BIMESTRIEL N°012• SEPTEMBRE - OCTOBRE 2016 • France 7,00 € • © istock- LeoWolfert.
www.solutions-numeriques.com Septembre - Octobre 2016
« Élever le niveau
de sécurité
des OIV... »
Guillaume Poupard,
DG de ANSSI
P.30
SÉCURITÉ
Appliances CASB
Protéger
le Cloud Hybride
Shadow IT
Le DSI peut-il reprendre le contrôle ?
P.36
Gestion des identités
L’ESSEC
témoigne
Catherine Croiziers,
Directrice des systèmes
d’information de l’Essec
P.20
MICROSOFT
Grandes
manœuvres
autour de
l’écosystème
P.12
ERP
P.52
Cloud, mobilité,
prédictif
P.58
DÉMATÉRIALISATION
et ARCHIVAGE P.74
La plateforme TESSI certifiée NF461
Eric JAMET,
Directeur marketing & innovation :
« Conformité des traitements
et valeur probatoire des documents,
nos clients sont prêts pour le zéro papier. »
Sommaire n°12
SEPTEMBRE - OCTOBRE 2016
STRATEGIE
- Société Générale : l’IT en Lego . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . P.4
JURIDIQUE
- Protection des données personnelles : gare aux sanctions ! . . . . . . P.8
MICROSOFT
- Ecosystème Microsoft : les grandes manœuvres . . . . . P.12
- Mozzaik365 : un portail intranet sur Office 365 clé en main . . . . P.18
SHADOW IT
- Le DSI peut-il reprendre le contrôle ? . P.20
SECURITE
- Interview Guillaume Poupard, ANSSI . P.30
l Appliances CASB
- La parade absolue pour protéger le Cloud hybride ? . P.36
l IAM
- Gestion des identités : qui a accès à quoi ? . . . . . . . . . . . . . . . P.48
- L’identité est une faille de sécurité : l’Essec témoigne . . . . . . . . . P. 52
INFRA
- Faut-il passer au dernier OpenStack ? . . . . . . . . . . . . . . . . . . . . . . . P.54
APPLICATIONS
- Partenariat SAP/HPE
La suite S/4HANA change la donne . . . . . . . . . P.56
- Cloud, mobilité, prédictif…
L’ERP se réinvente . . . . . . . . . . . . . . . . . P.58
- SAP S/4HANA : impacts métiers
et financiers : les entreprises s’interrogent . . . . . . P.64
- MediaGroup centralise toutes ses activités sur un ERP . . . . . . . P.66
DEMAT
- Spigraph : Salons Solutions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . P.68
- La démat des factures : adoptez-la maintenant . . . . . . P.70
En couverture
- Tessi Certified Suite
- Dématérialisation et archivage à valeur probatoire
certifiés de bout en bout . . . . . . . . . . . . . . . . . . . . P.74
- Dématérialisation : des industriels méconnus
7 portraits d’entreprises . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . P.76
» ÉDITO
Sauver le DSI
de l’ubérisation ?
« Uberisation du DSI », tel était le thème, provocateur, d’une
table-ronde lors de la Cloud week, en juillet. Il est vrai que le
BYOD avait donné le goût de la liberté aux utilisateurs, les
applis en Saas, le stockage dans le Cloud leur en ont donné
les moyens. D’après une étude de NTT*, 78% des cadres
admettent que leur département utilise des services que la
DSI ignore, en SaaS, en IasS ou en Cloud public. Et surtout, ils
sont 83% à estimer que ces usages « clandestins » vont se
renforcer ! 4 sur 5 pensent que les données stockées dans le
cloud qu’ils ont choisi est critique et 77% pensent qu’arrêter
ces services serait une entrave au fonctionnement de leur
service.
Le constat est cruel, mais il faut le regarder en face. Le « shadow
IT » semble irréversible. Le DSI peut-il encore reprendre le
« contrôle », et comment ? C’est l’objet d’un dossier de ce
numéro.
Ce court-circuitage de la DSI par les métiers repose sur un
grand malentendu entre le SI et le reste du monde. Les règles
du jeu ont changé : l’utilisateur -salarié et client- est au
centre de tout. Et il n’attend pas. Pour réaliser ces transformations,
l’agilité devient un impératif. Or le Service Informatique
ne saurait pas répondre à ces exigences et serait perçu
par les utilisateurs comme le « ministère du “Non” », selon
l’étude NTT, face au “peuple”, c’est-à-dire les utilisateurs, les
Métiers.
Du coup, le poste de CDO a été inventé, plus légitime aux
yeux de la direction générale et des métiers pour accélérer la
transformation numérique.
Dépossédé de l’innovation, le DSI peut avoir la tentation de se
cantonner à la technique, au contrôle des salles machines du
paquebot…
Mais il peut aussi reprendre l’avantage. Rattraper le Cloud et
le mettre à son service. Accompagner les métiers dans la
course à la transformation digitale de l’entreprise en mettant
à leur disposition un catalogue de services, un store d’applis,
un portail qui permet la transparence et la proactivité. L’analyse
des données, le Big Data font partie des compétences de
la DSI et représentent un véritable apport de valeur.
Et surtout, la généralisation des cyber-risques et le renforcement
de la réglementation donnent au responsable de l’IT le
rôle naturel d’être le garant de la sécurité et des données
auprès de la direction générale. Le DSI conquiert une nouvelle
légitimité, qui lui demandera cependant de redoubler au
quotidien d’écoute et de pédagogie.
Jean KAMINSKY
Directeur de la publication et de la rédaction
jk@solutionsIT.fr
Etude Vanson Bourne pour NTT Communications,
“Growing Pains in the Cloud II” : The People vs. The Ministry of No
Directeur de publication & rédaction : Jean Kaminsky • Rédactrice en chef : Juliette Paoli juliette@solutionsit.fr • Rédaction : redaction@solutionsit.fr • Ont collaboré à ce numéro :
Frédéric Bergonzoli, Jean-Philippe Bichard, Olivier Bouzereau, Alain Clapaud, Sophie Martin • Publicité : Tel. 01 41 77 16 03 publicite@solutionsit.fr • Photo : Couverture © DR
Maquette : Claude Marrel • Siège Social : K-Now sarl, 21 rue de Fécamp 75012 Paris • Abonnements : En ligne www.solutionsit.fr ou Abonnements Solutions IT, • 4 rue de Mouchy,
60438 Noailles cedex • Tel : 01 55 56 70 55 • Fax : 01 55 56 70 91 • Mail : abonnements.solutionsit@groupe-gli.com • Tarifs : 1 an, 5 numéros : 35€ (France métro) •
Impression : Corelio - 30, allée de la Recherche - 1070 Bruxelles Belgique • Dépôt légal à parution • ISSN : 2276-383X. Commission paritaire : 1016 K 92472 •
SOLUTIONS IT n 3 n Septembre - Octobre 2016
» STRATÉGIE » DSI » PAR JULIETTE PAOLI
Société Générale
L’IT en Lego
Le pôle de Banque de Grand Clientèle et Solutions Investisseurs
de Société Générale, qui sert les clients institutionnels, grandes
entreprises et la clientèle de banque privée, accélère sa transformation
digitale. Au programme : la transformation de ses
infrastructures Cloud, de son modèle opérationnel Continuous
Delivery et de son digital.
Si la banque de détail Société
Générale est confrontée à
la révolution numérique,
comme toutes les autres banques,
« la BFI [NDLR : la banque de
financement et d'investissement
de la Société Générale], la banque
privée, les métiers titres et la gestion
d'actifs sont également concernés »,
précise Didier Valet, posant le
contexte des importants changements
digitaux qui s’opèrent dans
les métiers de sa banque. Début
juillet, lors d’une réunion avec les
journalistes dans l’immeuble Basalte
de la Défense pour évoquer sa
transformation numérique, et juste
à côté des immenses salles de
marchés où s’affairent les traders
devant leurs multiples écrans, le
directeur de la banque d'investissement
à la Société générale parle
du nouveau Digital Office, créé
en avril 2016. Ce Digital Office
est en charge de l’animation de
l’innovation au sein du pôle, de la
mise en œuvre de la stratégie digitale
et du pilotage des projets de
transformation au sein des métiers.
Il contribue également à la promotion
des experts digitaux en interne
et à la conduite du changement
nécessaire pour favoriser l’émergence
d’idées innovantes et inventer
la banque de demain. Aux côtés
de Didier Valet, Alain Fischer, le
nouveau Chief Digital Officer
(CDO) qui anime le Digital Office,
et Carlos Goncalves, le DSI.
Des webservices
personnalisés
L’idée force est que ce Digital Office
fournisse aux utilisateurs internes
et externes « des webservices personnalisés
avec un point d’accès unique,
des interfaces optimisées et des
applications interconnectées ».
Pour les activités de marchés par
exemple, les services de pré-trade,
trade et post-trade sont accessibles
à plus de 20 000 utilisateurs
depuis la plateforme Internet SG
Markets. Dématérialisé, le processus
de « pricing » de produits structurés
gagne ainsi en rapidité, fluidité
via un service dédié nommé
« Web Pricer ».
Globalement, il s’agit pour la banque
d’une refonte complète de son informatique
et de son digital. « Nous
devons réinventer les interfaces d’interactions
avec nos clients et la
manière de concevoir des services
tout en garantissant la sécurité et
la confidentialité des données »,
indique Didier Valet. Un programme
ambitieux se déroulant sur plusieurs
années et se basant sur une
architecture utilisant des API. Un
changement profond qui passe
par la transformation des infrastructures
Cloud, aussi bien le
Cloud privé que le Cloud public –
dans ce dernier cas, une dizaine
d’applications y sont prévues d’ici
la fin de l’année, la Société générale
ayant mené des PoC (Proof
of Concept) concluants en 2015
avec Amazon Web Services et Microsoft
Azure. Mais 60 % des environnements
de développement
sont dans le Cloud privé. Et aucune
donnée clients ne sera jamais
mise sur le Cloud public, précise
Carlos Goncalves.
Le Cloud n’est qu’un moyen. « Le
passage en mode Cloud apporte de
l’élasticité. On peut provisionner
et dé-provisionner des ressources
très vite », indique Carlos Goncalves,
le DSI. Car, à l’instar d’un site
d’e-commerce, la Banque subit
aussi des pics d’activités. Pour le
calcul des risques en fin de journée
par exemple. Ce Cloud partagé
sur l’intégralité de la maison offre
sa puissance de calcul pour tous
les métiers.
>
> La salle de marché et ses horloges digitales affichant les heures du monde entier.
SOLUTIONS IT n 4 n Septembre-Octobre 2016
» STRATÉGIE » DSI
>
La transformation du
modèle opérationnel
La banque insiste également sur
l’agilité. Actuellement « 60 à 70 %
des développements se font en
approche agile », soutient Carlos
Goncalves. Et pour renforcer cette
agilité, la banque mise depuis 2015
sur le Continous Delivery, une
pratique à laquelle les collaborateurs
ont été formés (3000 pour
2016), pour un « passage en production
plus simple, sans stress ». La
banque compte poursuivre la transformation
de ses applications pour
devenir ce qu’elle appelle une
« Continuous Delivery shop ».
> De gauche à droite, Carlos Goncalves, Didier Valet et Alain Fischer
Objectif : que 50 % des SI livrent
des nouveaux services et fonctionnalités
toutes les 2 à 4 semaines.
Et à la fin 2016, 50 % du parc applicatif
sera en Continuous Delivery.
Ce qui implique des tests rapides
et automatisés, la « full automatisation
des tests » selon les mots de
Carlos Goncalves. Livrer en production
tous les jours et vérifier que
ce qui est délivré est bien utilisé
par le client (en externe ou en
interne) pour ajuster si besoin.
API au programme
La plus grosse transformation est
que le SI a été repensé véritablement
en Lego avec des API, ces
interfaces de programmation applicatives
via lesquelles un logiciel
offre des services à d'autres logiciels.
Toutes les applications seront
interconnectées et orientées services.
« 90 % de notre transformation se
fait sur les API », indique Carlos
Goncalves. La Société générale y
voit trois avantages : les codes ne
partent pas sur l’extérieur - la Société
Générale donne l’appel à l’API,
pas le code - elle sait combien de
personnes les utilisent, et elle crée
de la valeur. Pour Alain Fischer,
« l’intelligence » de la banque ne
doit pas servir qu’en interne.
« Source de valeur ajoutée », elle
doit « profiter aux clients » à travers
ses API. Et de prendre l’exemple
de l’application de cartographie
de Google Maps.
Une approche qui permet de « favoriser
l’émergence d’idées innovantes »
et de proposer de nouvelles offres
de valeurs aux clients à partir des
informations détenues par la
banque, comme celles du calcul
des taux de couverture de risques,
selon l’exemple donné par Alain
Fischer. Les entreprises clientes
de la banque pourront, en fonction
de ces données, corriger leurs
politiques de couverture. Si la
banque ouvre ses données sur l’extérieur,
elle compte également
utiliser les API des FinTechs pour
enrichir ses propres services.
Attirer les talents IT
> Les principes clés permettant d’améliorer l’expérience utilisateurs,
avec une approche à 360° des points de contacts avec les clients
pour offrir des services sur mesures innovants.
Dans un environnement où la guerre
de recrutement des talents IT fait
rage, et pour assurer ces transformations
et accélérer la mutation
des SI, la banque de Grande Clientèle
et Solutions Investisseurs recrute
250 ingénieurs par an dont 50 %
de juniors. Et a mis en place des
programmes de développement de
compétences : formation, mentoring
et partage des expertises via
des hackathons et des challenges
organisés en interne. Dans le même
esprit, elle participe aux événements
et conférences de renommées,
tels que « Le Meilleur Dev
de France » ou Devoxx, et tisse
des liens étroits avec les écoles qui
forment ses collaborateurs de demain.
Symbole de ces changements, la
technopole de Val de Fontenay, le
nouvel ensemble immobilier « Les
Dunes » accueille cet automne un
tiers des collaborateurs IT. Outils
mobiles et connectés sont à disposition
ainsi qu’un espace de 1 000 m 2
dédié aux startups internes et
externes. n
SOLUTIONS IT n 6 n Septembre-Octobre 2016
» COMMUNICATION
» NOUVEAUTÉ
3CX version 15
rehausse encore le niveau des Communications Unifiées
Le 3CX version 15 n’est pas juste une nouvelle version de la solution
logicielle de Comm’ Unifiées de dernière génération - c’est une version
majeure de la solution la plus compétitive du marché - nominée Value
Leader par Frost & Sullivan.
3CX, utilisé par 50 000 entreprises,
permet de réduire les
frais de télécom grâce à la VoIP,
et offre de nombreuses fonctionnalités
de communications
unifiées prêtes à l’emploi,
faciles à utiliser grâce à
une interface intuitive. La v15,
avec sa nouvelle architecture,
offre encore plus.
Zéro Administration
Basée sur des standards ouverts
et des systèmes d’exploitation
courants, la v15 s’installe pratiquement
par elle-même. Le
déploiement ne prend pas plus de 15 minutes.
Avec 3CX, les administrateurs peuvent
gérer toute la solution depuis la console
très intuitive. Presque tous les processus
ont été automatisés, pour ne pas perdre
de temps sur la gestion du système, et
supprimer les interventions externes et
coûteuses.
Tout cela permet de réduire fortement les
coûts liés à la gestion du système, dorénavant
presque inexistants.
Sécurité à toute épreuve
Les dirigeants peuvent aussi se rassurer
quant à la sécurité de 3CX, qui a reçu la
note A+ de Qualys en tant que système le
plus sûr du marché.
La solution est protégée par un système
de cryptage de grande qualité. Les téléphones
IP sont protégés par un provisionning
sécurisé via HTTPS. Les connexions
aux clients et à la console d’administration
sont cryptées via SSL. Tout le trafic
vers les clients et via le Session-Border
Controller est crypté, et le cryptage SRTP
sécurise encore plus les appels vocaux.
Avec la v15, 3CX gère les FQDN et certificats
SSL sans frais supplémentaires. Les
certificats SSL sont générés automatiquement
et immédiatement par l’autorité
des certificats Let’s Encrypt.
3CX fait plus que renforcer
la sécurité des solutions de
communication. Il offre un
réel support à ses clients et
s’assure que les nouvelles
menaces sont prises en
compte.
Intégration
d’applications
personnalisable
Le 3CX v15 innove aussi
concernant l’intégration d’applications
CRM. 3CX offre
maintenant des intégrations
prêtes à l’emploi pour : EBP, Office 365,
Google Contacts, Microsoft Dynamics,
Exact, Sugarcrm, Salesforce, Act!, Zendesk
et Freshdesk, et d’autres applications
sont à venir.
De plus, nous avons ajouté une interface
scriptable qui permet d’intégrer n’importe
quel CRM ou solution de centre d’appels.
Toutes ces solutions peuvent facilement
être déployées et administrées de façon
centrale depuis la console d’administration.
Conférence web aux
standards ouverts
Autre outil qui augmente la productivité,
la visioconférence aux standards ouverts,
entièrement intégrée. La visioconférence
par 3CX est accessible à tous, et ne nécessite
qu’une souris ou un écran de smartphone.
Avec le nouveau design de l’interface
personnalisable, c’est un jeu d’enfant de
passer des appels vidéo ou de transformer
un appel audio en vidéo. Chaque utilisateur
travaille depuis une “salle de
conférence” virtuelle et reçoit une URL
personnelle Click2Meet pour effectuer
des conférences avec ses interlocuteurs.
La qualité est maximale, grâce à un flux
vidéo unique qui réduit la bande passante,
et les conférences sont cryptées
pour des raisons de sécurité.
Softphones et clients
smartphones
3CX rime avec excellente qualité, comme
le démontrent les softphones et les clients
pour smartphones.
Les smartphones fonctionnent partout, et
vous permettent de communiquer par
chat, messagerie, conférences audio ou
vidéo. Vous pouvez recevoir des appels
depuis votre entreprise sur votre laptop
ou votre tablette avec
un softphone 3CX et
répondre à vos appels
professionnels où que
vous soyez.
Pour les
entreprises
de toute taille
3CX s’adapte aussi
bien aux grandes entreprises
qu’aux petites.
Les TPE peuvent
installer 3CX sur un
mini PC à la consommation
minime, pour
moins de 100 €. n
Nouvelle édition GRATUITE
Les entreprises peuvent tester 3CX sans frais grâce à l’édition
GRATUITE téléchargeable sur www.3cx.fr. Les entreprises
peuvent ensuite upgrader vers une édition commerciale plus
riche en fonctionnalités.
Le 3CX version 15 s‘adresse à toutes les entreprises qui recherchent une solution
facile à gérer, des communications moins chères, une productivité et une mobilité
améliorées grâce à une solution logicielle qui offre une vraie valeur ajoutée aux
Communications Unifiées.n
SOLUTIONS IT n 7 n septembre - octobre 2016
Communiqué
» JURIDIQUE
» GDPR » PAR GARANCE MATHIAS, Avocat à la Cour - www.avocats-mathias.com
Protection des données personnelles
Gare aux sanctions !
Avec le nouveau règlement européen relatif à la protection des
données à caractère personnel, le législateur européen a augmenté
le montant des amendes administratives que pourront prononcer
les autorités européennes de contrôle de protection des données
personnelles à l’égard des responsables de traitements et des
sous-traitants. Cette augmentation a alimenté beaucoup de
conversations et ce n’est pas terminé.
Selon la catégorie
de la violation
commise
par un responsable
de traitements ou un
sous-traitant, l’amende administrative
maximale encourue pourra
s’élever soit à 10 000 000 euros,
soit à 20 000 000 euros.
Dans le cas d’une entreprise et
toujours selon la catégorie de la
violation, ces amendes pourront
aussi être calculées au regard du
chiffre d’affaires réalisé dans la
limite, soit de 2 % du chiffre d’affaires
annuel mondial total de
l'exercice précédent, soit de 4,%
de ce même chiffre d’affaires (1).
L’autorité de contrôle devra alors
retenir le montant le plus élevé.
Une amende de 2 %
du CA mondial...
Quels sont les changements apportés
par le Règlement européen ?
Plus précisément, les violations
des dispositions relatives notamment
à la protection des données
à caractère personnel dès la conception
et par défaut ; à l’obligation
d’assurer la sécurité des données ;
à l’obligation de notifier les violations
de données à l’autorité de
contrôle, voire aux personnes
concernées ; à l’obligation d’établir
un registre des traitements et
à la désignation d’un délégué à la
protection des données à caractère
personnel pourront être sanctionnées
d’une amende administratived’un
montant maximal
de 10 000 000 euros ou de 2 % du
chiffre d’affaires annuel mondial
total.
... ou de 4 %
En revanche, les violations des
dispositions relatives notamment
aux principes essentiels de la protection
des données à caractère
personnel ; au recueil du consentement
préalable des personnes ;
aux droits des personnes et aux
transferts de données personnelles
hors de l’Union européenne pourront
être sanctionnées d’une amende
administrative d’un montant
maximal de 20 000 000 euros ou
de 4 % du chiffre d’affaires annuel
mondial total.
La prise en compte du chiffre d’affaires
d’une entité n’est pas une
nouveauté. En effet, la loi « Informatique
et Libertés » prévoit déjà
que, en cas de réitération d’un
manquement dans un délai de cinq
ans à compter de la date où la
sanction pécuniaire prononcée
est devenue définitive, la sanction
puisse s’élever à 5 % du chiffre
d'affaires hors taxes du dernier
exercice clos dans la limite de
300 000 euros (2).
L’une des évolutions significatives
apportées par le règlement
européen par rapport à l’actuelle
législation française réside dans
le fait que les sous-traitants de
traitement de données à caractère
personnel pourront faire l’objet
de procédures de sanction. Cela
s’explique par le fait que le règlement
européen met directement à
leur charge des obligations en
matière de sécurité des données
ainsi qu’en matière d’« accountability
». La responsabilité des soustraitants
ne sera donc plus exclusivement
contractuelle.
En outre, peu importe la catégorie
de violation en cause,
les autorités de contrôle devront
procéder à une analyse au cas
par cas comme elles le font déjà
aujourd’hui. Elles devront
>
SOLUTIONS IT n 8 n Septembre-Octobre 2016
» JURIDIQUE » GDPR
>
également prendre en compte un
certain nombre d’éléments parmi
lesquels figurent notamment la
nature, la gravité et la durée de
l’infraction, la commission délibérée
ou par négligence de la violation,
les mesures prises pour atténuer
le dommage subi par les
personnes concernées, l’existence
de toute violation déjà constatée
antérieurement ou encore le degré
de coopération établi avec l’autorité
de contrôle.
Que peut-on reprocher
au législateur européen ?
L’analyse des termes retenus par
les institutions européennes est
intéressante.
Le texte consacré au montant des
amendes fait référence à la notion
d’« entreprise ». Celle-ci est définie
par le règlement européen
comme « une personne physique
ou morale exerçant une activité
économique, quelle que soit sa forme
juridique, y compris les sociétés de
personnes ou les associations qui
exercent régulièrement une activité
économique » (article 4, 18) du règlement
2016/679 du 27 avril 2016).
Ainsi, le chiffre d’affaires des entrepreneurs
individuels et des sociétés
pourrait être pris en compte à condition
que celui-ci soit mondial. En
effet, à la lecture du texte, il semble
que les entreprises, telles que définies
par le règlement européen,
réalisant un chiffre d’affaires au
niveau national ne seront pas susceptibles
de voir prononcer une amende
administrative calculée sur la base
dudit chiffre d’affaires.
En outre, la notion de groupe ne
semble pas être prise en compte
pour le calcul des sanctions. Or,
de tels groupes sont davantage
susceptibles de réaliser un chiffre
d’affaires mondial. Par ailleurs,
qu’en sera-t-il des groupements
d’intérêts économiques ou encore
des franchisés par exemple ?
Il sera donc intéressant d’observer
la réaction des autorités de contrôle
dont la Commission Nationale de
l’Informatique et des Libertés. On
peut également se demander si elles
n’auront pas tendance à s’appuyer
GDPR : le nouveau règlement européen
sur la protection des données personnelles
Quatre années, c’est le temps qu’il aura fallu aux institutions européennes pour
aboutir à l’adoption définitive du règlement relatif à la protection des personnes
physiques à l’égard du traitement des données à caractère personnel et à la
libre circulation de ces données. L’Union européenne a donc pris un virage
crucial pour la protection des données des citoyens européens. Le règlement,
publié au Journal Officiel de l’Union européenne le 4 mai dernier, ne sera applicable
qu’à partir du 25 mai 2018. A cette date, un cadre juridique unique relatif
à la protection des données à caractère personnel sera applicable sur l’ensemble
du territoire de l’Union permettant ainsi une protection uniforme des
personnes physiques.n
sur le montant maximal de la sanction
prévue en excluant tout calcul
en pourcentage du chiffre d’affaires
qui pourrait être l’objet de contestations,
voire de contentieux.
La publicité éventuelle
des sanctions
Notons également que la publicité
éventuelle des sanctions prononcées
n’est pas évoquée dans le règlement
européen. Pour rappel, la
Commission Nationale de l’Informatique
et des Libertés dispose
depuis 2011 de la possibilité de
rendre publiques les sanctions et
les mises en demeure qu’elle
prononce (3). Cette publicité est
bien souvent plus redoutée par les
responsables de traitement que la
sanction financière en tant que
telle compte tenu du risque d’image
qui y est attachée. Est-ce à dire
que les sanctions et les mises en
demeure de l’autorité de protection
française pourraient ne plus
être publiées ? Il semble que la
réponse soit négative car le règlement
européen réserve la possibilité
aux Etats membres de prévoir
d’autres sanctions en cas de violation.
Par ailleurs, l’application du règlement
européen sera sans influence
sur les sanctions pénales prévues
aux articles 226-16 à 226-24 du
Code pénal puisqu’il est prévu
que les législations nationales puissent
déterminer le régime des sanctions
pénales susceptibles d’être
prononcées en cas de violation.
L’application du règlement européen
ne se fera donc pas sans
soulever des questions. Certaines
risquent de perdurer au-delà du
25 mai 2018.
1 > Article 83 du règlement (UE)
2016/679 du Parlement européen
et du Conseil du 27 avril 2016 relatif
à la protection des personnes
physiques à l'égard du traitement
des données à caractère personnel
et à la libre circulation de ces
données, et abrogeant la directive
95/46/CE (règlement général sur
la protection des données)
2 > Article 47 de la loi n°78-17
du 6 janvier 1978 modifiée
3 > Article 46 de la loi n°78-17
du 6 janvier 1978 modifiée. n
SOLUTIONS IT n 10 n Septembre-Octobre 2016
» INFRA » STOCKAGE
QNAP
ANTHONY GERALDO,
RESPONSABLE MARKETING FRANCE
CHEZ QNAP SYSTEMS
Comment les NAS peuvent
accroître la productivité des
professionnels du Web
Rédaction sponsorisée
Nous sommes dans l’ère du tout connecté. Partout, tout le temps, en toute occasion. Pour les professionnels,
l’enjeu n’est pourtant plus seulement de pouvoir surfer en toutes circonstances, mais bien
d’assurer une continuité dans les usages connectés et pouvoir accéder à ses documents et projets
de façon instantanée.
Pour certains corps de métier, le NAS permet également
d’optimiser le workflow et les processus de
travail. Plusieurs modèles disposent de fonctionnalités
permettant un transfert de fichiers très rapide, la
création de VM ou encore une amélioration des performances
applicatives. Ces fonctions sont particulièrement
adaptées aux professionnels du web - qu’ils soient développeurs,
graphistes ou webmarketeurs.
Sauvegarder, accéder et partager
facilement ses documents.
Doté d’un ou plusieurs disques durs, souvent de très haute
capacité, le NAS se comporte comme un disque connecté
dont les fichiers sont accessibles à distance via un ordinateur
classique ou un terminal mobile et ayant la capacité
de synchroniser automatiquement les fichiers entre tous
ces appareils. Il peut également faire office de serveurs
VPN ou FTP et dispose sur certains modèles d'une connexion
Thunderbolt 2, autorisant des débits 4 fois plus élevés
qu’une connexion en USB 3. Idéal pour les professionnels
du web travaillant sur des documents très lourds : maquettes,
fichiers .PSD, photos ou vidéos HD etc.
Développement, virtualisation et
optimisation d’espace.
L’une des technologies phares utilisée par la communauté
des développeurs est aujourd’hui la conteneurisation, qui
permet de créer un environnement virtuel totalement
indépendant du système dans lequel il est développé.
Conçu sur mesure, un conteneur n’embarque que les
éléments vitaux des applications et non toutes les librairies
ou l’OS environnant. Léger et facile à déployer, il
confère aux développeurs une liberté et une flexibilité
difficile à atteindre avec les VM classiques.
Ces technologies conteneurs sont supportées par certains
modèles de NAS, ce qui permet aux développeurs de
profiter de tous les avantages des conteneurs, mais aussi
de télécharger et d’installer sur le NAS des applications
externes sans avoir à se soucier du système d’exploitation
utilisé et des compatibilités.
> Boîtier 4 baies. Livré sans disque. Pour disque 2,5" ou 3,5". SATA III.
Processeur Intel Celeron N3150 à 1,6 GHz (Quad-Core).
Mémoire vive : 4 Go
Faciliter le déploiement de l’IoT
L’internet des objets (IoT) représente un nouveau concept
disruptif et porteur. A terme, les objets connectés, les
capteurs en magasins ou encore sur les dispositifs publicitaires
permettront aux marques de personnaliser leurs
communications et leurs services aux consommateurs.
Le NAS dispose, de manière native, de plusieurs atouts
permettant de gérer l’IoT, comme la capacité de stocker
un grand nombre de données en provenance des divers
capteurs ou encore le chiffrement complet des données
et des liaisons. Afin de proposer l’équipement le plus
polyvalent possible, certains constructeurs de NAS
proposent en parallèle le support de technologies conteneurs
optimisées pour l’IoT, faisant du NAS un outil
plus polyvalent et évolutif. n
www.qnap.com
SOLUTIONS IT n 11 n - 2016
» STRATÉGIE » ECOSYSTÈME ET PLATEFORME » PAR JULIETTE PAOLI
Microsoft
Les grandes manœuvres
Renforcement de l’écosystème partenaires et hébergeurs,
tant en nombre qu’en types de services proposés, offres
transversales sur l’ensemble des produits… Microsoft s’appuie
sur ses technologies et ses solutions pour s’imposer
comme le compagnon indispensable des entreprises et de
leur transformation numérique. Le salon experiences’16,
nouveau nom des tech.days, en est le reflet.
> Wilfrid Guerit
Ouvrir l’accès, le partage et
le développement à ses
partenaires et clients :
Microsoft intensifie cette stratégie
de différentes façons, à
commencer, pour les annonces
les plus récentes, par la création
d’un app store. Actuellement disponible
en preview, AppSource est
la nouvelle market place
de l’éditeur : 250 applications
métiers sont ainsi
disponibles en SaaS, et
seront complétées par d’autres,
proposées par Microsoft
lui-même, ses partenaires
et plus généralement
des éditeurs, y compris des
compétiteurs. « Clients,
partenaires vont développer
> Dynamics AX dans le Cloud
des applications sur la base de nos
solutions et elles pourront être réutilisées
par tout l’écosystème. Ce
qui va permettre d’avoir des applications
verticales pour certaines
industries et usages particulier »,
nous indique ainsi Wilfrid Guerit,
Microsoft Business Solution
Director chez Microsoft, que nous
avons interviewé pour dossier ERP
(voir page 58).
Un écosystème de partenaires
en développement
important
A la mi-juillet, Microsoft lançait
l’édition 2016 de sa Worldwide
Partner Conference (WPC), un
événement important pour les 16 000
partenaires de l’éditeur qui s’étaient
réunis à Toronto. Un écosystème
partenarial qui génère une marge
supérieure d’environ 20 % à celle
de leurs concurrents respectifs,
soutient Microsoft. Le lundi 11
juillet, à l’occasion de la keynote
d’ouverture de l’événement, Satya
Nadella, le patron de Microsoft,
avait d’ailleurs rappelé l’immense
opportunité que représente le Cloud
pour ses partenaires et réaffirmé
sa volonté de les accompagner
dans leur transformation digitale,
source de croissance. Une étude
IDC réalisée en 2016 confirme sa
démarche : les partenaires qui réalisent
plus de 50 % de leur chiffre
d’affaires dans le Cloud ont en effet
une croissance deux fois plus
rapide, réalisent 1,5 fois plus de
bénéfices bruts et connaissent 1,8
fois plus de revenus récurrents
que les autres. Ils créeraient par
ailleurs en moyenne 5,87$ de services
pour un dollar de technologie
Cloud Microsoft vendue. Et
ce n’est que la partie visible de
l’iceberg : le marché du Cloud devrait
dépasser 500 milliards de
dollars d’ici 2020.
Afin d’aider ses partenaires à tirer
pleinement parti des opportunités
offertes par le Cloud, Microsoft
se positionne à la fois en tant que
partenaire technologique et partenaire
business. Edouard Payenneville,
Product & Business Manager
Microsoft Azure chez
Microsoft, nous précise qu’en ce
qui concerne le Cloud et Azure,
les annonces vont d’ailleurs bon
train, « des micro annonces sur des
fonctionnalités nouvelles jusqu’aux
annonces plus structurantes sur
des partenariats, comme celui avec
Citrix pour les solutions liées au
bureau virtuel. »
>
SOLUTIONS IT n 12 n Septembre-Octobre 2016
» STRATÉGIE » ECOSYSTÈME ET PLATEFORME
>
« Azure est central dans les offres
Microsoft et s’inscrit dans une stratégie
beaucoup plus vaste que le
Cloud public à proprement parler,
indique-t-il, pour former un écosystème
produits Cloud et Enterprise ».
Azure, c’est un catalogue technologique
extrêmement riche, avec
80 services majeurs, de l’infrastructure
aux données (Big Data,
Machine Learning, IoT) jusqu’au
développement applicatif au sens
large. Pour faire le lien entre la
plateforme technologique et les
enjeux métiers, Microsoft a besoin
de tout un écosystème de partenaires,
notamment des éditeurs
de logiciels ou de web agencies
qui connaissent parfaitement ces
enjeux. « On va bien au-delà de la
transformation du datacenter et
de l’optimisation des infrastructures
pour être en relation directe
avec les acteurs de la transformation
digitale: les CDO, les directeurs
marketing, les DRH… »,
explique Edouard Payenneville.
Ces partenaires, dits ISV (Independent
Software Vendor), sont
tout autant des ISV traditionnels,
à l’instar d’un Cegid avec lequel
Microsoft travaille, que
des entreprises clientes qui
se transforment en « software
companies ». Ainsi de Schneider
Electrics qui s’appuie sur Azure
et ses outils IoT pour
proposer à ses clients
une application mobile
de domotique (Wiser)
qui gère les équipements
électriques de
la maison. Un business
model entièrement nouveau
pour Schneider
qui devient fournisseur
de services avec
un dispositif de facturation
récurrente. « Nous avons
construit une proposition de valeur
pour l’ensemble de ces éditeurs de
logiciels », enchaîne Edouard Payenneville.
La division dédiée aux
ISV chez Microsoft est en charge
de recruter, d’évangéliser, de travailler
main dans la main avec
eux. Il s’agit de les embarquer sur
la plateforme technologique de
> Edouard Payenneville ,
Un portail intranet complet autour d’Office 365
Exemple de partenariat, d’utilisation et d’intégration des outils de Microsoft, Mozzaik365
est une solution clé en main qui permet de déployer un portail de communication et de
collaboration au cœur d’Office 365.
« Digital workplace de l’entreprise », comme la qualifie MCNEXT, société de conseil et
d’ingénierie spécialiste des solutions Microsoft, Mozzaik365 est une solution prête à
être installée avec des services sur mesure adaptés. Elle offre un portail intranet
complet, et permet de mettre en place très facilement des espaces collaboratifs
d’équipe et de bénéficier d’un centre d’aide pour Office 365. Les différents produits
d’Office 365 y sont connectés (Share-
Point, Yammer, Delve, OneDrive, Office
Videos, …).
Le tout peut être disponible pour
l’ensemble des collaborateurs en
moins de 10 jours ou personnalisé,
met en avant l’éditeur. Mozzaik365
est disponible pour 1€ / utilisateur /
mois. n
l’éditeur, mais pas seulement. Au
programme : du co-marketing et
du co-selling. Microsoft va « très
loin » dans cet accompagnement,
« sur Azure en particulier », insiste
Edouard Payenneville.
Les intégrateurs, et hébergeurs,
sont tout aussi importants dans
cette stratégie d’ouverture et d’accompagnement.
« Sur l’ensemble
de nos projets entreprises-mid market
et grands comptes -, pas un seul ne
se réalise sans l’accompagnement
de nos partenaires intégrateurs »,
souligne Edouard Payenneville.
Des partenaires intégrateurs dont
la mission change cependant. La
valeur ajoutée n’étant plus dans
l’infrastructure (tant en termes
de compétences qu’en termes de
marges), mais dans les connaissances
liées au Big Data ou encore
au développement d’applications
web et mobiles. Une nouvelle équipe,
au niveau mondial et en France,
va être dédiée à ces partenaires
intégrateurs. D’abord pour évangéliser,
détecter les domaines d’expertises
et de compétences, chez
les anciens partenaires comme
chez de nouveaux. Ensuite pour
les accompagner technologiquement
et les faire monter en compétences,
les former et les certifier.
Enfin, sur la partie commercialemarketing,
« entrer dans une logique
de business conjointe, conquérir
de nouveaux clients, faire la
promotion d’usages sur le
marché. »
Du côté des hébergeurs, Microsoft
leur propose des «équivalents
» de ses technologies, Office
365 par exemple, que propose OVH,
ou encore Azure. « Nous sommes
en discussion avec certains d’entre
eux pour fournir un équivalent
d’Azure dans leurs propres datacenter
». Il s’agit d’Azure Stack
que Microsoft a annoncé cet été à
la WPC, « un équivalent d’Azure
proche en termes de fonctionnalités.
En preview, il sera lancé officiellement
dans le courant de 2017. »
Windows 10 Enterprise
E3 for CSP
Le Cloud et Azure ne sont pas les
seuls concernés. Microsoft poursuit
également l’intégration de
Windows 10 au sein de son programme
Partenaire Cloud Service
Provider (CSP) et a lancé Windows
10 Enterprise E3 for CSP à
>
SOLUTIONS IT n 14 n Septembre-Octobre 2016
» STRATÉGIE » ECOSYSTÈME ET PLATEFORME
Les tech.days deviennent
experiences’16
Pour sa dixième édition, l’événement tech.days se transforme
et devient Microsoft experiences’16.
L’année dernière à l’occasion de ses tech.days, Microsoft
mettait l’accent sur les usages et non tant sur les
outils et technologies lors de la plénière d’ouverture.
Cette keynote était clôturée par Nicolas Gaume, le
directeur de la division Developer eXperience (DX) de
Microsoft France, qui la résumait ainsi : « La technologie
pour vos usages ». Une démarche qui se
concrétise cette année dans le nouveau
nom de l’événement phare de Microsoft :
« experiences’16 ».
Evénement phare de Microsoft, qui a accueilli
18 000 visiteurs l’an dernier et 125 000
internautes sur la Web TV dédiée, tech.days
devient experiences’16 et se déroule en
octobre cette année alors qu’il avait traditionnellement
lieu en février. Et cela sur 2
jours contre 3 auparavant. Les dates ont
été choisies pour mieux « s’intégrer dans le calendrier
des annonces mondiales de Microsoft », nous indique
Sébastien Imbert, Directeur Marketing Digital de Microsoft
France. Convergence a lieu en effet en avril, Ignite
en septembre, Build en mars et WPC en juillet.
Des informaticiens aux métiers
Alors que les tech.days s’adressaient aux populations
techniques, aux développeurs, aux informaticiens et aux
décideurs IT, il a petit à petit élargi sa « clientèle », les
décideurs métiers ayant un impact toujours plus fort sur
les choix technologiques. Lors du dernier salon, ceux-ci
> Sébastien Imbert ,
représentaient un peu plus d’un tiers des participants,
« quasiment 40 % de métiers non techniques », précise
Sébastien Imbert. L’événement est devenu ainsi au fil des
années « multi-segment (de la plus petite entreprise à la
plus grande), multi-audience et multi-produits », résumet-il.
Et quand Sébastien Imbert parle « multi-produits », il
parle des solutions Microsoft comme celles des partenaires
et anciens concurrents, en particulier dans le
monde de l’open source. L’informatique aux services des
métiers et des usages : l’événement en est devenu le
symbole, alors que l’entreprise fait sa mue digitale avec
le Cloud et la mobilité, transforme sa manière de travailler
et de collaborer. Experiences, avec un « s », c’est cela. Un
pluriel qui reflète toutes les particularités des métiers,
des entreprises, tant en solutions technologiques déployées
qu’en usages. Les entreprises sont d’ailleurs nombreuses
à venir témoigner pour cet experiences’16 : AccorHotels,
Paris Habitat, CAFPI, Air France, Grenoble Ecole de Management,
SNCF, Cdiscount ou encore de KPMG pour n’en
citer que quelques-unes.
Un événement sur 2 jours
et qui se poursuit en ligne
Le premier jour de l’événement, le 4 octobre, est entièrement
dédié aux métiers, pour comprendre comment
mettre en œuvre des projets de transformation numérique
au sein de son organisation. Au total, ce sont plus
de 70 conférences et workshops.
Le jour suivant, technique, est destiné aux développeurs
ou professionnels de l’IT. 15 sessions majeures sur l’ensemble
des technologies connectées aux plateformes
Microsoft leur sont proposés, ainsi que 80 talk techniques
et workshop.
Experiences’16 a aussi la volonté de s’inscrire dans la
durée, tout au long de l’année, avec une plateforme Web
dédiée (https://experiences.microsoft.fr). Elle contient
des contenus sur les produits, la stratégie de l’éditeur
ainsi que sur ses différents événements, permet le
partage entre les utilisateurs des solutions Microsoft et
l’éditeur, l’interaction entre internautes via les réseaux
sociaux, donne la parole à des partenaires ou d’autres
éditeurs… n
>
l’occasion Du WPC. Le géant
américain en a profité pour rappeler
que plus de 365 millions
d’appareils fonctionnaient sous
Windows 10 et que 96 % de ses
entreprises clientes étaient en
« phase pilote active ». Et l’éditeur
de mettre en avant une étude
de Forrester réalisée en juin 2016,
qui affirme que Windows 10 offre
un gain de productivité ainsi
qu’un « ROI moyen de 188 % en
13 mois ». Avec Windows 10 Enterprise
E3 for CSP, les 17 000
partenaires de Microsoft peuvent
ainsi prendre en charge la
gestion des besoins et du licensing
de ses clients entreprises
pour un coût mensuel de 7 dollars
par poste. L’idée globale est
que les entreprises puissent souscrire
à Office 365, Windows 10,
Azure ou encore Dynamics CRM
à travers un seul partenaire, en
créant un compte utilisateur
unique, le tout via une facturation
simplifiée. n
SOLUTIONS IT n 16 n Septembre-Octobre 2016
» APPLIS » PORTAIL INTRANET
Mozzaik365
un portail intranet
sur Office 365, clé en main
Remettre l’entreprise au cœur des outils et faciliter le travail collaboratif autour
d’Office 365 : avec ce portail de communication et de collaboration totalement
intégré au sein de la suite en ligne de Microsoft, son concepteur MCNEXT fait
figure de précurseur.
Les grandes entreprises ont adopté depuis longtemps
les portails intranet, accessibles depuis un navigateur
Internet : à la fois terrains de communication,
espaces de travail pour les collaborateurs via les applications
qu’ils utilisent au quotidien, lieux de mise en relation
entre contacts internes et externes… Avec l’adoption grandissante
de la suite bureautique en ligne Office 365, la
donne a changé, et l’on voit apparaître
des espaces de travail numériques en
ligne d’un genre nouveau. Le portail
que MCNEXT a conçu se distingue
dans le domaine en France, car il s’agit
d’une solution globale, prête à être
installée. Mozzaik365 offre aux entreprises
de toute taille un accès unique à
la fois aux différents produits/services
de la suite (IntraNet), à des espaces
collaboratifs d’équipe (TeamCenter),
et à un centre d’aide pour Office 365 (HelpCenter). « MCNEXT
met en œuvre sa longue et parfaite connaissance des
intranet et plateformes collaboratives, indispensables aux
entreprises pour communiquer auprès de leurs salariés.
Elle accompagne dorénavant celles qui travaillent sous
Office 365 et SharePoint, pour qu’elles en tirent le meilleur
profit, et offrent aux collaborateurs un point d’entrée
facile », résume Hubert de Charnacé, PDG de MCNEXT.
> Hubert de Charnacé
> Adrien Chetrit
Faciliter l’utilisation
des outils
« L’IntraNet met en relation et orchestre
l’ensemble des outils Microsoft à partir
d’un seul point d’entrée », renchérit
Adrien Chetrit, Directeur adjoint Pôle
Communication & Collaboratif chez
MCNEXT. Comprenez par exemple
que Mozzaik365 va mettre en avant
SOLUTIONS IT n 18 n septembre - octobre 2016
pour le collaborateur les informations qui le concernent,
ses documents, ses éléments collaboratifs et sociaux… le
tout avec un moteur de recherche intégré. Avec l’annuaire
de personnes, le collaborateur dispose de tous les éléments
de communication et sociaux (Skype, Exchange…) nécessaires.
Ou encore il retrouve facilement ses documents
issus de son OneDrive. « Tout cela, de la façon la plus
transparente possible, sans se poser de questions sur
l’outil qui doit être utilisé… ».
En complément, le site HelpCenter, accessible depuis
Mozzaik365, met à disposition des salariés des tutoriaux
et des supports d’auto-formation modernes et originaux,
notamment des vidéos, qui évoluent en même temps
qu’Office 365. Deux voies d’accès sont proposées. Soit
par l’outil lui-même en l’associant à une ou plusieurs utilisations,
soit par l’usage, le HelpCenter proposant alors
plusieurs outils pour arriver à ses fins. De son côté, le
TeamCenter permet aux utilisateurs de créer leurs propres
espaces de travail collaboratifs, « un site d’équipe (commercial
par exemple) ou un site projet autour d’une thématique,
et dans lequel les collaborateurs autorisés échangent
des données et collaborent au sein d’un même document »,
souligne Adrien Chetrit. « Il s’agit de simplifier le processus
qui est proposé nativement par Office 365, et qui n’est
pas toujours accessible techniquement aux néophytes
quand il s’agit d’indiquer l’URL du site, de faire une
demande d’autorisations, etc. Autant de questions qui peuvent
effrayer les utilisateurs. » Avec le TeamCenter, il
suffit de donner un nom à l’espace projet ! n
> La page d’accueil de l’IntraNet est divisée en deux parties. 2/3 sont
consacrés à l’entreprise, à sa communication, le 1/3 restant est dédié à
l’utilisateur.
1 euro par mois et par utilisateur
Mozzaik365 a été adopté par des dizaines de milliers
d’utilisateurs, des PME aux grands comptes du CAC 40,
en passant par les régions. MCNEXT a l’intention de tripler
ce chiffre d’ici la fin de l’année.
Il est disponible pour l’ensemble des collaborateurs
en moins de 10 jours, ou personnalisé avec des services
sur-mesure.
Mozzaik365 est proposé à un prix très compétitif : 1 euro par
mois et par utilisateur sur abonnement.
Avec 200 collaborateurs à Paris, Lyon et
Genève, la société de conseil et d’ingénierie
spécialiste des solutions Microsoft MCNEXT
est certifiée Gold Partner par Microsoft. Elle
est notamment leader dans la mise en place
d'intranet, de plateformes collaboratives et
de réseaux sociaux d’entreprises avec Share-
Point et Office 365. n
http://mozzaik365.com/
Rédaction sponsorisée
Accéder
au HelpCenter
Partager
et converser
Communiquer
et informer
Retrouver
ses documents
Epingler
ses sites de travail
Diffuser des
contenus métiers
Travailler
en collaboration
SOLUTIONS IT n 19 n septembre - octobre 2016
» MÉTIER » DSI » PAR ALAIN CLAPAUD
Shadow IT
Le DSI peut-il
reprendre le contrôle ?
Bousculée par le phénomène du shadow IT mais aussi par
la nécessaire transformation numérique des entreprises,
la DSI traditionnelle doit se réinventer. L’informatique doit
instaurer un nouveau dialogue avec les métiers et ses
fournisseurs technologiques.
Avec le phénomène du BYOD, la multiplication
des applications Cloud et
maintenant l’essor du digital, le rôle
de la DSI est fortement remis en cause par les
métiers. L’usage d’applications Cloud hors du
contrôle de la DSI, ce que l’on nomme aujourd’hui
le shadow IT témoigne de cette perte de poids
de la DSI dans les entreprises. Face à ces bouleversements,
mais aussi à la nécessaire transformation
numérique des entreprises, les DSI
doivent se transformer afin de devenir non
Raisons principales qui poussent vers le shadow IT
Rapidité de mise en œuvre
Simplicité d’utilisation
Pour accéder à des services requis
Prix plus bas
Meilleure compréhension des besoins métier que par la DSI
> La rapidité de mise en œuvre et
la simplicité des services sont les
raisons les plus fréquentes qui
poussent les utilisateurs à se
tourner vers des solutions
informatiques non gérées par la
DSI. Source : NTT Research
Les règles de sécurité ne l’auraient pas permis
Présence d’experts techniques dans les directions métiers
Autres
Ne sait pas
plus un centre de coûts pour l’entreprise, mais
véritablement un atout en termes d’innovation.
Une uberisation qui est aujourd’hui
devenu nécessaire.
Le shadow IT, une pratique
désormais généralisée
Qui n’a pas utilisé un système de partage de fichier
dans le Cloud pour envoyer à un client les
photos d’avancement d’un chantier, un dossier
parce que la messagerie interne n’offrait pas assez
d’espace ? Les outils gratuits disponibles sur
le Web sont souvent bien plus simples à utiliser
que ceux proposés par la DSI. La tentation est
grande pour les employés d’utiliser des services
Cloud hors de tout contrôle de leur service informatique.
Le Shadow IT est une pratique
courante, et si les DSI en sont conscients, l’ampleur
de ce phénomène dépasse sans nul doute
tout ce qu’ils imaginent. Une étude réalisée par
NTT Research révèle que 78 % des responsables
métiers avouent utiliser des services Cloud
sans en avertir leur DSI et 83 % d’entre eux
avouent qu’ils vont intensifier encore ce type
d’usages. Faut-il voir dans cet essor du shadow
IT une fronde contre la toute puissance direction
informatique ? Pour 62 % des répondants,
c’est la rapidité de mise en place qui motive ce
choix, la simplicité d’utilisation pour 52 % et le
prix pour 29 %. Seulement 28 % accusent leur
DSI de ne pas comprendre leurs besoins. Aux
membres de la direction générale qui pensent
que cette pratique est limitée au service marketing,
habitué à une gestion un peu plus libérale
de son informatique, l’étude montre qu’il n’en
est rien. 57 % des responsable métiers estiment
que ce shadow IT est une réalité dans plus de la
moitié de leur entreprise. Pour 27 % d’entre eux,
il s’agit d’une pratique répandue dans la majorité
des services.
SOLUTIONS IT n 20 n Septembre-Octobre 2016
La sécurité du SI
remise en question
Cette montée en puissance
de ces services Cloud «clandestins»
n’est pas sans conséquences
sur le plan de la confidentialité
des données et de
leur sécurité. 80 % des répondants
estiment que les
données qu’ils sauvent sur
des services tels que Google
Drive, Dropbox ou iCloud
d’Apple sont critiques pour
leur entreprise. 56 % reconnaissent
ne pas savoir où
ces informations sont effectivement
stockées. Enfin, 73
% sont pleinement conscients
d’enfreindre les règles édictées par la RSSI. A
quoi bon sécuriser les serveurs et baies de
stockage de l’entreprise avec des firewalls derniers
cri, des systèmes de détection d’intrusion
et du chiffrement partout où cela est possible
si les utilisateurs préfèrent stocker et
partager leurs fichiers de travail sur des
services gratuits ?
Face au phénomène, les DSI ne peuvent
se contenter de tout interdire au risque
de ne pas être suivis par les directions
métiers dont l’objectif numéro 1 reste
l’amélioration des marges. Elles doivent
reprendre les rênes de manière plus constructive.
La notion d’ « amnistie Cloud » est évoquée
par l’étude NTT Research. La DSI passe
l’éponge sur ces utilisations clandestines en
échange d’un minimum de contrôle de ces
usages. 70 % des directions métiers se disent
prêtes à livrer leurs comptes Cloud à la direction
informatique, même si certains services,
trop peu sécurisés, doivent être interrompus.
Yves Eychenne, Cloud Advisor chez IBM France,
prend le cas de sa propre entreprise : «Pour
prendre le cas d’IBM, nous avons le droit d’utiliser
des services externes, que ce soit Box,
Slack et d’autres. Box est autorisé, mais Dropbox
interdit. Simplement ceux qui sont sélectionnés
par la DSI apparaissent parmi les services
auxquels chacun a droit sur son PC, sa
tablette.» En échange de cette allégeance aux
choix de la DSI, chaque service bénéficie du
Single Sign On de l’entreprise et donc d’un accès
simplifié. «Cela veut dire aussi que la société
s’accorde le droit de savoir ce que chacun
place sur ces services, de mettre en place l‘encryption
qui permet de protéger des données.
Des alertes sont envoyées aux utilisateurs lorsque
ceux-ci tentent de copier sur certains services
des données classifiées. La DSI ne lutte pas
« La DSI ne lutte pas contre les services
Cloud externes mais accompagne
les usages. » Yves Eychenne IBM
contre les services Cloud externes mais accompagne
les usages. Le réseau a un rôle important
à jouer afin de détecter le type de trafic et la
capacité de couper les flux non autorisés le cas
échéant.»
La DSI est aujourd’hui prise en ciseau entre
des métiers qui demandent un SI plus ouvert
vers le Cloud, et une réglementation relative
aux fuites de données qui est en train de se
durcir. La nouvelle réglementation européenne
va imposer des pénalités pouvant atteindre
jusqu’à 20 millions d’euros ou 4 % du chiffre
d’affaires. Des pénalités particulièrement fortes
qui doivent pousser les DSI à réagir : « Plus
l’entreprise va s’ouvrir, plus l’éducation des
employés au risque sera importante », ajoute
Yves Eychenne. «Il est de notre devoir d’éduquer
nos clients sur la façon de protéger leurs
données, les chiffrer, mais il est aussi le devoir
des DSI de placer des garde-fous. Il faut mettre
en place des mécanismes pour détecter si quelqu’un
se met à collecter et copier toutes les données à
sa portée dans l’entreprise, et bloquer des comportements
qui n’ont pas lieu d’être tant à l’intérieur
de l’entreprise qu’à l’extérieur. Cela nécessite
une éducation des employés, mais aussi des
clients de l’entreprise.» De la même façon
qu’une banque bloque les retraits d’argent et
achats en ligne réalisés avec une carte bancaire
dans certains pays sensibles où le titulaire ne
réside pas, le système d’information doit proactivement
refuser le téléchargement par un
salarié d’un fichier confidentiel sur Google ou
Dropbox si la DSI l’interdit. De fait, les DSI
peuvent s’appuyer sur un portefeuille de solutions
qui leur permettent de sécuriser les accès
à ces services Cloud, de protéger les données
par leur chiffrement, leur sauvegarde et désormais
de vérifier à tout instant le comportement
des employés pour que ceux-ci se plient
aux règles de gouvernance édictées dans l’entreprise.
Philippe Croix, consultant senior
chez ServiceNow souligne : «Nous avons des
outils qui permettent de mesurer la vulnérabilité
de votre SI même si vous avez externalisé
votre plateforme dans le Cloud. ServiceNow
fournit les outils qui permettent d’être réactifs
lorsqu’on fait face à une attaque, mais aussi
d’évaluer les vulnérabilités de tel ou tel service,
et d’anticiper les problèmes de sécurité.»
SOLUTIONS IT n 21 n Septembre-Octobre 2016
» MÉTIER » DSI
PHILIPPE CROIX,
consultant senior chez ServiceNow
« L’externalisation
de la DSI n’est pas un
danger en soi »
«
L’externalisation est déjà une pratique courante dans les entreprises.
L’externalisation et le Cloud ne sont pas le problème, la
crainte c’est plutôt le shadow IT. Si des utilisateurs insatisfaits de
leur informatique interne se débrouillent autrement et vont chercher
leurs propres solutions dans le Cloud, cela devient un risque. Il faut
réconcilier tout le monde autour de la table pour éviter ce phénomène
du shadow IT en proposant une organisation qui réponde aux
besoins des métiers, simple à utiliser, évolutive, que ce soit une
plateforme, un portail.
La DSI doit contrôler ce que font les métiers dans le Cloud mais non
pas simplement en contrôlant mais en proposant un service qui capitalise
sur l’existant et proposé sous la forme d’une plateforme qui
reprend les mêmes principes que ceux d’Uber. Par exemple, proposer
un bureau disponible au moment où la personne « badge » le matin,
ou proposer un service via un portail aussi simplement que l’on
achète un PC sur Amazon.com. Les DSI doivent être suffisamment
proactives pour proposer ce catalogue de services et être perçues
comme de vrais centres de valeur ajoutée par les utilisateurs.» n
La DSI doit-elle devenir un broker
de services Cloud ?
Si un recadrage des pratiques internes semble
inévitable vis-à-vis de la sécurité des données,
les DSI ne doivent pas perdre de vue que si ce
shadow IT s’est développé aussi massivement,
c’est que l’informatique interne ne répondait
pas aux attentes des métiers. Pour Sébastien
Moriceau, DSI de LinkbyNet, la direction informatique
doit revoir sa copie : «Les DSI
doivent simplifier les usages, les procédures.
Quand on sait qu’il faut parfois des semaines à
une DSI pour simplement provisionner une
VM dans son infrastructure, il faut apporter
plus d‘agilité aux métiers. Et le Cloud est un
moyen d’y parvenir. » LinkbyNet se positionne
aujourd’hui en tant que broker de services
Cloud et propose avec son offre SelfDeploy un
portail par lequel le DSI va pouvoir proposer
aux directions métiers un portefeuille de solutions
Cloud internes ou publiques avec lesquelles
l’entreprise à contractualisé une relation.
« Les DSI doivent passer par des
intermédiaires pour acquérir cette compétence
sur les nouveaux services Cloud, déléguer à un
CSB (Cloud Service Broker) dont c’est le métier
» ajoute le DSI. «Il est simple de monter
en compétence sur des acteurs du Cloud public
tels qu’Amazon Web Service ou Softlayer, mais
lorsqu’il faut le faire avec des acteurs du Cloud
chinois tel qu’Alyun, par exemple, c’est plus
compliqué. Lorsqu’on est un groupe international,
faire cela sur les offres Saas, IaaS ou Paas
dans le monde entier, cela devient très compliqué.
» Avec une plateforme de brokering, le
DSI peut mettre à disposition des services qui
embarquent de facto toute la couche de sécurité
définie par le RSSI de l’entreprise. Les
métiers peuvent venir activer les services dont
ils ont besoin, que ce soit une messagerie Office
365, un compte Box, une machine virtuelle
Amazon Web Service ou un login sur
une application Saas en quelques clics, aussi
simplement qu’on achète un morceau sur iTune
mais en toute conformité avec la politique de
sécurité de leur entreprise. Philippe Croix de
ServiceNow ajoute : « Les DSI doivent être
suffisamment proactives pour proposer ce catalogue
de services et être perçues comme un vrai
centre de valeur ajoutée par les utilisateurs. »
Cette mise à disposition d’un catalogue de services
unifié où l’on trouve des services internes
et d’autres piochés dans le Cloud public est en
quelque sorte une évolution du modèle de l’IT
as a Service apparu voici quelques années. Les
DSI se sont transformées en centres de services
et se muent aujourd’hui en broker ou
courtier de services Cloud hybrides : «L’IT as
a Service, c’est avant tout un portail où l’on
montre que l’on traite les incident en cours, où
l’on montre que la DSI travaille pour eux et
pas pour elle-même. Un portail où les métiers
peuvent solliciter un support, des fournitures,
de l’accueil, des services à l’IT », conclut
Philippe Croix.
Une entreprise française a totalement adopté
cette approche, Sodexo. L’entreprise de restauration
collective a créé des centres de services
partagés afin de regrouper ses datacenters,
puis s’est tournée vers le Cloud public
pour porter ses applications. Sodexo a choisi
Amazon Web Services, puis Microsoft Azure
dans une stratégie multiCloud portée par la
solution de Cloud Brokering de LinkbyNet :
«Notre premier challenge d’entreprise, c’est
d’accélérer ! L’informatique ne peut plus se
permettre de freiner le business de l’entreprise.
L‘idée est de distribuer les accès aux métiers en
mode self-service, consommer et déployer à la
volée des serveurs, les décomissionner, avoir la
même flexibilité qu’on pourrait avoir sur le
portail d’un fournisseur Cloud. Outre cette
mise à disposition de services Cloud, notre portail
de Cloud management nous apporte un volet
consolidation financière », expliquait Rafik
Kadi, directeur de projet IT chez Sodexo lors
des derniers Etats généraux du Cloud. « Ce
portail nous permet de mieux contrôler notre
>
SOLUTIONS IT n 22 n Septembre-Octobre 2016
» MÉTIER » DSI
« Les DSI doivent simplifier les usages, les procédures quand on sait qu’il faut parfois des
semaines à une DSI pour simplement provisionner une VM dans son infrastructure. Il faut
apporter de l’agilité, et le Cloud est un moyen d’y parvenir. Et si la DSI ne s’empare pas du sujet,
ce sont les utilisateurs qui le feront de manière détournée avec l’apparition de ce phénomène de
shadow IT. » Sébastien Moriceau, DSI de LinkbyNet
>
> Une récente étude PAC
menée en France montre
que si la DSI n'est sponsor
que du tiers des projets
Cloud de l'entreprise,
celle-ci est responsable de
sa mise en œuvre 3 fois
sur 4.
Source :
PAC / Juniper 2016
consommation de services Cloud mais aussi les
refacturer à nos business units. Nous devons réintégrer
le coût des services délivrés et le portail
apporte cette vision, cette consolidation
par ligne de service tant sur le Cloud public que
privé. »
Le DSI face au CDO
Les DSI ont maintenant à leur disposition des
outils qui leur permettent de gérer des architectures
Cloud hybrides complexes en toute
sécurité et de proposer des services aux directions
métiers de la manière la plus rapide et efficiente
possible. Le portail est sans nul doute
le moyen le plus efficace pour y parvenir mais
il est indispensable de dépoussiérer les relations
entre la DSI et les métiers, notamment
revoir la façon dont les projets sont menés. Le
cycle en V des grands projets informatiques
d’antan fait désormais place aux approches
itératives, aux méthodes agiles. Les métiers
doivent suivre le mouvement car rien ne sert à
une DSI de s’aligner sur les concepts DevOps
si les métiers ne jouent pas le jeu. Ceux-ci doivent
à leur tour adopter le rythme des cycles
rapides pour faire évoluer les services, valider
les développements. Lors de la dernière édition
de la convention du CRIP, Jacques-Benoit
Le Bris, DSI de Solvay soulignait : « Il
faut réfléchir au partage de leadership entre la
DSI et les métiers. Les métiers ont le même
problème que nous. Ils voudraient agir plus vite
mais sont eux-aussi coincés dans leurs orthodoxies.
Il ne s’agit pas de l’IT face au reste du
monde. » Alors que beaucoup d’entreprises
décident de créer un poste de CDO (Chief Digital
Officer) afin de lui confier les projets
nouveaux et laisser au DSI le rôle de gérer
l’existant, le DSI de Solvay s’est imposé à ce
rôle : « J’ai pris l’initiative de créer un Digital
Office, de mettre en place des moyens pour que
les métiers et l’ingénierie informatique se rencontrent
et où nous pouvons animer des POC
(Proof Of Concept). Ce Digital Office est un
espace dans lequel les métiers et les gens de
l’informatique peuvent travailler dans un mode
un peu plus libertaire. » Jacques-Benoit Le
Bris va très loin dans cette approche puisqu’il
ne souhaite pas faire fonctionner cette structure
sur un mode budget. « Le but n’est surtout
pas de les cloisonner dans un budget. Quand
ils ont des bonnes idées, il faut pouvoir les financer.
Il faut casser les codes du Capex management
et de la gestion de portefeuille de projet
classiques. Lorsqu’il se dégage une bonne idée,
il faut être capable de l’industrialiser et c’est là
où les difficultés commencent. A certain moment,
on anime, à d’autres on « lead », mais
tout cela doit se faire sans modèle préétabli. »
Après avoir basculé son système d’information
dans le Cloud, David
Larose, DSI Numérique de
la Communauté d’agglomération
de l’Aéroport du Bourget,
est allé encore plus loin
dans cette approche en supprimant
son propre poste de
DSI afin de devenir Directeur
de l’Aménagement Numérique.
« Il faut se poser la
question : est-ce qu’on se positionne
sur la surveillance des
machines ou pour apporter de
la valeur ajoutée à son entreprise
ou à la fonction publique ?
Mon métier, c’est faire en sorte
que la Mairie réponde mieux
aux citoyens plutôt que m’occuper
à ce que les machines
tournent bien. C’est exactement
la même chose dans une
SOLUTIONS IT n 24 n Septembre-Octobre 2016
entreprise privée. Est-ce que les métiers demandent
à la DSI à ce que les machines tournent,
ou les DSI doivent-elles trouver des solutions
pour la RH, pour le business afin d’être plus
rentables, plus efficaces, et aller vers l’international.
»
Concilier le «legacy» avec le
besoin d’agilité réclamé par les
métiers
> L'ouverture des SI remet en cause la sécurité périmétrique en vigueur. Il
convient de sécuriser des services externes avec des outils de gestion des accès,
de protection des données et de monitoring de ces services Cloud. Ce monitoring
est proactif, le système pouvant empêcher un utilisateur de faire un transfert de
données interdit par la politique de sécurité.
Le modèle de l’entreprise au système d’information
100 % Cloud et au DSI 100 % tourné
vers les métiers défendu par David Larose est
très probablement celui de l’entreprise du futur,
mais en 2016 bon nombre d’entreprises ne
sont qu’au début du chemin. Outre les entreprises
de défense qui ne stockeront probablement
jamais leurs données confidentielles
chez un opérateur du Cloud, bon nombre
d’entreprises doivent encore gérer un parc de
machines et d’application legacy considérable.
Des solutions souvent anciennes à la fois techniquement
et économiquement difficiles à
porter dans le Cloud. Les coûts de fonctionnement
de ces infrastructures, le « run » dans le
jargon de la DSI, absorbent l’essentiel du budget
informatique au détriment de l’innovation.
Il y a quelques années, Gartner estimait que
80 % des budgets informatiques étaient drainés
par les applications existantes. Cette part
varie bien évidement d’une entreprise à l’autre,
mais, startups mises à part, ce poids de
l’existant est bien réel dans toutes les entreprises.
C’est particulièrement vrai dans les
banques où les très coûteux mainframes sont
encore fortement implantés dans les datacenters.
Un paradoxe alors que « les Trois Vieilles »
(Société Générale, LCL et BNP Paribas) et
leurs concurrentes s’affrontent aujourd’hui à
coup d’applications mobiles et de services en
ligne : « Dans le secteur bancaire, la DSI traîne
un boulet, celui de l’existant » reconnaît
« Le bimodal doit nous permettre de créer un nouveau service model sans legacy, complètement
ouvert auprès d’acteurs externes, partager la data pour créer un parcours client (customer
journey) avec des partenaires. C’est dans un mode bimodal que les banques qui traitent
de gros volumes de données vont pouvoir devenir des «software companies». Nous
devons investir pour aller vers le Cloud public, les API de services, de nouveaux modèles de
run et de partenariats avec les grands prestataires informatiques. » Philippe Laulanie,
responsable du département Développements Multicanaux et Banque de Détail France de BNP Paribas
SOLUTIONS IT n 25 n Septembre-Octobre 2016
» MÉTIER » DSI
YVES EYCHENNE,
Cloud Advisor chez IBM France
« Le Cloud
a un peu l’effet d’Uber
sur une DSI »
«
Avec le Cloud, les départements ont découvert qu’ils pouvaient
aller chercher des services à l’extérieur beaucoup plus rapidement
que ce que peut délivrer l’informatique interne. Dans l’Uberisation
il y a des gagnants et des perdants et elle bouscule les métiers
historiques. C’est un risque pour les DSI, mais aussi une opportunité.
Le DSI va devoir devenir un broker de services Cloud dans son entreprise
et arbitrer entre ses ressources, ses investissements, les applications
qui iront dans le Cloud public qui est en forte croissance. Un
outil de brokerage va lui permettre d’analyser quels workflow vont
pouvoir aller dans le Cloud et placer des règles de sécurité et de
gouvernance sur ces ressources Cloud externes. En outre, aujourd’hui
les métiers achètent directement les services dont ils ont besoin sur
le Cloud, il n’y a pas de contrôle centralisé des couts. Il ne peut y
avoir de négociation en volume. L’outil de brokerage permettra de
connaître les volumes achetés et ainsi mieux négocier.» n
« Notre rôle n’est pas de gérer des salles machines, surveiller
des applications en 24/7. C’est une prestation que l’on peut
trouver à l’extérieur, tout comme le support des PC. Pour
moi, un DSI doit être auprès du business, proposer de
nouvelles solutions, de nouveaux services, et de nouveaux
partenaires. » Konstantinos Voyiatzis, DG et DSI groupe d’Edenred
Philippe Laulanie, le responsable du département
Développements Multicanaux et Banque
de Détail France de BNP Paribas. « C’est un
boulet de grande valeur car les mainframes
contiennent tout le transactionnel de la banque,
la sécurité, les produits bancaires et assurances,
mais tout cela est en train d’exploser. La consumérisation
implique des croissances de volumétries
exponentielles alors que le monde bancaire
est plutôt habitué à une croissance linéaire. »
Pour le responsable, l’heure n’est toutefois pas
à la refonte de ce SI historique et au Big Bang
pour porter ces applications critiques dans le
Cloud, qu’il soit privé ou public. « Il faut capitaliser
sur l’existant car la sécurité, le rôle de
tiers de confiance de la banque reste fondamental,
d’autant que le volet réglementaire est très
lourd. Ma position est qu’il faut valoriser le legacy,
valoriser la sécurité des transactions que
nous avons su mettre en place et aller vers un
modèle bimodal, vers le Cloud pour l’axe client. »
Cette approche bimodale semble être la solution
la plus communément retenue par les DSI
françaises. Une part des ressources de la DSI
est dédiée à l’optimisation de l’existant, à l’industrialisation
des processus de gestion et de
maintenance des ressources informatiques, et
une autre partie est allouée aux projets numériques,
avec des équipes DevOps dédiées aux
lancements de nouveaux services Web, d’applications
mobiles et l’étude des nouveaux business
models, notamment liés aux API de concert
avec les métiers. Philippe Laulanie détaille l’organisation
bimodale qu’il prône au sein de
BNP Paribas : « Sur le volet legacy, le DSI
d’une banque doit diminuer le coût de run, faire
de la compliance, innover dans les processus, les
transactions et les produits, aller vers le Cloud
privé ou hybride. En parallèle, le bimodal implique
de mettre en place un nouveau service
model sans legacy, complètement ouvert auprès
d’acteurs externes, partager la data pour créer
un customer journey avec des partenaires. »
C’est via cette approche bimodale que les banques
espèrent se muer en « startups » tout en maintenant
leur existant à flot.
Réinventer la relation
DSI/prestataires
Cette mutation reste une gageure pour beaucoup
de grands comptes français qui ont mis
en place des contrats d’externalisation et d’infogérance
à long terme avec les grandes SSII
françaises, comme BNP Paribas l’a fait en
2004 avec IBM pour former BNP Paribas Partners
Innovation (BP2I). Un partenariat de 12
ans à l’heure du digital d’aujourd’hui
où les alliances se nouent
et se dénouent en quelques semaines,
cela semble une éternité.
Les relations entre les entreprises
et leurs prestataires
informatiques semblent en complet
décalage avec le besoin de
souplesse et de réactivité qu’attendent
désormais les DSI. D’une manière générale,
les DSI qui sont intervenus lors des derniers
Etats Généraux du Cloud organisés par
EuroCloud se sont montrés particulièrement
sévères vis-à-vis de leurs prestataires.
Pour David Larose, Directeur de l’Aménagement
Numérique de la communauté d’agglomération
de l’Aéroport du Bourget, le marché
français n’est pas assez dynamique, notamment
vis-à-vis des collectivités locales soumises
à l’obligation de maintenir sur le sol français
leurs données : « Il manque de la compétition
entre prestataires en France. Je n’ai que 120
serveurs et 1 000 postes à virtualiser mais j’attends
une vraie compétition. Microsoft et Amazon
Web Services n’ont pas de datacenter en
France, donc à partir de là ce n’est pas possible
SOLUTIONS IT n 26 n Septembre-Octobre 2016
pour nous d’avoir recours à leurs service car nos données
sont considérées comme trésor national et ne
peuvent franchir les frontières. On a les compétences
en France, on a des datacenters mais l’offre commerciale
reste très pauvre. »
Pour Konstantinos Voyiatzis, directeur général et
DSI group d’Edenred, les prestataires n’ont pas
suffisamment réalisé leur mutation vers le Cloud :
« Nous ne trouvons aujourd’hui pas suffisamment
d’intégrateurs et sociétés de services qui savent intégrer
des services Cloud. Les intégrateurs traditionnels
qui nous ont accompagnés dans l’installation de
nos infrastructures n’ont pas suffisamment muté
vers l’intégration de services Cloud. Ils ne savent
pas parler Web Services, API, REST, intégration
Saas et aPaas. » Paradoxe pour le champion français
des services prépayés, celui-ci s’est tourné vers
une petite structure barcelonaise spécialisée en intégration
Amazon Web Services car celui-ci n’en
trouvait pas en France.
Hubert Tournier, le puissant DOSI du Groupement
des Mousquetaires et DG de la STIME (DSI filialisée
du groupe) se montre tout aussi critique vis-àvis
des offreurs de solutions Cloud, notamment les
éditeurs d’applications Saas : « En termes de sécurité
des applications qui vont dans le Cloud, il faut
d’abord se livrer à une analyse de risque. Si celle-ci
conclut qu’il n’y a pas de données sensibles, il n’y a
pas de problème à héberger l’application de n’importe
où. S’il y a des données sensibles, cela ne signifie
pas qu’on ne peut pas l’héberger à l’extérieur, cela
signifie qu’il faut regarder ce que le prestataire est
capable de faire, et sur ce plan je trouve que les compétences
des prestataires sont extrêmement limitées
en matière de sécurité et d’architecture. » Ainsi, si le
DOSI des Mousquetaires n’est pas satisfait des réponses
apportées par l’éditeur d’une application
Saas, il n’hésite pas à acheter les licences de la solution
et à la déployer en mode on-premise, quitte à
accorder un accès distant à l’éditeur si ce dernier
souhaite maintenir son application à distance.
Transformer une DSI en moteur
d’innovation pour l’entreprise
La DSI doit se transformer dans ses processus internes
pour aller vers plus d’agilité avec DevOps,
vers une baisse des coûts de run au moyen du Cloud
interne ou public. Elle doit aussi revoir la façon
dont elle travaille avec les métiers. La DSI est certes
un fournisseur de solutions techniques, mais elle
doit surtout se poser en tant que moteur d’innovation
et ne plus être à la traîne des métiers et se laisser
déposséder de l’aspect innovation par le CDO.
« Avec la Data, le DSI a de l’or dans les mains »
s’enthousiasme Mathieu Colas, Vice Président Digital
& Big Data de Capgemini. « Si on prend des
entreprises comme Randstad, Unilever, les DSI se
sont saisies du sujet pour dégager de la valeur, créer
SOLUTIONS IT n 27 n Septembre-Octobre 2016
» MÉTIER » DSI
> Le portail de Cloud brokering tel que celui proposé par LinkbyNet permet à la
DSI de proposer aux métiers les services Cloud sélectionnés et sécurisés par ses
soins. Pour l'utilisateur métier, le portail est aussi simple d'accès qu'un service de
vente en ligne mais celui-ci permet à la DSI de garder un contrôle à la fois
technique et financier des comptes créés sur le Cloud via le portail.
de nouveau business si on prend le cas de Randstad.
Deux points sont à retenir : d’une part le
sponsoring indispensable de la part de la DG et
d’autre part comment la DSI se positionne au
service de l’entreprise, au service des entités
digitales. »
Pour les responsables informatiques d’aujourd’hui,
l’objectif est d’insuffler l’esprit startup dans
leurs DSI. Comme le soulignait Didier Caroff,
Escalation Manager chez Criteo lors de la convention
du CRIP, « La rapidité d’action est dans
l’ADN de Criteo. Tout doit pouvoir être réalisé
très rapidement, mais nous avons aussi une culture
de l’échec, la culture du «Fail fast, better
success». On essaye, on expérimente, et si cela
ne fonctionne pas, ce n’est pas grave, on reconstruit
autre chose. Nos managers sont dans l’esprit
startup. Nous sommes là pour créer du chiffre
d’affaires, rendre l’entreprise plus performante. »
Là encore, il est sans doute plus simple d’insuffler
un tel esprit startup dans une jeune entreprise
que dans un mastodonte tel qu’EDF.
C’est pourtant ce que cherche à faire François
Gonczy, directeur Numérique d’EDF Commerce
: « A côté de ce legacy, nous devons pouvoir
aller vers cette mécanique d’innovation
basée sur l’essai. C‘est une contradiction que
j’appelle le syndrome de la peinture toujours
fraîche. C’est une difficulté culturelle et managériale
au sein de nos équipes de la DSI. Nos
ingénieurs ne sont heureux que lorsque le projet
est parfaitement abouti.
Or c’est long et cela ne correspond jamais au
time to market. Et jamais à l’évolution de nos
idées qui veulent que l’on devance les besoins de
nos clients. Le challenge, c’est d’expliquer que
non, aucune application, aucun développement
SI tourné vers le client ne sera jamais sec et
qu’il faudra toujours le remettre sur la table.
C’est un vrai challenge culturel pour nos équipes. »
Parmi les recettes appliquées par les DSI pour
se rapprocher des métiers, la mise en place
d’équipes pluridisciplinaires est la piste suivie
par François Gonczy : « Notre travail a été de
nous rapprocher au plus près des opérations, au
plus près des équipes avec des gens de la R&D,
des gens des SI et tous les gens qui ont un bout
des verrous opérationnels, techniques, juridiques
à lever. Sur des objets bien précis comme
l’IoT, le Big Data, on a un besoin d’accélération,
donc on crée des équipes transdisciplinaires
auxquelles on demande d’avancer d’un
cran sur la question. »
Pour Bertrand Eteneau, le DSI de Faurecia, la
transformation numérique de l’équipementier
automobile est passée par une généralisation
des POC à grande échelle dans l’entreprise.
Consultés, les métiers ont identifié une trentaine
de technologies susceptibles de transformer
l’entreprise. « C’est bien d’avoir une
bonne idée, c’est mieux de la tester et surtout
de vérifier le business model » souligne Bertrand
Eteneau. « Sur les 30 technologies identifiées
par les métiers, nous avons mené une cinquantaine
de proof of concept dans une quarantaine
d’usines réparties dans le monde. Nous nous
sommes aperçus que sur ces technologies, certaines
étaient très prometteuses à terme, mais pas
encore opérationnelles pour nous. » Ainsi, le
PoC portant sur les Google Glass a mis en
évidence le manque de maturité criant des
lunettes de réalité augmentée créées par Google.
De même que l’impression 3D s’est avérée
inadaptée aux rythmes et volumes de production
imposés par l’industrie automobile. « Nous
avons testé pendant 9 mois ces 30 technologies
désignées par les métiers, et au final 12 ont été
retenues afin de monter des projets. Depuis
décembre 2015, des pilotes industriels en situations
réelles dans les usines ont été mis en place
et lorsque ces pilotes auront été fiabilisés et
sécurisés, nous pourront déployer ces solution
de façon massive dans nos 300 usines. »
Le phénomène du shadow IT et plus encore la
transformation numérique des entreprises
poussent la DSI à se réinventer. Celle-ci doit
s’auto-uberiser ou se placer dans un mode bimodal
afin d’une part d’assurer le fonctionnement
optimum des infrastructures informatiques
mais aussi tourner les équipes projets
vers les métiers. Dans ce contexte, l’essor du
Cloud n’est pas une menace pour la DSI mais
une opportunité pour se détacher des contraintes
techniques seules et se placer en tant que moteur
d’innovation pour l’entreprise. Une démarche
qui implique que la DSI sorte de la
tour d’ivoire où elle s’est parfois enfermée. n
SOLUTIONS IT n 28 n Septembre-Octobre 2016
» SÉCURITÉ
» INTERVIEW » PAR JEAN-PHILIPPE BICHARD
Alors que les premiers décrets pour les OIV sont en
application depuis le 1 er juillet et que le nouveau
règlement général de l’UE sur la protection des
données (GDPR) a été adopté, Guillaume Poupard,
directeur général de l'Agence nationale de la
sécurité des systèmes d'information (ANSSI), nous
donne sa lecture des enjeux de cybersécurité.
Guillaume Poupard,
DG de l'ANSSI
© Picturetank Patrick Gaillardin
« Elever le niveau de sécurité
des OIV avec des règles strictes »
l Quels liens doivent se tisser entre PME et OIV ?
Aujourd’hui en accord avec la législation, l’ANSSI travaille
avec les OIV pour élever leur niveau de sécurité et plus
particulièrement ceux de leurs systèmes d’information les
plus critiques. En termes cyber cela n'a pas de sens de
traiter les OIV et leurs sous-traitants dans un même cadre
juridique car chacun pourrait se renvoyer la balle en cas
de désaccord. Notre idée est donc d'imposer aux OIV des
règles strictes, charge à eux de les répercuter auprès des
acteurs de leur propre écosystème. On reste alors dans
une relation classique entre industriels et sous-traitants.
l Quel regard portez-vous sur le développement et l'innovation
avec les PME du secteur de la cybersécurité ?
Certains industriels réalisent beaucoup de co-développement
avec des PME partenaires et apportent leurs propres
outils de sécurité à ces PME, typiquement sous la forme de
solutions de sécurité intégrées. C'est une piste intéressante
que nous encourageons et que nous suivons de près.
l Quel niveau de sécurité doit accompagner l'échange
de données stratégiques entre OIV et PME soustraitantes
par exemple ?
Nous avons réalisé avec la CGPME un guide pour sensibiliser
les PME aux menaces informatiques et aux bonnes
pratiques à mettre en œuvre dans les PME Nous participons
aussi au développement de produits dédiés à ces
PME en prenant en compte le fait que l’aspect fonctionnel
(usage, ergonomie) puisse aujourd’hui compter autant
que les aspects purement liés à la performance technique.
L’ANSSI peut également être amenée à intervenir en cas d’«
OPA hostiles » dirigées contre des sociétés cyber en s’appuyant
sur le décret dit « IEF » introduit par M. Alain
Juillet sur les investissements étrangers en France. Il ne s’agit
pas tant de protectionnisme français que d’aider les entreprises
à se protéger contre des investissements hostiles tout
en permettant des investissements vertueux. Attention, nous
ne bloquons en général pas les acquisitions mais le dispositif
permet d’aménager un cadre rassurant dans lequel les différentes
parties s’engagent et qui se traduit typiquement par
des engagements et la mise en place des comités de surveillance
par exemple. C'est plus un droit de regard qu'autre
chose pour conserver un bon équilibre.
l Quelle lecture faites-vous du nouveau règlement général
de l’UE sur la protection des données (RGPD) ?
C'est davantage un texte qui concerne la CNIL. Il précise
le cadre de protection nécessaire aux données personnelles
qui sont traitées au sein des entreprises. La CNIL protège
les données. L'ANSSI, le contenant que constituent les
systèmes d’information. Je vous accorde que les données
étant hébergées par les SI, les deux approches sont intime-
SOLUTIONS IT n 30 n Septembre-Octobre 2016
» XSÉCURITÉ » INTERVIEW
ment liées. Il faut absolument éviter que des positions
contradictoires apparaissent : c'est, je crois, le véritable
enjeu qui explique d’ailleurs les excellentes relations
que nous entretenons entre la CNIL et l’ANSSI.
l Au plan de la cybersécurité, comment les SIIV
(Systeme d'information d'importance vitale)
connectés des OIV doivent s'adapter aux contraintes
de la LPM (Loi de programmation militaire) ?
Ce sont les OIV qui identifient leurs SI les plus critiques,
seuls concernés par les règles issues de la LPM. Certains
peuvent êtres interconnectés à l'étranger. Des contrôles
peuvent y être faits. Ceux parmi les plus critiques
sont effectués par les équipes de l’ANSSI, les autres
par des profils tels que des prestataires de confiance,
qualifiés par l’ANSSI, les PASSI (lire l'encadré :
OIV : quelles obligations ?).
l Quelle est la dimension européenne de l'ANSSI
et des autres agences en Europe ?
Au niveau des agences en charge des mêmes missions
que l'ANSSI, il n'existe pas de G29 comme pour les
CNIL européennes. La directive NIS que nous connaissons
bien pour avoir participé à sa rédaction précise
que les Etats doivent rester responsables de leurs
OIV pour des questions de souveraineté nationale.
La directive NIS précise également que
chaque pays doit avoir une agence dédiée à la
cybersécurité. Ce n'est pas le cas aujourd'hui.
La directive impose aussi que ces agences travaillent
en réseau sur une base volontaire entre elles
ainsi qu’avec l'ENISA. A noter qu’un français,
Jean Baptiste Demaison, actuellement un agent chargé
d’affaires internationales à l’ANSSI, vient d'être nommé
à la présidence du conseil d'administration de l'ENISA.
Ceci traduit notre volonté d’encore plus impliquer cette
agence européenne dans la montée en compétence des
différents états membres.
En revanche une entité européenne de type G29 n'est pas
nécessaire pour une simple raison : en cas de cyberattaques
sur un OIV nous ne voulons pas être dans l’obligation
d’en informer systématiquement tous les autres
pays, sauf en cas de nécessité. Toutefois, au niveau international
cela ne doit pas empêcher une harmonisation
des niveaux de sécurité entre les acteurs majeurs de chaque
pays de l'Union européenne.
l Vous décrivez une situation paradoxale avec d'un
côté un souci de discrétion et de souveraineté, et
d'un autre coté une volonté d'échanges techniques
sur les cyberattaques entre ingénieurs. Comment
gérer en pratique une telle stratégie ?
C'est exact et je ne dis pas que tout est facile dans notre
métier. C'est aux agences de trier ce qui doit être dit et ce
qui doit être conservé en interne. Notre métier consiste en
permanence à se demander : que doit-on communiquer ?
Notre rôle c'est aussi de s'assurer que les OIV prennent
bien en compte toutes les cyber-menaces possibles et
leurs conséquences. Ainsi un DAB peut être seulement
Premiers arrêtés sectoriels pour les OIV
Louis Gautier, secrétaire général de la défense et de la sécurité nationale et
Guillaume Poupard, directeur général de l'ANSSI ont commenté fin juin la
publication des premiers arrêtés sectoriels « Produits de santé », « Alimentation
» et « Gestion de l'eau » de l'article 22 de la Loi de programmation
militaire (LPM), dont la mise en application a débuté le 1er juillet 2016.
Pour Louis Gautier, la publication des premiers arrêtés constitue un «
moyen pour l'état de fixer des objectifs aux OIV (opérateurs d'importance
vitale) ainsi qu'a leurs partenaires et sous-traitants ». Toutefois ces textes
ne concernent pas les PME PMI qui collaborent avec des opérateurs OIV.
En cette période d’état d’urgence, le secrétaire général de la défense et de
la sécurité nationale précise que les risques terroristes et pas seulement
industriels demeurent en première ligne. Il rappelle avec Guillaume Poupard
que le cas de la cyberattaque de TV5 n'est pas a rapprocher d'une
menace terroriste. Pour le directeur général de l'ANSSI cette cyber-attaque
demeure à ce jour « mystérieuse ». La véritable crainte pour les deux responsables
c'est le cybersabotage d'infrastructures critiques.
« L'achat de compétences en ingénierie informatique via DAESH et ses
sources financières peut nourrir nos inquiétudes » affirment-ils de concert.
En clair, si des cyber-mafias sont approchées par des cyber-terroristes
pour utiliser leurs « technologies » à des fins terroristes, le risque sera
considéré comme très grave par les agences européennes.
C'est entre autres une des raisons qui poussent l'ANSSI a agir
vite en répartissant les 249 OIV actuels en 18 groupes sectoriels
pour étudier "ensemble" les modalités des arrêtés
sectoriels relatifs à la sécurité des SIIV (Systèmes
d'information d'importance vitale). n
bloqué, sans vol d’argent, comme en Corée
récemment. La population ne pouvait plus retirer
d'argent et en moins de 6h00 les premières scènes d'émeute
apparaissaient. C'est aussi cela la cyberprotection.
l Quelle vision avez-vous de la mise en place d'une
stratégie européenne de l'ANSSI ?
A ce jour, nous ne sommes que quelques agences à réellement
travailler ensemble en Europe, bien loin de 28 ou
27 ! Nos démarches communes consistent avant tout à
protéger les biens communs comme ceux de la Commission
et du Parlement européen pour qu’ils possèdent un
bon niveau de cybersécurité. Dans un autre cadre, l’OTAN
et l'interopérabilité entre systèmes militaires est également
un autre sujet sur lequel nous travaillons pour que
les armées puissent agir en coalition, par exemple via une
normalisation des protocoles de chiffrement.
l En matière d’évaluation où en sommes-nous sur les
accords de reconnaissance mutuelle ?
Nous avons deux niveaux d'accords : un très large géographiquement,
le « CCRA », et par conséquent limitant
fortement le niveau de reconnaissance mutuelle ainsi
qu’un autre accord intra-européen, le « SOG-IS », qui
concerne seulement 10 pays, ce qui permet de reconnaître
des évaluations beaucoup plus poussées. Cette approche
doit permettre à mon sens d'obtenir un véritable périmètre
européen ou chaque membre reconnaît ce que font
les autres.
>
SOLUTIONS IT n 32 n Septembre-Octobre 2016
» SÉCURITÉ » INTERVIEW
> Cybermenaces : les différents acteurs
>
l Pour les acteurs de toutes origines,
que veut réellement imposer
l'ANSSI en matière de qualification
et de certification ?
Il n y a pas d'obligation réelle. Cela
dépend de ce que l'on veut faire.
Seuls les produits destinés à protéger
des informations « classifiées Défense
» doivent être qualifiés par l’ANSSI.
D'une manière plus globale, certains
cherchent à standardiser de l'expertise
et c'est très difficile à réaliser.
L'évaluation d'un produit de sécurité
nécessite une véritable expertise
et ne peut pas être réduite à un simple
questionnaire à remplir. Les différents dispositifs de
l’ANSSI visent à répondre à l’ensemble des besoins.
l Doit-on tout normaliser en matière de cybersécurité
?
Tout non, mais déjà tout ce qui est possible. Nos OIV ont
naturellement une forme d’aversion pour ce qui peut
sembler original. Et c'est normal. Il faut normaliser la
prise en compte du risque cyber pour le traiter le plus
possible comme les autres risques. Tant que le cyber est
traité par des mesures d'exception on demeure fragile. n
JP Bichard a réalisé ces
entretiens pour Cyberisques
News et Solutions IT.
Entretien avec...
OIV : quelles obligations ?
l Combien d'OIV comme clients
Deloitte en 2016 ?
Deloitte a une centaine de clients dont
une bonne trentaine d’OIV. Nous pouvons
considérer que cette trentaine est représentative
des OIV.
l Combien d'OIV en ICS/Scada selon
vous ?
Je pense que sur le total des OIV, 35 à
40 % disposent d'infrastructures basées
sur des architectures ICS/SCADA
l Que demande un projet de mise à
niveau LPM (Loi de Programmation
Militaire) comme l'impose
l'ANSSI pour un OIV ?
Généralement, un projet de mise à
niveau d'un SIIV au regard des règles
LPM s'étale sur une durée de 2 à 3
ans en fonction du secteur d’activité.
Les grandes interrogations présentes
chez la majorité de nos clients OIV
peuvent s'identifier comme suit :
- Identification des données stratégiques
: combien de temps ? Avec
quels métiers ?
MICHAEL BITTAN,
Associé responsable des activités gestion des risques cyber chez Deloitte.
- Estimation du budget LPM : c’est
généralement le double du budget de
fonctionnement géré par le RSSI groupe
(pas le budget DSI) sur plusieurs années
- Sur ce budget, la partie Audit / Etude
/ test d'intrusion pour réaliser la mise
à niveau de la compatibilité, la LPM
représente 40 % du budget annuel
l Vos observations sur les obligations
de la LPM auprès des OIV ?
Le problème essentiel des OIV, c'est
d'exister à un niveau mondial en termes
de services délivrés par les SIIV tout en
tenant compte des règles nationales en
matière de cybersécurité. Au regard des
contraintes de la LPM, certains clients
envisagent de créer de nouveaux systèmes.
Pour beaucoup de nos clients, c'est
plus simple et plus rapide que de réaménager.
Sur 15 OIV, 5 envisagent une
refonte totale. Pour certains, des solutions
Cloud sont envisagées dans un
second temps car ils souhaitent dans
un premier temps conserver leurs données
en interne. Le rôle de Deloitte repose
sur une méthode qui privilégie le cas
par cas pour chaque client. On adapte
à chaque client en fonction de sa maturité,
de ses priorités et de ses besoins.
Le générique doit se « customizer ».
l Quel rôle veut jouer Deloitte dans
la mise en place des protocoles
LPM chez les OIV ?
Si Deloitte devient PASSI (Prestataires
d'audit de la sécurité des systèmes
d'information) totalement en plus de
notre entité HSC et que l'ANSSI demande
à certains PASSI forcément de confiance
d’effectuer pour l'ANSSI des missions
de contrôle, dans ce cas nous devrons
choisir le conseil ou le contrôle. Nous
faisons exactement la même chose
lorsque nous conseillons nos clients
sur la mise en place d’un SMSI (Système
de management de la Sécurité de l’information
ISO27001). En France, nous
ne certifions pas les entreprises que
nous avons conseillées sur la 27001.
En cybersécurité "LPM", Il sera intéressant
de connaître les modalités de
ces attributions car le Cabinet Deloitte
est reconnu pour son métier premier
d’auditeur mais aussi pour sa forte
expertise sur le Conseil. n
SOLUTIONS IT n 34 n Septembre-Octobre 2016
» SÉCURITÉ
» ACTUALITÉ
A l’occasion du lancement de sa nouvelle solution Intercept X de protection
Endpoint Next-Gen, Sophos fait le point sur l’apport des technologies
Next-Gen sur la protection des systèmes.
Interview MICHEL LANASPÈZE,
Directeur Marketing pour l’Europe de l’Ouest
Bloquer les ransomwares et exploits de failles de sécurité
avec les solutions de protection
Endpoint Next-Gen
Pourquoi une nouvelle solution de
protection Endpoint ?
“
Le succès des attaques par ransomware
de ce début d’année est symptomatique
des difficultés que rencontrent
les solutions de protection traditionnelles
à bloquer sans faille toutes les menaces
modernes. Régulièrement, la presse se
fait écho de la découverte de logiciels
malveillants ayant échappé à la vigilance
des systèmes de protection pour circuler
dans une entreprise pendant des mois, ce
qu’on désigne par le terme d’APT ou menace
avancée persistante. Pour y faire face, les
chercheurs mettent au point de nouvelles
approches, regroupées dans la catégorie
des protections Endpoint Next-Gen.
Que sont ces technologies de
protection Next-Gen ?
En premier lieu, elles s’appuient sur l’analyse
des grandes techniques d’attaques
plutôt que sur celle des malwares individuels.
Si on prend les exploits de failles
de sécurité par exemple, on en découvre
chaque année plusieurs milliers,
mais tous se basent
sur une petite vingtaine de
techniques, même en considérant
l’ensemble des vulnérabilités
détectées depuis
le début de l’industrie
du logiciel. Si l’on parvient
à détecter la mise en œuvre
de ces techniques d’une
manière générique, on obtient
un outil de protection
très puissant contre les menaces
avancées, qui s’appuient souvent
sur des failles Zero-Day.
De même, les ransomwares utilisent tous
le chiffrement, et il est donc possible de
détecter qu’un ransomware est en train
de s’exécuter et de le bloquer.
Cette détection est complètement indépendante
du code malveillant et est donc
efficace contre tout nouveau ransomware
inconnu.
Ces solutions fournissent également des
outils avancés pour analyser le chemin
d’attaque. Une telle recherche fait habituellement
appel à des approches ou des
outils lourds et lents à mettre en œuvre,
tels que le SIEM. Le but ici est de fournir
une capacité de corrélation et d’analyse
des événements rapide, prête à l’emploi
et accessible à l’administrateur de la
solution de protection Endpoint.
Enfin, en matière d’éradication des malwares,
les solutions traditionnelles se focalisent
sur la neutralisation du logiciel malveillant.
Les solutions Next-Gen s’attachent
à nettoyer le système en profondeur, pour
le restaurer tel qu’il était avant l’attaque.
Comment avez-vous mis au point
cette solution ?
Ces technologies sont issues de l’acquisition
par Sophos en décembre dernier de
la société SurfRight, éditeur de la solution
HitmanPro Alert. SurfRight est parvenu à
mettre au point des techniques de détection
génériques extrêmement efficaces et
précises, qui ne génèrent pas de fausses
alertes.
La protection anti-ransomware est également
capable de restaurer les fichiers
chiffrés, car la détection repose sur l’observation
d’un début de chiffrement de fichiers,
qu’il s’agit donc de restaurer juste
après la neutralisation du ransomware.
Nous bénéficions des dix ans d’expérience
des chercheurs de SurfRight dans
ce domaine, et de technologies efficaces,
éprouvées et reconnues.
Pourquoi lancer une solution
distincte ?
Nous souhaitons que toutes les entreprises
puissent bénéficier de cette solution,
et pas seulement les clients Sophos.
Les fonctions innovantes apportées sont
le plus souvent absentes des solutions de
protection traditionnelles, et sont donc
parfaitement complémentaires. Elles n’interfèrent
pas avec les solutions anti-virus
en place et apportent un bénéfice tangible
et immédiat qui justifie l’investissement
supplémentaire.
Bien entendu, les clients Sophos bénéficient
de son intégration dans la console
d’administration Sophos Central, qui permet
de gérer aussi bien la protection
classique Endpoint
Advanced que la protection
Next-Gen Intercept X.
Elle permet de gérer à partir
d’une même console unifiée
la protection des mobiles,
du Web, de la messagerie,
du chiffrement et des points
d’accès Wi-Fi, tout en
synchronisant la sécurité
de ces différents composants
avec le pare-feu
Sophos, pour fournir une protection supplémentaire
et des capacités de remédiation
automatique avancées.
”
n
www.sophos.fr
SOLUTIONS IT n 35 n septembre - octobre 2016
Communiqué
» SÉCURITÉ » CASB » PAR OLIVIER BOUZEREAU
Appliances CASB
La parade absolue pour protéger
le Cloud hybride ?
En s’abonnant à plusieurs services SaaS ou mobiles, on expose ses données aux cyber-menaces.
L’appliance CASB fournit à la DSI un point de contrôle central pour repérer et protéger ces usages.
Comment obtenir une visibilité
de l’ensemble des services
Cloud en place et à
venir ? L’appliance CASB (Cloud
Access Security Broker) protège les
consommateurs de services Cloud
en nettoyant les flux des prestataires
de services. Les protections
en place (authentification, parefeu,
anti-malware, VPN, IDS/IPS) ne
sont pas remplacées,
mais complétées par
ce nouveau segment
de marché récent, qui
contraint à faire évoluer
les pratiques actuelles
de sécurité.
Pour Stéphane Geyres,
responsable de l'activité
conseil et services
en cybersécurité d’Accenture
France, le socle
technique des hébergeurs soutient
des offres de services plus ou moins
élaborés, avec des protections embarquées
plus ou moins riches. « On
constate toute une gamme d’équipements,
d’interfaces et de processus
fournis à distance. Au-dessus de
> Stéphane Geyres
leur infrastructure, les bons prestataires
Cloud offrent un minimum
de sécurité intégrée, reposant sur
diverses approches méthodologiques
et prestations de sécurité. Le client
doit se poser deux questions : selon
quels critères puis-je faire confiance
au prestataire ? Et suis-je en mesure
d’exploiter son infrastructure sans
ajouter de problèmes de sécurité »
Identifier les services
et données exposés
En pratique, la plateforme CASB
s’installe sur un Cloud privé ou
dans l’infrastructure des hébergeurs
; dans ce cas, le prestataire
facture les services autour de 5
Euros par mois, par utilisateur.
L’équipement procure un point
de contrôle central capable de repérer
et de protéger les usages SaaS et
mobiles, en mode proxy ou via
des interfaces de programmation
(API).
« La migration vers le Cloud hybride
est un mouvement de fond à contrôler.
La nouvelle famille d’outils CASB
offre l’occasion à la DSI de reprendre
la main sur la messagerie électronique,
les applications métiers et
tout service migrant vers le Cloud,
des données critiques les accompagnant
», signale Christophe Jolly,
directeur Sécurité de Cisco France.
Prenons un exemple concret. Avec
la bureautique Cloud Office 365,
l’entreprise doit ouvrir en grand
son parefeu car de nombreux canaux
applicatifs sont requis
par Microsoft. « Le
boîtier de sécurité touten-un,
l’UTM (Unified
Threat Managment)
s’avère impuissant face
aux trafics d’applications
Cloud. Il va perdre
de sa pertinence avec
l’adoption croissante
des applications SaaS »,
prévoit-il. L’appliance
CASB vient donc en complément
du pare-feu et de l’UTM. Elle permet
le filtrage des flux Cloud entrants
et réduit l’exposition aux risques
du modèle hybride. L’entreprise a
toujours besoin, a minima, d’un
pare-feu et d’un routeur Internet.
> Christophe Jolly
>
SOLUTIONS IT n 36 n Septembre-Octobre 2016
» SÉCURITÉ X
» CASB
>
> Loïc Guézo
« Notre principal enjeu du second
semestre 2016 consiste à accompagner
nos clients dans leur bascule
vers Office 365 qui remet en cause
l’infrastructure de sécurité privée.
Les 22 et 23 juin, un ransomware
de la famille Cerbère s’est propagé
en visant exclusivement les utilisateurs
Office 365 à partir d’une vulnérabilité
zero-day dans le Cloud
Microsoft. Au total,
18 millions de
clients ont été susceptibles
de recevoir
cette attaque »,
évoque Loïc Guézo,
directeur du développement
de Trend
Micro en Europe du
Sud. L’éditeur propose
d’intercaler entre
le client final et
le Cloud de Microsoft, son propre
Cloud de sécurité regroupant les
analyses de contenus, l’anti-malware,
la réputation ou le chiffrement
des fichiers.
Dès l’été 2015, Cisco a acquis
OpenDNS pour compléter son
offre d’un outil d’analyse de comportement
et de filtrage DNS : « 96%
des malwares se propagent ou se
transforment par ce biais. Le couplage
d’analyses des comportements DNS,
des flux du Cloud et des URL précise
ce qui se propage ; l’ensemble protège
les services et les données réparties
de l’entreprise », assure Christophe
Jolly.
La sécurité informatique résulte
d’une maîtrise de plusieurs risques
techniques et métiers et de la
confiance accordée par le client
final. Pour réunir ces objectifs, de
nouveaux tableaux de bord hybrides
s’imposent. « Il faut disposer d’une
vue générale de la menace, une vision
complète des actifs connectés, être
en mesure d’identifier toutes les
ressources pouvant rejoindre le réseau,
savoir analyser les flux en temps
réel et aussi rétrospectivement
lorsqu’une attaque a été plus vite
que notre capacité à la détecter »,
recommande Christophe Jolly.
Repérer et bloquer
les attaques
> Elastica détecte les vulnérabilités des répertoires Cloud partagés.
Tous les acteurs de la sécurité informatique
tentent de s’adapter
au modèle Cloud hybride en forte
croissance. Les premières opérations
de fusions-acquisitions ont
déjà démarré. Cisco vient d’acquérir
l’expert CloudLock pour
293 millions de dollars, tandis que
Symantec s’est offert BlueCoat
(4,65 milliards de dollars), luimême
acquéreur d’Elastica (280
millions de dollars) et de Perspecsys
(pour un montant non communiqué).
Microsoft a jeté son
dévolu sur Adallom (320 millions
de dollars).
C’est que l’appliance CASB (Cloud
Access Security Broker) contribue
à lutter contre les vulnérabilités
0-day, le rançongiciel qui prend en
otage les données personnelles des
salariés ou des clients, le déni de
services distribués (DDoS) et l’attaque
persistante avancée (APT).
Ces menaces cherchent
à compromettre des serveurs
d’entreprise, où
qu’ils soient hébergés.
« Les cyber-attaques
ciblant les entreprises
ont augmenté de 61%
au premier semestre
2016. En juin dernier,
nous avons détecté 2 420
familles de logiciels > Philippe Rondel
malveillants uniques
et actifs attaquant les réseaux d'entreprise,
soit une augmentation de
61% par rapport à janvier 2016 »,
note Philippe Rondel, le directeur
technique de CheckPoint Software
France.
Tandis que de nouveaux mécanismes
d’attaques avancées apparaissent
quotidiennement, le RSSI
a pour mission de les détecter et
de prémunir l’entreprise contre
leurs risques. Checkpoint fournit
une protection des flux de l’environnement
vCloud de VMware,
des infrastructures OpenStack et
des Clouds publics Azure
de Microsoft et AWS
d’Amazon via ses lames
de sécurité embarquant
des logiciels complémentaires
d’experts CASB tels
Avanan, FireLayers et
Skyhigh. « Face au parefeu
applicatif, l’appliance
CASB forme une famille
distincte ; je vois deux
marchés différents bien
que certains acteurs vont
chercher à couvrir les deux
domaines ; mais il leur faut
d’abord réunir les deux
expertises », constatet-il.
Les pare-feux applicatifs
dits de nouvelle génération
complètent leur
stratégie de défense. >
SOLUTIONS IT n 38 n Septembre-Octobre 2016
» SÉCURITÉ » CASB
>
L’appliance Sophos protège déjà
les applications web et désormais
aussi les flux Cloud via son complément
Sandstorm (Cloud sandboxing).
Pour sa part, la plateforme
Radar de F-Secure, s'étoffe,
via l'acquisition du danois nSense
et ses scans de vulnérabilités.
Associer des facultés
d’apprentissage
Lorsque les équipements de l’infrastructure
réseau évoluent, les développeurs
et les administrateurs doivent
être en mesure de suivre ces évolutions
pour les corréler et les comparer
avec l’état de l’art de la sécurité.
Une intelligence collaborative s’organise
entre les éditeurs et leurs
clients, impliquant des équipes CERT
(Computer Emergency Response
Team) pour signaler les nouvelles
menaces en temps réel et identifier
les environnements vulnérables.
Progressivement, les
outils de sécurité et
d’interconnexion
s’adaptent de façon
continue, via de
nouvelles règles et
configurations distribuées
en temps réel.
La vigilance du Cloud
hybride concerne un
> Sergio Loureiro périmètre réseau très
large, qui évolue sans cesse. Des
fonctions d’apprentissage automatique
(machine learning) et des automatismes
épaulent l’administrateur.
L’appliance CASB est assimilée
parfois au ‘big data de la sécurité’.
Elle préfigure l’auto-réparation du
réseau en réaction aux cyber-menaces,
d’où qu’elles proviennent.
« Il s’agit de maîtriser des environnements
hétérogènes dans lesquels
l’entreprise a du mal à connaître
son niveau de risques exact, confirme
Sergio Loureiro, le PDG de l’éditeur
Français SecludIT, expert en
diagnostics de sécurité. Dans ce
contexte, notre but consiste à donner
de la visibilité aux DSI. Nous attribuons
des notes de risques liés à la
cybersécurité d’environnements
complexes avec de la virtualisation,
du Cloud et des systèmes hérités
du passé car les serveurs physiques
> Imperva pointe les incidents et anomalies des serveurs et postes clients.
vont subsister encore longtemps. »
La stratégie de défense de SecluID
consiste à reproduire le mode opératoire
d’attaquants pour
identifier les points faibles
d’une architecture
Cloud hybride. Le logiciel
Elastic Dectector
examine les machines
virtuelles, sans agent,
afin de fournir des rapports
de failles détaillés,
triés par criticité,
ainsi que des conseils
de remédiation. Finis les tests d’intrusion
annuels ou semestriels ; ils
sont désormais exécutés continuellement.
Adopter une stratégie
de protection hybride
Les usages Cloud hybride sont récents,
mais touchent tous les secteurs
déjà, y compris la finance.
« La question du Cloud hybride se
pose aussi dans le domaine bancaire
où c’est un moyen d’avancer
plus vite, d’accéder à de nouvelles
fonctionnalités. Le choix de l’hybride
commence avec le besoin de
débordement, pour activer provisoirement
une capacité supplémentaire,
disponible rapidement. Toute
la complexité réside dans la communication
entre les infrastructures,
pour obtenir les mêmes
niveaux de sécurité partout »,
observe Sylvain Bosquier, consultant
chez Harmonie Technologie,
un cabinet expert en cyber-sécurité.
Sur des infrastructures
hétérogènes, on ne pourra
jamais obtenir 100% de
fonctionnalités identiques.
C’est donc au travers de
contrats que l’entreprise
va chercher à obtenir des
garanties vis à vis de ses
hébergeurs.
> Sylvain Bosquier Les contraintes réglementaires
guident la stratégie de protection
du Cloud hybride. Le régulateur
de chaque secteur impose
des règles de stockage et des structures
de vérification. Par exemple,
l’hébergeur de santé doit disposer
de datacenters en France pour
stocker les données patients des
établissements de soin, sans réplication
au-delà de l’Europe. «
Lorsqu’on établit un contrat avec
un prestataire externe, on essaie
d’intégrer de telles clauses pour
qu’un auditeur puisse aller vérifier
où les données résident. C’est plus
difficile à négocier avec les géants
du web. Mais lorsque les datacenters
sont présents dans les bons pays,
l’externalisation des données est
évaluée et acceptée plus vite. » Encore
faut-il, au préalable, vérifier
le niveau de sensibilité des informations
: « Les données sensibles >
SOLUTIONS IT n 40 n Septembre-Octobre 2016
» SÉCURITÉ » CASB
>
> Skyhigh trace l’évolution des usages SaaS et isole les activités à risques.
doivent au moins être chiffrées vis à
vis du prestataire externe. Mais ce
n’est pas forcément la panacée. En
effet, si le prestataire Cloud assure
le stockage et certains traitements,
il faudra déchiffrer les données avant
de les traiter ou les rendre anonymes
auparavant ».
> Laurent Pétroque
L’appliance
réagit de
façon
dynamique
L’appliance CASB
évite de multiplier
les consoles de configuration
de la sécurité
; elle consolide
et renforce les
règles de sécurité entre les consommateurs
de services Cloud et leurs
prestataires. « Une coordination
entre les appliances de sécurité déployées
sur site et dans le Cloud est
mise en œuvre via une signalisation
spécifique. Dès qu’un début d’attaque
est détecté dans le Cloud,
l’information circule de façon dynamique
ce qui permet de prendre
des mesures au niveau des routeurs »,
précise Laurent Pétroque, manager
avant-ventes chez F5 Networks
France.
Le dimensionnement de l’appliance
dépend du débit et des trafics de
données. Installé sur le site de l’entreprise,
l’équipement doit être
assez musclé pour résister aux
attaques qui inondent parfois les
liens entrants. Les débits proposés
par F5 Networks vont de la ligne
spécialisée à 25 Mbps jusqu’à 100
Gbps ; ils sont assortis d’un modèle
de facturation à l’usage.
Checkpoint confirme l’importance
de tracer chaque évolution de l’infrastructure
hybride. « Une nouvelle
passerelle, une nouvelle zone démilitarisée,
5 ou 10 VM ajoutées :
tout changement doit être documenté.
Les interactions entre orchestrateurs
et outils de gestion de la
sécurité rendent plus dynamiques
les équipements. On peut cloisonner
des parties de l’environnement et
exiger la validation préalable d’un
manager », ajoute Philippe Rondel.
L’identification de malwares
dormants reste cependant délicate
en environnement Cloud
hybride. Il convient d’isoler le
malware dès qu’il tente de se
propager et d’identifier la menace
à l’aide d’un bac à sable où sont
examinés les fichiers et messages
« les règles de sécurité sont transformées
sous forme de listes d’accès pour isoler ou
bannir toute menace du réseau. »
Olivier Melwig
Juniper Networks
douteux. En fonction du niveau
d’alerte, on pourra mettre en quarantaine
plusieurs sources de trafic
IP provisoirement : « La vision
SDSN (Software-defined Secure
Networks) de Juniper Networks
s’adapte bien au Cloud hybride.
Elle passe par des outils de détection
d’attaques qui renforcent la
politique de sécurité au plus près
de l’incident ; les règles de sécurité
sont transformées sous forme de
listes d’accès pour isoler ou bannir
toute menace du réseau », illustre
Olivier Melwig, Directeur technique
Juniper Networks.
Utiliser le Cloud pour
protéger le Cloud
Huit clients de Qualys sur dix prévoient
de migrer vers une forme
de Cloud, d’ici à 2020. L’agent
Cloud de l’éditeur est disponible
sur Microsoft Azure, en mode public
et privé. « Face aux fuites de
données, les hébergeurs
souhaitent pouvoir prouver
qu’ils ont bien fait
le nécessaire pour se
prémunir du risque.
Nous fournissons une
vision à 360 degrés de
tout ce qui se passe dans
l’environnement de nos
> Eric Perraudeau
clients », retrace Eric
Perraudeau le directeur
général de Qualys France. Le
fondement de la sécurité consiste
à savoir précisément ce que l’on
expose, d’où la mise à disposition
gratuite du module d’inventaire
Asset View de Qualys. L’éditeur
rapproche cet état des lieux d’une
surveillance des applications et
des ports ouverts, menée via son
propre Cloud. Qualys propose
déjà six services SaaS pour suivre
la conformité des règles de sécurité,
mener des tests PCI DSS, examiner
les applications web, protéger
contre les cyber-menaces, détecter
les vulnérabilités et remplir des
questionnaires d’évaluation des
risques. Des rapports complets
sont ainsi accompagnés de preuves,
d’éléments déclaratifs et de constats
concrets sur les serveurs, les
couches réseaux, la téléphonie,
>
SOLUTIONS IT n 42 n Septembre-Octobre 2016
» SÉCURITÉ
» MALWARE
PHILIPPE FOURCIN,
Responsable Avant-Vente chez F-Secure
Crypto-ransomware
Les entreprises doivent devenir plus proactives que jamais
© Capucine Henry
Depuis des mois, les crypto-ransomware font la une des médias spécialisés en
informatique. Ces malware sévissent partout : ils chiffrent les fichiers de la
victime et exigent le paiement d’une rançon pour leur déchiffrement. Ils diffèrent
donc substantiellement des tout premiers ransomware et scareware. Il y a
encore quelques années, certains ransomware bloquaient votre ordinateur et
affichait un faux message de la police, vous accusant d’activité illégale sur le
web. Ils exigeaient alors le paiement d’une « amende » pour débloquer la
machine. Les scareware, eux, faisaient croire à la présence d’un virus sur la
machine, afin de faire payer à la victime un faux antivirus.
criminels n’étaient pas totalement bornés.
Trois des quatre pirates avec qui nous
avons échangé (le cinquième n’a jamais
répondu) ont été enclins à revoir à la
baisse la rançon demandée : en moyenne,
nous avons obtenu une « remise » de
29%. Tous les quatre nous ont également
accordé un délai supplémentaire
pour le paiement, au-delà de la date
limite fixée initialement.
Les experts en cyber sécurité le reconnaissent
: il est quasiment impossible
de récupérer ses fichiers sans payer
cette fameuse rançon. Il s’agit même
souvent de la solution la moins coûteuse
et la plus efficace pour récupérer ses
données. Certes, un dilemme se pose :
payer ces criminels revient à les encourager…
mais bien souvent, reprendre
son activité au plus vite s’avère plus
important que de leur faire la leçon.
Bien heureusement, il vous est possible
de minimiser les risques de devenir
un jour victime de ransomware. Tout
d’abord, il vous faut veiller à ce que
tous vos logiciels soient à jour. Les
ransomware exploitent souvent les
failles de sécurité de logiciels obsolètes.
Patcher ses logiciels est donc la
première des étapes.
Utilisez ensuite un logiciel de sécurité
informatique fiable ayant une approche
multi-niveaux pour, non seulement
bloquer les menaces connues, mais
aussi détecter de nouvelles attaques
inédites. Enfin, soyez vigilants face
aux spams et aux e-mails de phishing :
les ransomware se cachent souvent
derrière une pièce jointe ou un lien
URL. Sensibilisez vos employés ou
collègues sur les dernières tactiques de
phishing.
La sécurisation des e-mails en entreprise
nécessite un bon système de filtrage et
la désactivation des scripts macros des
fichiers Office reçus par e-mail. Les administrateurs
peuvent également limiter
l’utilisation des plugins du navigateur,
« Le plus important, en termes de prévention, reste la sauvegarde des données.
Réalisez des sauvegardes, testez-les pour être certain qu’elles soient exploitables
et conservez-les hors-ligne. »
Aussi convaincants soient-ils,
ces malware n’ont pas fait
long feu. Les internautes ont
compris leur fonctionnement et ont
tout simplement arrêté de payer. Si
l’ordinateur était bloqué, supprimer
le programme malveillant suffisait.
Les crypto-ransomware sont plus
évolués. Ils ne capitalisent pas sur la
tromperie : en échange de votre argent,
ils vous proposent une contrepartie
bien concrète, à savoir le retour de
vos fichiers chiffrés.
Les ransomware empruntent leur business
model aux entreprises légales.
Les pirates cachés derrière les cryptoransomware
ont découvert que, tout
comme une entreprise classique, ils
pouvaient obtenir de meilleurs résultats
avec un bon service clients. Dans
cette optique, certains d’entre eux
proposent même un chat d’assistance
permettant d’aider les victimes à réaliser
le paiement en Bitcoin.
Nous avons récemment réalisé une
étude nommée « L’expérience utilisateur
des victimes de ransomware ».
Nous avons infecté des ordinateurs de
test isolés avec cinq malware différents.
Nous avons ensuite tenté de
contacter les cyber criminels à l’origine
de l’attaque via le contact proposé
(email ou assistance en ligne).
Nos recherches ont montré que ces
limiter les contrôles d’accès au strict nécessaire
pour chaque utilisateur, mettre
en place un contrôle des applications afin
que des programmes suspects ne puissent
pas s’exécuter, dresser une « liste
blanche » d’applications et gérer les données
de manière à limiter les mouvements
latéraux sur le réseau.
L’aspect le plus important, en termes
de prévention, reste la sauvegarde des
données. Réalisez des sauvegardes,
testez-les pour être certain qu’elles
soient exploitables et conservez-les
hors-ligne pour qu’aucun ransomware
ne puisse s’y attaquer. n
Visitez f-secure.fr/business et notre blog ‘Visions et Sécurité IT’ fr.business.f-secure.com
Communiqué
SOLUTIONS IT n 43 n Septembre-Octobre 2016
» SÉCURITÉ
» CASB
Douze offres de gestion des vulnérabilités du Cloud hybride.
Fournis
seur
Appliance CASB,
gestion de vulnérabilités Cloud
Services SaaS délivrés Observations Clients
Cisco CloudLock Détection et mise en quarantaine
de codes malveillants dans les
environnements SaaS, PaaS, IaaS
Détection d’usages Cloud
officieux, évaluation d’indices
de risques. Protection unifiée des
données sur site et dans
le Cloud public
Financial Times, Motorola,
Nasa, Whirlpool
Check
point
Security Blades et logiciels tiers
d’Avanan, FireLayers, SkyHigh
Détection de menaces, contrôle
des fichiers et des applications
SaaS
Protection des flux Cloud,
détection des logiciels malveillants
de type zero-day
Bank Leumi, Electrolux,
Getronics, Manfrotto, Miele
Fortinet
Fortigate (Security fabric)
et FortiCloud
Services orientés APT avec
mécanismes de sandboxing pour
détection avancée (FortiCloud)
Cartographie, appliance virtuelle
pour AWS, Azure, analyse et
remédiation par propagation
de règles
Plusieurs banques et industriels
Européens utilisent la
combinaison de protections
SaaS et d’appliances Fortigate
IBM Cloud Security Enforcer Identity-as-a-service (IDaaS),
IAM, prévention d’intrusion
Imperva Skyfence Visibilité des données,
applications et utilisateurs Cloud,
contrôle d’accès
Vue temps réel des risques Cloud,
détection de cyber-menaces
Gestion de conformité
et intégration au pare-feu
web SecureSphere
NC
Educational Media Foundation,
Metro Bank,
une compagnie aérienne
Microsoft
System Center, OMS (Operation
Management Suite),
Azure Information Protection
Gestion des vulnérabilités,
des actifs répartis, chiffrement et
classification des fichiers
Portail d’administration et logiciel
client issus des rachats d’Adallom
et de Secure Islands
NC
McAfee
Intel
Secure
ePolicy Orchestrator
Console unique pour gérer la
sécurité sur site ou dans le Cloud
Protection des terminaux,
des données, des équipements
mobiles et des réseaux
Aéroport de Cologne-Bonn,
Cut-e, DTS Systeme
Palo Alto
Networks
VM Series,
GlobalProtect, Panorama
Pare-feu virtualisé, protection
des flux Cloud, gestion de
conformité des applications
Visibilité des applications SaaS,
contrôle d’accès,
prévention d’intrusion
Croix Rouge Française,
Europ Assistance, Essilor,
Exeter Finance
Qualys
QualysGuard Policy Compliance,
Web Application Scanning,
ThreatProtect
Six services conçus en mode
SaaS et six autres prévus pour
2017
Conformité PCI DSS, examen des
applications Cloud, détection de
vulnérabilités et cyber-menaces
Adobe, BASF, ebay, Oracle,
Nissan, Pfizer, Thomson
Skyhigh
Networks
Skyhigh Visibility, Threat
Protection, Data Security, DLP,
Compliance, Encryption
Six services SaaS
complémentaires
Solution SaaS, sans agent,
compatible avec pare-feu, proxy
et SIEM en place
Allied (banque Irlandaise),
Equinix, Publicis, Swarovski,
Vodafone
Symantec
/BlueCoat
Plateforme CloudSOC
d’Elastica, acquise par
BlueCoat, Protection Center,
Risk Automation Suite
Evaluation des risques par
machine learning, modélisation
comportementale, Cloud DLP,
analyse et réparation
Tableaux de bord des services
SaaS utilisés, d’exposition aux
vulnérabilités et aux pertes
de données
Analyze Health, Disys,
Steelcase, Yammer,
Trend
Micro
Offre CAS (Cloud Application
Security), module sécurité
d’offres Cloud public
Filtrage, réputation, modules DLP,
chiffrement ; analyse de contenus,
quarantaine, remédiation
Détection et protection de trafic
Office 365, à terme Google,
Salesforce, etc.
Orange cyberdéfense,
Ministère de la Défense,
Telefonica, ENI
>
les périphériques, les systèmes,
frameworks et applications Cloud.
Le niveau de conformité attribué
intègre les contrôles d’accès physiques
aux bâtiments hébergeant
les serveurs, ou encore les examens
de vulnérabilité réellement
pratiqués. Six autres services sont
en cours de développement : « Nous
allons ajouter la gestion d’indicateurs
de compromission, précisant
que telle machine se comporte comme
une machine compromise lorsque
son pare-feu local est désactivé ou
que des connexions suspectes ont
démarré. Avant 2017, nous saurons
déployer automatiquement des patchs
de sécurité », prévoit-il.
Profiter d’une console
unique d’administration
Qu’il s’agisse de nettoyer des flux
Cloud ou de renforcer des services
métiers, la première protection
retenue par les PME consiste
souvent à s’abonner à un service
SaaS de sécurité. Les entreprises
de taille intermédiaire et les grandes
organisations acquièrent plus
volontiers une appliance à installer
sur site ou chez l’hébergeur ; cette
formule permet de gérer des débits
plus importants et d’appliquer
une politique de sécurité cohérente
sur toutes les infrastructures
traversées. Les deux
approches s’avèrent complémentaires
; d’ailleurs, elles sont de
plus en plus combinées.« Depuis
deux à trois ans, les accès mobiles
au système d’information, les services
SaaS et l’exposition des services
applicatifs de l’entreprise obligent
à protéger les données un peu partout,
de façon distribuée », confirme
>
SOLUTIONS IT n 44 n Septembre-Octobre 2016
» SÉCURITÉ
» CASB
Interview
CRAIG LAWSON Directeur de recherches du Gartner
Pour sécuriser les logiciels SaaS,
prévoir 8% à 15% du total des dépenses
Directeur de recherches du Gartner, Craig Lawson est spécialisé dans les marchés
de la sécurité informatique et dans les solutions protégeant les données personnelles.
Il recommande aux entreprises d’allouer au moins 8% de leurs dépenses
SaaS à la protection des applications et de leurs données externalisées.
l Solution IT : La croissance du
marché CASB est-elle rapide en
Europe de l’Ouest ?
Craig Lawson : L’adoption d’appliances
CASB a démarré très vite
en Amérique du Nord, où la croissance
du marché est très forte depuis
deux ans. Elle n’est pas spécifique
à une industrie mais plutôt
tirée par les entreprises qui consomment
des services Cloud de type
SaaS ; en particulier des applications
de back office comme le progiciel
de gestion intégré, le suivi de
la relation client, le suivi des ressources
humaines et les solutions
de productivité.
l Les performances requises par
les fonctions de filtrage des solutions
CASB requièrent-elles
des plateformes matérielles coûteuses
?
Plusieurs fournisseurs CASB offrent
le choix d’exécuter leur logiciel sur
une appliance physique ou virtuelle,
installée sur le site de l’entreprise
ou dans un Cloud hybride / public.
Néanmoins, la méthode la plus populaire
consiste à retenir l’offre CASB
en tant que service Cloud, ce qui
évite à l’entreprise d’avoir à gérer
des appliances. Les fournisseurs
ont conçu leur plateforme pour le
Cloud de façon native ; ils les maintiennent
à proximité des principaux
points de présence Internet
lorsqu’ils n’ont pas recours, euxmêmes,
aux Clouds publics comme
celui d’Amazon.
l Prévoyez-vous une démocratisation
prochaine des solutions
CASB ?
Comme dans tous les marchés en
croissance exponentielle, les prix
vont baisser progressivement. Actuellement,
on voit les solutions
CASB retenir 8% à 15% des dépenses
de logiciels SaaS à sécuriser.
D’ici à 2020, cela devrait baisser
pour ne représenter plus que
5% à 10%. Cependant, d’ici là, les
entreprises consommeront beaucoup
plus de services externalisés.
Le prix unitaire de l’offre CASB
va baisser, mais chaque organisation
exécutera davantage de solutions
Cloud.
l Selon vous, toutes les jeunes
pousses innovantes du segment
CASB seront-elles acquises par
des géants de la sécurité ou certaines
vont-elles survivre par
elles-mêmes ?
« Le prix unitaire de l’offre CASB
va baisser, mais chaque organisation
exécutera davantage de solutions Cloud. »
Des fournisseurs isolés et d’autres
acteurs bien établis cherchent à compléter
leurs activités en aidant les
organisations à sécuriser leur migration
vers le Cloud. Au cours des
douze derniers mois, il y a eu plusieurs
acquisitions sur ce marché,
jusqu’à un milliard de dollars. Microsoft,
Bluecoat (Symantec à présent),
Cisco, Imperva sont des exemples
de grandes entreprises qui ont
toutes mené des acquisitions crédibles
sur ce terrain. n
Propos recueillis par
Olivier Bouzereau
>
Romain Quinat, le responsable marketing
et communication de Nomios,
intégrateur et conseil
en sécurité créé il y a
douze ans.
Selon lui, le nerf de
la guerre consiste à
disposer d’une console
unique pour suivre la
sécurité de chaque infrastructure
au service
de l’organisation.
> Romain Quinat
Dans ce contexte, il encourage
une granularité très fine d’administration
: « avec l’équipement de
Palo Alto Networks, par exemple,
on peut pousser une politique de
sécurité jusqu’au niveau de la VM,
qu’elle tourne sur un Cloud privé
ou public. Cela exige une coopération
technique approfondie et des
partenariats forts entre éditeurs et
prestataires Cloud », signale-t-il.
Sylvain Bosquet (Harmonie Technologie),
recommande pour sa
part une sécurité intégrée dès le
début du projet, présente à tous
les étages de l’organisation ainsi
que sur chaque couche de l’infrastructure
hybride. Une approche
sensée qui suppose toutefois « d’être
présent au plus haut niveau de la
gouvernance pour porter les bons
messages et pour faire appliquer
partout les meilleures pratiques de
sécurité ». n
SOLUTIONS IT n 46 n Septembre-Octobre 2016
» SÉCURITÉ
» CLOUD
CHRISTOPHE AUBERGER ,
Directeur Technique France, Fortinet
Sécuriser le Cloud
A l’heure de l’économie numérique, les organisations interconnectent les utilisateurs,
dispositifs, équipements, données, produits et services, dans leur quête
de création de valeur. Pour préserver leurs avantages concurrentiels dans cette
nouvelle économie, ces entreprises doivent migrer vers de nouvelles technologies,
à l’instar de la virtualisation ou du cloud, vecteurs d’agilité, de réactivité
aux besoins et demandes de marché, et d’attractivité vis-à-vis des clients.
La sécurisation de ces environnements requiert une
étroite intégration des technologies réseau et sécurité,
le partage des informations de veille, et une
collaboration entre ces technologies. L’objectif ? Détecter,
isoler et neutraliser les menaces en temps réel. Les performances
doivent également être au rendez-vous pour assurer
une disponibilité à la demande.
Bien sûr, la problématique se complique lorsqu’on se
rend compte que le Cloud ne se résume pas à un réseau
traditionnel virtualisé. Il s’agit plutôt d’un ensemble de
réseaux fonctionnant de manière synchronisée. Les
données transitent d’un centre de données à un autre et
sont mises à disposition des utilisateurs et des clients
mobiles. Ces centres de données sont déployés en local et
de manière propriétaire, ou disséminés dans le monde et
gérés par des fournisseurs de services tiers.
Les services de cloud public sont ainsi utilisés par les
entreprises dans différentes optiques: le basculement à la
demande de volumes importants de données - un processus
nommé cloud bursting - ou la migration de tout ou partie
de leur infrastructure vers le Cloud, vers des architectures
Xaas (SaaS, PaaS ou IaaS).
Le Cloud présente de multiples facettes: il peut s’agir
d’utiliser des services cloud basiques comme Dropbox et
Salesforce.com, migrer vers des infrastructures cloud
comme Amazon AWS et Microsoft Azure, ou d’adopter
des infrastructures cloud clés en mains, proposées par les
fournisseurs de services pour simplifier le stockage, transférer
et gérer les données et transformer les coûts de maintenance
d’infrastructure en une facturation à l’utilisation.
Du point de vue de la sécurité, le principal challenge est
de savoir comment établir, maintenir et appliquer des
règles de sécurité cohérentes, alors que les données migrent
d’un environnement cloud en local vers des clouds tiers,
et vice-versa. Il s’agit de la principale crainte pour les
entreprises et un véritable frein dans leur adoption d’une
stratégie réseau XaaS.
Les 2 clés de la sécurité
Pour que la stratégie soit une réalité, il faut une conjonction
de deux facteurs :
D’abord, les entreprises doivent identifier un fournisseur
de services capable de déployer au sein de l’environnement
cloud distant les mêmes technologies de sécurité utilisées
en interne. Il est essentiel de s’assurer que les règles de
sécurité s’appliquent aux données lorsque ces dernières
migrent d’un environnement à l’autre, un besoin d’autant
plus impératif lorsque la perte d’informations vitales
(données financières, données clients, éléments de propriété
intellectuelle ...) induit un impact lourd pour l’entreprise.
Autrement dit, les entreprises souhaitant déployer une stratégie
cloud sont invitées à concevoir et déployer en interne
de nouvelles solutions de sécurité, celles qui sont également
adoptées par les fournisseurs de services.
« Comment appliquer des règles de sécurité cohérentes,
alors que les données migrent d’un environnement cloud en local
vers des clouds tiers, et vice-versa. »
Dans un second temps, les entreprises doivent adopter un
outil de gestion et d’orchestration de la sécurité du Cloud,
capable d’apporter les règles et informations de sécurité
aux dispositifs de sécurité présents sur différents sites.
Si les réseaux doivent être segmentés pour dissocier les
fonctions de sécurité, il devient tout aussi important de
segmenter les données de manière horizontale: en effet,
différents profils d’utilisateurs, de transactions et d’applications
transitent via le réseau, à partir d’équipements
distants et via le Cloud.
La Security Fabric de Fortinet a été conçue pour offrir des
solutions de sécurité performantes et étroitement intégrées
à l’intention des environnements cloud. Cette architecture
est également basée sur les solutions de sécurité les plus
adoptées par les fournisseurs de services. Avec un outil
d’administration dans le Cloud (FortiManager), un système
d’exploitation commun (FortiOS) et une source unique de
veille sur les menaces (FortiGuard), les entreprises bénéficient
d’une architecture de sécurité parfaitement intégrée
qui leur apporte visibilité et contrôle sur l’ensemble de leur
réseau multisite. n
SOLUTIONS IT n 47 n septembre - octobre 2016
» SÉCURITÉ » IAM
» PAR OLIVIER BOUZEREAU
Gestion des identités
Qui a accès à quoi ?
L’IAM (gestion des identités et des accès) encadre les usages IT des salariés,
partenaires et clients où qu’ils se connectent, dans le respect des exigences
de sécurité. Sa mise en place est souvent liée à une fuite de données.
Les services d’IAM (Identity
and Access Management)
vont bien au-delà de
l'annuaire d’entreprise. Ils prennent
en compte les comportements
des utilisateurs du système d’information
sur tous leurs terminaux,
qu’il s’agisse d’employés,
de clients ou même d’objets accédant
légitimement aux ressources
partagées. En plus des badges
d’accès physiques et des codes
nécessaires à la téléphonie et aux
logiciels informatiques, l’IAM
prend en considération l’habilitation
aux services en fonction des
métiers, des objectifs et des risques
propres à chaque entreprise.
Un marché
très segmenté
La France est un terroir prolifique
en éditeurs spécialisés : Avencis,
Brainwave, Evidian (Atos/Bull),
Ilex, Memority, Usercube, Wallix
comptent parmi ses champions.
Les concepteurs nationaux s’opposent
aux alternatives allemandes
de 8Man, BetaSystems et SAP et
aux rivaux américains CA, Dell,
ForgeRock, IBM, Oracle, Ping
Identity, EMC/RSA et SailPoint.
Le marché IAM reste
très segmenté, sans
leader qui se détache
nettement de ses
poursuivants. Du coup, chaque
éditeur tend à intégrer plusieurs
disciplines pour offrir davantage
de fonctionnalités à sa base installée.
A côté des fonctionnalités de suivi
des accès et des identités, on trouve
la gouvernance des habilitations
(IAG, Identity and Access Governance),
le suivi des comptes à privilèges
ou PAM (Privileged Access
management), la gestion des accès
aux données (DAG, Data Access
Management) et le management
de la mobilité (EMM, Enterprise
Mobility Management). La conséquence
de cette convergence encore
partielle, c’est que les coûts d’implémentation
restent élevés, en
dépit du modèle Cloud qui se généralise
à présent.
Des luttes de pouvoir se cristallisent
aussi au sein des entreprises
utilisatrices. « Les directions opérationnelles
sont frustrées par le manque
de flexibilité de leur DSI. Elles
louent alors des machines virtuelles
ou démarrent des services SaaS
sans en référer à la DSI, en fonction
de leur perception d’un bon
Cloud. A présent, l’enjeu de l’IT
interne consiste à gérer les accès
aux infrastructures des prestataires.
Les Clouds sont rarement isolés,
en lien avec des données de l’ERP
ou du CRM, ils créent des ponts
de communication attaquables »,
alerte Philippe Humeau, le directeur
général de NBS System, une
filiale du groupe Oceanet Technology.
Il recommande une tactique
en deux temps aux DSI ; maîtriser
les usages Cloud et SaaS en diffusant
de bonnes pratiques aux
branches opérationnelles, et déployer
des composants de sécurité simples,
efficaces et capables de dialoguer
entre eux. Selon lui, la sécurité
des environnements hybrides se
compose déjà de sept à quatorze
couches distinctes.
Des besoins
de traçabilité
Un incident de sécurité comme
une fuite de données privées sert
souvent de déclencheur pour
démarrer un nouveau projet d’IAM
ou d’IAG, d’autant plus lorsqu’on
traite avec un opérateur d’importance
vitale, tenu de déclarer chaque
intrusion.
« Le commissaire aux comptes pose
également des questions embarrassantes
parfois. Quels sont les informaticiens
et les prestataires ayant
accès aux données sensibles du système
d’information ? Quelle est la procé-
« Les moyens de protection ne font pas tout,
il faut assurer un bon dialogue entre chaque
composant de sécurité. » Philippe Humeau,
NBS System
SOLUTIONS IT n 48 n Septembre-Octobre 2016
Atos gère la sécurité
de la chaîne DM-Drogerie Markt
« Grâce à une étroite coopération avec Evidian, nous avons pu intégrer la solution
E-SSO à notre environnement informatique, sans difficulté. L’expérience
utilisateur s’est améliorée et nous disposons d’une solution conforme à nos
besoins de sécurité », apprécie Andreas Gessner, responsable IAM de la chaîne
Allemande de para-pharmacies DM-Drogerie Markt.
Il prévoit d’implémenter la solution française dans plus de 3 000 boutiques totalisant
50 000 salariés. Et d’en profiter pour faire la promotion des accès unifiés
et de la gestion des habilitations, chaque salarié recevant un badge RFID
combiné à un mot de passe unique, valable pour rallier toutes les applications
nécessaires à ses activités. Le logiciel Enterprise Single Sign-On d’Evidian gère
les procédures d’authentification renforcée et l’accès sécurisé aux applications,
autour d’interfaces ergonomiques.
La filiale du groupe Atos a remporté un composant clé du système d’information
du distributeur ; cette victoire outre-Rhin vient d’être distinguée par le prix European
Identity & Cloud Award 2016 du cabinet d’analyses KuppingerCole. n
dure de traçabilité des comptes à
privilèges mise en œuvre ? », remarque
Rémi Fournier, le directeur technique
et cofondateur de Synetis,
un cabinet de conseil spécialisé
dans la transformation et la sécurisation
des systèmes d’information
d’entreprises. Son entreprise
intervient dans plusieurs groupes
du CAC40, de la finance et de
l’énergie notamment.
Les outils d’IAM, très configurables,
requièrent un travail conséquent
de personnalisation pour
s’adapter à chaque organisation.
La solution IAG prend souvent la
forme d’une appliance software,
facilitant le déploiement de l’application
et de son midlleware
associé. « La formule fréquemment
retenue en France est celle d’une
machine virtuelle, déployée et hébergée
chez un prestataire. Les clients sont
rassurés sur la maintenabilité de la
solution. Plus rare, l’appliance préinstallée
sur un matériel exige, pour
sa part, un technicien pour être
correctement câblée dans le datacenter,
puis un administrateur pour
l’exploiter sur site. On rencontre
davantage cette formule sur les
fonctions de pare-feu et de prévention
d’intrusions que sur l’IAM »,
observe-t-il.
Un critère d’évaluation
de l’entreprise
Prendre en compte la gestion des
identités et des habilitations peut
rassurer les clients et les partenaires
: « Je crois que la gestion
IAM a de beaux jours devant elle,
estime Renaud Templier, le directeur
de l’activité risques et sécurité
de Devoteam. La sécurité informatique
devient un critère d’évaluation
de l’entreprise. Le suivi des
identités numériques convient bien
à une logique de transformation
digitale, lorsque les accès doivent
être sécurisés sur tout terminal,
partout où l’on se connecte. » Son
entité, composée de 80 experts, est
en contact avec les décideurs métiers
et les professionnels de l’informatique.
Sans aller jusqu’aux services
managés, elle couvre des missions
d’audit de sécurité, d’analyse des
risques, de résolution d’incidents
et de gestion de crise au sens large.
Comment l’entreprise utilisatrice
d’un logiciel IAM parvient-elle à
rassurer ses utilisateurs de produits
et de services ? « Dans le cadre d’une
approche d’amélioration continue,
on se focalise sur quelques fonctions
seulement, sur la gestion de
comptes à privilèges et la sécurisation
des annuaires, avec des missions
d’expertise et de consulting pour
savoir précisément qui fait quoi sur
l’infrastructure IT », illustre-t-il.
L’expert travaille ainsi avec une banque
sur l’authentification par selfie de
l’utilisateur, afin que ce dernier puisse
se connecter de façon sécurisée où
qu’il soit. « Sans une bonne gestion
des identités numériques, on ne peut
pas sécuriser un processus métier
dans son ensemble. C’est un axe majeur
sur lequel il faut se concentrer »,
recommande-t-il.
Il contribue, par ailleurs, à élaborer
un référentiel de cybersécurité
pour les véhicules connectés, avec
Bureau Veritas. Ce cadre de conception
doit faciliter le développement
d’applications robustes,
embarquant la sécurité dès leur
conception, via des
standards d’analyse
de risques et de tests
en particulier.
« Sans une bonne gestion des identités
numériques, on ne peut pas sécuriser un processus
métier dans son ensemble. » Renaud Templier, Devoteam
SOLUTIONS IT n 49 n Septembre-Octobre 2016
» SÉCURITÉ » IAM
Des projets traités
séparément
« Dans les projets actuels, le tronc
commun concerne la maîtrise des
identités. La difficulté réside dans
la gestion des mouvements du
personnel. Il faut bien définir les
rôles et les responsabilités de chacun
pour que les processus tiennent
dans le temps », préconise Rémi
Fournier chez Synetis. En cas de
réorganisation de l’entreprise, ou
quelques mois après la nomination
d'un nouveau DRH, les responsabilités
évoluent, les processus
sont révisés ainsi que l’habilitation
des salariés, des partenaires
ou des clients. Par conséquent,
« le responsable du process doit
être parfaitement identifié, de façon
pérenne. Selon l’entreprise, c’est le
Directeur Général adjoint, le DSI,
le RSSI ou un contrôleur interne.
Le projet fonctionne mieux avec
un responsable choisi au-delà de la
DSI », conseille-t-il.
Les projets d’IAG et de PAM sont
traités séparément. Si les utilisateurs
appellent de leurs vœux la
convergence des suivis d’identités
et des habilitations, en revanche,
les éditeurs ne sont pas tous prêts.
« D’une part, il y a des contraintes
technologiques et, d’autre part, les
projets suivent des cycles
de décision très longs ;
pris globalement, ils
risquent d’être encore plus
longs à démarrer », note
Rémi Fournier.
Pour ce qui concerne la
fédération d’identités
numériques, il faut s’en
remettre à un standard
tel qu’OpenID Connect
ou OAuth2 pour rester
indépendant d’un fournisseur.
L’initiative NAPPS (Native
Applications) tente d’apporter
une identification unique (SSO)
aux services mobiles. Mais, à présent,
« Google s’en détache pour soutenir
son propre framework sous Android »,
observe-t-il.
Les connecteurs disponibles, les
moteurs de règles, de séparation
des tâches, de reporting et de
tableaux de bord forment donc
> Rémi Fournier
les principaux critères de différenciation
entre les solutions. En
pratique, elles doivent fournir aux
métiers « des rapports propres,
parlants pour chacun, avec des
données bien structurées ».
L’ergonomie des interfaces s’avère
importante pour la gestion des
rôles comme pour le portail d’applications
en self-service. L’utilisateur
final y sélectionne une application
référencée et, après autorisation
de son manager, celle-ci
est déployée sur son poste de travail
; elle devient alors accessible
avec l’habilitation correspondant
uniquement à ses activités.
« Les interfaces sont plus ergonomiques
qu’il y a cinq ans, mais il
reste encore beaucoup à faire. C’est
pourquoi nous développons des interactions
spécifiques en langage
HTML5, avec le framework AngularJS
parfois pour intégrer au portail
des fonctionnalités B2C », complète
Rémi Fournier.
Soigner la séparation
des tâches
Plusieurs particularités apparaissent
selon les activités de l’entreprise.
« Dans le domaine bancaire,
on doit soigner la séparation des
tâches entre les systèmes finance et
trading », explique Rémi Fournier.
L’IAM s’avère précieux pour provisionner
des comptes d’accès.
Mais, à présent, l’entreprise recherche
une cartographie complète
des habilitations. C’est là
qu’interviennent les solutions d’IAG
de gouvernance et d’administration
des identités, conçues pour
suivre leur évolution dans le temps.
Elles fournissent des interfaces
orientées métiers et procurent une
visibilité sur l’ensemble du système
d’informations, y compris
sur les comptes non utilisés ou
orphelins, qui peuvent être mis en
évidence.
Les solutions récentes prennent
la problématique du SaaS en considération,
de plus en plus souvent.
On note une volonté de consolider
les informations d’habilitation
des applications internes, des
partenaires, du PaaS et du SaaS.
D’où la présence de connecteurs
> Sign&Go Mobility Center d’Ilex propose
plusieurs schémas d’authentification et un
contrôle d’accès unique aux applications
Web, Android ou IOS
et d’API REST dans ces outils.
Ces points d’entrée facilitent la
récupération de données des
comptes et fournissent les fonctions
d’exportation nécessaires.
L’IAG intervient aussi lorsqu’il
faut couper les droits de l’utilisateur
qui vient de négocier son départ
de l’entreprise ; là encore, la consolidation
des informations s’avère
précieuse. Elle doit inclure, autant
que possible, les habilitations de
tous les services délivrés en mode
SaaS. Les logiciels d’IAM et d’IAG
hébergés dans le Cloud commencent
à percer en France, malgré
les freins de confiance, de localisation
du stockage ou de transferts
de données à l’étranger, avec
des équipes d’administration offshore.
Gérer les identifiants de partenaires
paraît moins sensible. Du
coup, ce suivi semble plus facile
et plus rapide à externaliser auprès
d’un prestataire Cloud : « le modèle
B2B encourage les réflexions sur
l’automatisation des flux du système
d’informations vers une solution
packagée de type IDaaS (Identity
as a Service) ; une formule Cloud
qui évite de gonfler l’infrastructure
en interne, mais dont la couverture
fonctionnelle reste, à ce jour, plus
réduite qu’en interne », conclut
Rémi Fournier. n
SOLUTIONS IT n 50 n Septembre-Octobre 2016
PUBli-iNFo
cyBersécUrité iNdUstrielle
et gestioN des accès aU si :
Faïz DJELLOULI, RSSI chez ENGIE et An
NGUYEN, RSSI adjoint, reviennent sur
l’évolution des problématiques de
cybersécurité dans le secteur de
l’industrie, et dans quelle mesure elles
ont influencé leur décision d’adopter la
WAB Suite, la solution tout-en-un de
gestion des accès à privilèges de WALLIX.
Comme le montrent les études spécialisées et
comme le démontre l’actualité, on constate
une augmentation significative du nombre de
cyberattaques se montrant de plus en plus
complexes, combinant ainsi plusieurs
techniques de piratage comme le « social
engineering » et l’exploitation de failles de
sécurité. Le but étant de porter atteinte à
l’intégrité des organisations visées afin de
satisfaire des motivations aussi variées
qu’éloignées.
La nouveauté, c’est que l’on constate que
depuis quelques années ces attaques
visent désormais aussi les SI Industriels.
En effet, l’Industrie, comme tous les autres
secteurs économiques, se digitalise. Cette
(r)évolution est en marche depuis quelques
années et s’accélère notamment par le biais
d’une standardisation et évolution des
technologies, d’une plus grande connectivité et
de l’utilisation croissante de systèmes
numériques de contrôle commande.
Ces derniers sont aujourd’hui présents au cœur
même des procédés industriels qui peuvent
contrôler des environnements très critiques.
De plus, le SI Industriel nécessite désormais de
transmettre davantage de données vers le SI
de Gestion à des fins d’optimisation de la
performance industrielle, et les Directions
des Opérations Industrielles déploient
de plus en plus de fonctions de pilotage
et de maintenance à distance.
Mais à l’inverse, du fait de contraintes
industrielles spécifiques ou d’une culture et de
modes opératoires industriels en termes de
cybersécurité trop éloignés de ceux du SI de
Gestion, les sites industriels des grands
Groupes s’exposent de plus en plus à ces
potentielles cyberattaques. Par exemple, le
dernier incident majeur en date a entrainé un
black-out de plusieurs heures de toute une
région de l’ouest de l’Ukraine, montrant bien
que le risque est réel et que la nécessité
de rester vigilant et de soutenir les
efforts de sécurisation de nos actifs
industriels est plus que jamais présente.
Faïz Djellouli, Responsable de la Ligne de Service
Cybersécurité Industrielle / RSSI et An NGUYEN,
Adjoint Responsable de la Ligne de Service
Cybersécurité Industrielle / RSSI
Dans ce contexte, la cybersécurité est
aujourd’hui un enjeu prioritaire pour ENGIE
aussi bien dans le monde du Système
d’Information (SI) de Gestion que du SI
Industriel. Ainsi, dans une optique
d’amélioration continue de la cybersécurité de
son SI Industriel, et pour répondre à certaines
exigences liées à la Politique Groupe de
Sécurité des Systèmes de Contrôle Industriel,
ENGIE a décidé de renforcer la sécurité de
ses accès d’administration à privilèges,
pour l’ensemble de ses sites sensibles.
Nous recherchions ainsi une solution
permettant une gestion contrôlée des accès
(workflow de validation, gestion fine des
autorisations, limitation temporelle, etc.), une
imputabilité et une traçabilité forte des
connexions et actions (temps-réel et postintervention),
de réaliser des investigations en
cas d’incidents, de sécuriser l’utilisation et la
gestion des mots de passe des équipements
cibles et d’assurer la sécurisation des flux
d’accès (via une rupture protocolaire).
Nous connaissions déjà, entre autres, WALLIX
pour son produit dont nous avons suivi les
évolutions au fil des années. Cette solution, qui
a dernièrement intégré des changements
substantiels dans sa WAB Suite, répondait
dès lors à l’ensemble de ces critères,
sans compter que la solution est « clé en
main », modulaire, simple à mettre en
place et à utiliser.
Par ailleurs, un certain nombre des actifs
d’ENGIE sont soumis à des réglementations
spécifiques en France en terme de
cybersécurité, et au regard de cela, la
certification CSPN a été un plus dans
notre évaluation.
C’est pour toutes ces raisons que nous
avons ainsi opté pour la WAB.
Auteurs : An NGUYEN et Faïz DJELLOULI
Retrouvez WALLIX aux Assises
de la Sécurité à Monaco,
du 5 au 8 octobre.
Atelier WALLIX le 7 Octobre à 11h :
Comment faciliter l’adoption utilisateur
d’une solution de PAM pour mieux
protéger vos données sensibles ?
Retours d’expériences
www.wallix.com
» SÉCURITÉ » IAM » PAR JULIETTE PAOLI
L’identité
est une faille de sécurité
L’Essec témoigne
L’incapacité de maîtriser « qui a accès à quoi »,
représente un risque considérable de perte de
données et financières. Dans ces conditions, la
sécurité passe par la prévention, et
notamment une bonne gestion des accès et
des identités. L’Essec a mis en place en tel
dispositif avec l’aide du cabinet Synetis et des solutions de l’éditeur RSA.
Compte-rendu de la table ronde animée par Solutions iT
Les usurpations d’identité
sont des maux quotidiens.
Selon le cabinet Forrester,
71% des utilisateurs en entreprise
admettent accéder à des données
auxquelles ils ne devraient pas
accéder. Il y a de plus en plus de
systèmes et services à gérer et de
privilèges d’accès associés à maîtriser
notamment avec une forte mobilité
interne des employés. Il devient alors
difficile de «fournir le bon accès, à
la bonne personne et au bon
moment », pourtant but ultime de
la gestion des identités et des accès.
Essec : 100 000
comptes à gérer !
La dynamique Catherine Croiziers,
directrice des systèmes d’information
de l’Essec, nous rappelle
quelques chiffres, qui permettent
de mettre en perspective les besoins
de la grande école de commerce.
L’Essec, école d’abord catholique
L’Essec utilise
la solution RSA
Avec l’augmentation du shadow IT et la déstructuration
du SI, RSA a adapté ses activités, avec
trois axes de développement : le SOC, la GRC et,
socle de base, l’IAG, la gestion des identités et des
accès. Connue pour son célèbre Token, qui équipe
des millions d’utilisateurs et contrôle l’accès au
poste de travail, RSA est une marque du nouveau
Dell Technologies, issu de Dell et de EMC. n
créée en 1907– on le sait peu –
c’est trois campus : La Défense,
Cergy-Pontoise et Singapour, et
bientôt deux autres au Maroc et
à l’Ile Maurice, 5 000 étudiants
en formation continue, 5 000 autres
en formation professionnelle, 166
professeurs permanents, 800 vacataires
et 600 personnels. 2 000
étudiants diplômés chaque année
ont aussi droit à un compte à vie…
Au final, l’Essec gère 100 000
comptes, 7 annuaires différents,
300-400 applications, des applications
« industrielles » (finances,
SIRH…) aux outils Cloud, SaaS,
etc. Autant de problématiques de
droits d’accès, de gestion des entrées
et des sorties… que la DSI a pris
à bras le corps à son arrivée il y a
1 an et demi. Après avoir renoncé
à l’impossible mission de réunir
rapidement les 7 annuaires en 1
seul – « Il fallait s’entourer de
pro » – l’Essec a cherché l’outil
qui saurait s’adapter à son cahier
des charges, et un fournisseur travaillant
en mode agile. Les experts
des trois sociétés présélectionnées
ont dû répondre à toutes les questions
de l’équipe (une vingtaine !)
lors de leur « pitch » respectif. Le
cabinet conseil en sécurité, systèmes
d’information et management
Synetis est choisi, à l’unanimité,
notamment pour sa méthode agile.
Éric Derouet, son co-fondateur
qui s’occupe de la direction commerciale,
choisit parmi d’autres solutions
celle de RSA. « Cette solution
s’est avérée la plus pérenne
dans le cadre de notre contexte »,
précise Catherine Croiziers.
RSA et Synetis à l’essai
avec un POC
« Nous avons d’abord fait un POC
(Proof of Concept) de deux mois,
qui nous a permis de faire une sorte
d’audit de départ sur nos données
et de remonter toutes nos problématiques
liées. Cela a été une réussite
et nous a mis en confiance.
Nous avons signé, parce que nous
avons vu d’abord. », précise-t-elle,
comme aurait dit Saint Thomas.
« L’Essec souhaitait une solution
orientée utilisateurs.
Jusqu’à présent le
marché proposait des
solutions sur lesquelles
il fallait faire
énormément de développement
afin de
pouvoir répondre aux
différentes attentes.
Le client devait
s’adapter au produit.
Avec une solution comme RSA Via,
c’est l’inverse : la solution se plie
aux attentes du client. Le POC de
deux mois a été très complet sur
une volumétrie relativement fournie,
et RSA a dû développer un
connecteur Google qui n’existait
pas en l’espace de deux semaines »,
explique Éric Derouet.
En cours de déploiement, le projet
s’attaque maintenant aux métiers.
Un projet « cadencé », selon Catherine
Croiziers, « pour qu’il ne dérive
pas dans le temps. »
« On est en train de dessiner les
processus RH, d’entrées et de sorties,
qui sont très complexes, avec beaucoup
de mouvements en interne,
avec la gestion des vacataires et
des étudiants. Des processus qui
diffèrent selon les populations… ».
L’Essec est donc en train de valider
des workflows de validation, de
l’accès d’un ordinateur à celui de
la cantine… avec un prestataire
et un éditeur qui ont fait leurs
preuves. n
> Catherine Croiziers
SOLUTIONS IT n 52 n Septembre-Octobre 2016
» INFRA » CLOUD » PAR OLIVIER BOUZEREAU
Faut-il passer
ou pas au dernier
OpenStack ?
Les avancées récentes du Cloud open source lèvent plusieurs réticences
quant à son adoption. La configuration, l’administration et
les migrations du socle libre deviennent un peu plus simples.
OpenStack fournit un ensemble
de logiciels open source
permettant à toute entreprise
de déployer une infrastructure
Cloud complète, un nuage à la
pointe de l’innovation adossé à des
équipements standards. Agé de six
ans, l’environnement libre entre
dans sa treizième version, baptisée
Mitaka. Les efforts de la communauté
menés sur les composants et
la documentation de la dernière
version Mitaka remédient tour à
tour aux critiques d’implémentation,
de migration et d’intégration
à l’existant encore délicates.
Toutes les charges applicatives
nécessitant des calculs, du stockage
et des fonctions réseaux peuvent
théoriquement bénéficier d’OpenStack.
On note cependant quatre
principaux cas d’usage: le Cloud
privé d’entreprise (eBay, SAP,
Walmart), le Cloud public (Deutsche
Telekom, Orange/Cloudwatt,
OVH), l’infrastructure d’opérateur
(AT&T, Swisscom, Verizon),
la recherche et le Big Data (CERN,
MIT, Université de Cambridge).
« La moitié des cent premières entreprises
mondiales retiennent Open-
Stack. Et 65% des déploiements actuels
concernent des applications en production
; c’est un résultat en forte hausse,
de 33% depuis un an », apprécie
Jonathan Bryce, Executive Director
de la fondation OpenStack.
On attend fin 2016
Les acheteurs d’infrastructure Cloud
privé préfèrant souvent attendre
deux à trois trimestres avant d’investir,
OpenStack Mitaka ne devrait
rejoindre les datacenters d’entreprise
qu’à compter de la fin 2016.
« Le problème fondamental de nos
clients consiste à savoir comment
aller vers OpenStack, confirme Julien
Niedergang, ingénieur système chez
Suse France. Nous leur recommandons
de créer une nouvelle île dans
leur datacenter pour y positionner
des services de type Cloud privé.
Construire à côté de l’existant, c’est
OpenStack Mitaka
Quelques 2336 développeurs issus de 300
organisations ont contribué au successeur
de la version Liberty, OpenStack Mitaka. Ils
ont produit près de 200 nouvelles fonctions
taillées pour l’entreprise et le prestataire de
services Cloud. Globalement, la configuration,
l’administration et l’évolutivité des logiciels
d’infrastructure OpenStack progressent.
Les efforts de documentation portent
sur les SDK et de nouveaux didacticiels
apparaissent pour convaincre les développeurs
d’applications et les administrateurs
encore hésitants. Un module OpenStack-
Client simplifie la création de ressources
Cloud sans avoir à connaître les subtilités
des API de chaque composant. La gestion
des snapshots rejoint Cinder, le module
dédié au stockage en mode bloc. Le composant
d’orchestration Heat gagne en performances.
Les mises à niveau deviennent
possibles sans interrompre la production
tandis que les configurations sont désormais
assistées, pour Nova (traitements)
comme pour Neutron (réseau). n
la meilleure façon d’obtenir plus vite
les bénéfices de services agiles. »
Pour concrétiser cette approche,
Suse fonde son offre OpenStack
Cloud sur la stabilité de la release
Liberty, l’éditeur assumant le fait
de sauter une version pour gérer
son propre cycle de migrations.
« Dans le domaine de l’industrie,
nous venons de déployer un environnement
PaaS complet en quatre jours
pour répondre au besoin de conception
de logiciels clients. Le frein à
l’adoption d’OpenStack était, jusquelà,
le passage aux versions majeures.
Avec Liberty, nous offrons la capacité
de gérer le patching continu
pour passer, sans rupture, d’une version
majeure à une autre. »
Suse imbrique à l’offre IaaS open
source, la haute disponibilité de
l’hôte et le PaaS Cloud Foundry de
Pivotal ; il peut ainsi se rapprocher
des projets de développements d’applications
Cloud et accélérer les
déploiements d’infrastructures sousjacentes.
Outre-Rhin, BMW a retenu
ce Cloud open source, mais le groupe
Volkswagen vient d’opter pour la
distribution de Mirantis rivale de
celles de Suse et de Red Hat. n
SOLUTIONS IT n 54 n Septembre-Octobre 2016
» APPLIS » CLOUD
Partenariat SAP/HPE
La suite S/4HANA déployée sur
change la donne
Grâce au soutien du cloud Helion d’HPE, l’éditeur SAP redéfinit en profondeur les fondamentaux
de la gestion d’entreprise autour de services et de processus standards, délivrés à la demande.
La suite de logiciels S/4HANA de SAP est une
Business Suite de dernière génération, simple
d’exploitation, adaptée à l’économie numérique.
Conçue pour la plateforme informatique SAP HANA inmemory,
elle fournit une vision instantanée de
l’entreprise et contribue à augmenter sa valeur.
La suite de SAP apporte une expérience utilisateur
personnalisée, quel que soit le terminal,
avec une connexion, en temps réel, aux
réseaux économiques et sociaux, aux données
massives et aux objets connectés à Internet.
Les services Helion MCS (Managed Cloud
Services) sont opérés par Hewlett Packard
Enterprise. Ils délivrent des ressources à la demande
pour bâtir puis tester les applications professionnelles. Ils
s’adaptent aux pics de trafic des nouveaux services applicatifs,
qu’ils aident à déployer plus vite. En combinant
leurs moyens, HPE et SAP accélèrent la transition numérique
des clients. Ils procurent des bénéfices rapidement,
sans perturber les processus cruciaux pour les métiers.
Avec le programme commun SHAPE, les dernières avancées
de la suite S/4HANA de SAP reposent sur un socle
novateur, Helion Managed Cloud d’HPE. Cette combinaison
apporte aux clients plusieurs gains technologiques
et économiques.
Simplifier la collaboration – via des connexions en
temps réel entre professionnels, terminaux et réseaux
Avec S/4HANA, SAP mène la simplification au travers
de tous les domaines pertinents du traitements des données,
Les points clés de l’offre Shape
HPE et SAP présentent le programme Shape conçu pour accélérer
la transformation digitale de leurs clients communs.
Shape délivre des services innovants grâce à un ensemble d’outils et
d’automatismes avancés, d’expertises sur site et à distance offrant
une transition accélérée, en deux étapes, baptisée Lift & Shift.
Shape fournit une alternative rapide et économique aux migrations
cloud habituelles, composées de mises à niveau en cascade.
Délivrée par HPE, la suite S/4HANA de SAP est prête à l’emploi sur
une infrastructure cloud à l’état de l’art, opérée suivant un modèle
DevOPs. n
du développement d’applications et de l’administration
jusqu’aux couches dédiées aux processus métiers et à
l’expérience des utilisateurs.
Accélérer les décisions économiques avec
Advanced Analytics
La simplification apporte des analyses aux
traitements transactionnels. Les utilisateurs
SAP bénéficient d’analyses avancées pour
une prise de décision plus rapide et une agilité
sans précédent. Ils peuvent combiner plusieurs
analyses au-dessus des processus transactionnels.
Finis les délais nécessaires au rapprochement
des données de sources distinctes.
Déployer des applications modernes, associant
mobilité et big data
SAP HANA se connecte dorénavant aux jeux de données
non structurées et aux données massives du big data
comme les communications machine-to-machine de la
maintenance ou les données commerciales et marketing.
HPE et SAP offrent la plateforme et la souplesse d’utiliser
tous types de données, partout, et à tout moment,
d’où qu’elles viennent. Cela ouvre de nouveaux horizons
aux clients comme l’analyse prédictive en temps réel.
Optimiser les paysages cloud hybride, exploiter
DevOps et la production préventive
Le cloud privé virtuel HPE Helion Virtual Private Cloud
(VPC) a été conçu spécifiquement pour soutenir la suite
SAP HANA. Les clients peuvent faire confiance à ses
fondations évolutives et à sa disponibilité continue.
Repenser l’expérience utilisateur et la collaboration
entre professionnels
Les utilisateurs accèdent au système à partir d’une grande
variété de terminaux tout en bénéficiant d’une expérience
utilisateur à la pointe grâce à SAP Fiori et au langage
HTML5. La suite S/4HANA et le cloud Helion procurent
aussi une puissance d’intégration pouvant relier les réseaux
d’affaires de SAP tels Ariba Network, Concur Solutions et
Fieldglass Solutions. Il s’agit de faire les choses différemment
et aussi de les montrer d’une façon nouvelle.
SOLUTIONS IT n 56 n septembre - octobre 2016
le cloud Helion
Avec S/4HANA sur Helion, l’ambition de SAP et d’HPE
consiste à procurer de meilleurs résultats, avec plus d’agilité
et de flexibilité, en maîtrisant les coûts via la simplification,
l’optimisation et l’automatisation.
L’approche Shape
Le programme Shape délivre des solutions pré-packagées,
suivant un assemblage-à-la-commande, dès le stade
L’écosystème SAP & HPE
s’expose à Nancy
Les 12 et 13 octobre 2016 à Nancy, la convention USF
donne la parole aux clients de SAP et de HPE. Le groupe
Vinci y évoque les bénéfices de sa migration vers S/4
Hana. De prestigieux conférenciers tracent les enjeux du
big data, du cloud, de l'intelligence artificielle ou de la
performance collective. Les sessions Design Thinking
permettent aux 2 000 visiteurs professionnels d’orienter le
développement des produits et solutions SAP tandis que
quelques 70 ateliers les aident à mieux préparer leurs
projets de migration ou de déploiement sur une plateforme
mutualisée ou dédiée. n
Le programme d’USF 2016 est consultable en ligne :
http://www.usf.fr/les-conferences-convention-usf-2016.php
Rédaction sponsorisée
« Les appliances S/4HANA, les fonctions d’administration du
stockage et des réseaux sont délivrées en tant que services
opérés globalement par HPE. » Hakim Abbas, HPE France
de la conception. Il garantit de créer de la valeur au plus
vite, en simplifiant la solution et en réduisant les risques.
L’approche A2O (Assemble-to-Order) combine plusieurs
solutions de déploiement rapide (SAP RDS) et des services
d’ingénierie pour implémenter un seul et même projet.
RDS de SAP. Ces packages RDS viennent se greffer à
l’ERP Foundation Extension de SAP.
La même démarche permet de faire évoluer la plateforme,
pour obtenir une supervision de bout-en-bout de la solution
globale et de ses usages.
Face aux approches de migration cloud traditionnelles,
composées de mises à niveau en cascade, Shape forme
une alternative rapide et économique. L’assemblage-à-lacommande
permet toujours d’ajouter des fonctions complémentaires
ou de modifier le code, mais un tel projet passe
par une plateforme distincte. La méthode à suivre passe
par une analyse de la plateforme visant à simplifier son
évolution en deux étapes, Lift & Shift, à partir de fondations
standards.
L’ingénierie agile fait l’objet d’une grande attention. L’offre
SAP Activate permet de suivre un processus itératif, d’affiner
les exigences et les fonctions personnalisées qui doivent
subsister après la transition. Elles seront mises en place à
l’aide de processus parallèles permis par le gestionnaire
SAP Solution Manager, véritable pivot de la migration. n
La mise en production via le programme Shape délivre
rapidement des services innovants, à base d’outils et
d’automatismes avancés, de ressources sur site et d’expertises
à distance facilitant ce modèle d’évolution en
deux étapes. En exploitant les services éprouvés d’HPE
et des méthodologies telles qu’AT2C (Applications
Transformation to Cloud), les applications peuvent
basculer vers le cloud à un rythme soutenu.
Première étape, on s’appuie sur une solution standard à
laquelle on ajoute non seulement une pile d’applications
mais également une plateforme complète, adaptable aux
besoins. Par exemple, on peut déployer une nouvelle
couche d’intégration en exploitant le middleware Tibco
(ou JBoss) afin d’exploiter plusieurs types de cloud
simultanément.
On peut ajouter également des facultés issues du framework
Hadoop. Il existe plusieurs extensions au niveau de
la couche d’applications convenant au déploiement rapide
SOLUTIONS IT n 57 n septembre - octobre 2016
» APPLIS
» ERP » PAR JULIETTE PAOLI
Cloud, mobilité, prédictif…
se réinvente
L’avenir de l’ERP semble aujourd’hui multiple, dans sa
forme comme dans son fond. Voici quelques pistes
d’enjeux à l’heure où les éditeurs le réinventent.
«
L’ERP est sur le déclin », soutient
Tien Tzuo, CEO et fondateur
de Zuora, éditeur d’applications
> Tien Tzuo
SaaS financières,
commerciales et de
facturation. « C’est difficile
d’y croire mais il
n’y a pas si longtemps,
l’ERP était tendance.
Dans les années 90 –
avec le bug de l’an 2000
à l’horizon – les sociétés
ont remplacé leur
système de back-office
par les nouvelles suites d’Enterprise
Resource Planning (ERP)
ou progiciel de gestion intégrée,
dont l’objectif était de créer une
sorte de solution unique pour gérer
la paie, la facturation, les RH, la
> Magic Quadrant de Gartner pour le
midmarket
logistique, la supply chain, le Grand
livre comptable et bien d’autres choses
encore. Oracle s’est d’ailleurs fait
une fortune dans la vente de base
de données. » Tien Tzuo met, lui,
en avant les solutions Cloud dédiées
à une seule tâche : « Du service
client au calcul des frais, en passant
par les prévisions et la facturation,
de plus en plus d’entreprises ont
recours à des fournisseurs de Saas
“plug and play” qui mettent toute
leur énergie à effectuer une seule
fonction, parfaitement. »
Quels enjeux majeurs
aujourd’hui ?
A l'ère du Cloud et du SaaS, ce
questionnement sur le rôle et le
devenir des ERP est devenue récurrent
dans la presse et les conférences
IT, jusqu'à la keynote inaugurale
du Salon Solution ERP le
20 septembre, portant ce titre :
« Non, l’appellation ERP n’est
pas désuète ! Voici pourquoi »
Alors, faut-il prévoir un déclassement
rapide et définitif de l’ERP ?
Pour Robin Pirez, Directeur communication
et marketing digital chez
archipelia, « nous n’échappons pas
à ce questionnement : certes, la
suite archipelia est bâtie autour
d’un ERP innovant et reconnu, mais
elle est surtout largement ouverte
aux services connectés et riches de
modules complémentaires, du CRM
au SCM en passant par les solu-
tions de ventes omnicanal et la mobilité
ou la BI, etc. Du coup, on pourrait
penser que le rôle de l’ERP
s’en trouverait amoindri, dilué au
sein du SI. Voire anecdotique. C’est
tout l’inverse ! L’ERP est plus que
jamais indispensable ! En fait, sans
un ERP puissant et rapide comme
celui d’archipelia et sa base de
données synchronisée en temps réel,
la suite archipelia ne serait qu’une
juxtaposition de services SaaS.
Avec archipelia, le SI s’appuie sur
un ERP multi-vertical, offrant un
périmètre horizontal particulièrement
large et adapté au business
3.0 tandis que les métiers peuvent
bénéficier de toute la profondeur
verticale nécessaire pour améliorer
la relation client ou optimiser les
flux, par exemple. »
TVH Consulting est une ESN
experte dans l’intégration des ERP
SAP, Microsoft Dynamics et Sage,
et qui opère sur des projets
complexes à volumétrie importante
et plutôt dans un contexte
international. Son Directeur général
Ahmed Mahcer distingue 4 objectifs
majeurs pour l’entreprise,
aujourd’hui, autour de l’ERP.
D’abord la stratégie de distribution
autour de l’omnicanal. « L’enjeu
majeur depuis 2 à 4 ans c’est la diversification
des canaux de distribution.
D’une stratégie multicanal, on
passe à une stratégie omnicanal.
Avec un socle ERP puissant, up to
« Ce qui fait le succès ou l’échec d’un projet ERP, c’est rarement
la solution, mais souvent l’intégrateur. » Ahmed Mahcer, TVH Consulting
SOLUTIONS IT n 58 n Septembre-Octobre 2016
date, vous êtes en mesure de pouvoir gérer toute la logistique
et toute la partie commande pour pouvoir répondre
à ces différents canaux de distribution : e-commerce,
m-commerce, points de vente traditionnels… ».
Vincent Laurain, Directeur stratégie produits, Directeur
qualité & méthodes chez Divalto, dont la solution
générique s’adapte aux besoins métiers via le
savoir-faire des partenaires (dans le monde du vin ou
des travaux et maintenance par exemple), voit également
des demandes sur « la problématique crosschanel,
et la gestion des informations produits : mise
en avant des produits, suivi du client, proposition
produits complémentaires, etc. »
L’analyse prédictive, de son côté, est « indispensable
aujourd’hui pour « Identifier les habitudes de consommation
et les futurs besoins du consommateur, afin
d’innover autour des différents produits », soutient
Ahmed Mahcer. S/4HANA, que TVH Consulting a
déjà installé auprès de 3 clients, est
« une belle solution » qui apporte des
nouveautés importantes pour tout ce
qui touche à la base de données, à
l’analyse prédictive, « à la notion de
in-memory qui permet des temps de
réponses extrêmement rapides ». Lire
page 64 l’interview de Claude Molly-
Mitton, Président de l’USF, l’association
francophone des utilisateurs SAP.
> Vincent Laurain
Pour la stratégie de marketing digital,
« Là aussi, il faut une base de données solide et des
informations fiables », indique Ahmed Mahcer.
Enfin, pour l’implémentation à l’international,
l’ERP répond bien évidemment à la « nécessité
d’avoir des référentiels uniques et communs », ajoutet-il.
TVH Consulting a par exemple installé Dynamics
AX sur l’ensemble des filiales Pierre Fabre.
L’ERP, bénéfique pour une
implémentation à l’international
Une étude d’Opinion Way menée pour Sage, auprès
des PME françaises sur leur stratégie à l’international
montre que celles qui sont déjà internationalisées
sont équipées d’un ERP à 59 %. Elles le jugent
bénéfique (61 % pour ces stratégies internationales)
et le recommanderaient dans une très large majorité
(90 %) aux PME qui s’apprêtent à franchir le pas.
Face aux pressions qu’engendrent ces changements
sur leur environnement, les entreprises industrielles
ont la nécessité absolue d’améliorer leur productivité,
mais également d’innover pour rester compétitives.
Le système d’information et en son cœur les
solutions de gestion, en constituent les leviers majeurs.
La mise en œuvre d’un ERP constitue une opportunité
pour rationaliser les outils et, au-delà des impératifs
opérationnels, d’accompagner les entreprises
dans de nouvelles stratégies. La mise à jour en temps
réel de l’information (85 %), la sécurisation du
stockage et de l’accès aux données (84 %), le fait de
>
SOLUTIONS IT n 59 n Septembre-Octobre 2016
» APPLIS » ERP
>
> Isabelle Saint-Martin
disposer d’une solution tout-enun
(83 %) ou encore le contrôle à
distance de l’ensemble des sites
(80 %), figurent en bonne place
dans le top des avantages reconnus
aux ERP. A compléter par l’harmonisation
des processus, l’application
des procédures standardisées,
l’homogénéisation des normes
de qualité, la gestion automatisée
des langues et devises…
« Les contraintes, multiples,
conjuguées à une
nécessaire flexibilité,
conduisent les PME à
des choix drastiques
concernant les solutions
», explique Isabelle
Saint-Martin. « Cellesci
doivent proposer un
champ étendu d’aptitudes
exploitant à bon
escient les technologies internet,
décisionnelles et mobiles ; elles
doivent être simples d’utilisation,
d’appropriation, d’administration ;
enfin, elles doivent être rapides à
déployer, économiques et évolutives.
Pour adopter le schéma le
plus adapté à son contexte, l’entreprise
doit également
jouir d’une liberté de choix
concernant l’exploitation
de la solution (déployée
sur site, hébergée ou en
tant que service dans le
Cloud) ainsi que la révision
de ce choix pour le
futur, en fonction de son
évolution », conclut Isabelle
Saint-Martin, Chef de
marché ERP chez Sage
La fin de l’ERP
monolithique ?
En novembre 2014 déjà,
Gartner indiquait dans
un rapport nommé « Les
DSI devraient évaluer des
options ERP Cloud tout
en conservant des stratégies
ERP post modernes »,
que la suite ERP traditionnelle
allait être remplacée par
un environnement ERP plus homogène,
« l’ERP post-moderne » avec
l’essentiel, voire la totalité des
fonctionnalités ERP requises disponibles
dans le Cloud.
Depuis, les offres se sont multipliées.
Parmi les plus récentes,
l’éditeur Axelor décline son ERP
open source dans une nouvelle
édition à destination des petites
entreprises, et entièrement Cloud :
Axelor My Business. Le but :
permettre aux TPE d’accéder aux
fonctionnalités d’un ERP, logiciel
souvent inaccessible pour elles,
dans une édition simple et ergonomique.
Contrairement aux solutions
de gestion classiques, « aucun
investissement, aucune installation
ni aucune formation n’est nécessaire
», soutient l’éditeur. Le logiciel,
qui reste open source, est
proposé à 25 € par mois/utilisateur.
L’utilisateur peut le télécharger
et l’exploiter ensuite, avec
le code source, sans redevances
(lire notre encadré).
Un bouquet de services
chez Cegid
> Lancement de Axelor My Business : ERP open source en
SaaS, avec une option CRM
En septembre, à l’occasion du salon Solutions, Axelor lance une édition de
son ERP pour les petites entreprises (TPE/ petites PME), « Axelor My
Business », proposée en SaaS à 25€ par mois/utilisateur.
Cegid a, lui, complété son ERP
Yourcegid Y2 On Demand.
Bouquet de services Cloud intégrés,
il couvre l’ensemble des besoins
de gestion des PME (comptabilité,
paie, fiscalité) et propose dorénavant
la gestion commerciale
(Yourcegid Trade Y2 On Demand)
et la gestion d’affaires (Yourcegid
Services Y2 On Demand). Deux
nouveaux domaines de l’ERP en
SaaS, qui « permettent aux prestataires
de service, bureaux d’études
et acteurs du négoce, de gérer leur
activité au quotidien grâce à une
vision 360° des métiers de l’entreprise
», indique l’éditeur.
Chez Nout, on a repensé l’interface
Web du nouvel ERP SIMAX
11, en utilisant le nouveau framework
Symfony pour une ergonomie
épurée et un grand confort d’utilisation,
promet l’éditeur.
Unit4 Business World On ! de
Unit4, qui permet à chacun de
créer son propre environnement,
de choisir sa façon de travailler
en automatisant des tâches répétitives
à faible valeur ajoutée, peut
être déployé dans le Cloud public,
le Cloud privé ou sur site. Une
approche que l’éditeur met en avant
et nomme « Cloud Your Way ».
Chez Sage, dans le cadre d’une
nouvelle mise à jour (Update 10)
disponible dans le Cloud, Sage
X3 s’enrichit, « avec une adéquation
renforcée de la plate-forme
applicative aux exigences du Cloud,
un usage mobile et web facilité (nouvelle
interface utilisateur mobile
intégrant les apports
de Windows 10, améliorations
de la navigation,
intégration
de Microsoft Office
2016, etc.) ». Au-delà,
Sage X3 s’enrichit
d’une couverture
fonctionnelle étendue
pour les secteurs
de la distribution, de
l’industrie et le domaine
de la gestion
financière, ou encore
« d’un nouveau module
e-commerce, développé
dans le cadre
d’un partenariat
fort avec XM Development,
fournisseur
de solutions d’e-commerce
mobiles, indique
Isabelle Saint Martin,
un service activable en complément
de l’ERP ». En matière
de reporting et de décisionnel, la
nouvelle version (7.2) de la solution
de Business Intelligence (BI),
issue d’un partenariat
>
SOLUTIONS IT n 60 n Septembre-Octobre 2016
» APPLIS » ERP
>
> Wilfrid Guerit
> À consulter sur notre site
solutions-numeriques.com,
le livre blanc Solutions IT/Qualiac sur
les centres de services partagés et
l’ERP. Rendez-vous dans la rubrique
Livres Blancs
industriel avec Tangerine Software,
est intégrée à la nouvelle
version de Sage X3.
Proginov, qui édite une suite applicative
qui s’articule autour de la
gestion commerciale et industrielle,
la comptabilité et finance, la paye
et RH : pour les secteurs variés
(négoce, industrie, agroalimentaire,
distribution et logistique,
BTP, menuiserie et bois brut, textile
et automobile, points de vente et
e-commerce, santé) met en avant
parmi les principales nouveautés
de sa nouvelle version 5.0 le design
et l’ergonomie avec un nouveau
portail d’hébergement Cloud.
Changement de
paradigme pour
Microsoft Dynamics
Microsoft a sorti en
mars dernier pour les
ETI et PME son ERP
Dynamics AX en mode
Cloud (AX7), « avec
un changement complet
de l’ergonomie de la
solution, très moderne »,
indique Wilfrid Guerit,
Microsoft Business
Solution Director chez
Microsoft, assortie de diverses
« innovations ». Et de donner en
premier exemple, la réalisation de
tutoriels : on peut enregistrer une
suite d’opérations dans l’ERP, en
pas à pas, et envoyer le tout à un
utilisateur, pour lui indiquer une
procédure à suivre. Second
exemple : la BI, avec des tableaux
de bord complètement intégrés
dans l’ERP.
Enfin, impossible de passer à côté
de Microsoft Dynamics 365, lancé
sous peu (en octobre, début novembre)
et qui intègrera les fonctions
de Dynamics CRM et des
offres ERP Dynamics au sein d’une
solution Cloud unique, disponible
depuis la plateforme Microsoft
Azure. Sur mesure pour chaque
organisation et chaque secteur,
cette nouvelle offre permet de bénéficier
d’une solution incluant la
gestion des ventes, la relation clients,
les opérations, le marketing ou encore
la gestion financière. « On
aura une offre Dynamics 365 en
dessous de 250 utilisateurs (offre
Entreprise) qui s’appuie sur le CRM
et Dynamics AX. L’offre au-dessus
de 250, s’appuiera sur Nav, en mode
full Cloud ou hybride en fonction
des besoins des clients (offre Business)
», précise Wilfrid Guerit.
> Dynamics AX dans le Cloud
Une offre complétée par un app
store nommé AppSource, une
marketplace sur laquelle l’éditeur,
ses partenaires et plus généralement
les éditeurs pourront
proposer des applications métiers
complémentaires. En preview,
250 apps métiers sont disponibles
en SaaS (lire notre article
sur la stratégie de Microsoft page
12). Wilfrid Guérit résume ainsi
la philosophie : « une intégration
beaucoup plus forte entre toutes
nos solutions mais aussi avec
les solutions tierces du marché. »
Cloud, mais aussi mobilité, BI,
Big Data, Analytics… l’ERP se
réinvente et s’adapte. Chez Infor,
la toute nouvelle solution Infor
Mobility for Field Service (MFS),
v15.1.0, permet d’accéder à l’ERP
Infor M3 au moyen d’un terminal
mobile. Divalto adapte sa solution
pour un accès par les collaborateurs
à l’information professionnelle
en situation de mobilité:
on pense aux commerciaux bien
entendu (gestion des commandes,
présentation de produits, etc.),
mais aussi à la mobilité interne,
sur des fonctions de logistique, de
contrôle qualité, de production,
de maintenance…
Proginov continue de son côté à
développer son offre mobile, en
WMS (système de gestion d'entrepôts),
en magasin, avec l’encaissement
grâce à la tablette, dans les
ateliers avec la gestion du SAV et
pour les commerciaux avec l’application
force de vente.Dynamics
365 offre, lui, à la fois des interactions
en profondeur avec Office
365, et avec les outils d’analyses
prédictives et de data-visualisation
de l’éditeur (Power BI et Cortana
Intelligence), le tout construit sur
une plateforme et un modèle de
données communs. Avec Dynamics
365, on peut depuis Outlook,
par exemple, obtenir des infos sur
un prix – pour l’envoyer à un client
– issu d’autres applications, et cela
sans sortir de la messagerie, mettre
à jour ce prix dans ces mêmes applications,
toujours en restant dans
la messagerie. n
SOLUTIONS IT n 62 n Septembre-Octobre 2016
» APPLIS » ERP » PAR JULIETTE PAOLI
SAP S/4HANA
Impact métiers et financiers: les entreprises s’interrogent
Alors que l’USF donne rendez-vous à la communauté SAP à sa
Convention annuelle les 12 et 13 octobre à Nancy, retour avec le
président de l’association des utilisateurs SAP francophones sur
les résultats de la première enquête française menée sur SAP
S/4HANA, la nouvelle solution ERP de l’éditeur allemand.
l Solutions IT : Pourquoi avoir mené
cette enquête après d’autres
Clubs SAP ?
Claude Molly-Mitton : Beaucoup
de Clubs SAP l’ont réalisée avant
nous l’année dernière, notamment en
Europe et ailleurs. Je ne souhaitais
pas de mon côté la faire
trop tôt, avant que les membres
de l’USF aient un niveau de
connaissances du sujet suffisant
pour pouvoir s’exprimer.
Preuve en est, compte-tenu
des résultats, que l’on est encore
malgré tout en large déficit du
niveau d’informations attendu sur le
sujet, en tout cas sur certains aspects.
l Les résultats diffèrent-ils ?
Globalement non, pas de différences
majeures, mais avec cet important
bémol : les enquêtes ont été réalisées
avec 1 an d’écart…
l Quelle est l’attitude des clients par
rapport à S/4HANA ?
La stratégie d’innovation est plutôt
bien perçue, voire très bien perçue. Bon
produit, bonne stratégie. Mais ce n’est
pas suffisant pour dire "on va y aller".
Le client doit y trouver un intérêt en
termes de gains, d’amélioration des
processus, de retours sur investissement.
Il n’y a pas de débat sur l’aspect
technique, le sujet est en amont, métier.
Du côté stratégique, cela veut dire une
meilleure compréhension des fonctionnalités,
des apports métiers, des gains.
Sur l’aspect finances, cela signifie une
meilleure connaissance sur les conséquences
en termes de licences – il y a
encore trop de flou par rapport à cela.
Au-delà des licences, quel effort financier
global (conduite du changement,
formation, intégration) va-t-il falloir
fournir pour quels gains ? Faut-il migrer
? La réponse n’est certainement
pas « oui » sur tout, en tout cas pour
l’instant, mais elle peut l'être sur tel ou
tel processus. Cela dépend du secteur
d’activité, des processus implémentés,
de l’ancienneté du SI SAP et de la
stratégie d’entreprise.
l Quel âge ont les SI SAP chez les
clients ?
12,3 ans, en moyenne, chez ceux qui
ont répondu à l’enquête, c’est-à-dire
les membres de l’USF. En 2014, ce
chiffre était de 11,5. Je pense que
l’on n’est pas très éloigné de la base
des clients SAP.
l Quelle intention de mise en œuvre
de S/4HANA ?
En gros, un petit tiers (28 %) est prêt
à mettre en œuvre S/4HANA dès 2018.
Cela ne signifie pas que tout va migrer
sous S/4HANA. Ce n’est souvent qu’un
ou quelques processus. 34 % affirment
qu’ils iront plus tard et 38 %, soit un
gros tiers, ne le prévoient pas. Soit ils
ne se sont pas posé la question parce
qu’ils viennent d’investir, soit ils n’y
voient pas d’intérêt par rapport à leur
contexte… Evidemment, dans le temps,
ces chiffres vont évoluer. Combien vat-il
en rester à la fin ?
l Que dire de la relation commerciale
de SAP avec ses clients ?
Plus que jamais, on a besoin d’un
SAP France perçu comme un partenaire
stratégique qui aide les entreprises
à réfléchir en quoi ses produits,
et S/4HANA en tout premier, peuvent
soutenir la stratégie métier globale
de l’entreprise. Et pas d’une société
uniquement focalisée sur la vente
de licences et les audits. On a besoin
d’un apaisement de la relation
commerciale des deux côtés. Les
clients pour avancer dans une relation
plus stratégique avec l’éditeur.
SAP France pour prendre l’opportunité
du train S/4HANA.
l Quelle conclusion, en synthèse,
de cette enquête ?
Il n’y a pas de rejet de S/4HANA.
L’a priori est favorable sur la solution,
mais on note qu’il n’y a pas de
précipitation, faute de suffisamment
d’informations et surtout de mieux
maîtriser les impacts métiers et financiers
- même si une partie non négligeable
des clients semblent intéressée
pour franchir au moins partiellement
le pas. Mais attention, SAP doit
continuer cependant les évolutions
sur l’ERP actuel (ECC6), dues au
titre de la maintenance, et nécessaires
pour les clients ayant un parc
SAP ERP installé et qui ne migrent
pas pour l’instant sous S/4HANA.n
L’étude sur SAP S/4HANA en 4 chiffres marquants
L’enquête sur SAP S/4HANA s’inscrit dans le cadre plus large de la seconde étude sur la satisfaction
des clients SAP, réalisée par TNS Sofres.
- 72% des répondants pensent que S/4HANA
témoigne du caractère visionnaire de la stratégie
de SAP. 59% pensent que la stratégie déployée
par SAP est adaptée au marché.
- 90% estiment ne pas disposer d’informations
suffisantes sur le modèle de licences et les droits
d’usage de SAP S/4HANA. Plus de la moitié considèrent
même ce niveau d’information comme
mauvais.
- Impacts métiers et sur les processus et l’organisation
de SAP S4/HANA : 78% d’insatisfaits. n
SOLUTIONS IT n 64 n Septembre-Octobre 2016
» APPLIS » ERP » PAR SOPHIE MARTIN
Partage d’expérience
MediaGroup centralise
toutes ses activités
sur un ERP unique
L’industriel français, spécialisé dans l’injection
thermoplastique, s’est décidé avec l’ajout de
l’activité de tuiles Akro-Toit de créer un véritable
système d’information autour d’une solution
ERP unique.
> Usine MediaGroup
Word, Excel, Outlook, un outil de
gestion de production (GPAO)
vieillissant tout comme le logiciel
de comptabilité… tels étaient les
seuls applicatifs qu’exploitait jusqu’en
2011 MediaGroup, une entreprise bourguignonne
spécialisée dans l’injection
thermoplastique. Créée en 2002, cette
PMI familiale située à Fontaines (71)
est présidée par Michel Durand, qui a
confié à ses deux fils la direction générale
: Maxime, pour la
partie commerciale et
Camille, responsable
de la production. Avec
un chiffre d’affaires 2015
de 2,3 millions d’euros
et un portefeuille de près
de 200 clients répartis
en France et à l’international,
il devenait urgent
pour cette industrie
de passer à la vitesse supérieure.
« La modernisation de notre informatique
était d’autant plus pressante que
nous avons une vingtaine de partenariats
importants comme celui avec JC
Decaux pour la réalisation des pièces
des Velib’ et tous les vélos en libre-service
et surtout, depuis 2005, nous avons
développé une nouvelle activité avec
l’injection d’un système de toiture sous
la marque Akro-Toit (Tuile en ABS – un
matériau composite) », explique Maxime
Durand.
Le procédé d’injection thermoplastique
est le même pour l’ensemble des produits
y compris pour les tuiles en terre cuite
dont certaines sont photovoltaïques à
destination des entreprises, des artisans
et des particuliers. Une activité
récente qui représente à ce jour environ
> Maxime Durand
20 % du chiffre d’affaires, et que Maxime
aimerait voir progresser rapidement.
Mais pour cela, encore faut-il disposer
d’outils d’optimisation des process.
GPAO, gestion
commerciale et relation
clients au programme
La décision a été prise en 2011 lorsque
la société éditrice du système de GPAO
a stoppé ses activités entraînant un
arrêt total de la maintenance. «Nous
souhaitions un outil ouvert, paramétrable,
capable de faire de la GPAO, de
la gestion commerciale et de la relation
clients avec récupération des données
existantes, le tout dans un environnement
SQL Server », indique Maxime
Durand. Très vite, Inforgestion, une
ESN de la région, leur propose l’ERP
du français WaveSoft. « La mise en
œuvre a été réalisée en quelques mois
avec un accompagnement précieux de
l’intégrateur pour la récupération des
données du système de GPAO», se
souvient Maxime Durand.
Depuis bientôt 5 ans, MediaGroup dispose
d’un seul système pour gérer toutes les
activités : GPAO, gestion commerciale,
CRM et automate de transfert des données
entre les modules. « Tout est centralisé
sur un serveur dédié en interne et nous
continuons d’enrichir notre base de
données avec l’ajout de documents
techniques, de photos des pièces, des
comptes-rendus du service qualité, de
contacts… », liste Maxime Durand.
Côté comptabilité, la direction continue
d’exploiter le logiciel d’origine et les
tableaux Excel pour la gestion, décision
soutenue en cela par son expert-comptable.
« C’est agaçant tant pour moi que
pour mon frère », reconnaît en riant
Maxime « mais nous respectons ce choix,
d’autant qu’il est possible d’effectuer
des imports-exports entre notre ERP et
ce logiciel de comptabilité. »
A terme, il y a fort à parier que les deux
frères parviendront à basculer vers la
gestion de la comptabilité de Wave-
Soft, d’autant qu’il est bien dans leurs
intentions d’investir dans le module
décisionnel de l’éditeur pour avoir un
suivi précis et régulier de la gestion de
l’entreprise avec la consultation de
tableaux de bord.
Gain de temps et
optimisation des actions
En attendant, les résultats sont visibles
en termes de gain de temps puisque
tous les collaborateurs ont accès à la
même information. « Dès qu’une commande
fournisseur est saisie et envoyée
par mail, le logisticien de son côté sait
que telle marchandise va arriver à telle
date. De même, il peut suivre en temps
réel sur son écran que le colis de tuiles
attendu par un artisan peut être expédié
dès lors que le service comptable a saisi
la réception du paiement. L’ERP contribue
également à optimiser nos actions
et donc participe à notre croissance »,
se satisfait Maxime Durand.
Cette année, outre le décisionnel, la
version mobile du CRM de WaveSoft
devrait accompagner les deux actuels
commerciaux sur le terrain. Ils pourront
depuis leur portable consulter leurs
documents, saisir en direct les comptesrendus
de rendez-vous, les ouvertures
de comptes clients avec une synchronisation
automatique des données dès
leur retour dans l’entreprise. n
SOLUTIONS IT n 66 n Septembre-Octobre 2016
» DEMAT » GED
La capture de Spigraph
et la GED de ses partenaires
Un monde de possibilités
Spigraph Network est le principal distributeur de scanners, logiciels et services de capture documentaire
en France et représente les marques leaders : Canon, Fujitsu, Ibml, Kodak Alaris, Kofax, Panasonic, …
Pour gagner en compétitivité et en efficacité, les
entreprises se consacrent essentiellement sur leur
cœur d’activité. La compétitivité se construit
également sur un poste parfois oublié qui implique l’interaction
d’un grand nombre de salariés de l’entreprise :
la gestion de l’information. 90% des informations d’une
entreprise sont présentes sur les documents (papier ou
numérique) et un employé consacre en moyenne 1 heure
par jour à rechercher des documents. La capture des
documents et la gestion numérique de leurs informations
sont une étape essentielle pour la transformation digitale
de l’entreprise.
Spigraph Network commercialise son offre auprès d’un
réseau de partenaires et apporte aux clients utilisateurs
DOCUGED
ABDEL EL KHIATI,
Directeur Commercial
Quels sont les principaux avantages de la solution GED
«
que vous proposez ?
Solution intuitive, DocuGed est avant tout une GED à la
portée de l’ensemble des utilisateurs d’une entreprise au
travers de ses interfaces conviviales et fluides.
Au-delà de l’adhésion des utilisateurs à DocuGed, son déploiement
rapide, ses performanes et son ouverture à s’intégrer aux différents
systèmes d’information du marché (CRM, ERP, etc.) sont des atouts
appréciés par les directions informatiques.
En tant qu’Editeur, quelle est votre valeur ajoutée ?
4 La solution DocuGed se développe depuis une quinzaine d’années
sur la base d’un modèle pérenne basé sur deux principes :
- L’écoute de nos clients, de leurs besoins afin de faire évoluer
DocuGed à partir de leurs besoins,
- Le choix des principes et des orientations du marché de la GED
en termes technologiques.
Editeur français, DocuGed assure à ses clients une certaine réactivité
pour répondre à leurs demandes.
Quel est l’intérêt de votre partenariat avec Spigraph ?
4 En tant qu’éditeur, nous complétons l’écosysteme Spigraph par
une solution de GED simple d’intégration. Ainsi, nous avons développé
une interface avec le logiciel Kofax, distribué par Spigraph,
afin d’apporter une réponse
globale de capture et de GED
au marché. »
DSINFORMATIQUE
LAURENT ROUABLE,
Directeur
Quels sont les principaux avantages de la solution GED
«
que vous proposez ?
Nos offres basées sur des logiciels standards du marché
deviennent des solutions spécifiques aux besoins de chaque
client (Cloud ou sur Site). C’est le paramétrage et les scripts d’intégration
qui font le produit final.
Nous accompagnons particulièrement les PME qui n’ont pas
toujours les ressources internes pour analyser le besoin et mettre
en œuvre la solution.
En tant qu’Intégrateur, quelle est votre valeur ajoutée ?
4 Nous avons développé des applications (DSIPilot, DocSet) nous
permettant d’intégrer rapidement les outils GED et Dématérialisation
aux applications métiers (ERP, CRM …) des clients.
Notre approche d’intégration est basée sur la méthode AGILE (livrables
réguliers, réunions courtes et fréquentes, pré-validation client,
amélioration en continu, communications…).
Quel est l’intérêt de votre partenariat avec Spigraph ?
4 Spigraph nous apporte des compétences additionnelles autour
des produits que nous intégrons ainsi qu’un support marketing et
commercial auprès de son
réseau de distribution matériel.
»
SOLUTIONS IT n 68 n septembre - octobre 2016
Présent dans 20 pays
Présent dans 20 pays en Europe, au Moyen-Orient et en Afrique,
Spigraph Network est représenté au travers d’un réseau de 6 000
partenaires agréés. Spigraph Network en chiffres, c’est un CA de
100 M€, 330 collaborateurs, plus de 20 ans d’activité et plus de
1 000 contrats de services.
Présent aux Salons
Nous serons présents aux Salons Solutions Démat les 20, 21 et 22
septembre à Paris Expo Porte de Versailles avec un véritable
« Village de la dématérialisation et de la GED » avec nos constructeurs
leaders et les Editeurs ou Intégrateurs DOCUGED, DSINFOR-
MATIQUE, EVERTEAM, KENTIKA et SWORD. n
Rédaction sponsorisée
des solutions de capture clés-en-mains ou sur mesure.
L’objectif est d’automatiser les process documentaires et
permettre aux entreprises un retour sur investissement rapide
: Dématérialisation des factures fournisseurs, des
courriers entrants, en situation de mobilité, au bureau
d’accueil, en haute production, en réseaux, en web …
Les services Spigraph Network englobent le conseil, l'intégration,
la maintenance et l’assistance. S'adresser à
Spigraph, c'est bénéficier également d'un écosystème
d’experts pour la mise en place d'une solution globale
capture et GED : constructeurs de scanners, éditeurs et
intégrateurs de logiciels de
capture, de GED, de workflow,
de case management. n
EVERTEAM - SWORD
NOUREDDINE LAMRIRI,
Consultant Expert Everteam
Quels sont les principaux avantages de la solution GED
«
que vous proposez ?
Sword, intégrateur ECM de référence, a fait le choix des solutions
ECM et BPM d’Everteam. En effet, les solutions Everteam
permettent d'optimiser les processus métiers, valoriser l’information,
et protéger l’ensemble des contenus sur une plateforme unique.
En tant qu'Editeur (Everteam) et Intégrateur (Sword),
quelle est votre valeur ajoutée ?
4 L’offre Everteam se distingue par son approche innovante de la
gestion du cycle de vie des documents, de leur création à leur
destruction. Récemment SWORD GROUP, partenaire stratégique et
intégrateur des solutions Everteam, a, par ses efforts et son engagement,
été certifié Platinum par Everteam afin de renforcer une
collaboration de 6 ans. Grâce à Everteam, SWORD peut véritablement
mettre en valeur son expertise dans la gestion du document
et proposer à ses clients une offre complète et un savoir-faire ECM.
Quel est l’intérêt de votre partenariat avec Spigraph ?
4 Spigraph est un acteur majeur du marché européen de la dématérialisation.
L’entreprise propose une offre complète répondant
aux attentes des clients, notamment de grands comptes, avec un
sens aigu du service. Spigraph se démarque en outre par son
dynamisme commercial, ce qui en fait un partenaire de choix. »
KENTIKA
JEAN-CHRISTOPHE ISTIN ,
Directeur Commercial
Quels sont les principaux avantages de la solution GED
«
que vous proposez ?
KENTIKA Entreprise dépasse le cadre de la GED de fichiers et
couvre le domaine de la gestion documentaire au sens large.
Notre produit propose des outils de classements des documents et
des recherches transversales, la mise à disposition de ceux-ci et du
partage via le portail web, l'envoi de produits documentaires,
d'alertes etc. La dimension et le socle des fonctions de gestion
documentaire, intégrées depuis plus de 25 ans, garantissent à nos
utilisateurs gain de productivité et richesse fonctionnelle. L'architecture
associée au document, ses aspects modulaires permettent de
faire évoluer rapidement les applications de nos clients.
En tant qu’Editeur et Intégrateur, quelle est votre
valeur ajoutée ?
4 Nos briques technologiques s'intègrent dans d'autres solutions,
comme Sharepoint par exemple, les rendant plus performantes, là où
notre expérience métier de la Gestion Documentaire est plus forte.
Quel est l’intérêt de votre partenariat avec Spigraph ?
4 Spigraph propose tout un panel de solutions concernant la
dématérialisation et qui peuvent se connecter à la
GED de ses partenaires. Nos applications viennent
en relais de celles-ci : nous proposons en commun
des solutions complètes et adaptées aux besoins
des clients. »
SOLUTIONS IT n 69 n septembre - octobre 2016
» DÉMAT » FACTURES » PAR FRÉDÉRIQUE BERGONZOLI
La démat des factures
Adoptez-la maintenant !
Dans quelques mois, l’échange de factures électroniques avec
l’Etat sera obligatoire. Une raison, parmi d’autres, de passer le cap
de la dématérialisation fiscale.
Le compte à rebours est lancé.
Le calendrier d'obligation
de facturation électronique
pour les fournisseurs de l’Etat et
des collectivités locales s'applique
aux contrats en cours d'exécution
ou conclus postérieurement : au
1 er janvier 2017 pour les grandes
entreprises, au 1 er janvier 2018
pour les ETI, au 1 er janvier 2019
pour les PME et au 1 er janvier 2020
pour les microentreprises. Rendue
obligatoire depuis déjà quelques
années au Danemark et en Norvège,
cette dématérialisation voulue
par l’Etat est d’abord une opération
de rationalisation des achats
publics, de traçabilité, de lutte
contre la fraude et de contrôle
des taxes générées. En imposant à
ses partenaires une migration des
processus basés sur le papier vers
le numérique, le gouvernement
espère aussi convaincre l’immense
majorité des entreprises avec lesquelles
il ne travaille pas de franchir
le cap. Pour beaucoup d’experts,
le développement de la
dématérialisation des factures dans
le secteur public devrait avoir un
effet de levier pour un déploiement
rapide et plus général de la
dématérialisation des factures au
sein des entreprises.
Moins de 10 % des
factures sont traitées
électroniquement
Pourtant, si l’on en croit les études
du secteur, il faut encore convaincre
sur les atouts d’une information
qui demeure digitale tout au long
de son cycle de vie. Moins de 10 %
des factures sont traitées électroniquement
dans le monde rapporte,
par exemple, une enquête menée
par Basware et Billentis, soit environ
30 milliards de factures sur les
370 qui devraient être produites
dans le monde en 2016. Rapporté
à la France, ce décalage entre les
avancées de la dématérialisation
fiscale et les réalités du terrain se
mesure dans les mêmes proportions.
Lorsqu’on se penche sur les points
qui entraînent un basculement
vers la facturation électronique,
se distinguent la pression des fournisseurs
et des clients, la réduction
du coût de traitement des
factures, l’automatisation des
processus, la réduction des délais
de paiement et l’amélioration de
la qualité de service. « Aujourd’hui
une majorité d’entreprises reçoit
encore des factures au format papier.
Nous leur proposons une solution
qui leur permet d’automatiser le
traitement de leurs factures qu’il
s’agisse de fichiers structurés, de
fichiers PDF signés ou pas, ou de
factures au format papier. L’objectif
est de les aider à maîtriser
leur délai de traitement et d’optimiser
les délais de paiement de
leurs fournisseurs et, dans le même
temps, de les accompagner dans
une transition vers le zéro papier »,
souligne Eric Breteche, product
manager chez Itesoft.
La facture électronique,
pas seulement une
économie de coûts
Il y a toujours un émetteur et un
récepteur de factures, un fournisseur
et un client. L’émetteur vise le
100 % numérique pour une logique
de coûts mais aussi d’image de
marque, quitte à poursuivre la
production de factures au format
papier à destination de clients réticents.
Côté récepteur, on cherche à
alimenter les ERP et optimiser des
workflows. Emetteur ou récepteur,
toute entreprise endosse les deux
rôles à la fois, mais la conquête de
la facture digitale est encore longue.
« Malgré le développement du numérique
dans les entreprises, la dématérialisation
se heurte à des freins
qui sont le plus souvent d’ordre culturel.
D’abord parce que le traitement
d’une facture dématérialisée n’est
pas « naturel » : il nécessite de revoir
les processus et l’organisation des
entreprises. Mais aussi par manque
de confiance dans le digital. D’ailleurs,
il est encore assez fréquent de
constater que des factures fournisseurs,
pourtant électroniques, soient…
imprimées », estime Nicolas Gudin,
directeur de Basware France.
Entre des entreprises qui se contentent
de factures PDF sans se soucier
de la législation et celles qui estiment
que le passage à la facture
numérique est trop coûteux et qu’elles
ne le feront que si elles y sont
contraintes, le marché veut
>
SOLUTIONS IT n 70 n Septembre-Octobre 2016
» DÉMAT » FACTURES
>
convaincre. Il regroupe son lot d’offres,
progiciels, plates-formes
d’échanges ou services externalisés,
et d’acteurs qui
endossent aussi un rôle
de conseils sur les enjeux
réglementaires et organisationnels.
« Avec la
dématérialisation, les
entreprises s’inscrivent
dans une démarche
vertueuse de traitement
des factures. Pour les
factures sortantes, la
dématérialisation est avant tout un
projet d’entreprise qui lui permet de
se libérer des différentes difficultés
liées à la diversité des formats de
facture et des technologies. Pour
les factures fournisseurs, les entreprises
s’affranchissent de leur saisie
et gagnent ainsi en efficacité et en
productivité. Elles identifient plus
rapidement les éventuels litiges,
accélèrent les processus de validation
et raccourcissent leurs délais
de paiement. Les équipes comptables
et financières disposent pour
leur part d’une plus grande visibilité
sur toutes les factures et savent
> Emmanuel Olivier
précisément où elles en sont dans
leur traitement, qui doit les valider
et quelles sont les échéances », indique
Emmanuel Olivier, directeur général
d'Esker. « Les bénéfices des solutions
de dématérialisation sont de
mieux en mieux connus, démontrés
et communiqués, surtout pour un
usage en mode SaaS qui minimise
les risques et maximise le retour
sur investissement. Le contexte économique,
incitant àla productivité́et
la réduction des coûts administratifs
constitue une incitation forte à
dématérialiser pour bénéficier de
ces retours économiques immédiats »,
souligne pour sa part Magali Michel,
directrice de Yooz.
EDI, fichiers signés
et piste d’audit
Pour passer à la facture électronique,
trois possibilités s'ouvrent
aux entreprises : l'échange de données
informatisées (EDI), le PDF
assorti d'une signature électronique
ou « toute solution technique
(...) dès lors que des contrôles documentés
et permanents sont mis
en place par l'entreprise et permettent
d'établir une piste
d'audit fiable entre la
facture émise ou reçue »,
rappelle l'article 289
du Code général des
impôts. EDI, fichiers
signés et piste d’audit
ne sont que des moyens
mis à disposition. Un
bon prestataire fournit aujourd’hui
des outils agnostiques de ces modes
d’échanges. Sa plate-forme se doit
d’accepter tout type de format, de
faciliter la saisie en ligne, de faire
transiter les données par un portail
ou via un email, avec la même
garantie de contrôles quelle que
soit la volumétrie concernée.
A l’heure où ces processus sont
totalement maîtrisés et sécurisés,
s’ajoute une baisse des prix orchestrée
par la percée des solutions
SaaS. La facture n’est, surtout
aujourd’hui, qu’un maillon
parmi d’autres de la chaîne d’automatisation
du purchase to pay,
une autre transformation numérique
sur laquelle s’appuie l’entreprise
pour améliorer tous ses processus
d’achat. n
> Magali Michel
Partage d’expérience
Les transports Malherbe
sur l’autoroute numérique
Malherbe a adopté la solution de dématérialisation des factures
fournisseurs de T2i. Objectifs : fluidifier son processus de dématérialisation
et optimiser le circuit de validation des documents.
> Sylvie Cheri Dit Lenault
En 2013, Malherbe,
troisième transporteur
français de marchandises
avec un réseau
de 20 agences en
France, un parc de 750
véhicules et environ
2 000 clients, est dans
une logique d'optimisation
des coûts. La
société veut rationaliser
la gestion des
110 000 factures fournisseurs
et 18 000 documents annexes reçus
annuellement. Toutes ces données sont réparties
en 3 groupes. Les frais généraux représentent
plus de 13 000 factures intégrées à
l’ERP SAGE X3-v5. Les opérations de maintenance
et d’entretien des véhicules comptabilisent
environ 5 000 factures gérées par
SIP 2 d’Infoparc. Enfin, les activités d’affrètement
apportent leur lot de 80 000 factures
confiées à l’ERP Ulysse de GFI Informatique.
Un circuit de validation
fluidifié
Le Groupe T2i a été chargé de mettre en
place le processus de dématérialisation et
réaliser son intégration dans ces 3 ERP. Le
projet a mobilisé une équipe de 4 personnes.
Les services concernés, qui représentent au
total 35 utilisateurs quotidiens dont 20 responsables
d’agence, ont été formés. Un transfert
de compétences a été opéré par le Groupe
T2i auprès des équipes informatiques Malherbe
pour l’installation et la maintenance des
solutions déployées. « Même si les bénéfices
ne sont pas encore quantifiables, nous
avons constaté une meilleure gestion quotidienne
des factures ainsi qu’une fluidité du
circuit de validation, notamment grâce à
une ergonomie améliorée pour les équipes.
En résumé, une solution qui répond parfaitement
à nos besoins et qui va nous aider
dans notre stratégie de développement »,
indique Sylvie Cheri Dit Lenault, Directrice
Administrative des transports Malherbe.
La mise à disposition de documents pour
les clients via un extranet est en cours de
déploiement. La société souhaite faire intervenir
T2i dans de nouveaux projets comme
le coffre-fort électronique individuel, les
processus de gestion des courriers et des
notes de frais. n
SOLUTIONS IT n 72 n Septembre-Octobre 2016
» DEMAT/GED » ACTUALITÉ
» PAR JULIETTE PAOLI
EN COUVERTURE
Tessi Certified Suite
Dématérialisation et
archivage à valeur probatoire
certifiés de bout en bout
Tessi documents services vient d’obtenir la certification NF461 de sa solution de dématérialisation et d’archivage
électronique. De la capture à la conservation à valeur probatoire des documents, en passant par
l’hébergement sécurisé des données, faisons le point avec Eric Jamet, son directeur marketing et innovation.
Tessi : la sécurité et la conformité des flux dans les gènes.
Contrats et avenants, documents commerciaux, bulletins
de paie et dossiers des salariés, factures électroniques
et flux de paiement, documents et données
de santé… La dématérialisation gagne l’entreprise,
transformation numérique oblige, et la vie au quotidien
des citoyens. Les usages se multiplient, tout comme les
obligations de conformité pour assurer notamment, la
conservation des documents et leur
valeur probatoire, ainsi que la confidentialité
et la sécurité des données.
Et c’est bien là où la plateforme Tessi
Certified Suite, certifiée ISO 14641
marque NF 461, prend tout son intérêt
en garantissant « la bonne gestion du
cycle de vie du document et de l’ensemble
de ses composantes - intégrité
> Eric Jamet
des données, sécurité de conservation,
traçabilité des événements et pérennité
d’archivage - autour de processus sécurisés qui
font interagir les applications entre elles », explique Eric
Jamet. Papier ou numérique, la solution garantit ainsi la
conformité d’un document, depuis son point de dématérialisation
ou de capture jusqu’à son point d’archivage électronique.
Pour le garantir, il est notamment important que
les logiques d’authentification et d’accès aux documents
soient unifiées et respectées sur l’ensemble de la chaîne.
« C’est difficilement le cas quand on travaille avec des
briques ou des prestataires différents, logiciels de capture
d’un côté et d’archivage de l’autre. D’où l’intérêt d’une
approche hébergée reposant sur une solution sécurisée et
globale, doublement cautionnée par l’expertise d’un prestataire
technologique proposant une plateforme certifiée
» poursuit Eric Jamet.
La marque NF461
La marque NF461 - Numérisation et Conservation - délivrée
par l’AFNOR, atteste qu’une solution visant la dématérialisation
et l’archivage électronique de documents respecte
les conditions et normes en vigueur permettant de
préserver la valeur probatoire des documents traités et en
archiver une copie électronique “fidèle”, pouvant conduire
à l’abandon de la conservation des originaux papier.
Une réponse destinée à des sociétés déjà utilisatrices en
partie des solutions Tessi et qui peuvent ainsi les compléter
pour bénéficier des apports de conformité de la certification
sur l’ensemble de la chaîne, mais aussi à des entreprises
qui se lancent dans ce type de projet, ou revoient leur
existant avec un projet de A à Z. Dans les deux derniers
cas, l’optique la plus simple et la plus économique est de
profiter de la plateforme complète, externalisée et hébergée
chez Tessi, qui a supporté l’essentiel du coût de mise en
conformité. Les enjeux énoncés par les clients de Tessi,
notamment dans le secteur de la santé, ont servi de business
case. « Les clients qui avaient fortement besoin de
cette garantie dans le cadre de leur métier nous ont aidés,
au-delà d’un cahier des charges théorique, à vérifier les
éléments nécessaires de conformité de la solution et
aboutir à sa certification ». Sur l’Europe, où Tessi est
largement présent (Espagne, Suisse, Autriche, Angleterre
et Allemagne), la société mise beaucoup sur sa solution car
il n’existe pas d’équivalence de certification en matière
d’archivage documentaire. Il faut noter que la France est
assez en avance sur cette partie normative (lire l’encadré
sur la Numérisation fidèle).
Un garde-fou pour les prestations
pilotées par Tessi
Le sujet de la conformité des solutions ou des prestations
externalisées n’est pas un sujet nouveau pour Tessi « La
connaissance du périmètre de respect de la norme NF
Z42-013 ou ISO 14641 est déjà bien connue par nos
équipes Solutions et Technologies », affirme Eric Jamet.
Des solutions de GED/ECM comme Tessi DOCUBASE
ou Tessi DATA CONTENT sont historiquement conformes
aux normes d’archivage électronique à valeur probatoire.
SOLUTIONS IT n 74 n septembre - octobre 2016
Tessi documents services
en chiffres
6 700 collaborateurs dans le monde, une présence
dans 13 pays
3 700 collaborateurs en France dont :
250 ingénieurs, développeurs et intégrateurs
70 consultants et chefs de projet
3 200 opérateurs de production
15 centres industriels de BPO et relation client
3 centres de R&D et 5 centres de développement
1 centre d’hébergement sécurisé et redondé sur 2 sites
www.tessidocumentservices.fr
Rédaction sponsorisée
Par ailleurs, depuis 3 ans, la société a mis en place un
Département de l’Organisation, de la Qualité et de la
Conformité, qui a pour mission transversale de vérifier
que les prestations et solutions respectent bien les exigences
de conformité que réclament les clients - une conformité
documentaire ou règlementaire liée aux exigences croissantes
de secteurs d’activité métier, comme la banque par
exemple. Outre ce garde-fou expérimenté, Tessi profite
des services d’un expert « Normes et Certifications » :
Eric Descours (lire son interview dans l’encadré). n
Interview ERIC DESCOURS, Expert Normes et Solutions, Tessi documents services
La future norme de Numérisation fidèle
permettra de se passer de l’original papier
Quatre questions à Eric Descours, Expert Normes et Solutions chez Tessi documents services.
Eric Descours fait également partie d’instances de normalisation : la Commission
de Normalisation AFNOR CN171 sur la Numérisation fidèle et la Délégation française au
Comité technique ISO TC 171. Il est aussi Vice-Président de e-Futura.
Pouvez-vous nous expliquer ce
projet de norme de Numérisation
fidèle ?
Il s’agit d‘un projet de norme AFNOR qui
permet de définir et de spécifier ce qu’est
une prestation de Numérisation fidèle de
documents papier. Lorsque l’on confiera
un lot de documents papier à numériser,
le prestataire de numérisation fidèle va
respecter un certain nombre de normes
qui permettront de prouver à un tiers que
l’image du document papier numérisé
est bien fidèle à l’original papier. Cette
norme s’attache à vérifier la prestation
de numérisation, à qualifier l’opérateur
de numérisation, la chaîne de numérisation,
à définir les normes à respecter en
termes de processus de numérisation,
les contrôles qualitatifs et quantitatifs
que l’on doit réaliser, ainsi que les livrables.
C’est-à-dire qu’en plus du document
et de sa copie fidèle électronique,
on va fournir un certain nombre d’éléments
qui prouvent l’intégrité, la traçabilité
et la portabilité des éléments de preuve.
On va ainsi pouvoir prouver que la copie
fidèle est attestée.
Cela signifie-t-il que l’on va pouvoir
se passer de l’original papier ?
Effectivement, c’est là tout l’intérêt.
Dans certains cas, qui seront fixés par
les cadres réglementaires et légaux, certains
papiers pourront être supprimés à condition
d’avoir respecté cette norme de
Numérisation fidèle. Le législateur et le
gouvernement pourront alors s’appuyer
sur ce cadre normatif pour décider dans
quels cas d’usage un document papier
pourra être supprimé.
Cette norme sera-t-elle bientôt
adoptée ?
Oui, les travaux sont en cours au sein de
la Commission de Normalisation AFNOR.
On a adopté au sein de la Commission le
fait que cela devient un projet de norme,
qui va faire l’objet d’une enquête publique.
A l’issue de celle-ci, nous allons recueillir
les remarques qui auront été émises par
les administrations, les entreprises, les
particuliers. Puis la Commission va se
réunir, prendre en compte un certain
nombre de remarques et en rejeter d’autres,
pour ensuite élaborer un texte amendé
et voter. Le projet de norme sera alors
promulgué. Si tout se passe bien, à la fin
de l’année.
Quelle est la prochaine étape ?
Une fois cette norme française adoptée,
nous allons faire en sorte de la « remonter »
au niveau international de l’ISO, l’organisation
international des standards, afin
qu’il n’existe pas de disparité entre les
différents pays sur la façon de procéder :
une bonne copie dans un pays et une
mauvaise copie dans un autre.
La délégation française issue de l’AFNOR
est d’ailleurs l’un des plus gros contributeurs
au niveau de l’ISO. La norme internationale
ISO sera, elle, adoptée dans
deux-trois ans, comme cela a été le cas,
par exemple, de la norme de 2009 concernant
le système d’archivage électronique
NF Z42-013, qui a été promue en
norme internationale, ISO 14641, trois
ans plus tard. C’est cette dernière qui
sert de référentiel à l’obtention de la
marque NF 461. n
SOLUTIONS IT n 75 n septembre - octobre 2016
» DÉMAT » PRESTATAIRES
» PAR FRÉDÉRIC BERGONZOLI
Dématérialisation
Chaîne de démat (Tessi).
7PORTRAITS
D’ENTREPRISES
Parmi les nombreux prestataires qui participent à la grande chaîne de la dématérialisation
des documents, quelques-uns sont à l’origine de process essentiels de numérisation et de
conservation à une très grande échelle. Solutions IT s’est penché sur le rôle de ces acteurs
industriels souvent peu connus.
L’écosystème de la dématérialisation est
riche, très riche. Plusieurs centaines de
sociétés se partagent en France ce marché
estimé en 2014 à 5,2 milliards d’euros par le
cabinet d’études Markess, et qui devrait progresser
d’environ 7 % chaque année. Les entreprises
voient dans la dématérialisation des documents
une composante essentielle du maintien
ou de renouveau de leurs activités, et
cherchent dans le numérique de nouveaux
leviers de croissance. Elles ont en outre à faire
des choix en matière de solutions dont le périmètre
de couverture s’est élargi à l’ensemble
de la chaîne de traitement documentaire. Les
technologies se sont standardisées, les offres
des éditeurs et des prestataires se sont enrichies,
qu’il s’agisse d’outils d’acquisition,
de gestionnaires de workflows, de
moyens d’authentification et de signature,
ou de dispositifs d’archivage. Mais
si tous les maillons de la chaîne ont
leur importance, c’est assurément la
phase de capture des données qui détermine
le succès des traitements suivants.
La capture, phase capitale
Ce n’est pas nouveau, le choix d’une
solution ou d’une prestation s’effectue
toujours en fonction d’une typologie
des besoins. Il en va de même pour la
capture dont il est essentiel de connaître
la volumétrie et les spécificités des documents
à traiter (format, support, papier ou
électronique notamment). Ces informations
aident à décider si un processus de numérisation
doit être massivement centralisé sur des
scanners de production, ou au contraire orienter
les choix vers une numérisation répartie à la
source, via des scanners bureautiques, des
multifonctions ou encore des appareils spécifiques.
Volumétrie et nature des documents
permettent aussi de valider des choix majeurs
tels que l’utilisation et le paramétrage des
technologies de RAD et de LAD afin d’automatiser
les phases de catégorisation et
d’indexation des documents. La nécessité
d’établir la valeur probatoire des documents
numériques est tout aussi déterminante dans
le choix d’une solution d’acquisition en termes
de signature électronique, d’outils de traçabilité
et de respect des normes. Enfin, la
volumétrie et la spécificité des documents
peuvent conduire à opter pour une solution
dans laquelle la chaîne d’acquisition est soit
reliée à une GED, un ERP ou des applications
particulières, soit s’en trouve totalement
dissociée. A l’heure de l’économie de la
data, les capacités techniques des dispositifs
de capture ne garantissent plus à elles seules
la réussite des projets. Les solutions doivent
également délivrer une certaine dose d’intelligence
en fournissant une meilleure analyse
>
SOLUTIONS IT n 76 n Septembre-Octobre 2016
» DÉMAT » PRESTATAIRES
Chaîne de démat (Tessi).
>
des données traitées. La capture ne se contente
alors plus d’extraire le contenu mais cherche
à le comprendre grâce à des technologies de
traitement naturel du langage. C’est la valeur
de l’information qui détermine désormais la
complexité des traitements.
Faire faire
mais maîtriser les enjeux
Si ces considérations sont importantes dans
un contexte bureautique, elles sont capitales
pour les secteurs dont le cœur de métier
repose sur la circulation de l’information,
que celle-ci soit sous forme papier ou numérique.
Ces grands consommateurs de données
que sont les banques, les assurances, la grande
distribution, l’industrie, pour ne citer qu’elles,
n’ont jamais pu assurer en interne le traitement
colossal des flux auxquels était soumises
leurs activités. Lorsque
plusieurs centaines de
millions de documents sont
concernées chaque année,
difficile en effet pour une
DSI d’aligner des infrastructures
capables d’absorber
un tel flot, d’effectuer et
d’optimiser les tris, d’extraire
les données pertinentes
puis les acheminer au bon
endroit avant de les stocker et de les archiver.
Au fait des conditions de mise en œuvre des
traitements de leurs données, ces entreprises
sont aussi conscientes des enjeux de la maîtrise
des risques techniques, réglementaires et
budgétaires. Elles sont de plus en plus
nombreuses à confier à un tiers la gestion
opérationnelle et sécuritaire d’une partie de
leurs activités. L’externalisation leur permet
de se décharger de contraintes lourdes comme
la numérisation et la capture, la qualification
des données ou la définition d’une politique
d’archivage, tout en évitant la création
d’un service dédié interne.
7 acteurs industriels
A considérer la pure expertise, bien d’autres entreprises auraient
mérité qu’on lève le voile sur leurs activités, mais celles qui ont été
retenues dans ce numéro l’ont été aussi en fonction de leur taille, de
leur chiffre d’affaires et du nombre de leurs collaborateurs. Elles
savent en outre prendre en main tout le cycle de vie des données,
même s’il manque encore à la plupart quelques briques technologiques,
notamment la signature électronique et les systèmes d’archivage
électronique, pour être totalement autonomes. Mais elles sont
surtout un bel exemple d’adaptation : certaines, centenaires, ont su
traverser les révolutions et se projettent aujourd’hui dans un avenir
totalement numérique. n
Des services ultra exigeants
Le recours à un spécialiste de la numérisation
industrielle impose toutefois à l’entreprise
d’avoir une certaine maturité. Avant d’envisager
le DPO (Document Process Outsourcing)
puis le BPO (Business Process Outsourcing),
la maîtrise d’une gouvernance
documentaire est notamment un prérequis.
Le choix du prestataire repose ensuite sur
différents critères allant de son expertise technique
à son capital en termes de confiance
numérique en passant, bien sûr, par les recommandations
qu’il est en mesure de faire valoir.
Non seulement ces professionnels possèdent
des espaces conséquents de traitement et de
stockage physiques et numériques des documents,
mais ils conçoivent des solutions logicielles
adaptées aux métiers de leurs clients,
déploient des chaînes applicatives extrêmement
flexibles et s'engagent sur des niveaux
de services ultra-exigeants.
Des spécialistes dans l’ombre
Mais en raison du très petit nombre d’entreprises
qui s’épanchent sur leur stratégie d’externalisation,
les spécialistes du BPO restent
souvent dans l’ombre. Si l’on considère dans
son ensemble l’écosystème des processus documentaires,
on connait les éditeurs spécialisés
de GED et d’ECM, d’Alfresco à DocuWare
et Zeendoc en passant par Abbyy, Elo, Docapost,
Everteam ou encore EMC. On connaît
également, les fabricants de matériel dotés
d’une expertise dans ces domaines, notamment
Canon, Xerox, Konica ou Ricoh, sans
oublier les professionnels de la capture, Kodak
Alaris, Fujitsu et Nuance. Il y a aussi les spécialistes
de l’automatisation de processus, BancTec,
Esker, Itesoft, Basware, B-Process, Novapost
ou Readsoft. Les tiers de confiance bénéficient
eux aussi de savoir-faire reconnus, en
particulier CDC Arkhinéo, Digiposte, Cecurity
et Primobox. Mais peut-être connaît-on
moins ces acteurs qui se sont fait un nom
dans l’archivage physique, il y a plus de 60
ans pour certains, et qui ont investi depuis le
numérique. Aujourd’hui spécialistes du BPO,
ces acteurs industriels numérisent des montagnes
de documents, les conservent et les mettent à
disposition, tout comme les archives papier
qu’ils continuent de stocker. Everial, le Groupe
Bernard, Iron Mountain, Jouve, Locarchives,
Numen et Tessi nous ont ouvert les portes de
leurs entrepôts. Des acteurs professionnels de
la numérisation, du traitement et de l’archivage
industriels dont les équipes manipulent
des centaines de millions de documents chaque
année. n
SOLUTIONS IT n 78 n Septembre-Octobre 2016
» DÉMAT » PRESTATAIRES
Le spécialiste de la gestion des fonds documentaires se veut aussi un acteur global de la chaîne des flux
d’informations, prêt à plonger ses clients dans l’ère de l’après-papier.
«
> Everial, de
l’archivage à la GED
et la collaboration.
Everial, penser dès aujourd’hui
le tout numérique
Nous sommes un acteur global qui couvre
l’ensemble des besoins de traitement et de
valorisation des flux d’informations et des
fonds documentaires. Nos activités reposent
sur quatre piliers, l’archivage physique, la numérisation,
tout ce qui concerne l’extraction d’informations
et le BPO, et enfin la branche logicielle
avec deux domaines, la GED et la
collaboration. Nous sommes aujourd’hui le seul
acteur en France à intégrer cette chaîne qui va
de l’archivage physique jusqu’au logiciel »,
indique Patrick Michels, directeur
marketing et communication
d’Everial.
Expert archivistique
et développeur
d’applications
La gestion des archives papier représente
encore plus de 50 % du CA
de la société. Le deuxième poste concerne la
numérisation, viennent ensuite l’externalisation
des processus et les logiciels, deux domaines
qui affichent la plus forte croissance
chez Everial. Avec 13 sites en France
et 4 filiales à l’étranger, le groupe a
développé à la fois des offres sectorielles
et des solutions métiers. Avec
10 % de son CA investi dans la R&D,
il veut anticiper les grandes tendances
IT dans lesquelles il voit un fort potentiel
de développement : gouvernance
de l’information et du document, moteur
de recherche unifiée, Big Data, Cloud,
plateforme d’ECM, indexation intelligente,
social CRM. À la fois spécialiste
des archives et développeur d’applications,
Everial n’a cependant pas la volonté de
se positionner partout. Les solutions de coffrefort
et de signature électroniques sont par
exemple confiées à des tiers, avec qui Everial
a mis en place un écosystème d’applications
interconnectées et interopérables.
« En intégrant les dimensions sociale
et collaborative dans des processus de
dématérialisation, on parvient à de nouveaux
gains de productivité et on accélère
le passage au full numérique. » Patrick Michels
En se plaçant en interlocuteur unique sur la
chaîne de la dématérialisation, Everial entend
jouer un rôle central dans la transformation
numérique des entreprises mais cherche aussi
à sensibiliser celles-ci à l’inéluctable disparition
du papier. « Aujourd’hui la transition
numérique est bien engagée, mais il faut dans le
même temps commencer à travailler sur le full
numérique, et progresser avec un coup d’avance.
Cela nécessite de se projeter dans un futur
proche où toutes les activités seront conduites
par le numérique, tout en ayant conscience que
le mode hybride papier/digital n’est qu’une
phase intermédiaire et qu’elle sera demain
marginale. Dans les trois ans, la facture papier
par exemple aura vraisemblablement disparu
dans les grands comptes », estime Patrick Michels.
Parmi les clients d’Everial, certains se révèlent
plus en avance que d’autres dans cette transformation
numérique. La raison n’est pas sectorielle
mais concurrentielle : ces organisations
ont actionné le levier du digital pour gagner en
productivité. Et selon Everial, ce sont autant
d’entreprises qui se penchent
désormais vers une valorisation
de leurs informations
et une maîtrise de la fameuse
data, ce qui devrait accélérer
leur passage au tout
numérique. Le groupe promet
pour la fin de l’année de
nouvelles offres tenant
compte de cette évolution
naturelle du marché de la
démat vers celui de la
donnée.n
La généalogie d’Everial
En 1989, Michel Garcia crée Archiv Alpha et se positionne sur le
marché naissant de l’archivage externalisé. Lionel Garcia, son
fils, étend l’expertise de l’entreprise au traitement numérique du
document, et développe à partir de 2005 une offre d’archivage
électronique parallèlement à son activité d’archivage physique.
Le tandem familial poursuit l’association de la gestion des flux
numériques et papier, Archiv’Alpha est rebaptisée Everial en
2008. Le groupe se développe essentiellement par croissance
organique mais réalise tout de même une acquisition importante
en 2015, celle de l’éditeur français Knowings spécialisé dans
l’offre de logiciels collaboratifs. n
- CA 2015 : 46 millions d’euros
- Effectif : 500 salariés
Chaîne de démat (Tessi).
SOLUTIONS IT n 80 n Septembre-Octobre 2016
Iron Mountain, une panoplie de services
dédiés à la protection de l’information
Le poids lourd du Records Management se
diversifie, notamment en accélérant la mutation
de son offre vers le Cloud.
Aujourd’hui, Iron Mountain emploie environ
20 000 personnes sur près de 1 000 sites
représentant plus de 6,2 millions de m 2 dans
32 pays. « Notre métier est de protéger l’information
de nos clients, quelle que soit sa forme.
La conservation physique du papier mais aussi
d’autres supports et des objets de valeur demeure
notre cœur d’activités. Il représente en France
environ 22 millions d’euros sur notre CA. La
sauvegarde sur bande pèse pour sa part près de
8 millions, et les activités de dématérialisation,
qui concernent essentiellement la numérisation
de documents papier et le stockage de données
numériques, environ 5 millions d’euros », détaille
Stéphane Benais, directeur du système d’information
d’Iron Mountain.
La filiale française a en outre obtenu la certification
ISO 27 001 version 2013, qui décrit les
exigences en matière de dispositifs dédiés à la
sécurisation de l'information. Si peu d’entreprises
peuvent se prévaloir de cette certification
en France, Iron Mountain rappelle qu’elle est
la seule à l’avoir obtenue dans son secteur. La
prestation de conservation des documents physiques
est rodée chez ce spécialiste : les documents
sont collectés et emballés sur place puis
transportés sur un site sécurisé. Idem pour le
stockage de bandes sur site distant. La numérisation
s’effectue quant à elle sur les sites d’Iron
Mountain ou via un portail qui sert également
d’outils de consultation à la demande. « Nous
numérisons en France entre 20 et 40 millions
d’images par an, ce qui nécessite des plateaux de
traitement dotés de scanners de production contrôlés
par des équipes spécialisées dans les processus
de capture mais aussi d’extraction des données
», indique Stéphane Benais.
Une consolidation
des prestations documentaires
La généalogie d’Iron Mountain
Quoi de mieux que le nom d’une ancienne mine de fer pour évoquer le coffre ou la
chambre forte ? C’est exactement celui qu’a choisi l’américain Herman Knaust
pour transformer en 1951 l’ancien site qu’il destinait à la culture de champignons
en un espace de stockage sécurisé. Le visionnaire entrepose dans ses souterrains
bon nombre de documents essentiels et confidentiels alors que les États-Unis se
préparent à un conflit atomique. L’histoire ne retiendra que la naissance d’un
grand spécialiste de la protection des données. n
- CA 2015 France : 35 millions d’euros
- Effectif : 220 salariés
Cette étape passée, le prestataire met à disposition
des applications de GED et alimente
ses clients avec un flux hybride de documents
électroniques natifs ou numérisés. Et pour
renforcer un peu plus ce volet, Iron Mountain
vient de racheter pour près de 2 milliards de
dollars la société américaine Recall, spécialiste
de la gestion documentaire et des services
de protection des données. L’entreprise
a également développé des connecteurs destinés
à faire dialoguer ses infrastructures IT
avec les systèmes exploités par ses clients. La
gestion des coffres-forts électroniques a en revanche
été confiée à la Caisse des Dépôts, et
les opérations de signature électronique et
d’horodatage à Lex Persona. L’objectif de ces
partenariats est d’affiner l’offre de dématérialisation
d’Iron Mountain tout en préservant
ce qui génère le gros de ses revenus. : « Tous
nos clients grands comptes ont entrepris leur
mutation vers le numérique et sont conscients
des enjeux que cela implique. Ils comptent sur
notre accompagnement mais savent aussi que
la production de papier est en phase de stabilisation
et non en repli », souligne Stéphane Benais.
Pour autant, le spécialiste du stockage
veut rester proactif. « Il y a des secteurs verticaux
sur lesquels nous allons nous développer,
dont la santé. Nous proposons de nouveaux
services orientés autour des datacenters et du
Cloud et examinons globalement toutes les opportunités
de développement autour de l’archivage,
par exemple le stockage d’œuvres d’art ou
d’échantillons biologiques ». n
> Des linéaires
d’archives papier
chez Iron Moutain
« Nous essayons à la fois d’être innovants
sur notre cœur de métier qui est la logistique,
le stockage et l’archivage, tout en nous
orientant vers de nouveaux services centrés
autour du Cloud. » Stéphane Benais
SOLUTIONS IT n 81 n Septembre-Octobre 2016
» DÉMAT » PRESTATAIRES
Tessi, un acteur du BPO qui maîtrise
sa chaîne technologique
Gestion des documents et des moyens de paiement, marketing
promotionnel, transactions de devises et d’or, le positionnement
de Tessi se veut atypique et indépendant.
> Chaque année, Tessi
traite dans ses trois
usines 150 millions de
pages et 1,7 milliard de
chèques.
Quarante cinq ans séparent
Tessi de son statut de jeune
pousse grenobloise sortie du
terreau technologique Rhône-
Alpin, de celui de spécialiste
d’envergure internationale dans
le traitement des flux de documents
et des moyens de paiement.
C’est le pôle Tessi document
services qui a en charge
aujourd’hui cette double activité.
Au cours de sa croissance,
la société s’est également diversifiée.
Elle est devenue un
intervenant assurant la liquidité
du marché de change manuel
et de l’or en France à travers CPoR
Devises, mais aussi un prestataire de services
spécialisé dans la promotion et le digital, le
marketing relationnel et la logistique BtoC
via l’entité Tessi customer marketing. « Le
métier d’origine de Tessi document services est
de fournir à travers des offres sur-mesure la
capacité pour une entreprise d’optimiser globalement
l’ensemble de ses processus métiers »,
résume Eric Jamet, directeur marketing de
Tessi documents services.
Piloter la destination du
document indépendamment
de son canal d’entrée
Historiquement, Tessi s’est positionné sur
deux axes. D’abord sur celui de l’industrialisation
de la dématérialisation des flux documentaires
en répondant classiquement à une
demande de rationalisation des entreprises.
Ensuite sur l’externalisation de cette industrialisation
mais uniquement pour les documents
non financiers et le traitement des chèques.
« Nous avons fondé notre développement sur un
maillage progressif du territoire national en
« Nous étions vus jusqu’à présent comme un
industriel de la gestion de flux. Aujourd’hui
notre promesse est d’accompagner les
entreprises autour de l’optimisation de leurs
parcours client. » Eric Jamet
nous implantant dans de grandes métropoles
mais également dans des villes de taille moyenne
et nous nous appuyons aujourd’hui sur une
proximité forte à travers plus de 85 établissements
en France. Comme nous avons pris le
parti d’être maître de la technologie
avec laquelle nous opérons
nos prestations, nous sommes
devenus notre propre éditeur de
logiciels », indique Eric Jamet.
Hormis les moteurs de reconnaissance
de caractères ou de
LAD, Tessi n’intègre aucune
des technologies tierces dans
ses solutions. Qu’il s’agisse de
GED, de dématérialisation fiscale
des factures, d’émission de
courrier sortant ou de solutions
de capture ou de traçabilité, les
offres sont soit issues de la R&D
du groupe, soit elles ont été acquises
au fil du temps par le biais de rachats
d’entreprises spécialisées.
Les prestations de services documentaires délivrées
par Tessi débutent à la réception des
flux pour se terminer avec l’archivage électronique.
Elles sont en outre désormais liées à la
sécurisation de l’acte de capture et non pas
seulement celui de la dématérialisation. L’objectif
est de piloter indépendamment du canal
d’entrée du flux documentaire la destination
du document vers son application métier.
« Nos solutions logicielles respectent les normes
ISO 14641–1, elles sont hébergées dans notre
datacenter à Bordeaux, sur lequel s’adossent
les infrastructures de BPO mises à disposition
de nos clients, majoritairement constitués de
grands comptes et d’ETI, dans les secteurs des
banques, des assurances, des mutuelles, des
opérateurs télécoms et énergies », souligne
Eric Jamet. n
La généalogie de Tessi
Créé en 1971, Tessi a pour activité originelle l’acquisition de
données. Repris en 1979 par son PDG actuel, Marc Rebouah, ce
spécialiste du traitement de flux connaît un développement
rapide de ses activités depuis le milieu des années 1990, grâce
notamment à une croissance organique et externe. Il compte
parmi ses filiales Tessi GED ou CPoR Devises. Le rapprochement
récent de ses deux domaines d’activité, moyens de paiement
et traitement de documents, dans le pôle Tessi documents
services a permis de mutualiser ses savoir-faire. n
- CA 2015 : 290 millions d’euros
- Effectif : 6700 salariés
Chaîne de démat (Tessi).
SOLUTIONS IT n 82 n Septembre-Octobre 2016
» DÉMAT » PRESTATAIRES
Numen, expert du traitement
de données sensibles et du BPO
Créé il y a presque 50 ans, le groupe s’est fait une spécialité des projets complexes de dématérialisation de
documents et d’externalisation des processus métiers. Il intervient également dans les domaines de l’optimisation
de la relation client et de la valorisation de contenus culturels.
> Numen est implanté
dans toute l’Europe
Numen est un groupe privé français implanté
au Luxembourg et en Belgique, aux Pays-
Bas, au Royaume-Uni et à Madagascar. « Notre
métier consiste à dématérialiser les applications
et les documents de nos clients pour leur permettre
de réaliser des gains et leur procurer les bénéfices
liés au digital. Ces bénéfices permettent à nos
clients de repenser leur métier en plaçant les
enjeux de connaissance client, de conformité et
de productivité au cœur de leurs systèmes d’informations
et de leurs processus », indique Marc Le
Vernoy, président de Numen. Au fil du temps,
l’entreprise est passée d’une fabrique à matérialiser
les données de ses clients à une usine ultraspécialisée
dans la dématérialisation de ces mêmes
données, une approche qui place progressivement
Numen sur les rails du BPO. Le groupe
s’appuie sur une croissance organique mais
réalise aussi quelques belles acquisitions : l’activité
de numérisation de Diadeis en 2011, le
spécialiste de l’archivage des emails Lettranet
en 2013 et, en 2014, Primo BPO, positionné sur
le secteur des experts-comptables, puis Cimail,
un autre acteur de l’archivage électronique et
du coffre-fort numérique.
Les trois piliers du BPO
Née de la personnalisation des carnets de chèques
bancaires, l’activité majeure de Numen se concentre
aujourd’hui autour du Business Process Outsourcing.
Comme pour tous les professionnels de
l’externalisation, les prestations de Numen
« Pour impulser leur
transformation numérique,
de plus en plus de sociétés se
rendent compte qu’il faut créer
cette transformation à l’extérieur
de leur société. » Marc Le Vernoy
reposent sur 3 axes. Le premier est constitué
par la conception et l’édition de solutions logicielles
qui remplacent les applications exploitées
par l’entreprise cliente, et que Numen va
également héberger, GED et CRM par exemple.
Deuxième axe, toutes les activités de services
associés au traitement de la chaîne documentaire.
« Nous sommes prestataires de services en
éditique, nous produisons du courrier et nous
numérisons plusieurs millions de documents pour
des entreprises qui souhaitent accéder à certaines
technologies ou variabiliser leurs coûts », souligne
Marc Le Vernois. Dernier axe, la délégation de
compétences qui permet d’externaliser, en plus
des applications et des documents, une partie
des process du client. « Les fonctions métiers qui
nous sont confiées sont, par exemple, le contrôle
de la comptabilité et de certains flux de facturation,
ou encore le contrôle documentaire pour le
compte d’éditeurs juridiques qui veulent réaliser
des modifications sur un très grand nombre de
documents », illustre le patron de Numen. L’entreprise
est présente dans les secteurs des banques,
assurances, mutuelles, sociétés de services, et
institutions culturelles. Elle intervient en outre
sur des marchés de niche comme la dématérialisation
du patrimoine culturel. Le trait d’union
entre toutes ces activités reste l’archivage électronique,
dont l’expertise a été confortée par le
rachat de Cimail, et qui permet à Numen de se
positionner pleinement en tant qu’opérateur de
confiance. Récente avancée dans les activités du
groupe, sa participation avec le groupe Diffusion
Plus et le groupe BPCE à la création de la
joint-venture DocOne dont l’objectif est de
regrouper les flux hybrides documentaires et
numériques pour peser sur la transformation
digitale des organisations. n
La généalogie de Numen
En 1968, Numen s’appelait Sati. La petite société, spécialisée
dans l’impression de documents sécuritaires, se développe régulièrement
jusqu’à ce que le Crédit Agricole lui confie en 1999 la
reprise d’une partie de ses activités de personnalisation de
chèques : Sati rejoint le groupe Multipap, spécialiste de l’externalisation
de moyens de paiements, et renforce son expertise dans
le secteur de l’éditique. En 2007, le groupe Multipap devient le
groupe Numen. n
-CA 2015 : 62 millions d’euros
-Effectif : 980 salariés dont 700 hors de France
Chaîne de démat (Tessi).
SOLUTIONS IT n 84 n Septembre-Octobre 2016
Jouve au service du numérique
Il ne manque à ce professionnel de la dématérialisation
qu’une brique d’archivage pour
revendiquer la maîtrise de bout en bout du
traitement de la chaîne documentaire.
Spécialisé dans l’acquisition, la valorisation
et la diffusion de l’information, Jouve se
définit comme une entreprise de services numériques.
À la clé, une offre dense : conseil,
conception et valorisation de contenus, production
de livres numériques, dématérialisation
des flux documentaires, mise en œuvre de
solutions IT, externalisation de processus métiers,
diffusion multicanal et optimisation de
chaînes d’approvisionnement. Imprimeur à
ses lointains débuts, le groupe Jouve s’est forgé
une solide réputation d’industriel de la dématérialisation.
« Numériser 300 millions de documents
par an vous oblige à avoir une expertise
dans le traitement de l’image, notamment par le
biais de solutions de RAD/LAD. Nous réalisons
pour le compte de nos clients des plateformes de
solutions IT, de GED et de workflows avec les
règles de gestion et les contrôles métier s’y rapportant.
Notre expertise s’étend également au
développement et à l’intégration de logiciels,
mais aussi à la non matérialisation, une approche
en phase avec les stratégies de demain
qui consiste à ne pas matérialiser les documents,
ce qui implique de savoir capter tous les
flux », résume Jean-Marc Angeard, directeur
commercial de l’activité BPO chez Jouve.
Du BPM à l’édition de solutions,
une stratégie articulée autour
de plusieurs activités
Les activités du groupe s’appuient sur quatre
métiers. La prestation de services pour la
gestion de contenus et de processus métiers, le
développement et l’intégration de logiciel,
l’hébergement et l’infogérance de chaînes de
production, et, enfin, l’édition de solutions
d’industrialisation. Pour maintenir en condition
opérationnelle les plateformes de ses
clients et garantir leur niveau de disponibilité,
Jouve dispose de ses propres datacenter tiers
3 et 4. « Nous possédons notre propre centre de
R&D, qui sert aussi à l’industrialisation de nos
chaînes. Nous nous sommes appuyés au départ
sur des outils du marché, mais lorsque vous
avez les exigences d’un industriel, ces outils
montrent souvent quelques faiblesses au moment
d’atteindre le bout de l’automatisation. Nos
équipes ont donc bâti des savoir-faire supplémentaires
pour combler les défaillances des
éditeurs, ce qui nous a amené avoir une véritable
expertise sur les outils de RAD LAD »,
indique Jean-Marc Angeard.
La généalogie de Jouve
En 1903, l’éditeur Henri Jouve crée à Mayenne une imprimerie spécialisée
dans l'impression de poésies puis de thèses scientifiques, et dont les activités
verront le passage du plomb à l’offset puis au numérique. En 1990,
Jouve devient un acteur de la dématérialisation en ouvrant un site de production
à Lens tout en agrandissant son parc de rotatives. Multi spécialiste, le
groupe se développe à l’international, et connait, en 2015, un fort développement
commercial sur les secteurs de la banque, de l’assurance, de la santé
et du retail. n
- CA 2015 : 90 millions d’euros
- Effectif : 2000 salariés
S’il possédait à son catalogue une brique d’archivage
électronique, le groupe assurerait en
toute autonomie le fonctionnement de la chaîne
de traitement du document. Il s’appuie pour
l’heure sur le tiers archiveur CDC Arkhinéo.
Avec pour clients des grands comptes des secteurs
bancaire, assurance et pouvoirs publics,
Jouve veut en outre devenir un acteur de référence
mondial. Il compte sur une politique
d’innovation et de proximité pour concevoir
des services sur ses marchés clés, par exemple
coupler en temps réel capture des flux et traitements
métier. En plus de chercher à optimiser
ses chaînes de traitement, le groupe reste
attentif aux évolutions du marché. Il mène
une veille particulière sur des technologies
encore en gestation comme celles du papier
électronique ou de la réalité augmentée. n
> Jouve compte parmi
ses références l’Office
européen des brevets,
la Bibliothèque
Nationale de France,
Renault, Thélem
Assurances, BNP
Paribas et l’Insee
« Le marché du document papier entrant se réduit, alors que se multiplient
les canaux numériques dont nous captons les flux avec le même savoir-faire
industriel de traitement de masse. » Jean-marc Angeard
SOLUTIONS IT n 85 n Septembre-Octobre 2016
» DÉMAT » PRESTATAIRES
Locarchives, du papier à la gestion
de l’information dématérialisée
Le tiers archiveur a amorcé son virage numérique et veut
aider ses clients à mieux maîtriser leurs fonds documentaires.
«
> Accompagner les
clients avec une palette
de services dédiés.
Nous sommes présents dans le monde de
l’archivage physique depuis 40 ans, et sommes
aujourd’hui le numéro un français. Depuis une
dizaine d’années, nous avons développé une
offre autour du numérique, et notre stratégie en
tant que tiers archiveur est d’avoir une réponse
homogène et intelligente sur les problématiques
de l’ensemble du patrimoine documentaire physique
et numérique de nos clients », indique Xavier
Berloty, managing director de Locarchives.
Si l’ETI familiale ne veut pas rater le virage
du digital, elle tient aussi à préserver le socle
de ses activités, d’abord en réunissant les
conditions d’une bonne cohabitation entre les
mondes physique et numérique,
ensuite en accompagnant la transition
de ses clients à l’aide d’une
palette de services dédiés. « Depuis
des années, nous rendons à nos clients
des services qui sont éloignés d’une
logique de contrat de dépôt des
archives. Nous renforçons ces services
et accompagnons désormais les entreprises
dans la mise en œuvre de leurs
processus documentaires : traitement,
tri, dématérialisation, rematérialisation,
indexation, intégration
entre systèmes… toutes sortes
de tâches que le client nous demande de construire
à la carte, et qui nous amènent à être beaucoup
plus proches de ses processus métier. Nous ne
sommes plus seulement ce prestataire qui conserve
à l’extérieur les archives physiques et numériques
de l’entreprise, nous déployons les mécanismes
d’interopérabilité qui vont l’aider à être
plus efficace dans son propre métier », explique
Xavier Berloty.
Prestataire en services
documentaires
Non seulement Locarchives entend participer
à la diffusion de la culture digitale chez ses
clients, mais l’entreprise veut se positionner en
prestataire de services documentaires. Le tiers
archiveur met à destination de ses clients un
La généalogie de Locarchives
A la fin des années 70, l’externalisation n’est pas encore une
pratique ancrée dans les habitudes des entreprises françaises.
L'archivage externalisé l'est d’autant moins qu'il s’agit de
confier à un prestataire son patrimoine documentaire. Mais cette
activité connaît outre-Atlantique un succès naissant. Philippe
Régnier s’en inspire et crée en 1977 Locarchives qu’il base à
Saint-Denis dans la région parisienne. Le démarrage de l’activité
est lent mais constant. Augmentation du prix de l’immobilier,
pression économique, nécessité pour les entreprises de rationaliser
leur organisation sont autant de facteurs qui favorisent la
demande d’externalisation des archives papier. Locarchives se
développe sur le marché français de la gestion des fonds documentaires
traditionnels puis se met à décliner des solutions d’archivage
globales. n
- CA 2015 : 46 millions d’euros
- Effectif : 470 salariés
portail unique qui leur permet
d’accéder à l’ensemble de
leur patrimoine documentaire,
tout en intégrant à son
offre des éléments complémentaires
de GED. L’archivage
physique pèse toutefois
près de 85 % dans le CA de la société, avec un
stock de papier de plusieurs milliers de kilomètres
linéaires et qui continue de croître. Les
15 % restants du CA sont générés par les activités
numériques qui affichent un taux de croissance
de 47 % contre 2 % pour l’archivage
traditionnel. « Nous continuons à nous développer
de manière significative en croissance
organique mais depuis quelques années nous
réalisons de la croissance externe sur la partie
sauvegarde informatique et sur la partie archivage
physique », souligne Xavier Berloty. Il
évoque notamment le rachat d'Archives Chrono,
société implantée à Marseille et dont l’acquisition
s'inscrit dans la stratégie de couverture
régionale de Locarchives, qui dispose désormais
de sept antennes en France, sans compter
un grand site à Nîmes en cours de construction.
Satisfait de ce maillage national, Locarchives
n’envisage pas de développement hors
de l’Hexagone mais ne s’interdit pas de réfléchir
à des partenariats au niveau européen
pour renforcer son offensive numérique. n
« Nous maîtrisons totalement nos métiers de l’archivage
physique et numérique, et nous voulons à présent maîtriser les
métiers de nos clients. » Xavier Berloty
Chaîne de démat (Tessi).
SOLUTIONS IT n 86 n Septembre-Octobre 2016
» DÉMAT » PRESTATAIRES
Le Groupe Bernard mise sur
l’outsourcing de proximité
Basé dans la région du Nord, ce spécialiste du PBO documentaire
se voit confier des prestations sensibles et critiques qui le
poussent à établir des échanges continus avec ses clients
> Afin d’éviter
l’offshorisation, le
groupe cherche à
automatiser un
maximum de
processus et traite
tous les documents
dans un site unique
à Marcq-en-
Barœul
Jean-Loup Lemonnier, directeur général du
Groupe Bernard, revendique une expertise
de de près de 45 ans dans le traitement du
document et de la donnée. Passée du stade de
la saisie à façon à celui de spécialiste
de la logistique de la relation
client, l’entreprise d’origine
familiale s’enorgueillit de
réaliser toutes ses opérations
dans l’hexagone, à Lille exclusivement.
« Nous sommes une
gigantesque boîte aux lettres
pour nos clients, dans laquelle
nous collectons tous les jours
des dizaines de milliers d’enveloppes,
qui sont triées, ouvertes
et dont le contenu est dispatché
dans différents ateliers afin de
capturer les données essentielles,
soit de façon traditionnelle via
une saisie clavier, soit à l’aide de logiciels de
reconnaissance ou de lecture automatique de
documents. L’optimisation de ces technologies
est confiée à nos experts métiers, afin de transformer
ces données et les restituer à nos clients
ou directement à leurs propres clients, via des
prestations de personnalisation et de mise sous
enveloppes sophistiquées », indique Jean-Loup
Lemonnier.
100 millions de documents
traités chaque année par
des chaînes applicatives
Avec une centaine de millions de documents
traités par an et une moyenne de 200 000
courriers par jour, le Groupe Bernard adresse
essentiellement les grands comptes. Aux flux
papier s’ajoutent des flux électroniques dont
les données sont conservées, le temps du contrat
passé avec l’un des 150 clients du groupe,
issus pour la plupart du retail, de la grande
La généalogie du Groupe Bernard
Créé en 1972, le Groupe Bernard est d’abord une école privée
d’opératrices de saisie, qui se spécialise petit à petit dans la
sous-traitance. Jusqu’en 1990, la société évolue via la croissance
externe de ses ateliers de saisie à Douai, Arras, Lille, La
Madeleine, Orléans, Rouen et Paris, puis développe des activités
de fullfilment avec la création de CBA en 1993, et plus tard de
CB Info cartes pour accompagner le développement de son activité
éditique et cartes privatives. En 2002 intervient un changement
d’actionnaire, conséquent au rachat des activités par Guy
Loyez à la famille Bernard. Jean Loup Lemonnier prend en 2006
la tête du groupe, qui déménage toutes ses installations à
Marcq-en-Barœul en 2015. n
- CA 2015 : 17,5 millions d’euros
- Effectif : 350 salariés
- 150 clients outsourcés actifs au quotidien
distribution et de la VPC. Pour des durées
d’archivage légales, un partenariat a été passé
avec CDC Arkhinéo. L’activité majeure du
Nordiste demeure le traitement des abonnements,
presse ou assurance. Sont également
dématérialisés les dons caritatifs et les bulletins
d’adhésion de la grande distribution.
Pour adresser ces secteurs, le groupe a pris le
parti de créer des chaînes applicatives, déclinées
par métier et par structure des documents.
Ainsi, le traitement des documents
très structurés, typiquement les chèques, reposet-il
sur un cœur NCR, éditeur américain spécialiste
du transactionnel. Pour les documents
semi structurés, ceux pour lesquels certaines
données sont toujours positionnées aux mêmes
endroits, le Groupe Bernard opère avec une
technologie Readsoft. Enfin, les documents
non structurés, liés par définition à des données
variables, sont confiés à une solution de l’éditeur
Captiva. « La chaîne applicative reste la
même mais nous la customisons par grand marché,
en nous adaptant au client et surtout pas en le
faisant rentrer dans un moule. L’expertise des
logiciels est capitale, tout comme notre capacité
d’adaptation : si l’on veut exploiter un
système de dématérialisation vertueux, il nous
faut qualifier la donnée au maximum », souligne
Jean-Loup Lemonnier. n
« Notre volonté est d’accompagner nos clients dans leur
transformation digitale en leur fournissant les outils qui leur
permettent d’aller dans cette mouvance numérique. »
Jean-Loup Lemonnier
Chaîne de démat (Tessi).
SOLUTIONS IT n 88 n Septembre-Octobre 2016
Transformons l’entreprise,
avec le digital
L’IT irrigue l’entreprise
et concerne désormais tous les métiers.
Le magazine et le portail de sites métiers
vous apportent actus, dossiers, témoignages
pour vous accompagner dans
cette transformation
NOUVEAU
Un site
pour chaque métier !
DSI, DG, DAF,
DRH, Marketing
ou Commercial,
un site vertical
vous est destiné.
www.solutions-numeriques.com
OUI, je m’abonne (écrire en lettres capitales)
Envoyer par la poste à : Solutions IT, service Abonnements - 4 rue de Mouchy, 60438 Noailles cedex - ou par fax : 01 55 56 70 20
1 an : 35! (Tarif France métropolitaine) - Autres destinations : CEE et Suisse : 45! - Algérie, Maroc, Tunisie : 50! , Canada : 65! - Dom : 60! - Tom : 85! - 5 numéros par an.
M. Mme Mlle Société . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Directeur / Responsable informatique Dirigeant d’entreprise DAF DRH Directeur commercial Directeur marketing Autre . . . . . . . . . . . . . . . . . . . . . . . . . . .
NOM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Prénom . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
N° . . . . . . . . . . . . . rue . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Complément . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
"
Editeur : K-Now sarl au cap de 8000€
siège social : 21 rue de Fécamp, 75012 Paris
Code postal : l – -– l – -–- l – -– l – -– l – -– l Ville . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Adresse mail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Je joins mon réglement par chèque à l’ordre de SOLUTIONS IT
Je souhaite régler à réception de facture
