinons le développement logiciel agile avec intégration continue (CI: Continuous Integration) et livraison continue (CD: Continuous Delivery). En principe, nous pouvons supposer que le code injecté dans le pipeline CI / CD a été pré-approuvé. C’est-à-dire que le développeur a le mandat de travailler dessus. Il nécessite seulement de passer les contrôles de qualité (automatisés) avant d’atteindre l’environnement de production.

Cette approbation préalable ne signifie pas que quiconque a demandé que le travail de développement soit effectué soit sûr à 100% que ces changements spécifiques produiront les résultats escomptés. Pas plus que le développeur n’est totalement convaincu que le code passera les revues qualité sans problèmes. Le temps de retour pour le développeur se compte en minutes / heures. Il se compte pour le client en heures / jours / semaines, en fonction de la conception du pipeline et de la méthodologie de développement utilisée. Le délai de retour est donc extrêmement long et ne correspond pas aux besoins des métiers.

Si le client a déjà décidé qu’il souhaite le changement, cette décision doit en réalité être une décision du CAB. Mais ce n’est pas le CAB tel qu’il est mis en oeuvre habituellement. Ainsi, plutôt que d’essayer même d’évaluer manuellement chaque version logicielle en cours de traitement dans un CAB (ou RAP), les équipes chargées de la gestion des changements et des mises en production doivent alors travailler ensemble pour concevoir et améliorer le pipeline CI / CD. et des revues qualité automatisées.

Est-il raisonnable de démanteler le CAB?

Quelle que soit la conception de votre CAB actuel ou futur, la question clé à garder à l’esprit est la suivante: aide-t-il à obtenir les résultats attendus des métiers?

Une Gestion des Changements efficace ne peut pas être limitée à un portique de sécurité pour l’accès au service informatique. Cela signifie que la gestion du changement n’est pas basée uniquement sur le CAB. Le CAB n’est pas le processus de gestion des changements. C’est juste un mécanisme qui peut être utile au sein du processus. Il reste probablement beaucoup d’autres choses nécessitant une amélioration dans votre gestion du changement.

S’agissant de votre CAB, s’il s’agit d’un groupe de personnes qui ne connaissent pas les détails des changements / mises en production dont ils discutent mais qui prennent cependant des décisions en évitant de répondre de ces décisions, alors c’est clairement un CAB à éliminer d’urgence.  En effet, ce n’est pas du tout le CAB, préconisé par les bonnes pratiques, dont votre entreprise a besoin..

Mais si c’est un groupe de personnes qui peuvent conseiller sur les changements planifiés, aider à la coordination et à la hiérarchisation, et qui sont là pour aider l’organisation plutôt que leur carrière personnelle, alors conservez-le. Mais améliorez-le de façon continue également.

Vous souhaitez évaluer la viabilité des changements? Alors, vous devez le faire en vous appuyant sur des personnes qui comprennent ces changements. C’est la viabilité des Mises en Production que souhaitez évaluer? Alors, cette tâche devrait être effectuée par des personnes qui comprennent ces Mises en Production.

Pour améliorer la qualité, n’oubliez jamais que vous devez réduire les intermédiaires et automatiser autant que faire se peut.

 

Crédits : cet article est inspiré d’une publication de Kaimar Karu

COBIT 2019 : les nouveautés

A quelques jours seulement du lancement de COBIT 2019, prévu pour le 12 novembre 2018, nous vous livrons, en avant-première, quelques informations sur cette nouvelle version du référentiel de gouvernance de l’ISACA. Bien sûr nous reviendrons plus longuement sur les aspects majeurs de COBIT 2019 dans de prochains articles.

COBIT 2019 - Les nouveautés attendues
Crédit © ISACA 2019

COBIT, reconnu internationalement comme la référence en matière de bonnes pratiques de gouvernance efficace et stratégique de l’information d’entreprise et des technologies associées (GEIT),vient d’être mis à jour avec de nouvelles publications et guides pratiques facilitant une mise en œuvre sur mesure simplifiée.

Les nouveautés attendues de COBIT 2019

Une gouvernance efficace de l’information et de la technologie est essentielle pour succès commercial de toute organisation. Cette nouvelle version cimente encore davantage le rôle continu de COBIT en tant que moteur important de l’innovation et de la transformation des entreprises.

COBIT 2019 est une évolution de la version précédente du cadre de gouvernance de l’ISACA. Construire sur les bases de COBIT 5, elle intègre les derniers développements affectant l’information d’entreprise et la technologie. Mais ce n’est pas tout.

En plus de la mise à jour du référentiel, COBIT offre maintenant davantage de ressources de mise en œuvre, des conseils pratiques plus avancés, ainsi qu’un cursus de formation complet. COBIT 2019 aide entreprises à mieux gouverner et gérer l’information et la technologie là où elle se trouve.

Une opportunité de positionnement des entreprises

COBIT 2019 offre une opportunité de mieux positionner toute entreprise en favorisant sa réussite future :

  • Nouveaux processus, tous essentiels à une entreprise, offrant une couverture étendue des données, des projets et de la conformité; mises à jour de domaines tels que cybersécurité et la protection de la vie privée; liens actualisés avec les normes, directives, réglementations et meilleures pratiques. COBIT reste le cadre de référence pour toutes les activités de gouvernance de votre entreprise.
  • Un modèle «open source» est en cours d’adaptation à partir de COBIT 2019. Il permettra à la communauté internationale de la gouvernance de proposer en temps réel des commentaires et des améliorations. Ceux-ci se combineront aux autres évolutions de COBIT. Celles-ci seront publiées sur une base continue et incorporées dans le cadre de base et dans les produits dérivés. Ainsi, vos connaissances permettront la mise à jour du référentiel, lui permettant d’évoluer avec le temps. Il ne sera donc plus nécessaire de redéfinir, ré-implémenter ou redémarrer vos efforts de gouvernance à un certain moment en vous appuyant sur un modèle ou un cadre différent.
  • La mise en œuvre de COBIT 2019 est désormais plus flexible. Elle propose de nouvelles utilisations du référentiel à la fois ciblées sur la base de projets pour des situations spécifiques de résolution de problèmes ou globales pour l’adoption à l’échelle de l’entreprise dans le cadre de la transformation numérique des organisations. COBIT permet de personnaliser une solution de gouvernance adaptée aux besoins spécifiques de chaque entreprise.
  • Le nouveau cursus de formation de COBIT 2019 vous garantit un retour sur investissement maximal de votre programme de gouvernance. Il complète ainsi les formations précédentes sur COBIT 5. Il étend désormais vos activités de gouvernance à la stratégie et aux efforts d’innovation clés pour la transformation de l’entreprise. En raison de la nature évolutive de COBIT 2019, votre formation ne deviendra jamais obsolète. Par conséquent, la formation COBIT 2019 devient un investissement qui pérennise sa valeur, tout en ouvrant des voies à l’innovation. Il n’a jamais été aussi nécessaire de suivre une formation COBITL’information et la technologie constituent les « joyaux de la couronne » de toute organisation cherchant à accroître et stimuler la croissance, à créer des avantages concurrentiels et se renforcer face aux menaces et aux risques.

Les publications constituant le noyau de COBIT 2019

Le cadre de gouvernance COBIT 2019 va bien au-delà des technologies de l’information et fonctions du service informatique. La bonne gouvernance est un élément vital pour la formulation de la stratégie et succès de la transformation de l’entreprise. COBIT 2019 peut vous aider à tracer la voie du succès pour votre entreprise ainsi que pour votre carrière et votre apprentissage.

Le noyau de COBIT 2019 incluant le cadre de référence ainsi que des guides pratiques est constitué des quatre publications.

Référentiel COBIT 2019 : Introduction et méthodologie

COBIT 2019 Introduction et méthodologieLe coeur du référentiel COBIT 2019 intègre une définition élargie de la gouvernance. Il met à jour les principes COBIT tout en établissant la structure du cadre général. Les nouveaux concepts sont introduits et la terminologie est expliquée. Le modèle central COBIT et ses 40 objectifs de gestion fournissent le socle permettant d’établir votre programme de gouvernance. Le système de gestion de la performance est mis à jour. Plus flexible, il permet désormais d’utiliser à la fois des mesures de maturité et des mesures d’aptitude.  L’introduction aux facteurs de conception et aux domaines d’intervention propose des conseils pratiques supplémentaires en vue d’une adoption flexible de COBIT 2019, que ce soit pour des projets spécifiques ou pour une mise en œuvre complète. Publication annoncée pour le 12 novembre 2018.

Référentiel COBIT 2019 : Objectifs de gouvernance et de gestion

COBIT 2019 - Objectifs de gouvernance et de gestionCette publication contient la description détaillée du modèle central COBIT. Elle décrit ses 40 mesures de gouvernance et de gestion. Chaque mesure de gouvernance ou de gestion ainsi que son objet sont définis puis mis en correspondance avec les processus, les objectifs d’alignement et les objectifs d’entreprise. De fait on y retrouve les éléments essentiels de la cascade d’objectifs.

Les informations présentées ici peuvent être utilisée de la façon similaire à celles du guide COBIT 5 – Enabling processes. Publication annoncée pour le 12 novembre 2018.

 

Guide de conception COBIT 2019

COBIT 2019 - Guide de conceptionUne question m’est régulièrement posée à l’issue des formations COBIT 5 que j’anime : comment mettre COBIT en pratique? C’est la question à laquelle réponds cette nouvelle publication. Elle propose ainsi une approche prescriptive pour l’utilisateur. Vous y trouverez des conseils pratiques sur comment adapter un système de gouvernance à des circonstances et à un contexte uniques de l’entreprise. Elle définit et énumère les divers facteurs de conception et leur lien avec les nouveaux concepts COBIT 2019.  L’impact potentiel chaque facteur de conception sur la mise en œuvre d’un système de gouvernance est analysé et des recommandations de workflows pour créer le design adapté à votre organisatione sont proposées. Publication annoncée pour le 10 décembre 2018.

Guide de mise en oeuvre de COBIT 2019

COBIT 2019 - Guide de mise en oeuvreCe guide est la mise à jour de l’ancien guide d’implémentation COBIT 5. Il adopte donc une approche similaire pour la mise en œuvre. Cependant, la nouvelle terminologie et concepts de COBIT 2019, y compris les facteurs de conception, sont intégrés à ce guide. Grâce à ce guide, la mise en oeuvre de COBIT apparaît sous un angle pratique. Elle est plus adaptable aux exigences spécifiques de gouvernance de chaque organisation. Publication annoncée pour le 10 décembre 2018.

Cyber-risques : technologies émergentes et vie privée

De nouveaux cyber-risques apparaissent au fur et à mesure que des technologies émergentes arrivent sur le marché. Dans de nombreux cas les données privées sont menacées. La protection de la vie privée des individus, malgré le RGPD, est de plus en plus mise en défaut. Y a-t-il des solutions? Quelles sont les responsabilités?

Cyber-risques : Technologies émergentes (objets connectés, IoT) et protection des données personnelles et de la vie privée
Crédit © rawpixel.com 2018

Il est maintenant possible de connecter presque tous les objets. Bien sûr on pense à la montre connectée, mais il y a aussi de nombreux autres équipements concernés. Il peut s’agir d’accessoires automobiles ou d’accessoires de la maison (stores, réfrigérateur, télévision, thermostat intelligent, etc.). On ne doit pas non plus faire abstraction des drones et autres équipements médicaux tels que pacemakers ou autres. Aujourd’hui, 6,4 milliards d’appareils sont ou vont être connectés à Internet. Et si ça se passait mal? Si des pirates pouvaient avoir accès au données personnelles collectées par ces terminaux? Et même si les GAFAM (Google-Amazon-Facebook-Apple-Microsoft) récupéraient ces données et les revendaient? Et même si des cyber-criminels prenaient le contrôle de ces objets connectés? Alors, que pourrait-il advenir?

Une menace claire et omni-présente

Vous vous dites peut-être que c’est juste de la science-fiction. Et pourtant, il serait insensé de penser que les thermostats intelligents connectés à Internet ou d’autres appareils intelligents ne posent pas de problème de sécurité pour les organisations. Lors du développement d’objets connectés (IoT), l’absence de réflexion en matière de sécurité a entraîné un risque considérable pour les réseaux d’entreprises.

Selon Kaspersky Labs, 85 000 raisons très claires sont prises en compte lorsque l’on considère le coût moyen d’une attaque par déni de service distribué (DDoS) pour l’entreprise. En octobre 2016 déjà, de larges pans de l’internet sont devenus indisponibles en Europe et en Amérique du Nord. Amazon, PayPal, Netflix, Airbnb, Twitter et Visa ont figuré parmi les grands noms qui ont subi des perturbations. La cause? Une attaque DDoS contre le fournisseur Dyn. La vraie cause? Mirai.

Mirai est un logiciel malveillant qui transforme des ordinateurs utilisant le système d’exploitation Linux en bots contrôlés à distance. Ils forment alors un botnet (réseau de bots) utilisé notamment pour réaliser des attaques à grande échelle sur les réseaux. Mirai s’attaque principalement à des dispositifs grand public tels que des caméras pilotables à distance ou encore des routeurs pour la maison. En gros, il force brutalement les appareils IoT, bien que peu de force soit généralement nécessaire, à cause de mesures de sécurité rares (voire nulles). Suite à l’attaque de 2016, le botnet qui en a résulté était composé d’environ 150 000 caméras IP, de routeurs domestiques et même de moniteurs pour bébé.

Des failles de sécurité pour le moins surprenantes

La plupart des fabricants d’objets connectés (IoT) ne placent pas la sécurité au centre des préoccupations de conception. Le plus souvent , de nombreux fournisseurs et l’industrie technologique font alors porter la faute sur les utilisateurs. Il les accusent de n’avoir pas déployé suffisamment d’efforts pour sécuriser les appareils en modifiant les mots de passe par défaut. Et de leur côté, il arrive même que les fabricants fassent des erreurs majeures de sécurité. Ainsi, certains vont jusqu’à coder en dur des mots de passe faciles à deviner dans leurs appareils. C’est le monde à l’envers. Toutes les bonnes pratiques sont bafouées pour des raisons de coût essentiellement. La conséquence c’est que les cyber-risques explosent.

Des responsabilités claires des fabricants

Certes, les utilisateurs ne modifient pas toujours les mots de passe par défaut pour les rendre plus difficiles à deviner. Cela, les fabricants le savent. Alors pourquoi ne proposent-ils pas un mot de passe par défaut unique, difficile à pirater?

On peut toujours facilement reprocher aux utilisateurs de ne pas mettre à jour les systèmes avec les derniers correctifs. Mais, dans la réalité, ces mises à jour fournies par les fabricants d’objets connectés ne sont pas très fréquentes. Et elles n’arrivent généralement qu’après qu’un périphérique ait déjà été piraté. Ils sont en mode réactif et quasiment jamais en mode proactif.

Les dispositifs IoT sont conçus pour être faciles à utiliser. Ce sont aussi, souvent, des appareils destinés à être vendus à un prix attractif. La question du coût de réalisation devient donc un facteur primordial pour les fabricants. Or les compétences en sécurité sont relativement rares sur le marché et, par conséquent, relativement chères. Aussi, très souvent, la sécurité est développée par des techniciens n’ayant pas les compétences suffisantes en matière de sécurité. Au lieu de cela, il faudrait que les fabricants d’objets connectés fassent développer leurs appareils par des spécialistes de la sécurité possédant, en plus, des compétences de développement et ayant une parfaite compréhension des conséquences d’une protection insuffisante. Pas l’inverse!!

Des réglementations insuffisantes

En outre, l’industrie de l’internet des objets n’est, à ce jour, ni normalisée ni réglementée. La conséquence est une anarchie complète pour les utilisateurs finaux. Cela pourrait changer si le gouvernement tentait d’inciter les fabricants d’appareils IoT à adopter une approche de la protection de la vie privée dès la conception (Protection by Design). Les gouvernements pourraient chercher à légiférer si les fabricants d’appareils IoT n’écoutent pas les conseils. Il y a bien sûr une tentative d’évolution dans ce sens avec le RGPD. Malheureusement c’est encore insuffisant pour faire bouger les lignes au niveau des objets connectés..

L’évolution de la surface d’attaque des entreprises

Il est clair que quelque chose ne va pas dans le monde de la technologie lorsque vos utilisateurs deviennent le périmètre du réseau, étant donné le rôle qui consiste à empêcher les menaces de s’infiltrer davantage dans le réseau.

Les appareils IoT ouvrent le réseau à un éventail de risques beaucoup plus large. Ils servent de points de terminaison à sécuriser, tout en diluant les ressources assignées pour la définition classique et traditionnelle de la protection contre les menaces.

La bascule intelligente

Étant donné ce que vous ne pouvez pas faire pour empêcher la compromission des périphériques IoT, quel est le revers de la médaille? Il ne s’agit pas d’un exercice de «longueur de chaîne» comme le suggère la variété presque infinie d’appareils dont nous parlons. D’ailleurs, cette accusation de conception par des « comptables » que nous avons formulée plus tôt va, en fait déjà, commencer à tomber, dès que les vendeurs verront une opportunité du marché de fournir des produits plus sécurisés.

Attendez-vous à ce que la segmentation du réseau et l’authentification entre périphériques (si aucun cryptage de données suffisamment puissant n’est possible) figure parmi les priorités dans les listes de fonctionnalités des objets connectés.

Gardons un oeil sur le futur

Quoi que l’avenir nous apporte, vous ne devez pas perdre de vue ces objets connectés (IoT), ni même leur emplacement. Vous devez absolument savoir quels appareils vous avez, avec quoi ils se connectent et comment ils le font. Tenir un inventaire détaillé des vos actifs informationnels fait partie des bonnes pratiques de sécurité de l’information. Cependant on oublie souvent ces appareils dans la liste des actifs informationnels.

La visibilité est essentielle pour sécuriser l’IoT dans la mesure où votre entreprise est concernée. Ces points de d’accès sont les endroits où les attaquants rechercheront des vulnérabilités pour essayer de franchir le fossé entre les équipements et l’infrastructure de votre entreprise.

 

ITIL – 5 erreurs majeures de mise en oeuvre

Vous suivez les réseaux sociaux? Vous discutez avec des responsables informatiques dans des entreprises, comme je le fais chaque jour? Alors nul doute que vous entendez beaucoup de critiques vis à vis d’ITIL. Pas assez agile. Sa mise en oeuvre coûte très cher aux entreprises. Difficile de convaincre le management d’obtenir les ressources nécessaires. Depuis l’implémentation d’ITIL, on est moins performants qu’avant. Toutes ces critiques sont souvent justifiées. Malheureusement, elles sont souvent la conséquence d’erreurs majeures dans l’implémentation des bonnes pratiques proposées par ITIL.

ITIL : 5 erreurs majeures de mise en oeuvre
Crédit © rawpixel 2018

En tout état de cause, qu’il s’agisse de mauvaise compréhension des « meilleures pratiques » de gestion des services informatiques ou de difficultés de mise en oeuvre, le risque est toujours le même. L’informatique est devenue un outil indispensable au fonctionnement des entreprises. Une informatique qui fonctionne mal ou qui n’est pas alignée sur les besoins des métiers constitue un risque important pour les opérations. Ce premier article recense 5 erreurs parmi les plus importantes mais aussi les plus courantes lorsqu’on veut s’appuyer sur ITIL.

Erreur N°1 : Vouloir réaliser l’implémentation d’ITIL

La pire erreur de toutes est probablement d’essayer de réaliser la «mise en oeuvre» d’ITIL. ITIL est un cadre de bonnes pratiques et, par conséquent, n’est pas destiné une mise en oeuvre en l’état dans une organisation. La règle, souvent incomprise, c’est qu’on ne fait jamais l’implémentation d’ITIL. D’ailleurs, chaque publication ITIL explique bien que chaque pratique est destinée à être «adoptée et adaptée». On doit réaliser l’implémentation de processus spécifiques à chaque Entreprise. Et on le fera en s’appuyant sur les bonnes pratiques préconisées par ITIL. ITIL devrait être vu comme un recueil de conseils. Ce sont seulement des exemples génériques dont vous devez tirer des leçons. Si on essaie d’appliquer à la lettre ces conseils sans tenir compte du métier de l’entreprise, de sa culture et des ressources disponibles, on est assuré de l’emmener au mieux dans une impasse, et au pire à un désastre.

La dernière publication parue à ce jour, ITIL Practitioner, a été publiée en 2015. Elle décrit un ensemble de lignes directrices pouvant vous aider à adopter et à adapter les principes d’ITIL. Ces principes incluent des idées telles que «se concentrer sur la valeur», «rester simple» et «progresser de manière itérative». Si vous utilisez ces principes pour vous guider dans l’adoption et l’adaptation d’ITIL aux besoins de votre organisation, vous n’irez jamais trop loin dans l’erreur. Et même, vous avez réellement de grandes chances d’atteindre vos objectifs.

Erreur N° 2 : Se focaliser uniquement sur les processus

La plupart des gens imaginent qu’ITIL concerne uniquement les processus. Ils s’efforcent donc d’optimiser ces processus, de les rendre plus efficaces et de veiller à ce que chacun atteigne ses objectifs. Is oublient alors l’essentiel. Aucun processus ne se fonctionne dans le vide. Donc, si vous voulez être efficace, vous devez avoir une vue d’ensemble de l’entreprise. Il vous faut donc absolument conserver une vision holistique de l’organisation. En aucun cas, vous ne devez vous limiter seulement à ce qui est écrit dans une publication ITIL ni au seul département informatique..

La notion de création de valeur

ITIL a pour objectif de vous aider à créer de la valeur pour vos clients. Cela signifie que chaque fois que vous améliorez un processus, l’amélioration réalisée doit être axée sur l’amélioration pour vos clients, et pas seulement sur l’amélioration du processus pour lui-même. Demandez-vous donc si vous pouvez expliquer à vos clients le but d’une amélioration en des termes qui ont du sens pour eux. Si la réponse est «non», essayez de trouver ce qui cloche.

N’oubliez jamais que l’informatique ne crée aucune valeur directement. Les services informatiques ne servent qu’à aider les métiers de l’entreprise. Ce sont eux qui sont créateurs de valeur grâce à leurs clients. Vos processus doivent donc les aider à être plus performants vis à vis de ceux-ci. Ainsi, au quotidien, lorsque je travaille avec mes clients, je documente toujours l’objectif de haut niveau de chaque processus. Et je le fais dans des termes qui ont du sens pour les clients des métiers. Par exemple, «la gestion du changement garantira que les changements vont du développement aux opérations en temps voulu pour répondre aux besoins de l’entreprise». Je peux alors travailler avec mon client pour l’aider à optimiser ses processus de gestion du changement de manière à répondre à ses attentes. Ce qui est, en fait, exactement ce que les meilleures pratiques ITIL me conseillent de faire.

Les facilitateurs de la création de valeur

Pour réussir à créer de la valeur, les processus ne suffisent pas. Il faut bien sûr que les processus soient opérés par des ressources humaines. Ces ressources humaines doivent elles-mêmes être organisées en structures au seins de l’entreprise. Il est donc essentiel de ne pas se limiter aux processus mais de travailler en même temps sur les ressources humaines et sur les structures organisationnelles, au minimum.

Erreur N° 3 : Se focaliser sur les outils

La troisième grande erreur que je rencontre est celle des organisations informatiques qui pensent qu’un outil de gestion des services informatiques peut obliger les équipes à se conformer aux bonnes pratiques ITIL. Ils reconnaissent qu’ils ne gèrent pas les incidents, les problèmes et les changements aussi bien qu’ils le souhaiteraient. Alors ils décident que le meilleur moyen de résoudre ce problème est d’acheter un nouvel outil, qui résoudra tous leurs problèmes.

Bien entendu, ce nouvel outil n’a que très peu d’utilité, à moins que l’organisation ne définisse d’abord ce qu’elle tente d’obtenir et ce qu’elle devra faire pour s’assurer que c’est ce que l’outil fournit. Lorsqu’un nouvel outil ITSM est simplement configuré pour prendre en charge toutes les mauvaises pratiques de travail qui posaient problème avec l’ancien outil, l’organisation ne va pas tarder à attribuer au nouvel outil des problèmes qui ne peuvent être résolus qu’en intégrant de meilleures pratiques de travail.

Un nouvel outil ITSM ne vous aidera à vous améliorer que si vous avez correctement préparé le terrain. Comprenez-vous les améliorations dont vous avez besoin dans vos processus, relations, compétences, votre organisation et les autres domaines de gestion des services informatiques?

Erreur N° 4 : Assigner une personne à chaque rôle

ITIL décrit de nombreux rôles. Par exemple, chaque processus définit le rôle d’un propriétaire et d’un gestionnaire du processus, ainsi que de nombreux autres rôles spécifiques. Il est courant de penser que chaque rôle ITIL doit correspondre à un titre de poste unique. Habituellement, il est alors courant de le confier à une seule personne qui devra répondre aux objectifs du rôle. Dans ces circonstance, il sera alors nécessaire de disposer d’un grand nombre de ressources humaines. De plus, cela aura pour conséquence des  personnes essayant de faire des choses similaires avec beaucoup trop peu de collaboration. Il est clair que ce schéma est très inefficient.

Voyons ce que ITIL dit réellement sur les rôles.


Les rôles sont souvent confondus avec les postes, mais il est important de réaliser qu’ils ne sont pas identiques. Chaque organisation définira les intitulés de poste et les descriptions de poste correspondant à ses besoins, et les détenteurs de ces intitulés de poste peuvent jouer un ou plusieurs des rôles requis.


Il est donc essentiel de ne pas confondre les notions de poste et de rôle.

Erreur N° 5 : Lancer un « énorme » projet de mise en oeuvre

Il y a de nombreuses années, avant que les informaticiens aient entendu parler d’Agile, un projet typique d’ITIL pouvait impliquer une équipe de plusieurs consultants qui prendraient deux ans ou plus pour documenter les processus, configurer les outils ITSM, former le personnel et «mettre en œuvre» le nouvel outil aligné sur ITIL. La première fois que quelqu’un tirait parti de la solution, ce serait quelques semaines avant la fin du projet. C’est à dire longtemps après avoir lancé le projet. Et encore, dans la plupart des cas, le projet n’arrivait jamais à ce stade. Il était arrêté avant cela après avoir gaspillé beaucoup de ressources et cassé des choses qui fonctionnaient…

Aujourd’hui, même les entreprises informatiques qui utilisent encore une approche en cascade pour le développement de logiciels n’adoptent plus cette approche pour améliorer l’ITSM. Les experts ITIL savent que toute amélioration des services informatiques peut être réalisée de manière progressive.

Alors, établissez d’abord une vision partagée de ce que vous essayez d’atteindre. Cela vous permettra de faire un premier petit pas vers votre objectif. Ensuite, prenez ce que vous avez appris de cette première étape pour planifier et exécuter la suivante. N’essayez pas de documenter chaque étape avant de commencer. Au contraire, continuez à apprendre et à vous améliorer et vous continuerez à vous rapprocher de votre vision.

Conclusion

Voici donc 5 erreurs absolument majeures que vous risquez de commenter lors de l’implémentation de votre gestion des services IT. Vous vous reconnaissez dans l’une d’entre elles ou même dans plusieurs? Alors ne vous étonnez pas si les métiers de l’entreprise considèrent que l’informatique coûte très cher et ne leur apporte pas grand chose en terme de valeur.

Malheureusement, il y a bien d’autres erreurs courantes que vous risquez de commettre. Dans une deuxième partie qui sera publiée prochainement, nous étudierons 5 autres erreurs d’implémentation.

Vous avez vous-même une expérience de mise en oeuvre qui n’a pas apporté les résultats escomptés? N’hésitez pas à commenter cet article et à lancer le débat. ITIL n’est-il pas un cadre de bonnes pratiques issues du terrain?

Cyber-escroqueries : ne vous faites pas piéger!

Quand il s’agit de vous protéger, vous et votre entreprise, contre les cyber-escroqueries, il n’existe pas de solution «universelle». Les entreprises et les particuliers continuent d’adopter de nouveaux appareils et de nouvelles technologies. Ils s’exposent donc en permanence à de nouvelles possibilités en matière de cyber-attaques.Afin de protéger efficacement les précieuses informations qui motivent les cybercriminels, il est important de mieux comprendre les différents types d’escroqueries qui nous ciblent.

Cyber-escroqueries - Evitez les pièges
Crédit © rawpixel.com 2018

Le top 5 des cyber-escroqueries les plus courantes

Les cybercriminels recourent à une grande variété de tactiques frauduleuses pour accéder à un appareil ou à un réseau. Leur objectif est toujours le même :  extorquer de l’argent ou voler des informations précieuses. Il est essentiels de comprendre les menaces et savoir comment vous en protéger, ainsi que votre entreprise. Cependant,  connaître les différentes manières dont ils exploitent les tactiques d’ingénierie sociale pour tromper les utilisateurs peut s’avérer assez complexe.

Toutefois, grâce à des règles simples, les utilisateurs peuvent minimiser l’impact des cyber-escroqueries. Nous vous proposons ici le top 5 des tactiques que les pirates utilisent cibler les utilisateurs.

1 – Les escroqueries par hameçonnage (phishing)

Les attaques par hameçonnage sont très courantes. On les retrouve très souvent dans les réseaux d’entreprise et les réseaux personnels. Elles se produisent lorsqu’un criminel envoie une communication à sa cible. Il peut s’agir d’un courrier électronique, d’un appel téléphonique, d’un SMS, etc.. Le pirate se fait passer pour quelqu’un d’autre afin d’extraire ou d’accéder à des informations d’identification. Ce sont généralement des données personnelles ou des informations financières concernant la personne ciblée. Il peut aussi s’agir d’informations sensibles liées à l’organisation pour laquelle la personne travaille. De plus, notons que 59% des  infections réussies par ransomware sont véhiculées via l’hameçonnage.

Voici quelques éléments à prendre en compte pour vous aider à mieux reconnaître un mail d’hameçonnage. Vous pouvez aussi vous reporter à mon article détaillé publié sur ce blog.

Vérifiez les noms des contacts

Faites preuve de prudence si vous recevez des communications d’une source inconnue qui vous demande une action, par exemple en fournissant des informations personnelles ou en vous connectant à un site via un lien. Quasiment aucune entreprise ne vous demandera jamais des informations personnelles par courrier électronique ou SMS. Lorsque quelqu’un le fait, cela doit être considéré comme un signal d’alarme. Cela indique probablement que vos interlocuteurs ne sont pas ceux qu’ils prétendent être. Vérifiez alors leur adresse électronique ou leur numéro de téléphone. Comparez-les avec ceux de la personne ou de l’organisation à laquelle ils prétendent être associés. Vous pourrez ainsi facilement détecter les incohérences.

Recherchez les fautes d’orthographe et de grammaire

Les organisations professionnelles prennent le temps de lire leurs courriers avant de les envoyer. Il en va de leur image. Souvent, les cybercriminels ne le font pas (encore qu’ils s’améliorent de jour en jour…). Si vous recevez un message provenant d’une source supposée fiable, comprenant des fautes de frappe, une erreur de grammaire ou une mauvaise ponctuation, il y a de fortes chances pour qu’il s’agisse d’une cyber-escroquerie.

Recherchez un comportement agressif

Si l’objet et le langage d’un message sont trop agressifs, il s’agit probablement d’une cyber-escroquerie. Peut-être avez-vous déjà vu un courrier électronique dans votre dossier SPAM comportant un sujet semblable à : « Urgent! Votre compte est épuisé depuis x jours. Contactez-nous IMMÉDIATEMENT ». Le but ici est de vous mettre mal à l’aise, de vous affoler et de vous inciter  à faire ce que les criminels vous demandent. Au lieu de cela, contactez la partie qu’ils prétendent représenter avant de prendre des mesures immédiates.

2 – Le harponnage ou attaque ciblée (spear phishing)

Le spear phishing aussi appelé Harponnage, arnaque au président ou BEC (Business email compromise) est la forme la plus sophistiquée d’attaque par email. Il s’agit d’un email envoyé par un par un cyber-criminel à une seule victime. Ce message  est composé le plus souvent uniquement de texte sans lien ni pièce jointe. Une attaque « classique » de spear phishing démarre généralement par un échange d’emails avec la cible afin de gagner sa confiance. Pour ce faire, le pirate usurpe l’identité d‘une personne appartenant au réseau de sa victime (employé, famille, fournisseur…).  Il démarre l’échange avec un sujet cohérent. Le pirate a donc au préalable bien étudié sa cible et son réseau, grâce aux données accessibles légalement sur Internet. Il utilise notamment les réseaux sociaux, (LinkedIn, Twitter, Facebook…) et les médias. Cette forme d’attaque garantit le taux de réussite le plus élevé et en fait la menace la plus dangereuse.

Voici quelques façons de déjouer ce type d’arnaque.

Utilisez un service de vérification du courrier électronique

La vérification du courrier électronique consiste à valider la source des emails que vous recevez pour vérifier si les identités du domaine de gestion administrative correspondent ou non à l’adresse de messagerie utilisée.

Faites preuve de discrétion lorsque vous transmettez des informations

Cela semble tellement simple. Si les utilisateurs ne communiquaient pas volontairement leurs informations à de mauvais acteurs, le harponnage ne constituerait pas une arnaque aussi efficace.

Maintenez une bonne hygiène de sécurité

En appliquant des règles de base de cyber-hygiène, vous bloquerez de nombreux vecteurs d’attaque courants. La mise en œuvre d’habitudes simples et quotidiennes peut contribuer dans une large mesure à empêcher les cyber-criminels de réussir à compromettre un appareil ou un réseau.

3 – L’escroquerie à l’appât (baiting spam)

Ce type de cyber-escroquerie ont pour but d’inciter les utilisateurs non avertis à effectuer certaines actions, telles que le téléchargement d’un virus ou la saisie d’informations personnelles en échange d’appâts. On utilise souvent des appâts physiques. Il peut s’agir d’une clé USB, intitulée «Informations sur les salaires de l’entreprise», laissée à la victime pour qu’elle le trouve. Elle le connectera alors à sa machine. Même si ce type d’escroquerie peut prendre de nombreuses formes, l’objectif final est toujours le même: inciter les utilisateurs à installer quelque chose de malveillant.

Pour vous protéger et protéger votre organisation, prêtez attention à ces quelques indices communs.

Évitez les offres « gratuites »

Comme le dit l’adage, «si cela semble trop beau pour être vrai, il y a de fortes chances pour que ce soit le cas». De nombreux cyber-criminels tenteront d’attirer les victimes en leur promettant des téléchargements gratuits, la livraison gratuite, des abonnements gratuits, etc. Assurez-vous donc non seulement de vérifier la source et de lire les petits caractères de tous les accords, mais également de vérifier l’organisation qui vous fait ces offres alléchantes.

Évitez les clés USB, les lecteurs flash externes ou les disques durs inconnus

L’appâtage peut être effectué numériquement ou avec des disques physiques qui installent des logiciels malveillants. Assurez-vous donc de connaître le propriétaire du lecteur avant de le connecter à votre ordinateur.

4 – L’arnaque au support technique

Sur l’année 2017 seulement, le FBI aurait reçu environ 11 000 plaintes concernant des fraudes liées à l’assistance technique. Cela aurait coûté 15 millions de dollars au total. Comme leur nom l’indique, les cyber-criminels se font passer pour des employés du support technique. Ils prétendent travailler pour l’organisation de leur victime ou pour un service indépendant. Leur but est d’avoir accès aux informations personnelles de leur cible. Comme pour les autres cyber-escroqueries énumérées ici, le succès ou l’échec dépend de la victime qui subit une attaque d’ingénierie sociale.

Dans cet esprit, il est important de surveiller certains des drapeaux rouges révélateurs.

Recherchez les messages non sollicités

Rarement, le support technique vous contactera pour vous proposer de réparer votre ordinateur. Les développeurs de logiciels et de matériel informatique ne font jamais le suivi de leurs solutions. Ils n’appellent jamais pour offrir une assistance en matière de sécurité. Si un membre du personnel d’assistance technique ou une entreprise vous contacte via une annonce contextuelle, un e-mail ou un appel téléphonique non sollicité (e) ou via les médias sociaux, il s’agit probablement d’une arnaque. Les entreprises légitimes ont mis en place des processus pour mettre à jour vos produits et services, tels que des correctifs et des mises à jour publiés, ou des moyens de résoudre les problèmes directement intégrés à la solution elle-même.

Évitez d’installer quoi que ce soit à partir d’une source inconnue

A moins que cela ne provienne directement d’une source en laquelle vous avez confiance, tout téléchargement à partir du Web comporte le risque inhérent d’infecter votre ordinateur. Comme pour les escroqueries à l’appât, les cyber-criminels tentent souvent de proposer des «analyses de sécurité gratuites» ou des «nettoyages d’ordinateur», qui infectent ensuite l’ordinateur de la victime avec des logiciels malveillants.

Repérez les acteurs qui souhaitent un accès à distance à votre appareil

L’accès à distance permet à de véritables équipes de support technique de «prendre en charge» une machine à distance afin de la réparer. Cependant, la même technologie peut être utilisée par des cyber-criminels pour accéder rapidement à des informations personnelles en dehors de votre appareil. Si une source inconnue vous demande d’accéder à votre appareil, refusez!

5 – Piratage des appareils mobiles

Les appareils mobiles sont également de plus en plus ciblés par des arnaques criminelles. Les fausses applications utilisées pour extraire des données ou des ransomwares sont largement disponibles, en particulier pour les systèmes d’exploitation Android.

Respecter ces quelques conseils pourra vous éviter de graves désagréments.

Évitez les programmes malveillants se faisant passer pour des applications et des mises à jour légitimes

Un nombre croissant d’applications factices sont disponibles dans des magasins d’applications en ligne (par exemple, Apkmonk). En outre, les add-ons et les mises à jour qui exploitent les applications et les périphériques ne manquent pas (tels que les logiciels malveillants de cryptojacking). Méfiez-vous également des applications demandant des autorisations inutiles (droits d’administrateur du périphérique, codes envoyés par SMS, etc.).

Utiliser le WiFi sécurisé

Méfiez-vous du WiFi gratuit. Les espaces publics et les magasins offrant une connexion Wi-Fi gratuite sont des lieux courants d’attaques de type «homme du milieu».  Les cyber-criminels proposent souvent la disponibilité des services Wi-Fi puis les utilisent pour capturer des données. Lorsque vous utilisez le WiFi public, utilisez des connexions VPN et évitez les transactions sensibles. De nombreuses applications mobiles étant également programmées pour se connecter automatiquement à des connexions connues, les cybercriminels utilisent souvent des SSID WiFi tels que «Réseau domestique» pour inciter les périphériques à se connecter automatiquement sans aucune intervention de l’utilisateur.

Quelques précautions pour éviter d’être victime des cyber-criminels

Les cyber-escroqueries peuvent toucher quiconque n’est pas au courant des signes précurseurs. Au fur et à mesure que les utilisateurs adoptent de plus en plus d’appareils qui se connectent à un réseau, le risque d’être victime d’une arnaque ne fait qu’augmenter. En prenant conscience des cyber-escroqueries communes ciblant les personnes, ainsi que des moyens de reconnaître les signes avant-coureurs de ces escroqueries, vous pouvez protéger vos informations personnelles et les informations des réseaux auxquels vous vous connectez.

 

ITIL 4 : De nouvelles certifications

Alors qu’AXELOS travaille toujours sur la prochaine version d’ITIL dénommée ITIL 4, le nouveau schéma de certification vient d’être dévoilé. Nous vous aidons à y voir un peu plus clair. Qu’est-ce qui change? Les certifications ITIL 2011 restent-elles valides? Comment passer d’une certification ITIL 2011 à une certification ITIL 4? Faut-il arrêter de se former et de se certifier sur ITIL 2011?

ITIL 4 - Les nouvelles certifications
Crédit © rawpixel.com 2018

Nous l’évoquions dans un précédent article, la nouvelle version d’ITIL, ITIL 4 est annoncée pour le premier trimestre 2019. Mais d’ores et déjà, AXELOS, propriétaire du cadre de bonnes pratiques, vient de communiquer le schéma de certifications de cette nouvelle version. Plus simple que le précédent qui était une véritable usine à gaz sans apport réel de valeur, le nouveau cursus semble mieux adapté aux besoins. Reste encore à savoir quels seront les contenus des différents modules. A ce jour, le détail n’est pas encore communiqué.

ITIL 4 constitue la plus importante mise à jour depuis l’introduction de ITIL v3 en 2007. Contrairement à l’actualisation de la version 3 en 2011, le début de 2019 sera marqué par des changements majeurs.

Le chiffre 4 ne traduit pas seulement un numéro de version. Le nom, « ITIL 4 », reflète le rôle que ce cadre de meilleures pratiques continuera de jouer pour aider les individus et les organisations à évoluer dans la quatrième révolution industrielle.

Les nouveautés dans le parcours des formations et des certifications

Le nouveau cursus de formations et de certifications est beaucoup plus simple que celui d’ITIL 2011. Il se compose de trois  niveaux de certification et de 5 qualifications au total  :

  1. Niveau fondamental : Certification ITIL Foundation
  2. Deux parcours de spécialisation :
    • Certification ITIL Management Professional : 4 modules
      • ITIL specialist : Create, Deliver & Support
      • ITIL Specialist : Drive Stakeholder Value
      • ITIL Specialist : High Velocity IT
      • ITIL Strategist : Direct, Plan & Improve
    • Certification ITIL Strategic Leader : 2 modules
      • ITIL Strategist : Direct, Plan & Improve
      • ITIL Leader : Digital & IT Strategy
  3. Certification ITIL Master

Notons que le module ITIL Strategist (Direct, Plan & Improve) est commun aux deux parcours. Le principe est que pour chaque parcours, il faut détenir l’ensemble des qualifications correspondantes pour obtenir la certification.

Nouveau parcours de formations et de formations ITIL 4
Crédit © AXELOS 2018

Les nouvelles formations ITIL 4

ITIL 4 Foundation

Le nouveau cours ITIL 4 Foundation sera disponible début 2019. La certification ITIL 4 Foundation reste la certification de niveau d’entrée. Le cours Foundation donnera aux apprenants une connaissance générale des éléments clés, des concepts et de la terminologie et constituera un pré-requis obligatoire pour quiconque souhaitant obtenir les certifications de niveau supérieur.

ITIL 4 Managing Professional

Le cursus ITIL 4 Managing Professional (ITIL MP) fournira des connaissances pratiques et techniques sur comment réussir sa gestion de projets IT, d’équipes et de flux d’activités. Il s’adresse aux professionnels des TI travaillant dans les domaines technologiques et au sein d’équipes chargées de la transformation numérique au sein d’entreprises. Ce cursus est composé de 4 formations :

  • Create, Deliver & Support
  • Drive Stakeholder Value
  • High Velocity IT
  • Direct, Plan & Improve

Trois des cours (Create, Deliver & Support, Drive Stakeholder Value et High Velocity IT) sont des modules « ITIL Specialist » et le dernier (Direct, Plan & Improve) est un module « ITIL Strategist ».

Chacun de ces cours correspond à des objectifs spécifiques. Cependant, pour obtenir la certification ITIL 4 Managing Professional, il est nécessaire de posséder les quatre qualifications du cursus.

ITIL 4 Strategic Leader

Le cursus ITIL 4 Strategic Leader (ITIL SL) reconnaît la valeur d’ITIL, non seulement pour l’informatique, mais aussi pour tous les services numériques.Ce cursus est composé de deux formations :

  • ITIL Strategist – Direct, Plan & Improve
  • ITIL Leader – Digital & IT Strategy

La certification ITIL 4 Strategic Leader n’est accessible qu’aux gestionnaires expérimentés. Ils devront posséder au moins trois ans d’expérience et être également détenteurs de la nouvelle certification ITIL 4 Foundation. Ils devront bien sûr obligatoirement posséder les deux qualifications du cursus. Aucune précision n’a encore été donnée sur la façon dont les apprenants devront démontrer qu’ils possèdent l’expérience requise.

ITIL 4 Master

Accessible uniquement aux détenteurs des certifications ITIL MP et ITIL SL, cette certification sera basée sur une évaluation concrète des compétences. La forme que pourrait prendre cette évaluation sera communiquée ultérieurement par AXELOS.

Validité des certifications ITIL V3 et ITIL 2011

Les certifications ITIL V3 et ITIL 2011 seront remplacées par les certifications ITIL 4 à partir du deuxième semestre 2019. La seule exception concerne la certification Foundation qui sera disponible en principe avant l’été 2019. Elles continueront cependant à être proposées jusqu’à l’été 2020.

AXELOS a d’ores et déjà communiqué qu’il serait possible, grâce à un processus de transition, de passer des certifications ITIL V3 ou ITIL 2011. Le pré-requis pour bénéficier de cette transition est de détenir au minimum 17 points ou une certification Expert dans le cursus actuel. De plus cette transition nécessitera de suivre une formation suivie d’un examen. Elle ne sera proposée que dans le cadre du cursus ITIL Management Professional et ce à partir du second semestre 2019.

Il n’existera pas de « pont » entre l’actuel ITIL 2011 Foundation et ITIL 4 Foundation. Les apprenants devrons donc suivre le cours normal ITIL 4 Foundation et passer l’examen de certification.

Cela signifie que quiconque est déjà sur le chemin d’une certification ITIL Expert a tout intérêt à la poursuivre dans l’année qui vient. C’est donc une excellente nouvelle pour les personnes qui ont déjà beaucoup investi dans le système de qualification v3 ou 2011.

En résumé…

ITIL 4 Foundation sera disponible à partir du premier trimestre 2019. Il n’y a pas de passerelle, vous devez donc passer le nouvel examen.

ITIL Practitioner ne figurera pas dans le nouveau schéma ITIL. Les compétences particulières associées à cette certification seront désormais incluses dans chacun de cursus proposés. Ceci démontre une volonté d’acquisition de compétences plus pratiques dans ITIL 4. Les certifications ITIL V3 et 2011 étaient bien trop théoriques pour être applicables. C’est d’ailleurs une raison du faible intérêt rencontré par ITIL Practitioner.

Les étudiants qui auront obtenu 17 crédits sur v3 ou 2011 peuvent les utiliser pour réaliser une transition  permettant de devenir un gestionnaire professionnel ITIL 4. Toute personne qui étudie déjà pour des cours de niveau Expert ou supérieur devrait donc continuer à le faire.

Vous avez des commentaires ou des questions? N’hésitez pas à commenter cet article et nous vous répondrons avec plaisir.

Facebook piraté : un problème de cyber-hygiène

Facebook vient, encore une fois, de se faire pirater. Entre 50 millions et 90 millions de comptes pourraient avoir été accédés. Rien de vraiment surprenant à cela. Inutile de jeter la pierre aux géants du web. Malgré toutes les mesures de cybersécurité qui sont prises, les hackers mènent toujours le jeu. Alors que pouvons-nous faire, chacun à notre niveau? Juste adopter quelques règles de cyber-hygiène de base.

Cybersécurité - Facebook piraté : un problème de cyber-hygiène de base
Crédit © JOEL SAGET / AFP/GETTY IMAGES

Cet incident est loin d’être le premier. Et encore, il est très probable que nous ne voyons que la face émergée de l’iceberg. Il faut donc de façon urgente revoir notre comportement sur internet. Il s’agit là d’une question de cyber-hygiène dont chacun d’entre nous doit s’emparer. Nous ne devons pas attendre des fournisseurs de services qu’ils nous protègent. C’est le rôle des états qui édictent régulièrement des lois et des réglementations à cet effet. Mais les premiers responsables, ce sont les utilisateurs. En ce début du mois de la cybersécurité, il se trouve justement que le thème central de la première semaine est «Appliquer une cyber-hygiène de base».

Cyber-hygiène: de quoi s’agit-il?

C’est vrai que le mot en lui-même n’est pas très sexy! Mais il représente exactement ce qu’il décrit.

La cyber-hygiène est souvent comparée à l’hygiène personnelle. Tout comme une personne qui applique certaines pratiques d’hygiène personnelle pour maintenir sa santé et son bien-être, les pratiques de cyber-hygiène permettent de garder les données en toute sécurité et bien protégées. Cela aide à maintenir des terminaux (téléphones, tablettes, micro-ordinateurs) fonctionnant correctement en les protégeant contre les attaques extérieures, telles que les logiciels malveillants, qui peuvent entraver leurs fonctionnalités.

La Cyber-hygiène fait donc référence aux pratiques et aux précautions prises par les utilisateurs dans le but de garder leurs données sensibles organisées, en sûreté et à l’abri des attaques venant de l’intérieur et de l’extérieur.

Selon l’ANSSI, la cyber-hygiène est un moyen de garantir une protection et une maintenance adéquates des terminaux et systèmes informatiques, et de mettre en œuvre les meilleures pratiques en matière de cybersécurité.

Règles élémentaires de cybersécurité en entreprise

Une bonne cyber-hygiène n’est pas la panacée universelle et ne sera pas suffisante pour vous protéger en toutes circonstances. Cependant, elle permettra de diminuer les risques liés à la connexion internet. Dans votre Organisation, ll est important que toute personne en contact avec votre réseau, du DG au simple stagiaire, suive ces quelques conseils élémentaires.

10 bonnes pratiques de base

  1. Au niveau de l’Entreprise, tenir un inventaire, à jour, du matériel et des logiciels s’exécutant sur le réseau de l’entreprise.
  2. Développer un processus d’installation des logiciels sur leur poste par les utilisateurs. Il peut, par exemple, limiter l’installation des logiciels approuvés. Il peut aussi interdire et bloquer toute installation non explicitement autorisée par leur management et/ou le TI..
  3. Sensibiliser les utilisateurs aux bonnes pratiques de cybersécurité (gestion des mots de passe, identification des attaques d’hameçonnage potentielles, terminaux autorisés à se connecter au réseau, etc.). Tous les utilisateurs sont concernés. Cela ne s’adresse pas exclusivement aux personnels du département informatique comme on le croit souvent. Cela ne se limite pas non plus aux salariés. N’oubliez pas d’inclure les consultants ayant accès au réseau de votre Organisation.
  4. Identifier les logiciels vulnérables inutilisés et les désactiver en urgence. Il constituent des vulnérabilités importantes pour votre réseau et sont autant de failles potentielles.
  5. Effectuer des sauvegardes régulières des données et en conserver plusieurs copies. Vous pouvez envisager d’utiliser une solution sécurisée dans le Cloud et sur site. En cas de sauvegardes physique, les conserver dans un endroit sécurisé.
  6. Adopter des configurations / normes sécurisées reconnues par le secteur. On peut, par exemple s’appuyer sur celle fournie par l’ANSSI. Cette méthode peut aider les entreprises à définir des paramètres tels que la longueur des mots de passe, le chiffrement, l’accès aux ports et la double authentification.
  7. Appliquer régulièrement et sans délai les correctifs à toutes les applications. Les systèmes non à jour des correctifs représentent l’un des principaux facteurs de risque d’attaque. Les pirates utilisent de plus en plus ces correctifs pour identifier les vulnérabilités et les utilisent à loisir.
  8. Créer des mots de passe complexes. Veiller à ce que la complexité n’entraîne pas de mauvaises pratiques comme par exemple l’écriture du mot de passe sur un post-it collé sous le clavier.
  9. Limiter le nombre d’utilisateurs dotés de privilèges administratifs.
  10. Mettre à niveau les infrastructures et systèmes vieillissants. L’obsolescence des systèmes constitue un risque majeur de sécurité.

Prendre en compte le facteur humain

Même avec la meilleure protection du monde, le risque pour votre entreprise de figurer sur la liste des prochaines victimes d’attaques au rançongiciel, de violations de données et autres menaces de cybersécurité ne sera jamais écarté. C’est pourquoi il est si important de limiter le facteur humain en automatisant autant que possible les pratiques de sécurité.

Les possibilités sont L’utilisation de la double authentification avec mots de passe complexes, le blocage de certains types de fichiers et le test des connaissances des utilisateurs en matière de sécurité sont des mesures que toutes les entreprises peuvent prendre pour protéger les réseaux diversifiés actuels.

La mise en œuvre de ces étapes, aussi simples soient-elles, peut cependant poser problème aux entreprises en manque de professionnels de la cybersécurité. Il est donc utile de recourir à des outils, tels que l’apprentissage machine, capables d’anticiper et de neutraliser les comportements malveillants à votre place.

Règles élémentaires de cyber-hygiène pour les individus

Face la faille apparue sur Facebook, d’une ampleur inédite pour le réseau social américain, les utilisateurs disposent de plusieurs moyens pour tenter de protéger leur vie privée. Voici quelques bonnes pratiques à mettre en œuvre.

Adopter l’authentification à deux facteurs

Pour sécuriser leurs services, tous les grands sites Web mettent à disposition une fonction de double authentification. Celle de Facebook est accessible à cette adresse. Elle consiste à demander à l’utilisateur un second élément, en plus de son mot de passe. Dans la plupart des cas, il s’agit d’un code reçu par SMS sur son smartphone. Facebook considère alors que seul l’utilisateur est susceptible d’avoir accès à son smartphone.

L’opération implique de communiquer son numéro de téléphone au fournisseur de services. Bien sûr, dans le cas de Facebook, celui-ci l’utilise également à des fins publicitaires. Le réseau social propose une autre solution: faire appel à une application tierce (comme Duo ou Google Authenticator) pour envoyer ce second code. Notons qu’à priori,  le piratage révélé par Facebook ne semble pas compromis les mots de passe des utilisateurs. Du mois, jusqu’à plus ample informé…

Vérifier la liste des appareils connectés

Smartphones, tablettes, ordinateurs, objets connectés: nos moyens d’accéder aux réseaux sociaux se multiplient. Avec le temps, nous avons donc de plus en plus d’appareils connectés à notre compte. Il est important de vérifier régulièrement la liste des machines qui y ont accès. Accessible dans la catégorie “Sécurité” des paramètres, elle permet de vérifier qu’un appareil suspect ne soit pas dans la liste.

Au besoin, il est possible de déconnecter automatiquement l’ensemble des machines liées à notre compte. Sur la page “Sécurité et connexion”, Facebook propose de recevoir des alertes en cas de connexion depuis un appareil suspect. Ces alertes peuvent vous être envoyées directement sur le compte Facebook ou par email.

Limiter la quantité de données personnelles offertes à Facebook

Malgré ces précautions, la faille révélée de 28 septembre démontre une fois de plus qu’aucune précaution n’est infaillible. Il est donc plus que jamais préférable de limiter au maximum les données que l’on partage avec les réseaux sociaux. Su Facebook, il est possible de supprimer toutes les informations qui ne sont pas indispensables (ville de naissance, établissement scolaire fréquenté etc.). Une page est par ailleurs prévue pour gérer ses préférences publicitaires. Elle permet de supprimer l’ensemble de ses centres d’intérêts répertoriés ou encore de mettre un frein au partage de données avec les partenaires extérieurs de Facebook.

Catégories

Archives

Calendrier

novembre 2018
L M M J V S D
« Oct    
 1234
567891011
12131415161718
19202122232425
2627282930  
%d blogueurs aiment cette page :