Abonnez-vous à ce blog par e-mail.

Saisissez votre adresse e-mail pour vous abonner à ce blog et recevoir une notification de chaque nouvel article par email.

Les changements à l’ère de DEVOPS

ITIL propose un processus de gestion des changements destiné à ne mettre en production que des services éprouvés pour éviter les impacts négatifs sur les utilisateurs. A l’heure où les entreprises sont en recherche permanente d’agilité et où DEVOPS s’impose, l’approche ITIL semble dépassée. Mais est-elle vraiment dépassée où n’est-ce pas plutôt un échec de mise en oeuvre des meilleurs pratiques qui est en cause? Dans cet article, nous allons faire un gros plan sur ce que devrait être la gestion des changements. Et nous allons nous intéresser tout particulièrement au CAB (Comité Consultatif des Changements), mal utilisé le plus souvent.

ITIL - Le CAB à l'heure de DEVOPS
Crédit © rawpixel.com 2018

La seule raison pour laquelle la plupart des personnes et des organisations ont entendu parler du CAB (Change Advisory Board) est qu’il est décrit dans la section sur la gestion du changement des publications ITIL. La plupart des organisations ont alors considéré que si le CAB est décrit dans ITIL, c’est qu’il est obligatoire. Souvent il a donc été mis en œuvre avec enthousiasme comme mécanisme de contrôle de la qualité dans les grandes entreprises. Pour beaucoup de professionnels des opérations non informatiques, le CAB est leur seul contact avec ITIL. Il en est d’ailleurs presque devenu synonyme. Cela signifie également qu’ITIL est lui-même devenu synonyme de douleur récurrente qui revient toutes les deux semaines…

Le conte des trois erreurs

Il en va de la gestion des changements comme de beaucoup d’autres domaines de l’informatique. Il y a une différence significative entre la théorie et la pratique. Pourtant, il est exact que la théorie (dans l’ITSM) a été (partiellement) construite sur la base des pratiques du monde réel. Cependant, il s’agit en fait d’une version idéalisée d’une tentative de description globale destinée à être adaptée à chaque situation particulière. Ce n’est en aucun cas une prescription de ce qui doit être mis en oeuvre tel quel dans les organisations.

Nous allons tenter de mettre tout le monde d’accord pour commencer à travailler à améliorer la pratique de la gestion des changement. A mon sens, c’est une approche à privilégier plutôt que d’essayer de se rassurer dans des initiatives de type «dénigrement» ou «coup de tête». Elles conduisent le plus souvent à des actions de type « paniqué-coupé-renommé-collé » à partir d’une théorie mal comprise..

Il y a trois domaines principaux dans lesquels la confusion à propos du CAB (Change Advisory Board / Comité Consultatif des Changements) et des pratiques de gestion du changement en général ont entraîné des dysfonctionnements importants. Nous allons essayer de les identifier avant de les comprendre dans le détail..

Survol des trois erreurs

Tout d’abord, il y a beaucoup d’incompréhension quant à la signification de la lettre «A» dans l’acronyme «CAB». Deuxièmement, il y a également une incompréhension quant aux changements qui devraient «passer par le CAB». Troisièmement, il existe une confusion relative à la séparation des pratiques de gestion des changements et des pratiques de gestion des mises en production. Cela fait beaucoup pour un seul processus, certes majeur, parmi les 25 processus décrits dans les publications ITIL 2011.

Commençons par rappeler quelques notions issues d’ITIL, mais souvent incomprises :

  • CAB signifie «Change Advisory Board» (Comité Consultatif des Changements) et non pas «Change Approval Board» (Comité d’Autorisation des Changements).
  • Le CAB n’est pas obligatoire dans ITIL, pas plus que l’envoi de toutes les demandes de changement (RFC) au CAB.
  • A chaque fois que les auditeurs exigent des décisions du CAB, ils confondent la fin et les moyens.
  • Lorsque les managers exigent des décisions du CAB, alors c’est qu’il existe probablement un problème de confiance.
  • L’automatisation (pour les modifications logicielles) rend même les auditeurs plus heureux.
  • Le logiciel circulant dans le pipeline CI / CD (intégration continue / livraison continue) n’est pas destiné à passer par le CAB.
  • L’amélioration des pratiques de gestion du changement requiert la réduction du nombre d’intermédiaires intervenant dans le processus pour améliorer son efficacité.

1 – « A » pour « Advisory » (conseiller)

Comme son nom l’indique, le CAB (Comité Consultatif sur les Changements) a pour objectif de conseiller sur l’évaluation des changements. Il est utile principalement lorsqu’il s’agit de changements à haut risque ou de changements à grande échelle qui vont au-delà du champ de perception d’une équipe particulière. Dans ce cas de figure, ils nécessitent la coordination et la gestion de situations complexes. Il faut alors faire face à des priorités conflictuelles et faire des choix en raison de coûts ou de délais. Le rôle du CAB, dans de telles situations, est essentiel car il permet de recueillir les avis de toutes les parties prenantes.

Pour diverses raisons, le mot «Advisory» (Consultatif) est devenu «Approval» (Approbateur) dans de nombreuses entreprises. Le CAB s’est alors transformé en un mécanisme de création de retard sans valeur ajoutée. Il est censé être là pour des raisons de qualité, mais il atteint rarement son objectif. La différence entre les mots est loin d’être seulement une question pédante de sémantique :

  • Advisory: avoir ou exercer le pouvoir de conseiller
  • Approval: acte ou instance d’approbation de quelque chose

Un mode de fonctionnement inefficace qu’il faut absolument améliorer

De plus, les CAB, dans les entreprises, ont souvent tendance à être statiques. C’est toujours même groupe de managers qui discute de tous les changements qui leur sont apportés, quels que soient l’équipe / l’application / le service concerné. Ils invitent parfois les auteurs de RFC (Request For Change / Demande de Changement) ternes et volumineuses à y ajouter un peu de couleur. Cette approche introduit un niveau d’intermédiation qui perd beaucoup de détails.  Par conséquent le risque est grand de créer un type de pratique, fonctionnel techniquement mais défaillant dans la pratique. L’absence d’avis est une chose, mais l’échec en matière d’approbation en est une toute autre.

La pratique consistant à utiliser des RFC dans l’entreprise semble davantage venir d’un livre de recettes que de l’ITSM. La dynamique de la mise en œuvre repose alors sur un examen minutieux afin de s’assurer que tous les champs du formulaire sont remplis. Elle ne repose pas sur des conseils pertinents. En effet, souvent, les RFC contiennent des informations destinées au CAB. Elles ne contiennent pas les questions et les réponses de / à la personne ou l’équipe recherchant un avis.

Cela ne veut pas dire que des contrôles de qualité ne doivent pas être mis en place. Cependant un mécanisme intervenant tardivement dans le jeu, de type Potemkin, est plus susceptible de gêner que d’aider l’entreprise à atteindre ses objectifs. La réduction du nombre d’erreurs est alors obtenue en évitant les changements plutôt qu’en améliorant la résilience du système. En effet, la dynamique est tellement lourde, coûteuse et chronophage que les « petits » changements seront rejetés. Ceci peut souvent conduire, en retour, à un besoin de changements de grande ampleur. C’est notamment le cas  lorsque le système a dépassé sa date de péremption et échoue sur plusieurs fronts simultanément.

Pour améliorer les pratiques dans ce domaine, une réduction réfléchie et consciente des intermédiaires est nécessaire. Ainsi l’évaluation de l’impact et la prise de décision seront rapprochées du lieu où le travail est réalisé. L’efficacité, les coûts et les délais n’en seront qu’améliorés.

2 – Pratiques obsolètes et manque de confiance

Comme nous venons de le voir, le CAB peut être un élément utile de la gestion des changements pour certains types de changements. Il sera beaucoup moins utile pour d’autres. Notez bien que je dis «peut être», ce qui signifie que le CAB est facultatif et en aucun cas obligatoire. Il ne devrait être introduit que s’il est vraiment utile. Sa conception, sa portée, son rôle et sa valeur doivent être réexaminés de manière continue.

Parmi les autres raisons, il y en a deux concernant le «CAB abusif» que je voudrais évoquer ici. La première concerne les pratiques d’audit. Il s’agit de l’exigence de documenter et d’approuver chaque changement. Il est alors tentant de considérer le CAB comme la seule / meilleure méthode pour y parvenir. La première partie de cette exigence est plutôt raisonnable. Pourquoi ne voudrions-nous pas garder la trace des changements? La deuxième partie, par contre, est un exemple de prédominance du « comment » sur le « pourquoi ». Cette exigence est souvent tellement enracinée qu’elle ressemble à une loi intangible. Elle élimine alors d’autres méthodes de travail qui permettraient d’atteindre le même résultat, mais avec un fonctionnement différent.

Les pratiques obsolètes pour satisfaire les auditeurs

Demander au CAB de signer chaque demande de changement a peut-être été le seul moyen pour l’organisation de répondre aux exigences de la vérification par le passé. Ce n’était certainement pas une préconisation figurant dans les directives ITIL. Il suffit de voir, par exemple, l’autorité de changement et la notion de changement standard. Cela a, très probablement, satisfait les objectifs de la gestion des risques, sur papier uniquement. Et finalement cela a été considéré comme suffisant.

Du matériel coûteux, des temps d’approvisionnement longs et des temps de planification encore plus longs ont rendu les approches, idéales d’un point de vue théorique, plutôt populaires. Cependant, le monde a changé.  La plupart des entreprises disposent maintenant d’un soutien suffisant pour investir dans les méthodes et les pratiques informatiques modernes. Il n’est donc plus nécessaire de continuer à jouer ainsi sur le registre de la gestion des risques.

Evitons donc de compter sur des revues de qualité souvent gérées par des personnes ignorantes du contexte. Nous pouvons plutôt utiliser des pratiques d’automatisation, dans lesquelles la documentation détaillée de chaque changement est fournie par défaut. Outre l’amélioration de la qualité du service, nous disposerons alors d’une grande quantité d’informations, plus fiables. Et nous pourrons fournir ces informations aux auditeurs qui seront satisfaits.

L’option d’automatisation s’applique principalement, à priori, aux changements logiciels. Or, dans le contexte du cloud, ceux-ci incluent des éléments de gestion d’infrastructure (« infrastructure as a code »). Mais ensuite, dans quelle mesure est-il raisonnable de prendre en compte les changements logiciels individuels dans le cadre de la gestion «traditionnelle» des changements?

Le manque de confiance dans les équipes

La deuxième raison pour laquelle les CAB sont si populaires et pourtant mal utilisés est la méfiance. Derrière cela se cache aussi la nécessité de sauver ses fesses au cas où quelque chose se passerait mal. Le CAB devient alors un mécanisme pour imposer un contrôle sur des équipes de spécialistes. En effet, sinon, comment savoir si elles travaillent exactement comme on le souhaite?

Dans ce scénario, plutôt que d’utiliser le concept d’autorité de changement et de laisser les équipes les plus proches du travail prendre des décisions, toutes ces décisions sont transférées au niveau du CAB. C’est là que les responsables du responsable du responsable de l’équipe discutent et décident des changements acceptables. Même si le pouvoir décisionnel revient au CAB, c’est toujours le demandeur du changement qui est tenu pour responsable. C’est-à-dire que, si quelque chose se passe mal, le CAB pourra prétendre avoir demandé des informations complètes et justes. Alors, la raison pour laquelle des résultats inattendus sont obtenus sera qu’il disposait d’informations erronées ou incomplètes. Et, on vous expliquera que dès qu’on identifiera qui est l’individu responsable du fiasco, on s’assurera que cela ne puisse plus se reproduire…

3 – La bataille du RAP

La troisième incompréhension porte sur la confusion entre les changements et les mises en production. Mais elle renvoie également au défi que pose la portée du CAB. La gestion du changement détermine si quelque chose doit être changé et quand. La gestion des mises en production vérifie si le package de modifications, quel que soit son contenu, est prêt à être mis en production et à quel moment. Par souci de simplicité, examinons la gestion des mises en production dans le cadre de la gestion des changements…

La manière dont le CAB a été conçu dans de nombreuses organisations pour les changements liés aux logiciels est en réalité un processus d’approbation de mise en production (RAP : Release Approval Process). D’ailleurs ce processus est assez amusant. Plutôt que d’évaluer l’état de préparation à la mise en production et au déploiement (ce qui est à nouveau une tâche à effectuer, de préférence de manière automatisée avec beaucoup de retours), le RAP/CAB évalue la viabilité du changement lorsque le travail sur ce changement a déjà commencé, ou même le plus souvent, a déjà été achevé. C’est évidemment bien trop tard!

Les processus de prise de décision pour les changements (si une modification logicielle est nécessaire) et pour les mises en production (comment valider au mieux la modification) sont déconnectés et mal alignés. Dans ces organisations, la pratique de gestion du changement – bien que généralement non dénommée ainsi – s’appuie sur« le métier», et« l’informatique » et permet de prendre les commandes une fois la décision prise, de livrer ce qui était prévu (mais rarement décrit correctement), et d’assurer qu’aucune perturbation ne surviendra sur aucun service.

Il y a trop de dysfonctionnements dans ce scénario pour pouvoir les détailler et les intégrer dans cet article. Aussi, ce que je voudrais faire, c’est proposer un point de vue différent pour examiner les changements logiciels. Cela permettra peut-être de supprimer en partie la tension entre la communauté ITSM et la communauté DevOps.

Etendre le mandat

Examinons le développement logiciel agile avec intégration continue (CI: Continuous Integration) et livraison continue (CD: Continuous Delivery). En principe, nous pouvons supposer que le code injecté dans le pipeline CI / CD a été pré-approuvé. C’est-à-dire que le développeur a le mandat de travailler dessus. Il nécessite seulement de passer les contrôles de qualité (automatisés) avant d’atteindre l’environnement de production.

Cette approbation préalable ne signifie pas que quiconque a demandé que le travail de développement soit effectué soit sûr à 100% que ces changements spécifiques produiront les résultats escomptés. Pas plus que le développeur n’est totalement convaincu que le code passera les revues qualité sans problèmes. Le temps de retour pour le développeur se compte en minutes / heures. Il se compte pour le client en heures / jours / semaines, en fonction de la conception du pipeline et de la méthodologie de développement utilisée. Le délai de retour est donc extrêmement long et ne correspond pas aux besoins des métiers.

Si le client a déjà décidé qu’il souhaite le changement, cette décision doit en réalité être une décision du CAB. Mais ce n’est pas le CAB tel qu’il est mis en oeuvre habituellement. Ainsi, plutôt que d’essayer même d’évaluer manuellement chaque version logicielle en cours de traitement dans un CAB (ou RAP), les équipes chargées de la gestion des changements et des mises en production doivent alors travailler ensemble pour concevoir et améliorer le pipeline CI / CD. et des revues qualité automatisées.

Est-il raisonnable de démanteler le CAB?

Quelle que soit la conception de votre CAB actuel ou futur, la question clé à garder à l’esprit est la suivante: aide-t-il à obtenir les résultats attendus des métiers?

Une Gestion des Changements efficace ne peut pas être limitée à un portique de sécurité pour l’accès au service informatique. Cela signifie que la gestion du changement n’est pas basée uniquement sur le CAB. Le CAB n’est pas le processus de gestion des changements. C’est juste un mécanisme qui peut être utile au sein du processus. Il reste probablement beaucoup d’autres choses nécessitant une amélioration dans votre gestion du changement.

S’agissant de votre CAB, s’il s’agit d’un groupe de personnes qui ne connaissent pas les détails des changements / mises en production dont ils discutent mais qui prennent cependant des décisions en évitant de répondre de ces décisions, alors c’est clairement un CAB à éliminer d’urgence.  En effet, ce n’est pas du tout le CAB, préconisé par les bonnes pratiques, dont votre entreprise a besoin..

Mais si c’est un groupe de personnes qui peuvent conseiller sur les changements planifiés, aider à la coordination et à la hiérarchisation, et qui sont là pour aider l’organisation plutôt que leur carrière personnelle, alors conservez-le. Mais améliorez-le de façon continue également.

Vous souhaitez évaluer la viabilité des changements? Alors, vous devez le faire en vous appuyant sur des personnes qui comprennent ces changements. C’est la viabilité des Mises en Production que souhaitez évaluer? Alors, cette tâche devrait être effectuée par des personnes qui comprennent ces Mises en Production.

Pour améliorer la qualité, n’oubliez jamais que vous devez réduire les intermédiaires et automatiser autant que faire se peut.

 

Crédits : cet article est inspiré d’une publication de Kaimar Karu

COBIT 2019 : les nouveautés

A quelques jours seulement du lancement de COBIT 2019, prévu pour le 12 novembre 2018, nous vous livrons, en avant-première, quelques informations sur cette nouvelle version du référentiel de gouvernance de l’ISACA. Bien sûr nous reviendrons plus longuement sur les aspects majeurs de COBIT 2019 dans de prochains articles.

COBIT 2019 - Les nouveautés attendues
Crédit © ISACA 2019

COBIT, reconnu internationalement comme la référence en matière de bonnes pratiques de gouvernance efficace et stratégique de l’information d’entreprise et des technologies associées (GEIT),vient d’être mis à jour avec de nouvelles publications et guides pratiques facilitant une mise en œuvre sur mesure simplifiée.

Les nouveautés attendues de COBIT 2019

Une gouvernance efficace de l’information et de la technologie est essentielle pour succès commercial de toute organisation. Cette nouvelle version cimente encore davantage le rôle continu de COBIT en tant que moteur important de l’innovation et de la transformation des entreprises.

COBIT 2019 est une évolution de la version précédente du cadre de gouvernance de l’ISACA. Construire sur les bases de COBIT 5, elle intègre les derniers développements affectant l’information d’entreprise et la technologie. Mais ce n’est pas tout.

En plus de la mise à jour du référentiel, COBIT offre maintenant davantage de ressources de mise en œuvre, des conseils pratiques plus avancés, ainsi qu’un cursus de formation complet. COBIT 2019 aide entreprises à mieux gouverner et gérer l’information et la technologie là où elle se trouve.

Une opportunité de positionnement des entreprises

COBIT 2019 offre une opportunité de mieux positionner toute entreprise en favorisant sa réussite future :

  • Nouveaux processus, tous essentiels à une entreprise, offrant une couverture étendue des données, des projets et de la conformité; mises à jour de domaines tels que cybersécurité et la protection de la vie privée; liens actualisés avec les normes, directives, réglementations et meilleures pratiques. COBIT reste le cadre de référence pour toutes les activités de gouvernance de votre entreprise.
  • Un modèle «open source» est en cours d’adaptation à partir de COBIT 2019. Il permettra à la communauté internationale de la gouvernance de proposer en temps réel des commentaires et des améliorations. Ceux-ci se combineront aux autres évolutions de COBIT. Celles-ci seront publiées sur une base continue et incorporées dans le cadre de base et dans les produits dérivés. Ainsi, vos connaissances permettront la mise à jour du référentiel, lui permettant d’évoluer avec le temps. Il ne sera donc plus nécessaire de redéfinir, ré-implémenter ou redémarrer vos efforts de gouvernance à un certain moment en vous appuyant sur un modèle ou un cadre différent.
  • La mise en œuvre de COBIT 2019 est désormais plus flexible. Elle propose de nouvelles utilisations du référentiel à la fois ciblées sur la base de projets pour des situations spécifiques de résolution de problèmes ou globales pour l’adoption à l’échelle de l’entreprise dans le cadre de la transformation numérique des organisations. COBIT permet de personnaliser une solution de gouvernance adaptée aux besoins spécifiques de chaque entreprise.
  • Le nouveau cursus de formation de COBIT 2019 vous garantit un retour sur investissement maximal de votre programme de gouvernance. Il complète ainsi les formations précédentes sur COBIT 5. Il étend désormais vos activités de gouvernance à la stratégie et aux efforts d’innovation clés pour la transformation de l’entreprise. En raison de la nature évolutive de COBIT 2019, votre formation ne deviendra jamais obsolète. Par conséquent, la formation COBIT 2019 devient un investissement qui pérennise sa valeur, tout en ouvrant des voies à l’innovation. Il n’a jamais été aussi nécessaire de suivre une formation COBITL’information et la technologie constituent les « joyaux de la couronne » de toute organisation cherchant à accroître et stimuler la croissance, à créer des avantages concurrentiels et se renforcer face aux menaces et aux risques.

Les publications constituant le noyau de COBIT 2019

Le cadre de gouvernance COBIT 2019 va bien au-delà des technologies de l’information et fonctions du service informatique. La bonne gouvernance est un élément vital pour la formulation de la stratégie et succès de la transformation de l’entreprise. COBIT 2019 peut vous aider à tracer la voie du succès pour votre entreprise ainsi que pour votre carrière et votre apprentissage.

Le noyau de COBIT 2019 incluant le cadre de référence ainsi que des guides pratiques est constitué des quatre publications.

Référentiel COBIT 2019 : Introduction et méthodologie

COBIT 2019 Introduction et méthodologieLe coeur du référentiel COBIT 2019 intègre une définition élargie de la gouvernance. Il met à jour les principes COBIT tout en établissant la structure du cadre général. Les nouveaux concepts sont introduits et la terminologie est expliquée. Le modèle central COBIT et ses 40 objectifs de gestion fournissent le socle permettant d’établir votre programme de gouvernance. Le système de gestion de la performance est mis à jour. Plus flexible, il permet désormais d’utiliser à la fois des mesures de maturité et des mesures d’aptitude.  L’introduction aux facteurs de conception et aux domaines d’intervention propose des conseils pratiques supplémentaires en vue d’une adoption flexible de COBIT 2019, que ce soit pour des projets spécifiques ou pour une mise en œuvre complète. Publication annoncée pour le 12 novembre 2018.

Référentiel COBIT 2019 : Objectifs de gouvernance et de gestion

COBIT 2019 - Objectifs de gouvernance et de gestionCette publication contient la description détaillée du modèle central COBIT. Elle décrit ses 40 mesures de gouvernance et de gestion. Chaque mesure de gouvernance ou de gestion ainsi que son objet sont définis puis mis en correspondance avec les processus, les objectifs d’alignement et les objectifs d’entreprise. De fait on y retrouve les éléments essentiels de la cascade d’objectifs.

Les informations présentées ici peuvent être utilisée de la façon similaire à celles du guide COBIT 5 – Enabling processes. Publication annoncée pour le 12 novembre 2018.

 

Guide de conception COBIT 2019

COBIT 2019 - Guide de conceptionUne question m’est régulièrement posée à l’issue des formations COBIT 5 que j’anime : comment mettre COBIT en pratique? C’est la question à laquelle réponds cette nouvelle publication. Elle propose ainsi une approche prescriptive pour l’utilisateur. Vous y trouverez des conseils pratiques sur comment adapter un système de gouvernance à des circonstances et à un contexte uniques de l’entreprise. Elle définit et énumère les divers facteurs de conception et leur lien avec les nouveaux concepts COBIT 2019.  L’impact potentiel chaque facteur de conception sur la mise en œuvre d’un système de gouvernance est analysé et des recommandations de workflows pour créer le design adapté à votre organisatione sont proposées. Publication annoncée pour le 10 décembre 2018.

Guide de mise en oeuvre de COBIT 2019

COBIT 2019 - Guide de mise en oeuvreCe guide est la mise à jour de l’ancien guide d’implémentation COBIT 5. Il adopte donc une approche similaire pour la mise en œuvre. Cependant, la nouvelle terminologie et concepts de COBIT 2019, y compris les facteurs de conception, sont intégrés à ce guide. Grâce à ce guide, la mise en oeuvre de COBIT apparaît sous un angle pratique. Elle est plus adaptable aux exigences spécifiques de gouvernance de chaque organisation. Publication annoncée pour le 10 décembre 2018.

Cyber-risques : technologies émergentes et vie privée

De nouveaux cyber-risques apparaissent au fur et à mesure que des technologies émergentes arrivent sur le marché. Dans de nombreux cas les données privées sont menacées. La protection de la vie privée des individus, malgré le RGPD, est de plus en plus mise en défaut. Y a-t-il des solutions? Quelles sont les responsabilités?

Cyber-risques : Technologies émergentes (objets connectés, IoT) et protection des données personnelles et de la vie privée
Crédit © rawpixel.com 2018

Il est maintenant possible de connecter presque tous les objets. Bien sûr on pense à la montre connectée, mais il y a aussi de nombreux autres équipements concernés. Il peut s’agir d’accessoires automobiles ou d’accessoires de la maison (stores, réfrigérateur, télévision, thermostat intelligent, etc.). On ne doit pas non plus faire abstraction des drones et autres équipements médicaux tels que pacemakers ou autres. Aujourd’hui, 6,4 milliards d’appareils sont ou vont être connectés à Internet. Et si ça se passait mal? Si des pirates pouvaient avoir accès au données personnelles collectées par ces terminaux? Et même si les GAFAM (Google-Amazon-Facebook-Apple-Microsoft) récupéraient ces données et les revendaient? Et même si des cyber-criminels prenaient le contrôle de ces objets connectés? Alors, que pourrait-il advenir?

Une menace claire et omni-présente

Vous vous dites peut-être que c’est juste de la science-fiction. Et pourtant, il serait insensé de penser que les thermostats intelligents connectés à Internet ou d’autres appareils intelligents ne posent pas de problème de sécurité pour les organisations. Lors du développement d’objets connectés (IoT), l’absence de réflexion en matière de sécurité a entraîné un risque considérable pour les réseaux d’entreprises.

Selon Kaspersky Labs, 85 000 raisons très claires sont prises en compte lorsque l’on considère le coût moyen d’une attaque par déni de service distribué (DDoS) pour l’entreprise. En octobre 2016 déjà, de larges pans de l’internet sont devenus indisponibles en Europe et en Amérique du Nord. Amazon, PayPal, Netflix, Airbnb, Twitter et Visa ont figuré parmi les grands noms qui ont subi des perturbations. La cause? Une attaque DDoS contre le fournisseur Dyn. La vraie cause? Mirai.

Mirai est un logiciel malveillant qui transforme des ordinateurs utilisant le système d’exploitation Linux en bots contrôlés à distance. Ils forment alors un botnet (réseau de bots) utilisé notamment pour réaliser des attaques à grande échelle sur les réseaux. Mirai s’attaque principalement à des dispositifs grand public tels que des caméras pilotables à distance ou encore des routeurs pour la maison. En gros, il force brutalement les appareils IoT, bien que peu de force soit généralement nécessaire, à cause de mesures de sécurité rares (voire nulles). Suite à l’attaque de 2016, le botnet qui en a résulté était composé d’environ 150 000 caméras IP, de routeurs domestiques et même de moniteurs pour bébé.

Des failles de sécurité pour le moins surprenantes

La plupart des fabricants d’objets connectés (IoT) ne placent pas la sécurité au centre des préoccupations de conception. Le plus souvent , de nombreux fournisseurs et l’industrie technologique font alors porter la faute sur les utilisateurs. Il les accusent de n’avoir pas déployé suffisamment d’efforts pour sécuriser les appareils en modifiant les mots de passe par défaut. Et de leur côté, il arrive même que les fabricants fassent des erreurs majeures de sécurité. Ainsi, certains vont jusqu’à coder en dur des mots de passe faciles à deviner dans leurs appareils. C’est le monde à l’envers. Toutes les bonnes pratiques sont bafouées pour des raisons de coût essentiellement. La conséquence c’est que les cyber-risques explosent.

Des responsabilités claires des fabricants

Certes, les utilisateurs ne modifient pas toujours les mots de passe par défaut pour les rendre plus difficiles à deviner. Cela, les fabricants le savent. Alors pourquoi ne proposent-ils pas un mot de passe par défaut unique, difficile à pirater?

On peut toujours facilement reprocher aux utilisateurs de ne pas mettre à jour les systèmes avec les derniers correctifs. Mais, dans la réalité, ces mises à jour fournies par les fabricants d’objets connectés ne sont pas très fréquentes. Et elles n’arrivent généralement qu’après qu’un périphérique ait déjà été piraté. Ils sont en mode réactif et quasiment jamais en mode proactif.

Les dispositifs IoT sont conçus pour être faciles à utiliser. Ce sont aussi, souvent, des appareils destinés à être vendus à un prix attractif. La question du coût de réalisation devient donc un facteur primordial pour les fabricants. Or les compétences en sécurité sont relativement rares sur le marché et, par conséquent, relativement chères. Aussi, très souvent, la sécurité est développée par des techniciens n’ayant pas les compétences suffisantes en matière de sécurité. Au lieu de cela, il faudrait que les fabricants d’objets connectés fassent développer leurs appareils par des spécialistes de la sécurité possédant, en plus, des compétences de développement et ayant une parfaite compréhension des conséquences d’une protection insuffisante. Pas l’inverse!!

Des réglementations insuffisantes

En outre, l’industrie de l’internet des objets n’est, à ce jour, ni normalisée ni réglementée. La conséquence est une anarchie complète pour les utilisateurs finaux. Cela pourrait changer si le gouvernement tentait d’inciter les fabricants d’appareils IoT à adopter une approche de la protection de la vie privée dès la conception (Protection by Design). Les gouvernements pourraient chercher à légiférer si les fabricants d’appareils IoT n’écoutent pas les conseils. Il y a bien sûr une tentative d’évolution dans ce sens avec le RGPD. Malheureusement c’est encore insuffisant pour faire bouger les lignes au niveau des objets connectés..

L’évolution de la surface d’attaque des entreprises

Il est clair que quelque chose ne va pas dans le monde de la technologie lorsque vos utilisateurs deviennent le périmètre du réseau, étant donné le rôle qui consiste à empêcher les menaces de s’infiltrer davantage dans le réseau.

Les appareils IoT ouvrent le réseau à un éventail de risques beaucoup plus large. Ils servent de points de terminaison à sécuriser, tout en diluant les ressources assignées pour la définition classique et traditionnelle de la protection contre les menaces.

La bascule intelligente

Étant donné ce que vous ne pouvez pas faire pour empêcher la compromission des périphériques IoT, quel est le revers de la médaille? Il ne s’agit pas d’un exercice de «longueur de chaîne» comme le suggère la variété presque infinie d’appareils dont nous parlons. D’ailleurs, cette accusation de conception par des « comptables » que nous avons formulée plus tôt va, en fait déjà, commencer à tomber, dès que les vendeurs verront une opportunité du marché de fournir des produits plus sécurisés.

Attendez-vous à ce que la segmentation du réseau et l’authentification entre périphériques (si aucun cryptage de données suffisamment puissant n’est possible) figure parmi les priorités dans les listes de fonctionnalités des objets connectés.

Gardons un oeil sur le futur

Quoi que l’avenir nous apporte, vous ne devez pas perdre de vue ces objets connectés (IoT), ni même leur emplacement. Vous devez absolument savoir quels appareils vous avez, avec quoi ils se connectent et comment ils le font. Tenir un inventaire détaillé des vos actifs informationnels fait partie des bonnes pratiques de sécurité de l’information. Cependant on oublie souvent ces appareils dans la liste des actifs informationnels.

La visibilité est essentielle pour sécuriser l’IoT dans la mesure où votre entreprise est concernée. Ces points de d’accès sont les endroits où les attaquants rechercheront des vulnérabilités pour essayer de franchir le fossé entre les équipements et l’infrastructure de votre entreprise.

 

ITIL – 5 erreurs majeures de mise en oeuvre

Vous suivez les réseaux sociaux? Vous discutez avec des responsables informatiques dans des entreprises, comme je le fais chaque jour? Alors nul doute que vous entendez beaucoup de critiques vis à vis d’ITIL. Pas assez agile. Sa mise en oeuvre coûte très cher aux entreprises. Difficile de convaincre le management d’obtenir les ressources nécessaires. Depuis l’implémentation d’ITIL, on est moins performants qu’avant. Toutes ces critiques sont souvent justifiées. Malheureusement, elles sont souvent la conséquence d’erreurs majeures dans l’implémentation des bonnes pratiques proposées par ITIL.

ITIL : 5 erreurs majeures de mise en oeuvre
Crédit © rawpixel 2018

En tout état de cause, qu’il s’agisse de mauvaise compréhension des « meilleures pratiques » de gestion des services informatiques ou de difficultés de mise en oeuvre, le risque est toujours le même. L’informatique est devenue un outil indispensable au fonctionnement des entreprises. Une informatique qui fonctionne mal ou qui n’est pas alignée sur les besoins des métiers constitue un risque important pour les opérations. Ce premier article recense 5 erreurs parmi les plus importantes mais aussi les plus courantes lorsqu’on veut s’appuyer sur ITIL.

Erreur N°1 : Vouloir réaliser l’implémentation d’ITIL

La pire erreur de toutes est probablement d’essayer de réaliser la «mise en oeuvre» d’ITIL. ITIL est un cadre de bonnes pratiques et, par conséquent, n’est pas destiné une mise en oeuvre en l’état dans une organisation. La règle, souvent incomprise, c’est qu’on ne fait jamais l’implémentation d’ITIL. D’ailleurs, chaque publication ITIL explique bien que chaque pratique est destinée à être «adoptée et adaptée». On doit réaliser l’implémentation de processus spécifiques à chaque Entreprise. Et on le fera en s’appuyant sur les bonnes pratiques préconisées par ITIL. ITIL devrait être vu comme un recueil de conseils. Ce sont seulement des exemples génériques dont vous devez tirer des leçons. Si on essaie d’appliquer à la lettre ces conseils sans tenir compte du métier de l’entreprise, de sa culture et des ressources disponibles, on est assuré de l’emmener au mieux dans une impasse, et au pire à un désastre.

La dernière publication parue à ce jour, ITIL Practitioner, a été publiée en 2015. Elle décrit un ensemble de lignes directrices pouvant vous aider à adopter et à adapter les principes d’ITIL. Ces principes incluent des idées telles que «se concentrer sur la valeur», «rester simple» et «progresser de manière itérative». Si vous utilisez ces principes pour vous guider dans l’adoption et l’adaptation d’ITIL aux besoins de votre organisation, vous n’irez jamais trop loin dans l’erreur. Et même, vous avez réellement de grandes chances d’atteindre vos objectifs.

Erreur N° 2 : Se focaliser uniquement sur les processus

La plupart des gens imaginent qu’ITIL concerne uniquement les processus. Ils s’efforcent donc d’optimiser ces processus, de les rendre plus efficaces et de veiller à ce que chacun atteigne ses objectifs. Is oublient alors l’essentiel. Aucun processus ne se fonctionne dans le vide. Donc, si vous voulez être efficace, vous devez avoir une vue d’ensemble de l’entreprise. Il vous faut donc absolument conserver une vision holistique de l’organisation. En aucun cas, vous ne devez vous limiter seulement à ce qui est écrit dans une publication ITIL ni au seul département informatique..

La notion de création de valeur

ITIL a pour objectif de vous aider à créer de la valeur pour vos clients. Cela signifie que chaque fois que vous améliorez un processus, l’amélioration réalisée doit être axée sur l’amélioration pour vos clients, et pas seulement sur l’amélioration du processus pour lui-même. Demandez-vous donc si vous pouvez expliquer à vos clients le but d’une amélioration en des termes qui ont du sens pour eux. Si la réponse est «non», essayez de trouver ce qui cloche.

N’oubliez jamais que l’informatique ne crée aucune valeur directement. Les services informatiques ne servent qu’à aider les métiers de l’entreprise. Ce sont eux qui sont créateurs de valeur grâce à leurs clients. Vos processus doivent donc les aider à être plus performants vis à vis de ceux-ci. Ainsi, au quotidien, lorsque je travaille avec mes clients, je documente toujours l’objectif de haut niveau de chaque processus. Et je le fais dans des termes qui ont du sens pour les clients des métiers. Par exemple, «la gestion du changement garantira que les changements vont du développement aux opérations en temps voulu pour répondre aux besoins de l’entreprise». Je peux alors travailler avec mon client pour l’aider à optimiser ses processus de gestion du changement de manière à répondre à ses attentes. Ce qui est, en fait, exactement ce que les meilleures pratiques ITIL me conseillent de faire.

Les facilitateurs de la création de valeur

Pour réussir à créer de la valeur, les processus ne suffisent pas. Il faut bien sûr que les processus soient opérés par des ressources humaines. Ces ressources humaines doivent elles-mêmes être organisées en structures au seins de l’entreprise. Il est donc essentiel de ne pas se limiter aux processus mais de travailler en même temps sur les ressources humaines et sur les structures organisationnelles, au minimum.

Erreur N° 3 : Se focaliser sur les outils

La troisième grande erreur que je rencontre est celle des organisations informatiques qui pensent qu’un outil de gestion des services informatiques peut obliger les équipes à se conformer aux bonnes pratiques ITIL. Ils reconnaissent qu’ils ne gèrent pas les incidents, les problèmes et les changements aussi bien qu’ils le souhaiteraient. Alors ils décident que le meilleur moyen de résoudre ce problème est d’acheter un nouvel outil, qui résoudra tous leurs problèmes.

Bien entendu, ce nouvel outil n’a que très peu d’utilité, à moins que l’organisation ne définisse d’abord ce qu’elle tente d’obtenir et ce qu’elle devra faire pour s’assurer que c’est ce que l’outil fournit. Lorsqu’un nouvel outil ITSM est simplement configuré pour prendre en charge toutes les mauvaises pratiques de travail qui posaient problème avec l’ancien outil, l’organisation ne va pas tarder à attribuer au nouvel outil des problèmes qui ne peuvent être résolus qu’en intégrant de meilleures pratiques de travail.

Un nouvel outil ITSM ne vous aidera à vous améliorer que si vous avez correctement préparé le terrain. Comprenez-vous les améliorations dont vous avez besoin dans vos processus, relations, compétences, votre organisation et les autres domaines de gestion des services informatiques?

Erreur N° 4 : Assigner une personne à chaque rôle

ITIL décrit de nombreux rôles. Par exemple, chaque processus définit le rôle d’un propriétaire et d’un gestionnaire du processus, ainsi que de nombreux autres rôles spécifiques. Il est courant de penser que chaque rôle ITIL doit correspondre à un titre de poste unique. Habituellement, il est alors courant de le confier à une seule personne qui devra répondre aux objectifs du rôle. Dans ces circonstance, il sera alors nécessaire de disposer d’un grand nombre de ressources humaines. De plus, cela aura pour conséquence des  personnes essayant de faire des choses similaires avec beaucoup trop peu de collaboration. Il est clair que ce schéma est très inefficient.

Voyons ce que ITIL dit réellement sur les rôles.


Les rôles sont souvent confondus avec les postes, mais il est important de réaliser qu’ils ne sont pas identiques. Chaque organisation définira les intitulés de poste et les descriptions de poste correspondant à ses besoins, et les détenteurs de ces intitulés de poste peuvent jouer un ou plusieurs des rôles requis.


Il est donc essentiel de ne pas confondre les notions de poste et de rôle.

Erreur N° 5 : Lancer un « énorme » projet de mise en oeuvre

Il y a de nombreuses années, avant que les informaticiens aient entendu parler d’Agile, un projet typique d’ITIL pouvait impliquer une équipe de plusieurs consultants qui prendraient deux ans ou plus pour documenter les processus, configurer les outils ITSM, former le personnel et «mettre en œuvre» le nouvel outil aligné sur ITIL. La première fois que quelqu’un tirait parti de la solution, ce serait quelques semaines avant la fin du projet. C’est à dire longtemps après avoir lancé le projet. Et encore, dans la plupart des cas, le projet n’arrivait jamais à ce stade. Il était arrêté avant cela après avoir gaspillé beaucoup de ressources et cassé des choses qui fonctionnaient…

Aujourd’hui, même les entreprises informatiques qui utilisent encore une approche en cascade pour le développement de logiciels n’adoptent plus cette approche pour améliorer l’ITSM. Les experts ITIL savent que toute amélioration des services informatiques peut être réalisée de manière progressive.

Alors, établissez d’abord une vision partagée de ce que vous essayez d’atteindre. Cela vous permettra de faire un premier petit pas vers votre objectif. Ensuite, prenez ce que vous avez appris de cette première étape pour planifier et exécuter la suivante. N’essayez pas de documenter chaque étape avant de commencer. Au contraire, continuez à apprendre et à vous améliorer et vous continuerez à vous rapprocher de votre vision.

Conclusion

Voici donc 5 erreurs absolument majeures que vous risquez de commenter lors de l’implémentation de votre gestion des services IT. Vous vous reconnaissez dans l’une d’entre elles ou même dans plusieurs? Alors ne vous étonnez pas si les métiers de l’entreprise considèrent que l’informatique coûte très cher et ne leur apporte pas grand chose en terme de valeur.

Malheureusement, il y a bien d’autres erreurs courantes que vous risquez de commettre. Dans une deuxième partie qui sera publiée prochainement, nous étudierons 5 autres erreurs d’implémentation.

Vous avez vous-même une expérience de mise en oeuvre qui n’a pas apporté les résultats escomptés? N’hésitez pas à commenter cet article et à lancer le débat. ITIL n’est-il pas un cadre de bonnes pratiques issues du terrain?

Cyber-escroqueries : ne vous faites pas piéger!

Quand il s’agit de vous protéger, vous et votre entreprise, contre les cyber-escroqueries, il n’existe pas de solution «universelle». Les entreprises et les particuliers continuent d’adopter de nouveaux appareils et de nouvelles technologies. Ils s’exposent donc en permanence à de nouvelles possibilités en matière de cyber-attaques.Afin de protéger efficacement les précieuses informations qui motivent les cybercriminels, il est important de mieux comprendre les différents types d’escroqueries qui nous ciblent.

Cyber-escroqueries - Evitez les pièges
Crédit © rawpixel.com 2018

Le top 5 des cyber-escroqueries les plus courantes

Les cybercriminels recourent à une grande variété de tactiques frauduleuses pour accéder à un appareil ou à un réseau. Leur objectif est toujours le même :  extorquer de l’argent ou voler des informations précieuses. Il est essentiels de comprendre les menaces et savoir comment vous en protéger, ainsi que votre entreprise. Cependant,  connaître les différentes manières dont ils exploitent les tactiques d’ingénierie sociale pour tromper les utilisateurs peut s’avérer assez complexe.

Toutefois, grâce à des règles simples, les utilisateurs peuvent minimiser l’impact des cyber-escroqueries. Nous vous proposons ici le top 5 des tactiques que les pirates utilisent cibler les utilisateurs.

1 – Les escroqueries par hameçonnage (phishing)

Les attaques par hameçonnage sont très courantes. On les retrouve très souvent dans les réseaux d’entreprise et les réseaux personnels. Elles se produisent lorsqu’un criminel envoie une communication à sa cible. Il peut s’agir d’un courrier électronique, d’un appel téléphonique, d’un SMS, etc.. Le pirate se fait passer pour quelqu’un d’autre afin d’extraire ou d’accéder à des informations d’identification. Ce sont généralement des données personnelles ou des informations financières concernant la personne ciblée. Il peut aussi s’agir d’informations sensibles liées à l’organisation pour laquelle la personne travaille. De plus, notons que 59% des  infections réussies par ransomware sont véhiculées via l’hameçonnage.

Voici quelques éléments à prendre en compte pour vous aider à mieux reconnaître un mail d’hameçonnage. Vous pouvez aussi vous reporter à mon article détaillé publié sur ce blog.

Vérifiez les noms des contacts

Faites preuve de prudence si vous recevez des communications d’une source inconnue qui vous demande une action, par exemple en fournissant des informations personnelles ou en vous connectant à un site via un lien. Quasiment aucune entreprise ne vous demandera jamais des informations personnelles par courrier électronique ou SMS. Lorsque quelqu’un le fait, cela doit être considéré comme un signal d’alarme. Cela indique probablement que vos interlocuteurs ne sont pas ceux qu’ils prétendent être. Vérifiez alors leur adresse électronique ou leur numéro de téléphone. Comparez-les avec ceux de la personne ou de l’organisation à laquelle ils prétendent être associés. Vous pourrez ainsi facilement détecter les incohérences.

Recherchez les fautes d’orthographe et de grammaire

Les organisations professionnelles prennent le temps de lire leurs courriers avant de les envoyer. Il en va de leur image. Souvent, les cybercriminels ne le font pas (encore qu’ils s’améliorent de jour en jour…). Si vous recevez un message provenant d’une source supposée fiable, comprenant des fautes de frappe, une erreur de grammaire ou une mauvaise ponctuation, il y a de fortes chances pour qu’il s’agisse d’une cyber-escroquerie.

Recherchez un comportement agressif

Si l’objet et le langage d’un message sont trop agressifs, il s’agit probablement d’une cyber-escroquerie. Peut-être avez-vous déjà vu un courrier électronique dans votre dossier SPAM comportant un sujet semblable à : « Urgent! Votre compte est épuisé depuis x jours. Contactez-nous IMMÉDIATEMENT ». Le but ici est de vous mettre mal à l’aise, de vous affoler et de vous inciter  à faire ce que les criminels vous demandent. Au lieu de cela, contactez la partie qu’ils prétendent représenter avant de prendre des mesures immédiates.

2 – Le harponnage ou attaque ciblée (spear phishing)

Le spear phishing aussi appelé Harponnage, arnaque au président ou BEC (Business email compromise) est la forme la plus sophistiquée d’attaque par email. Il s’agit d’un email envoyé par un par un cyber-criminel à une seule victime. Ce message  est composé le plus souvent uniquement de texte sans lien ni pièce jointe. Une attaque « classique » de spear phishing démarre généralement par un échange d’emails avec la cible afin de gagner sa confiance. Pour ce faire, le pirate usurpe l’identité d‘une personne appartenant au réseau de sa victime (employé, famille, fournisseur…).  Il démarre l’échange avec un sujet cohérent. Le pirate a donc au préalable bien étudié sa cible et son réseau, grâce aux données accessibles légalement sur Internet. Il utilise notamment les réseaux sociaux, (LinkedIn, Twitter, Facebook…) et les médias. Cette forme d’attaque garantit le taux de réussite le plus élevé et en fait la menace la plus dangereuse.

Voici quelques façons de déjouer ce type d’arnaque.

Utilisez un service de vérification du courrier électronique

La vérification du courrier électronique consiste à valider la source des emails que vous recevez pour vérifier si les identités du domaine de gestion administrative correspondent ou non à l’adresse de messagerie utilisée.

Faites preuve de discrétion lorsque vous transmettez des informations

Cela semble tellement simple. Si les utilisateurs ne communiquaient pas volontairement leurs informations à de mauvais acteurs, le harponnage ne constituerait pas une arnaque aussi efficace.

Maintenez une bonne hygiène de sécurité

En appliquant des règles de base de cyber-hygiène, vous bloquerez de nombreux vecteurs d’attaque courants. La mise en œuvre d’habitudes simples et quotidiennes peut contribuer dans une large mesure à empêcher les cyber-criminels de réussir à compromettre un appareil ou un réseau.

3 – L’escroquerie à l’appât (baiting spam)

Ce type de cyber-escroquerie ont pour but d’inciter les utilisateurs non avertis à effectuer certaines actions, telles que le téléchargement d’un virus ou la saisie d’informations personnelles en échange d’appâts. On utilise souvent des appâts physiques. Il peut s’agir d’une clé USB, intitulée «Informations sur les salaires de l’entreprise», laissée à la victime pour qu’elle le trouve. Elle le connectera alors à sa machine. Même si ce type d’escroquerie peut prendre de nombreuses formes, l’objectif final est toujours le même: inciter les utilisateurs à installer quelque chose de malveillant.

Pour vous protéger et protéger votre organisation, prêtez attention à ces quelques indices communs.

Évitez les offres « gratuites »

Comme le dit l’adage, «si cela semble trop beau pour être vrai, il y a de fortes chances pour que ce soit le cas». De nombreux cyber-criminels tenteront d’attirer les victimes en leur promettant des téléchargements gratuits, la livraison gratuite, des abonnements gratuits, etc. Assurez-vous donc non seulement de vérifier la source et de lire les petits caractères de tous les accords, mais également de vérifier l’organisation qui vous fait ces offres alléchantes.

Évitez les clés USB, les lecteurs flash externes ou les disques durs inconnus

L’appâtage peut être effectué numériquement ou avec des disques physiques qui installent des logiciels malveillants. Assurez-vous donc de connaître le propriétaire du lecteur avant de le connecter à votre ordinateur.

4 – L’arnaque au support technique

Sur l’année 2017 seulement, le FBI aurait reçu environ 11 000 plaintes concernant des fraudes liées à l’assistance technique. Cela aurait coûté 15 millions de dollars au total. Comme leur nom l’indique, les cyber-criminels se font passer pour des employés du support technique. Ils prétendent travailler pour l’organisation de leur victime ou pour un service indépendant. Leur but est d’avoir accès aux informations personnelles de leur cible. Comme pour les autres cyber-escroqueries énumérées ici, le succès ou l’échec dépend de la victime qui subit une attaque d’ingénierie sociale.

Dans cet esprit, il est important de surveiller certains des drapeaux rouges révélateurs.

Recherchez les messages non sollicités

Rarement, le support technique vous contactera pour vous proposer de réparer votre ordinateur. Les développeurs de logiciels et de matériel informatique ne font jamais le suivi de leurs solutions. Ils n’appellent jamais pour offrir une assistance en matière de sécurité. Si un membre du personnel d’assistance technique ou une entreprise vous contacte via une annonce contextuelle, un e-mail ou un appel téléphonique non sollicité (e) ou via les médias sociaux, il s’agit probablement d’une arnaque. Les entreprises légitimes ont mis en place des processus pour mettre à jour vos produits et services, tels que des correctifs et des mises à jour publiés, ou des moyens de résoudre les problèmes directement intégrés à la solution elle-même.

Évitez d’installer quoi que ce soit à partir d’une source inconnue

A moins que cela ne provienne directement d’une source en laquelle vous avez confiance, tout téléchargement à partir du Web comporte le risque inhérent d’infecter votre ordinateur. Comme pour les escroqueries à l’appât, les cyber-criminels tentent souvent de proposer des «analyses de sécurité gratuites» ou des «nettoyages d’ordinateur», qui infectent ensuite l’ordinateur de la victime avec des logiciels malveillants.

Repérez les acteurs qui souhaitent un accès à distance à votre appareil

L’accès à distance permet à de véritables équipes de support technique de «prendre en charge» une machine à distance afin de la réparer. Cependant, la même technologie peut être utilisée par des cyber-criminels pour accéder rapidement à des informations personnelles en dehors de votre appareil. Si une source inconnue vous demande d’accéder à votre appareil, refusez!

5 – Piratage des appareils mobiles

Les appareils mobiles sont également de plus en plus ciblés par des arnaques criminelles. Les fausses applications utilisées pour extraire des données ou des ransomwares sont largement disponibles, en particulier pour les systèmes d’exploitation Android.

Respecter ces quelques conseils pourra vous éviter de graves désagréments.

Évitez les programmes malveillants se faisant passer pour des applications et des mises à jour légitimes

Un nombre croissant d’applications factices sont disponibles dans des magasins d’applications en ligne (par exemple, Apkmonk). En outre, les add-ons et les mises à jour qui exploitent les applications et les périphériques ne manquent pas (tels que les logiciels malveillants de cryptojacking). Méfiez-vous également des applications demandant des autorisations inutiles (droits d’administrateur du périphérique, codes envoyés par SMS, etc.).

Utiliser le WiFi sécurisé

Méfiez-vous du WiFi gratuit. Les espaces publics et les magasins offrant une connexion Wi-Fi gratuite sont des lieux courants d’attaques de type «homme du milieu».  Les cyber-criminels proposent souvent la disponibilité des services Wi-Fi puis les utilisent pour capturer des données. Lorsque vous utilisez le WiFi public, utilisez des connexions VPN et évitez les transactions sensibles. De nombreuses applications mobiles étant également programmées pour se connecter automatiquement à des connexions connues, les cybercriminels utilisent souvent des SSID WiFi tels que «Réseau domestique» pour inciter les périphériques à se connecter automatiquement sans aucune intervention de l’utilisateur.

Quelques précautions pour éviter d’être victime des cyber-criminels

Les cyber-escroqueries peuvent toucher quiconque n’est pas au courant des signes précurseurs. Au fur et à mesure que les utilisateurs adoptent de plus en plus d’appareils qui se connectent à un réseau, le risque d’être victime d’une arnaque ne fait qu’augmenter. En prenant conscience des cyber-escroqueries communes ciblant les personnes, ainsi que des moyens de reconnaître les signes avant-coureurs de ces escroqueries, vous pouvez protéger vos informations personnelles et les informations des réseaux auxquels vous vous connectez.

 

ITIL 4 : De nouvelles certifications

Alors qu’AXELOS travaille toujours sur la prochaine version d’ITIL dénommée ITIL 4, le nouveau schéma de certification vient d’être dévoilé. Nous vous aidons à y voir un peu plus clair. Qu’est-ce qui change? Les certifications ITIL 2011 restent-elles valides? Comment passer d’une certification ITIL 2011 à une certification ITIL 4? Faut-il arrêter de se former et de se certifier sur ITIL 2011?

ITIL 4 - Les nouvelles certifications
Crédit © rawpixel.com 2018

Nous l’évoquions dans un précédent article, la nouvelle version d’ITIL, ITIL 4 est annoncée pour le premier trimestre 2019. Mais d’ores et déjà, AXELOS, propriétaire du cadre de bonnes pratiques, vient de communiquer le schéma de certifications de cette nouvelle version. Plus simple que le précédent qui était une véritable usine à gaz sans apport réel de valeur, le nouveau cursus semble mieux adapté aux besoins. Reste encore à savoir quels seront les contenus des différents modules. A ce jour, le détail n’est pas encore communiqué.

ITIL 4 constitue la plus importante mise à jour depuis l’introduction de ITIL v3 en 2007. Contrairement à l’actualisation de la version 3 en 2011, le début de 2019 sera marqué par des changements majeurs.

Le chiffre 4 ne traduit pas seulement un numéro de version. Le nom, « ITIL 4 », reflète le rôle que ce cadre de meilleures pratiques continuera de jouer pour aider les individus et les organisations à évoluer dans la quatrième révolution industrielle.

Les nouveautés dans le parcours des formations et des certifications

Le nouveau cursus de formations et de certifications est beaucoup plus simple que celui d’ITIL 2011. Il se compose de trois  niveaux de certification et de 5 qualifications au total  :

  1. Niveau fondamental : Certification ITIL Foundation
  2. Deux parcours de spécialisation :
    • Certification ITIL Management Professional : 4 modules
      • ITIL specialist : Create, Deliver & Support
      • ITIL Specialist : Drive Stakeholder Value
      • ITIL Specialist : High Velocity IT
      • ITIL Strategist : Direct, Plan & Improve
    • Certification ITIL Strategic Leader : 2 modules
      • ITIL Strategist : Direct, Plan & Improve
      • ITIL Leader : Digital & IT Strategy
  3. Certification ITIL Master

Notons que le module ITIL Strategist (Direct, Plan & Improve) est commun aux deux parcours. Le principe est que pour chaque parcours, il faut détenir l’ensemble des qualifications correspondantes pour obtenir la certification.

Nouveau parcours de formations et de formations ITIL 4
Crédit © AXELOS 2018

Les nouvelles formations ITIL 4

ITIL 4 Foundation

Le nouveau cours ITIL 4 Foundation sera disponible début 2019. La certification ITIL 4 Foundation reste la certification de niveau d’entrée. Le cours Foundation donnera aux apprenants une connaissance générale des éléments clés, des concepts et de la terminologie et constituera un pré-requis obligatoire pour quiconque souhaitant obtenir les certifications de niveau supérieur.

ITIL 4 Managing Professional

Le cursus ITIL 4 Managing Professional (ITIL MP) fournira des connaissances pratiques et techniques sur comment réussir sa gestion de projets IT, d’équipes et de flux d’activités. Il s’adresse aux professionnels des TI travaillant dans les domaines technologiques et au sein d’équipes chargées de la transformation numérique au sein d’entreprises. Ce cursus est composé de 4 formations :

  • Create, Deliver & Support
  • Drive Stakeholder Value
  • High Velocity IT
  • Direct, Plan & Improve

Trois des cours (Create, Deliver & Support, Drive Stakeholder Value et High Velocity IT) sont des modules « ITIL Specialist » et le dernier (Direct, Plan & Improve) est un module « ITIL Strategist ».

Chacun de ces cours correspond à des objectifs spécifiques. Cependant, pour obtenir la certification ITIL 4 Managing Professional, il est nécessaire de posséder les quatre qualifications du cursus.

ITIL 4 Strategic Leader

Le cursus ITIL 4 Strategic Leader (ITIL SL) reconnaît la valeur d’ITIL, non seulement pour l’informatique, mais aussi pour tous les services numériques.Ce cursus est composé de deux formations :

  • ITIL Strategist – Direct, Plan & Improve
  • ITIL Leader – Digital & IT Strategy

La certification ITIL 4 Strategic Leader n’est accessible qu’aux gestionnaires expérimentés. Ils devront posséder au moins trois ans d’expérience et être également détenteurs de la nouvelle certification ITIL 4 Foundation. Ils devront bien sûr obligatoirement posséder les deux qualifications du cursus. Aucune précision n’a encore été donnée sur la façon dont les apprenants devront démontrer qu’ils possèdent l’expérience requise.

ITIL 4 Master

Accessible uniquement aux détenteurs des certifications ITIL MP et ITIL SL, cette certification sera basée sur une évaluation concrète des compétences. La forme que pourrait prendre cette évaluation sera communiquée ultérieurement par AXELOS.

Validité des certifications ITIL V3 et ITIL 2011

Les certifications ITIL V3 et ITIL 2011 seront remplacées par les certifications ITIL 4 à partir du deuxième semestre 2019. La seule exception concerne la certification Foundation qui sera disponible en principe avant l’été 2019. Elles continueront cependant à être proposées jusqu’à l’été 2020.

AXELOS a d’ores et déjà communiqué qu’il serait possible, grâce à un processus de transition, de passer des certifications ITIL V3 ou ITIL 2011. Le pré-requis pour bénéficier de cette transition est de détenir au minimum 17 points ou une certification Expert dans le cursus actuel. De plus cette transition nécessitera de suivre une formation suivie d’un examen. Elle ne sera proposée que dans le cadre du cursus ITIL Management Professional et ce à partir du second semestre 2019.

Il n’existera pas de « pont » entre l’actuel ITIL 2011 Foundation et ITIL 4 Foundation. Les apprenants devrons donc suivre le cours normal ITIL 4 Foundation et passer l’examen de certification.

Cela signifie que quiconque est déjà sur le chemin d’une certification ITIL Expert a tout intérêt à la poursuivre dans l’année qui vient. C’est donc une excellente nouvelle pour les personnes qui ont déjà beaucoup investi dans le système de qualification v3 ou 2011.

En résumé…

ITIL 4 Foundation sera disponible à partir du premier trimestre 2019. Il n’y a pas de passerelle, vous devez donc passer le nouvel examen.

ITIL Practitioner ne figurera pas dans le nouveau schéma ITIL. Les compétences particulières associées à cette certification seront désormais incluses dans chacun de cursus proposés. Ceci démontre une volonté d’acquisition de compétences plus pratiques dans ITIL 4. Les certifications ITIL V3 et 2011 étaient bien trop théoriques pour être applicables. C’est d’ailleurs une raison du faible intérêt rencontré par ITIL Practitioner.

Les étudiants qui auront obtenu 17 crédits sur v3 ou 2011 peuvent les utiliser pour réaliser une transition  permettant de devenir un gestionnaire professionnel ITIL 4. Toute personne qui étudie déjà pour des cours de niveau Expert ou supérieur devrait donc continuer à le faire.

Vous avez des commentaires ou des questions? N’hésitez pas à commenter cet article et nous vous répondrons avec plaisir.

Facebook piraté : un problème de cyber-hygiène

Facebook vient, encore une fois, de se faire pirater. Entre 50 millions et 90 millions de comptes pourraient avoir été accédés. Rien de vraiment surprenant à cela. Inutile de jeter la pierre aux géants du web. Malgré toutes les mesures de cybersécurité qui sont prises, les hackers mènent toujours le jeu. Alors que pouvons-nous faire, chacun à notre niveau? Juste adopter quelques règles de cyber-hygiène de base.

Cybersécurité - Facebook piraté : un problème de cyber-hygiène de base
Crédit © JOEL SAGET / AFP/GETTY IMAGES

Cet incident est loin d’être le premier. Et encore, il est très probable que nous ne voyons que la face émergée de l’iceberg. Il faut donc de façon urgente revoir notre comportement sur internet. Il s’agit là d’une question de cyber-hygiène dont chacun d’entre nous doit s’emparer. Nous ne devons pas attendre des fournisseurs de services qu’ils nous protègent. C’est le rôle des états qui édictent régulièrement des lois et des réglementations à cet effet. Mais les premiers responsables, ce sont les utilisateurs. En ce début du mois de la cybersécurité, il se trouve justement que le thème central de la première semaine est «Appliquer une cyber-hygiène de base».

Cyber-hygiène: de quoi s’agit-il?

C’est vrai que le mot en lui-même n’est pas très sexy! Mais il représente exactement ce qu’il décrit.

La cyber-hygiène est souvent comparée à l’hygiène personnelle. Tout comme une personne qui applique certaines pratiques d’hygiène personnelle pour maintenir sa santé et son bien-être, les pratiques de cyber-hygiène permettent de garder les données en toute sécurité et bien protégées. Cela aide à maintenir des terminaux (téléphones, tablettes, micro-ordinateurs) fonctionnant correctement en les protégeant contre les attaques extérieures, telles que les logiciels malveillants, qui peuvent entraver leurs fonctionnalités.

La Cyber-hygiène fait donc référence aux pratiques et aux précautions prises par les utilisateurs dans le but de garder leurs données sensibles organisées, en sûreté et à l’abri des attaques venant de l’intérieur et de l’extérieur.

Selon l’ANSSI, la cyber-hygiène est un moyen de garantir une protection et une maintenance adéquates des terminaux et systèmes informatiques, et de mettre en œuvre les meilleures pratiques en matière de cybersécurité.

Règles élémentaires de cybersécurité en entreprise

Une bonne cyber-hygiène n’est pas la panacée universelle et ne sera pas suffisante pour vous protéger en toutes circonstances. Cependant, elle permettra de diminuer les risques liés à la connexion internet. Dans votre Organisation, ll est important que toute personne en contact avec votre réseau, du DG au simple stagiaire, suive ces quelques conseils élémentaires.

10 bonnes pratiques de base

  1. Au niveau de l’Entreprise, tenir un inventaire, à jour, du matériel et des logiciels s’exécutant sur le réseau de l’entreprise.
  2. Développer un processus d’installation des logiciels sur leur poste par les utilisateurs. Il peut, par exemple, limiter l’installation des logiciels approuvés. Il peut aussi interdire et bloquer toute installation non explicitement autorisée par leur management et/ou le TI..
  3. Sensibiliser les utilisateurs aux bonnes pratiques de cybersécurité (gestion des mots de passe, identification des attaques d’hameçonnage potentielles, terminaux autorisés à se connecter au réseau, etc.). Tous les utilisateurs sont concernés. Cela ne s’adresse pas exclusivement aux personnels du département informatique comme on le croit souvent. Cela ne se limite pas non plus aux salariés. N’oubliez pas d’inclure les consultants ayant accès au réseau de votre Organisation.
  4. Identifier les logiciels vulnérables inutilisés et les désactiver en urgence. Il constituent des vulnérabilités importantes pour votre réseau et sont autant de failles potentielles.
  5. Effectuer des sauvegardes régulières des données et en conserver plusieurs copies. Vous pouvez envisager d’utiliser une solution sécurisée dans le Cloud et sur site. En cas de sauvegardes physique, les conserver dans un endroit sécurisé.
  6. Adopter des configurations / normes sécurisées reconnues par le secteur. On peut, par exemple s’appuyer sur celle fournie par l’ANSSI. Cette méthode peut aider les entreprises à définir des paramètres tels que la longueur des mots de passe, le chiffrement, l’accès aux ports et la double authentification.
  7. Appliquer régulièrement et sans délai les correctifs à toutes les applications. Les systèmes non à jour des correctifs représentent l’un des principaux facteurs de risque d’attaque. Les pirates utilisent de plus en plus ces correctifs pour identifier les vulnérabilités et les utilisent à loisir.
  8. Créer des mots de passe complexes. Veiller à ce que la complexité n’entraîne pas de mauvaises pratiques comme par exemple l’écriture du mot de passe sur un post-it collé sous le clavier.
  9. Limiter le nombre d’utilisateurs dotés de privilèges administratifs.
  10. Mettre à niveau les infrastructures et systèmes vieillissants. L’obsolescence des systèmes constitue un risque majeur de sécurité.

Prendre en compte le facteur humain

Même avec la meilleure protection du monde, le risque pour votre entreprise de figurer sur la liste des prochaines victimes d’attaques au rançongiciel, de violations de données et autres menaces de cybersécurité ne sera jamais écarté. C’est pourquoi il est si important de limiter le facteur humain en automatisant autant que possible les pratiques de sécurité.

Les possibilités sont L’utilisation de la double authentification avec mots de passe complexes, le blocage de certains types de fichiers et le test des connaissances des utilisateurs en matière de sécurité sont des mesures que toutes les entreprises peuvent prendre pour protéger les réseaux diversifiés actuels.

La mise en œuvre de ces étapes, aussi simples soient-elles, peut cependant poser problème aux entreprises en manque de professionnels de la cybersécurité. Il est donc utile de recourir à des outils, tels que l’apprentissage machine, capables d’anticiper et de neutraliser les comportements malveillants à votre place.

Règles élémentaires de cyber-hygiène pour les individus

Face la faille apparue sur Facebook, d’une ampleur inédite pour le réseau social américain, les utilisateurs disposent de plusieurs moyens pour tenter de protéger leur vie privée. Voici quelques bonnes pratiques à mettre en œuvre.

Adopter l’authentification à deux facteurs

Pour sécuriser leurs services, tous les grands sites Web mettent à disposition une fonction de double authentification. Celle de Facebook est accessible à cette adresse. Elle consiste à demander à l’utilisateur un second élément, en plus de son mot de passe. Dans la plupart des cas, il s’agit d’un code reçu par SMS sur son smartphone. Facebook considère alors que seul l’utilisateur est susceptible d’avoir accès à son smartphone.

L’opération implique de communiquer son numéro de téléphone au fournisseur de services. Bien sûr, dans le cas de Facebook, celui-ci l’utilise également à des fins publicitaires. Le réseau social propose une autre solution: faire appel à une application tierce (comme Duo ou Google Authenticator) pour envoyer ce second code. Notons qu’à priori,  le piratage révélé par Facebook ne semble pas compromis les mots de passe des utilisateurs. Du mois, jusqu’à plus ample informé…

Vérifier la liste des appareils connectés

Smartphones, tablettes, ordinateurs, objets connectés: nos moyens d’accéder aux réseaux sociaux se multiplient. Avec le temps, nous avons donc de plus en plus d’appareils connectés à notre compte. Il est important de vérifier régulièrement la liste des machines qui y ont accès. Accessible dans la catégorie “Sécurité” des paramètres, elle permet de vérifier qu’un appareil suspect ne soit pas dans la liste.

Au besoin, il est possible de déconnecter automatiquement l’ensemble des machines liées à notre compte. Sur la page “Sécurité et connexion”, Facebook propose de recevoir des alertes en cas de connexion depuis un appareil suspect. Ces alertes peuvent vous être envoyées directement sur le compte Facebook ou par email.

Limiter la quantité de données personnelles offertes à Facebook

Malgré ces précautions, la faille révélée de 28 septembre démontre une fois de plus qu’aucune précaution n’est infaillible. Il est donc plus que jamais préférable de limiter au maximum les données que l’on partage avec les réseaux sociaux. Su Facebook, il est possible de supprimer toutes les informations qui ne sont pas indispensables (ville de naissance, établissement scolaire fréquenté etc.). Une page est par ailleurs prévue pour gérer ses préférences publicitaires. Elle permet de supprimer l’ensemble de ses centres d’intérêts répertoriés ou encore de mettre un frein au partage de données avec les partenaires extérieurs de Facebook.

Cybersécurité : la résilience, chaînon manquant de votre stratégie

A l’heure de la transformation numérique des organisations, la stratégie de cybersécurité est un sujet sur toutes les lèvres. Dans le même temps, on n’entend quasiment jamais prononcer le mot résilience. Pourtant, la résilience devrait être le pilier majeur de toute stratégie de réduction des risques. Essayons donc de décrypter les raisons de cette anomalie et d’en identifier les risques.

Résilience, le chaînon manquant de votre stratégie de cybersécurité
Crédit © rawpixel.com 2018

Et tout d’abord, il convient de situer la cyber-résilience par rapport à la cybersécurité. Dans les deux cas, il s’agit de répondre aux cyber-risques. Un risque se caractérise par une probabilité de survenance et par un impact (sous forme de conséquences) lors de la réalisation du risque. Dans tous les cas, la stratégie des risques a pour objet d’aligner le niveau des risques au seuil de tolérance de l’Organisation. Cela se fait en mixant la réduction de la probabilité et de l’impact. Bien sûr, la stratégie des risques couvre tous les risques de l’Entreprise et parmi ceux-ci, on aura les cyber-risques.

La réduction de la probabilité de survenance des évènements de sécurité sera essentiellement réalisée grâce à des mesures se situant en amont. On parlera de mesures préventives. On est là dans le domaine de la sécurité. Les mesures de sécurité sont essentiellement de 3 types :

  • préventives
  • de détection (pour détecter l’incident lorsqu’il se produit),
  • correctives pour corriger le système et revenir à une situation acceptable (incluant l’activation d’un plan de continuité ou PCA).

A côté de ces aspects, se pose le problème de la réduction de l’impact et de l’après-crise. Il s’agit donc de répondre à la question « comment pouvons-nous survivre si un tel incident se produit? ». En d’autres termes il s’agit de planifier ce qu’il convient de faire pour réduire les impacts lorsqu’un incident se sera produit. On est là dans le domaine de la résilience.

L’expérience de l’année écoulée

Il y a tout juste un an, l’été 2017 a montré très concrètement à quoi pouvait ressembler des cyber-attaques mondiales. Ce fut le cas notamment avec NotPetya. Un an plus tard, les conséquences du « ransomworm » ne sont toujours pas complètement terminées. Le groupe Merck a annoncé fin novembre 2017 que cette cybe-rattaque lui coûterait environ 600 millions de dollars sur l’exercice 2017 ! Mais, en additionnant les dernières annonces, le seuil des 2 milliards de perte est clairement plus réaliste. C’est la première fois qu’un tel impact est recensé pour un incident cyber. Ce changement de dimension mobilise aujourd’hui enfin les directions générales et les conseils d’administration. Et ce n’est pas trop tôt! Ils sont maintenant demandeurs de moyens pour limiter les impacts de telles attaques. Mais ils sont aussi en attente sur la posture à adopter lorsqu’un cas réel se présentera.

Les mesures préventives de cybersécurité ne suffisent clairement plus à empêcher les cyber-risques de se réaliser. Il est désormais évident que la technologie n’est pas le rempart infranchissable que tout le monde imaginait. La cyber-criminalité est devenue une véritable industrie qui progresse plus rapidement que les moyens de protection ne se développent.

Cyber-résilience : les actions clés

Une cyber-attaque majeure peut être destructive ou entraîner une perte de confiance dans les systèmes clés. Le premier réflexe pour une majorité d’entreprises est alors d’activer le plan de continuité d’activité (PCA). Celui-ci constitue un élément majeur de la stratégie de résilience des organisations. L’objectif est d’assurer la survie de l’organisation lorsque surviennent des sinistres d’ampleur entraînant l’indisponibilité de ses actifs clés. Il peut s’agir de moyens informatiques, d’infrastructures de communication ou d’immeubles voire de collaborateurs.

Or les cyber-attaques majeures, destructives comme Wannacry ou NotPetya, ou provoquant une perte de confiance dans les infrastructures (réseau, gestion des accès, gestion du parc…) telles que les attaques ciblées en profondeur, ne sont pas prises en compte lors de l’élaboration de la majorité des PCA. Ces derniers sont focalisés sur un enjeu de disponibilité. Ils n’appréhendent pas les problématiques de destruction simultanée et de perte de confiance dans le SI induites par les cyber-attaques.

En effet, les dispositifs de continuité du SI sont plus souvent liés aux ressources qu’ils protègent. Ils sont donc également affectés par ces attaques. Depuis plus de dix ans, les dispositifs de continuité (utilisateurs ou informatiques) ont adopté les principes de mutualisation des infrastructures et de secours « à chaud ». Le double objectif de cette approche est à la fois de répondre aux exigences de reprise rapide et d’une meilleure exploitabilité. Mais, de fait, le lien entre le SI nominal et son secours rend les dispositifs de continuité vulnérables aux cyber-attaques.

Des dispositifs de continuité vulnérables

À titre d’exemple, suite à l’attaque NotPetya, l’idée d’utiliser les postes de secours présents sur le site de repli a très rapidement été évoquée dans le cadre d’une gestion de crise. Malheureusement ceux-ci partageaient les mêmes systèmes de gestion de parcs et les mêmes vulnérabilités. Ils donc avaient été logiquement détruits de la même manière que les sites nominaux. Les investissements et les efforts investis dans les dispositifs de continuité ont semblé, à ce moment, très vains.

Enfin il reste les sauvegardes comme dernier rempart. Etablies sur une base souvent quotidienne ou hebdomadaire, elles constituent, pour la plupart des organisations, le dispositif de dernier recours pour reconstruire le SI.

Dorénavant, il n’est pas rare de faire face à une intrusion qui date de plusieurs mois. Bien que la  détection soit récente, dans ce cas, les sauvegardes embarquent de fait les éléments malveillants. Il peut s’agir de malwares par exemple, mais aussi de modifications déjà opérées par les attaquants.

De plus, la continuité en tant que telle des systèmes de sauvegarde est bien souvent négligée. Lors de plusieurs cas de gestion de crise sur NotPetya, les serveurs gérant les sauvegardes avaient eux-mêmes été détruits. Les restaurer a souvent nécessité plusieurs jours vu leur complexité et leur imbrication dans le SI.

S’agissant des SI industriels, les constats sont tout aussi alarmants. Les systèmes numériques industriels sont résilients à des pannes techniques ou des incidents mécaniques anticipés. En revanche, ils n’ont que rarement intégré, dès leur conception, les potentialités d’une malveillance humaine et ils ne disposent souvent pas de mécanismes de sécurité avancés. La longueur de leur cycle de vie (souvent plusieurs dizaines d’années) les expose à l’exploitation de vulnérabilités anciennes. Enfin l’indépendance des chaînes de contrôle  vis-à- vis des systèmes numériques qu’elles supervisent n’est pas toujours respectée.

Des leçons tirées de l’expérience

Il s’avère que lors du déroulement d’une crise, le cycle est souvent identique. Les écueils rencontrés sont quasiment toujours les mêmes. Il convient donc de tirer les leçons de cette expérience.

Gestion de crise en cas de cyber-attaques : les écueils rencontrés
Crédit © Wavestone 2017

Des scénarios d’attaques récurrents

Destruction massive ou indisponibilité d’une grande partie du SI

Ce type de cyber-attaques, concrétisé au travers des cas Wannacry et NotPetya, entraîne généralement une indisponibilité massive du fait du chiffrement des fichiers de données et/ou du système d’exploitation. Les sociétés touchées par des attaques de ce type (parmi lesquelles Merck, Maersk, Saint Gobain, Fedex… mais aussi Sony Pictures ou Saudi Aramco) ont perdu jusqu’à plus de 95% de leurs systèmes d’information (des dizaines de milliers d’ordinateurs et de serveurs) en un délai souvent inférieur à 1h.

La situation au démarrage de la crise est alors très difficile. En effet, il n’y a plus aucun moyen de communication et d’échange au sein de l’entreprise, y compris au sein de la DSI. Les victimes ont communiqué sur des pertes atteignant plusieurs centaines de millions d’euros suite à ces attaques.

Compromission et perte de confiance dans le SI

Il s’agit d’attaques ciblées ne remettant pas en cause le bon fonctionnement du système. Elles visent par contre à donner aux attaquants l’accès à l’ensemble des systèmes de l’entreprise (messagerie, fichiers, applications métiers…). Elles leur permettent d’usurper l’identité de n’importe quel employé et de réaliser des actions en leur nom. Les attaquants peuvent ainsi atteindre tout type de données ou réaliser des actions métiers nécessitant plusieurs validations successives.

Ces cyber-attaques ont touché de très nombreuses entreprises dans tous les secteurs. Les conséquences sont souvent des fraudes massives, comme celles ayant touché la banque du Bangladesh. Il peut aussi s’agir de vols de données financières et de paiements. Ce fut le cas de celles ayant touché plusieurs groupes de distribution aux Etats-Unis dont Target ou encore Home Depot.

La situation au démarrage de ce type de cyber-crise est extrêmement complexe. La raison réside dans la conjugaison de plusieurs éléments aggravants : perte de confiance dans le système d’information et flou grandissant sur les actions et objectifs. Il faut alors investiguer discrètement jusqu’à pouvoir déloger l’attaquant et reconstruire un système sain. Les victimes de ces attaques ont également fait état d’impacts financiers atteignant plusieurs centaines de millions d’euros.

La résilience passe par une bonne gestion de crise

Les crises cyber sont des crises très particulières. Elles sont souvent longues (plusieurs semaines). Elles sont parfois difficiles à cerner (qu’a pu faire l’attaquant ? depuis combien de temps ? quels sont les impacts ?). Elles impliquent des parties prenantes externes, elles-mêmes souvent peu préparées sur ce sujet (avocats, huissiers, autorités, fournisseurs, voire les clients…). Il est donc indispensable d’ajuster les dispositifs existants qui n’ont pas été conçus pour intégrer cette dimension particulière.

Acteur opérationnel de la gestion de la crise cyber, la DSI ne doit pas être sur-mobilisée sur l’investigation et la défense. Cela se ferait au détriment de la production et du secours. Cet aspect constitue un point d’anticipation important à ne pas négliger. Il s’agit donc d’identifier clairement les équipes à mobiliser sur la crise et d’organiser les interventions parallèles d’investigation et de construction du plan de défense.

Au-delà de l’aspect organisationnel, il faut s’assurer de disposer également de l’outillage d’investigation (cartographie, recherche de signature de l’attaque, SI de gestion de crise indépendant, capacité d’analyse de malware inconnu…), d’assainissement (capacité de déploiement rapide de correctifs, isolation en urgence de portions non touchées du SI, isolation réseau…) et de reconstruction (accès rapide aux sauvegardes, accès aux documentations minimum de reconstruction, support des fournisseurs clés, capacité à réinstaller massivement des postes de travail…) requis pour comprendre la position de l’attaquant, stopper sa propagation et faire repartir au plus vite l’activité.

La rédaction d’un guide de gestion de crise, définissant les étapes structurantes, les responsabilités macroscopiques et les points de clés de décision sera un plus. Et parce qu’il est primordial de s’exercer en amont afin d’être prêt le jour où il faudra faire face à la crise, la réalisation d’exercices de crise sera un bon révélateur de la situation réelle.

Les dispositifs de continuité doivent être repensés

Des solutions les plus simples…

Les dispositifs de continuité doivent également évoluer pour s’adapter aux cyber-menaces. Les solutions possibles sont nombreuses. Elles peuvent toucher tous les types de dispositifs de continuité. Le plan de reprise utilisateur peut intégrer par exemple la mise à disposition de clés USB avec un système alternatif. Les collaborateurs pourraient l’utiliser en cas de destruction logique de leur poste de travail.

Certaines organisations ont fait le choix de provisionner des volumes de postes de travail de remplacement directement avec leurs fournisseurs de matériel afin de les installer rapidement en cas de destruction physique.

A des solutions très complexes et coûteuses…

Le plan de continuité informatique peut inclure de nouvelles solutions pour être efficace en cas de cyber-attaques. La plus emblématique vise à construire des chaînes applicatives alternatives. Il s’agit de « dupliquer » une application sans utiliser les mêmes logiciels, systèmes d’exploitation et équipes de production. C’est une solution extrême, très coûteuse et difficile à maintenir. Elle est envisagée pour certaines applications critiques dans le monde de la finance notamment.

A des solutions intermédiaires mais suffisantes

D’autres solutions moins complexes sont envisagées. Il s’agit par exemple de l’ajout de contrôle fonctionnel d’intégrité dans le processus métier. Son concept repose sur la réalisation de contrôles réguliers, à différents niveaux et à différents endroits dans la chaîne applicative. Ceci permet de détecter rapidement des attaques qui toucheraient par exemple les couches techniques (modification d’une valeur directement dans une base de données) sans avoir été réalisées par les actions métier classiques (via les interfaces graphiques). Ces mécanismes peuvent aussi s’appliquer aux systèmes d’infrastructures, par exemple en réconciliant les tickets de demande de création de compte d’administration avec le nombre de comptes réellement dans le système.

D’un niveau de complexité intermédiaire, il est possible d’envisager la définition de zone d’isolation système et réseau que l’on peut activer en cas d’attaques et qui vont isoler les systèmes les plus sensibles du reste du SI. Le SI industriel pourra, à ce titre, constituer à lui seul, une de ces zones d’isolation vis-à-vis du reste du SI.

Cyber-résilience et cybersécurité doivent être imbriqués

Implémenter ces nouvelles mesures de cyber-résilience nécessite des efforts importants. Des efforts qui seront vains si ces solutions de secours et les systèmes nominaux ne sont pas eux-mêmes déjà sécurisés correctement et surveillés avec attention. Le RSSI est l’acteur clé pour faire aboutir ces démarches souvent entamées mais rarement finalisées. L’aide du Risk Manager  — ou, s’il est désigné, son Responsable du Plan de Continuité d’Activité (RPCA) — sera alors un plus. Il est aujourd’hui communément acquis qu’il est impossible de sécuriser des systèmes à 100%. Il faut donc accepter la probabilité d’occurrence de cyber-attaques. C’est à ce moment-là que le Risk Manager ou le Responsable du PCA prendra tout son rôle.

Il est très clair que la résilience est un pilier majeur de votre stratégie de cybersécurité. A ce titre il convient de l’y intégrer dès la conception. Mais il vous appartient également de convaincre votre conseil d’administration de la réalité des cyber-risques et de la nécessité de la mise en oeuvre de mesures de résilience.

Comment s’y prendre concrètement?

Nous ne le répétons, jamais assez, mais deux bonnes pratiques de base sont absolument nécessaires.

Inutile de réinventer la roue : appuyez-vous sur ce qui existe

Il serait vain de partir d’une feuille blanche. Inspirez-vous des bonnes pratiques du marché. A cet effet, AXELOS a publié une référentiel de bonnes pratiques en matière de résilience des SI : RESILIA. Complémentaires d’ITIL, ces bonnes pratiques vous aideront à compléter vos processus existants afin d’y incorporer la planification de la résilience de votre SI

Faite monter vos collaborateurs en compétence, formez-les

La réponse aux cyber-attaques nécessite une préparation minutieuse et du personnel formé et efficace. A cet effet, 2AB & Associates vous propose des formations sur RESILIA (RESILIA Foundation et RESILIA Practitioner) ainsi que des formations sur la continuité des activités (Business Continuity Foundation et ISO 22301 Lead Implementer). Nous vous proposons également une formation indispensable pour mieux évaluer et planifier la réponse aux cyber-risques : ISO 27005 Risk Manager.

Et bien sûr, nos experts sont à votre disposition pour répondre à vos commentaires.

ISO/IEC 20000-1 : le cru 2018 est arrivé

Fantastique nouvelle pour toutes les personnes impliquées dans la gestion des services informatiques (ITSM), la norme internationale ISO/IEC 20000-1:2018 a été publiée ce 15 septembre 2018. Elle est désormais disponible en Anglais et en Français sur le site de l’ISO

ISO/IEC 20000-1:2018 nouvelle version de la norme de gestion des services (ITSM)
Crédit image © raw pixel.com

En cette saison de vendanges, les nouveaux crus sont très attendus. Et le millésime 2018 de la norme internationale ISO/IEC 20000-1 ne fait pas exception à la règle. Il s’agit là de la 3ème version de cette norme dont la première publication remonte à 2005. A l’origine, il s’agissait essentiellement de traduire les bonnes pratiques ITIL V2 sous forme d’une norme de gestion des services informatiques (ITSM). L’objectif était de permettre aux organisations informatiques de certifier leur système de management des services TI. Les référentiels de bonnes pratiques tels que ITIL ne permettant pas de certifier une organisation, ISO/IEC 20000 était la première norme ITSM.

L’enquête annuelle réalisée par l’ISO (International Standard Organization) montre qu’en 2016 la norme ISO 20000 est classée en 9ème position des normes sur lesquelles les entreprises se certifient le plus, avec 4537 certificats d’entreprises délivrés en 2016. Elle connaît d’ailleurs une croissance très importante de 63%, et spécialement en Asie.

ITSM - ISO 20000 dans le monde. Devant ITIL
Répartition des certifications ISO 20000 délivrées dans le monde en 2015 & 2016 – © ISO 2017

Aujourd’hui, ISO/IEC 20000-1:2018 reste alignée sur les bonnes pratiques ITSM, parmi lesquelles ITIL. Cependant, elle a largement pris son autonomie et son périmètre s’est sensiblement élargi. Nous vous livrons ici quelques unes des nouveautés attendues par tous les acteurs de la gestion des services.

Vue d’ensemble de la version 2018 d’ISO/IEC 20000-1

Les membres du sous-comité SC40 du JTC1 (ISO/IEC) ont fait un travail remarquable. Ils ont pris en compte les tendances et les défis actuels dans l’environnement de gestion des services. L’accent est désormais mis davantage sur la gestion et l’assurance qualité. Il est moins centré sur la formulation des processus et des procédures. Le fait qu’un écosystème de services soit composé d’un environnement multi-fournisseurs empêche souvent les entreprises de normaliser tous les processus dans toutes les organisations impliquées incluant leur chaîne logistique de service.

Les changements les plus importants dans la norme ISO/IEC 20000-1:2018

Les modifications suivantes ont été apportées par rapport à la version précédente de 2011:

  1. Au plus haut niveau, une nouvelle structure hiérarchique conforme aux autres normes relatives au système de management a été introduite. Cela facilite la certification des entreprises pour plusieurs normes, telles qu’ISO 9001 (gestion de la qualité) ou ISO 27001 (gestion de la sécurité de l’information).
  2. La section Termes et définitions a été supprimée. Elle est désormais remplacée par une référence aux termes et définitions de l’ISO / IEC 20000-10.
  3. Toutes les références à la « méthode PDCA » (« Plan-Do-Check-Act ») ont été supprimées.
  4. De nouvelles exigences sur le contexte de l’organisation et sur les activités relatives aux risques et aux opportunités ont été ajoutées.
  5. Une exigence explicite de «créer, mettre en œuvre, maintenir et améliorer continuellement un système de management des services (SMS)» a été ajoutée.
  6. Les exigences en matière d’informations documentées, de ressources, de compétences et de sensibilisation ont été mises à jour.
  7. Des exigences supplémentaires dans les domaines de la planification des services, de la connaissance, de la gestion des actifs, de la gestion de la demande et de la fourniture de services ont été introduites.
  8. Les exigences relatives à la gestion des incidents et à la gestion des demandes de service ont été divisées en deux chapitres distincts.

À première vue, la norme semble être devenue plus vaste et donc plus complexe. Cependant, les exigences concernant les processus sont beaucoup plus simples. De même, les exigences en matière de documentation ont été considérablement réduites. Cela permet aux organisations de définir leurs processus beaucoup plus librement. La norme est maintenant conçue davantage pour l’effet de la gestion des services que pour sa description détaillée.

La nouvelle norme sur l’ITSM en un seul coup d’oeil

Les changements et améliorations de cette nouvelle version de la norme ISO/IEC 20000 se reflètent dans le schéma suivant :

Schéma de la norme ISO/IEC 20000-1:2018. Au delà du périmètre ITIL
Crédit © ISO 2018

Comme on peut le voir, des questions telles que le leadership et l’engagement, la gestion des risques, la planification des services d’évaluation et l’amélioration de performance deviennent centrales.

Il est également clair que le nombre de processus a nettement augmenté par rapport à la version précédente de 2011. Cette nouvelle mouture de la norme voit son périmètre augmenter. Il est désormais aligné sur celui d’ITIL 2011 et prend en considération les nouveaux référentiels ITSM comme VeriSM, SIAM, COBIT, etc..

Un changement dans la cible de la norme

Le terme « service informatique » figurait déjà dans la dernière version de la norme. Mais la norme était principalement réservée aux organisations informatiques pour certifier leur système de management à ISO 20000. Avec la connectivité accrue des fournisseurs de services externes et les exigences moins détaillées pour les processus informatiques tels que la disponibilité et la gestion de la capacité, la norme est désormais également prédestinée à être utilisée en dehors des organisations informatiques. C’est la base de la certification de la gestion professionnelle des services d’entreprise à l’avenir avec la nouvelle norme ISO/IEC 20000-1: 2018. Attendons donc de voir comment cela va évoluer dans les prochains mois.

Quelles suites sont à prévoir dans les prochains mois?

Si votre organisation est déjà certifiée ou si vous commencez à mettre en œuvre ISO20000-1, ne vous inquiétez pas. Il est probable qu’il y aura une période de transition minimale de deux ans après la révision de la première partie. Rien de ce que vous faites actuellement pour l’ISO/IEC 20000-1:2011 actuelle ne sera perdu.

Pour les entreprises déjà certifiées ISO/IEC 20000-1:2011

Pour les entreprises déjà certifiées ISO/IEC 20000-1:2011, la transition doit être bien préparée. Cependant les changements ne seront pas vraiment importants. Il est toutefois conseillé de convenir de la date de transition avec le certificateur en temps utile. La date limite probable de cette nouvelle certification sera sans doute d’ici 2021 au plus tard.

Pour les entreprises non encore certifiées ISO/IEC 20000-1

Pour les entreprises qui souhaitent obtenir la certification ISO 20000-1 pour la première fois, cette édition est simplifiée. Elle est moins détaillée au niveau des exigences. Elle se concentre sur ce que les entreprises doivent faire pour avoir plus de liberté de mise en œuvre. La mise en oeuvre d’un système de management des services, en vue de la certification, devrait donc être plus facile.

Parmi les points-clés dont vous devez désormais vous préoccuper pour faire certifier votre SMS sur ISO/IEC 20000-1:2018 :

  • Quels sont les résultats attendus de votre système de gestion de services (SMS) et de vos services?
  • Qu’est-ce qui constitue une valeur pour l’organisation et les clients du SMS et des services?
  • Qui a le pouvoir de prendre des décisions clés sur le SMS et les services?
  • Comment les exigences SMS sont-elles intégrées dans les processus métier de l’organisation?
  • Quelles connaissances sont nécessaires pour soutenir le fonctionnement du SMS et des services?

Ce sont là des aspects clés pour l’ITSM et l’alignement sur le business. Aucune surprise donc de les retrouver au coeur de la nouvelle version de la norme. Ce sont également des questions qui matérialisent un peu plus la particularité d’ISO/IEC 20000-1:2018 vis à vis d’ITIL. En effet ITIL 2011 reste essentiellement focalisé sur les processus exclusivement. Ce sont également les questions qui sont au coeur des nouveaux référentiels ITSM tels que SIAM, VeriSM, etc. Il semble que la nouvelle version d’ITIL (ITIL4) annoncée pour le premier trimestre 2019 aille également dans ce sens.

Quid de la formation et des certifications de personnes?

A l’heure actuel, plusieurs organismes de certification de personnes proposent des certifications individuelles sur ISO/IEC 20000. Parmi elles, on peut citer APMG, EXIN ou PECB. Là encore ne vous inquiétez pas. votre certification ISO 20000 (Foundation, auditor, professional, lead implémenter ou lead auditor) demeurera valide. Les organismes de formations vont simplement devoir mettre à jour leurs cursus de formation pour les adapter à la nouvelle version de la norme. La mise à niveau des examens de certification devrait intervenir dans les prochaines semaines.

2AB & Associates (ex AB Consulting), accrédité auprès de l’APMG, d’EXIN et de PECB pour délivrer les formations et les certifications de personnes sur ISO/IEC 20000 est déjà en train de finaliser les nouveaux cours alignés sur la version 2018 de la norme. Nous préparons aussi un cours de transition vers ISO/IEC 20000-1:2018. Ce cours a pour objectif d’aider les personnes en train de conduire une certification de leur organisation sur la version 2011.

 

Transformation numérique : les conseils d’administration sont-ils prêts?

Les conseils d’administration (CA) devraient être impliqués dans la direction et le leadership de la transformation numérique de leur organisation, en prenant en considération les scénarios de risque non négligeables associés à cette mutation.

Transformation numérique : les conseils d'administration sont-ils prêts
Crédit © image par rawpixel.com

Le rôle du Conseil d’Administration de toute organisation est de s’assurer pour le compte des parties prenantes de l’Entreprise, de la création de valeur sous forme de bénéfices, tout en optimisant les risques et les ressources. Selon COBIT, le référentiel de Gouvernance publié par l’ISACA, cela passe par trois phases. La première consiste à évaluer les besoins de chacune des parties prenantes. La seconde est de prendre une décision en terme de direction à suivre par le management. Enfin, la troisième étape consiste à surveiller la performance et le progrès réalisé par l’Organisation dans la direction donnée.


«Les conseils d’administration jouent un rôle essentiel dans le processus de transformation numérique en apportant expertise, jugement, scepticisme sain et souci de la valeur à long terme.» (Deloitte)


Malheureusement les conseils d’administration ne sont pas encore prêts à superviser les technologies de l’information.  Ils le sont donc d’autant moins en ce qui concerne la transformation numérique de leur Organisation. En effet, non seulement «plus de 80% des CA pourraient ne pas avoir les compétences et les connaissances nécessaires pour gérer efficacement la technologie des entreprises et réaliser des gains stratégiques et des rendements financiers au niveau de l’entreprise» mais, de plus, les cadres mondiaux de gouvernance d’entreprise (COSO par exemple) ne font encore aucune référence significative au leadership numérique du CA.

La transformation numérique a cependant des impacts extrêmement importants sur le fonctionnement des Organisations. Le degré de focalisation requis pour garantir que la transformation numérique se concrétise comme prévu est donc très  élevé. Quels sont les problèmes à surmonter dans la structure des conseils d’administration si les organisations qu’ils supervisent doivent être durables dans le cadre de la transformation digitale actuelle? Les comités stratégiques IT du CA constituent un moyen clé de mieux superviser et contrôler la transformation numérique.

La gouvernance du SI a encore trop de mal à trouver sa place

Selon une étude du Gartner, jusqu’à 85% des projets en technologies de l’information échouent. Les défaillances informatiques détruisent la valeur pour les actionnaires en gaspillant des ressources. Ces défaillances font échouer des opportunités business et détruisent ainsi la valeur que les services informatiques auraient pu créer. Il ne fait aucun doute que ce taux d’échec continuera, voire augmentera, pour les initiatives de transformation numérique.

Une évolution dans le bon sens depuis dix ans

Le besoin de conseils d’administration ayant des compétences en technologies de l’information s’impose de plus en plus au niveau mondial. Cela leur permet d’atténuer les risques d’échec technologiques. C’est tout particulièrement important lorsque le succès stratégique et la pérennité de l’entreprise dépendent de la réussite de son informatique. La figure suivante illustre l’évolution de la gouvernance du SI ces dernières années.

L'évolution de la gouvernance du SI depuis 10 ans
Crédit © 2018 ISACA

L’exception chez les « gaulois réfractaires »

Cette gouvernance formelle du SI se matérialise de plus en plus par un comité stratégique informatique. C’est une préconisation phare de COBIT, le cadre de Gouvernance du SI publié par l’ISACA en 2012. C’est également une tendance forte dans les très grandes organisations qui ont souvent des comités stratégiques. Du moins dans les pays anglo-saxons…

conseil d'administration : l'exception chez les gaulois réfractaires

Lors d’une récente conférence destinée aux administrateurs au Canada, le consensus a été que les comités stratégiques informatique sont encore largement méconnus dans ce pays. Ils sont également ignorés dans la quasi totalité des pays francophones Européens (France, Belgique, Luxembourg) et encore plus en Afrique. A l’inverse on trouve de plus en plus souvent un comité stratégique IT dans les entreprises des pays anglophones. Est-ce à dire que l’absence de gouvernance du SI est une caractéristique liée à la langue Française? Serait-ce le syndrome du « Gaulois réfractaire » évoqué par le Président Macron récemment? Je ne saurais répondre mais le constat est hélas factuel. C’est d’autant plus inquiétant pour l’avenir économique des ces pays à l’heure de la transformation numérique mondiale.

Les conseils d’administration de l’ère digitale doivent s’adapter

Lors d’un récent congrès d’administrateurs de sociétés, une question des organisateurs portait sur le comité stratégique informatique. De façon très décevante, la réponse quasi-unanime des participants était que ni l’ampleur de leurs dépenses informatiques ni la contribution de l’informatique au risque opérationnel n’avaient été jugées suffisamment importantes pour justifier la création d’un comité stratégique distinct. C’est là une preuve supplémentaire de la totale déconnexion des membres des conseils d’administration de la réalité du changement en cours au niveau mondial. Peut-être est-ce dû au fait que, à ce jour, les conseils d’administration peuvent apparaître comme ayant fait du bon travail de gouvernance dans des entreprises de premier plan sans aucune expertise en TI dans leurs rangs? En tout cas, il y a beaucoup de choses derrière cette réponse totalement inadéquate.

D’autant que ce sont ces mêmes membres du conseil d’administration qui parlent publiquement de la transformation numérique et de l’innovation numérique! Ils sont donc apparemment inconscients de l’impact organisationnel énorme et des risques que comporte une telle mutation, qui, par définition, inclut les TI. Ce risque augmente significativement lorsque les membres du CA ne reconnaissent pas leurs responsabilités dans la gouvernance du SI.

L’évolution nécessaire de la composition du CA

Aux Etats Unis, la plupart des membres des conseils d’administration sont indépendants. C’est là une conséquence directe de la loi Sarbanes-Oxley (SOX) depuis 2002. D’ailleurs, dans le S & P 500, Spencer Stuart constate que 85% des administrateurs sont indépendants depuis 2007. Une autre conclusion intéressante de cette étude porte sur l’âge moyen de ces administrateurs qui était de 63,1 ans en 2017. En France, selon l’AGEFI, l’âge moyen des administrateurs des sociétés du CAC40 est de 58,9 ans en 2017. Il apparaît en légère hausse par rapport à 2016. Seulement 68% des membres des CA du CAC40 sont indépendants selon le même rapport de l’AGEFI en 2017.

Un problème de compétence, mais pas seulement

Une question que le Forum Economique Mondial pose aux administrateurs est de savoir si leur conseil d’administration possède des compétences numériques, multigénérationnelles et une expertise suffisante pour donner des conseils sur des sujets commerciaux et technologiques en évolution rapide. En ce qui concerne la sensibilisation au digital, Mckinsey constate que peu de CA ont une expertise numérique suffisante. Difficile donc d’avoir des échanges significatifs sur ce sujet important avec la direction à l’ère de la transformation digitale. Par ailleurs, avec une moyenne d’âge de 63,1 ans (59,9 ans en France), il est difficile de qualifier le conseil d’administration moyen de multigénérationnel.

 L’âge moyen des membres du conseil d’administration en question

Cela complète les conclusions d’une enquête menée par le Harvard Law School Forum impliquant 860 administrateurs de sociétés publiques. De nombreux membres du conseil d’administration ne sont pas à l’aise avec la supervision informatique car, avec un âge moyen de 63,1 ans:

  • L’expérience professionnelle de la plupart des membres du conseil d’administration est antérieure à l’ère de la transformation digitale des organisations;
  • Très peu d’administrateurs ont simplement des connaissances de base en technologies de l’information.

Ce n’est donc pas que les conseils d’administration en général ne souhaitent pas une gouvernance informatique accrue. C’est plutôt que les administrateurs en place n’ont tout simplement pas les compétences ou l’expérience nécessaires pour comprendre pourquoi ou quand ils ont besoin de gouvernance informatique ou même d’un comité stratégique informatique. Les conseils d’administration peuvent-ils être négligents en n’ayant pas de compétences en informatique à bord et, par conséquent, ne pas être en mesure de poser des questions approfondies de supervision des TI au-delà des questions d’audit générales du comité d’audit? La réponse est «non», les conseils ont le devoir fiduciaire d’avoir un minimum de compétence en informatique.

Le vice-président du Comité d’Hygiène et de Sécurité du CA de Delta Air Lines a bien résumé la situation :


Les conseils d’administration doivent être préparés avec les compétences, la technologie et les processus appropriés. Hélas, la plupart des CA échouent sur la majorité ou la totalité de ces exigences.


Dans le cadre de la transformation digitale de l’économie, il est temps que les actionnaires repensent la façon dont ils votent pour les membres du CA lors de leurs assemblées générales annuelles (AGO).

Le périmètre de la transformation digitale mal compris

L’une des clés pour mieux comprendre l’approche des administrateurs est l’écoute de leurs remarques face aux technologies de l’information. Le mot spécifique qu’ils utilisent le plus souvent, c’est «dépenser» (coût). Or le coût est plus en adéquation avec l’informatique opérationnelle qu’avec la transformation numérique. Cela signifie que les membres des conseils d’administration  semblent voir l’informatique uniquement sous l’angle des coûts opérationnels. Ils n’ont pas une approche incluant aussi les  opportunités. C’est pourquoi ils trouvent acceptable de «gouverner» l’informatique par le biais du comité d’audit. S’appuyant sur les constatations citées à la figure 1, la gestion des TI au sein du comité d’audit n’est pas satisfaisante. C’est d’autant plus vrai lorsque la transformation numérique est un objectif stratégique de l’Entreprise.

Lors d’une discussion récente que j’avais avec un administrateur d’une grande société Française cotée au CAC40 et figurant parmi les leaders mondiaux de son domaine, il me disait « La transformation numérique? C’est juste de la technologie. Et la technologie suivra toujours ». Cela révèle pour le moins une incompréhension du périmètre de la transformation numérique par ceux-là même qui doivent la superviser. Ce n’est clairement pas de bon augure pour les organisations concernées.

Cette approche uniquement basée sur les coûts est aujourd’hui largement dépassée. Elle suggère qu’il n’y a peut-être pas de véritable transformation digitale dans ces organisations. Cela va à l’opposé des commentaires publics apparemment tournés vers l’avenir des membres du conseil d’administration.

Cybersécurité, compétitivité, intégration stratégique et transformation numérique

L’informatique a longtemps été beaucoup plus axée sur la durabilité organisationnelle et le positionnement stratégique que sur le coût de l’automatisation des processus. Bien sûr, le conseil d’administration continue de devoir s’intéresser à la gouvernance. Il est cependant peu probable que de nombreux administrateurs soient en mesure de discerner le rôle de l’informatique dans la réalisation des préoccupations de Deloitte concernant la création de valeur à long terme.

Recommandations aux actionnaires et aux membres du CA

La gouvernance du système d’information, pilotée par KING III, ISO / IEC 38500 et COBIT, a été formalisée depuis 2008 au moyen de la norme ISO / IEC 38500. Si l’informatique est simplement opérationnelle dans une organisation, la gouvernance informatique ne doit pas dépasser la charte des coûts du comité d’audit et risque. Mais si l’activité de l’Entreprise dépend de façon stratégique de son informatique, y compris dans un contexte de transformation digitale, alors, conformément à la norme ISO / IEC 38500, le conseil d’administration a trois responsabilités principales:

  • Evaluer continuellement les performances informatiques dans le cadre de la stratégie organisationnelle;
  • Réorienter continuellement l’informatique si ses performances compromettent la stratégie de l’organisation;
  • Surveiller en permanence les performances informatiques pour s’assurer que la stratégie de l’entreprise sera livrée aux actionnaires.

Un outil efficace : le comité stratégique TI

Les problèmes business critiques tels que celui évoqué dans cet article prennent beaucoup de temps pour être résolus. Il est donc nécessaire de réagir efficacement. La création d’un comité stratégique TI est indubitablement un outil efficace pour y remédier. Incontestablement, le sujet des systèmes d’information a depuis longtemps dépassé les domaines d’audit et de risque de base. Des organisations importantes telles que Wallmart en ont tiré les conséquences. Ainsi Wallmart s’est doté d’un comité stratégique TI dédié au niveau du conseil d’administration. Il ne faut surtout pas croire hâtivement qu’un comité stratégique TI est technique. Ce n’est pas du tout le cas. Les responsabilités énumérées dans le paragraphe précédent, ainsi que des sujets tels que la compétitivité, la transformation et la durabilité fondées sur l’informatique, sont clairement stratégiques.

Bien que la gouvernance informatique ait continué à se développer au cours de la dernière décennie et soit devenue la gouvernance du SI, le chemin à parcourir est encore long. Non seulement il n’ya pas de discussion majeure sur le leadership numérique au sein des cadres de gouvernance d’entreprise au niveau mondial, mais les administrateurs ne semblent pas encore avoir les aptitudes et les compétences nécessaires pour gérer correctement les initiatives de transformation numérique.

Une nécessité : le renouvellement des conseils d’administration

Que peut-on faire dans cette situation? En règle générale, les administrateurs sont élus lors de l’assemblée générale annuelle (AGO) par les actionnaires. Dans les organisations où la durée du mandat est limitée, les administrateurs devraient être renouvelés et bénéficier de nouvelles perspectives sur le rôle et les risques. en transformation numérique. Les actionnaires détiennent généralement une partie du pouvoir nécessaire pour remplacer les administrateurs actuels au sein des conseils d’administration. Ils ont par conséquent des moyens d’action sur les membres du CA. Ils peuvent donc s’assurer que les administrateurs possèdent des connaissances de base en informatique.

La question est de savoir si ils le veulent vraiment ou si les facteurs générant des gains à court terme (croissance du prix des actions) sont plus importants que la viabilité à long terme. Ces deux objectifs sont totalement incompatibles. Et c’est là que se situe une partie du problème.

Restons positifs malgré tout

On commence, dans certaines entreprises, à apercevoir une lueur au bout du tunnel. Quelques Organisations, auprès desquelles j’interviens comme conseil, ont unanimement considéré que la durabilité par le biais de la transformation numérique exige plus qu’un simple créneau dans les ordres du jour plus larges des comités d’audit ou des risques.

Au lieu de cela, dans le contexte de la transformation digitale, le service informatique mérite un degré de gouvernance spécialisé qui ne peut lui être accordé que par le biais d’un comité stratégique informatique dédié. C’est une première étape encourageante. Il faut maintenant oeuvrer pour que cela se développe et se généralise. C’est en s’appuyant sur des cadres de gouvernance tels que COBIT ou ISO 38500 qu’on a quelques chances d’y parvenir. Malheureusement cette mutation est très lente. Et pas sûr que les conseils d’administration aient le temps d’évoluer avant que la situation ne devienne critique.

Catégories

Archives

Calendrier

janvier 2019
L M M J V S D
« Déc    
 123456
78910111213
14151617181920
21222324252627
28293031  
%d blogueurs aiment cette page :