(Las Vegas) À parler avec le Britannique Bilhar Mann (photo à la droite du paragraphe suivant), VP principal responsable de la gamme de produits de sécurité de CA, on comprend que si les outils traditionnels, ces antivirus, anti-espiogiciel, anti-pourriel et autres pare-feu, sont toujours incontournables, le nec plus ultra stratégique est maintenant à un autre niveau, celui de la gestion de l’accès et de l’identité, c.-à-d. du “qui fait quoi” ou “qui vient faire quoi” sur le réseau corpo ou sur l’écosystème qui s’y rattache.

Rien ne sert en effet de claquemurer son entreprise derrière des murailles infranchissables, de redoutables champs de mines et des kilomètres de fil barbelés, si n’importe qui, de l’intérieur, a accès au trésor et peut disposer de ce qu’il y prélève. C’est aussi absurde que ces prisons sous haute surveillance où on fait parvenir la drogue dissimulée dans une balle de tennis en la jetant par-dessus les murs d’enceinte.

La théorie que m’explique M. Mann est fort simple. Plus on circonscrit l’accès, plus on s trouve à limiter les erreurs, donc, plus on arrive à diminuer le potentiel d’infiltration criminelle. Avant, l’info stratégique était entreposée dans des ordinateurs centraux ou départementaux à qui seuls les initiés “lourdement” formés savaient parler. Il pouvait alors sembler un peu superfétatoire de se préoccuper de ces questions d’accès illicite. Mais il en est tout autrement aujourd’hui, époque où n’importe qui, même des employés ne disposant d’aucune connaissance professionnelle en informatique, peuvent, théoriquement, accéder au saint des saints à partir d’un dispositif mobile.

De nombreuses études le démontrent. Les permissions d’accès aux systèmes sont très mal gérées. Les gens changent d’affectation, passent à d’autres projets, migrent vers d’autres département, quittent même l’entreprise, sans qu’on revoit leurs autorisations, permissions et droits d’accès. Pas besoin d’aller bien loin pour illustrer. Moi qui ne suis plus chroniqueur au Journal de Montréal depuis la fin de l’été 2005, je dispose encore d’une adresse de courriel particulière à ce quotidien montréalais, ce qui me vaut, de temps en temps, une note de service.

Résultat, explique M. Mann, de l’info peut couler, se perdre, être détruite, volée, revendue. Des organisations criminelles sont à l’œuvre. Elles profitent de ce que permet une certaine incurie interne. Un marché noir s’est organisé. Tous les jours, une histoire d’horreur survient quelque part. Des listes de noms, de NAS, de NIP, de numéros de cartes et j’en passe, ont été volées, égarées, oubliés, chez un vendeur en ligne, un ministère, un hôpital, une institution bancaire, etc. Pourquoi passer par midi à quatorze heures afin de hacker un système si on n’a qu’à s’assurer de la complicité ou de la bêtise d’un employé, d’un consultant, d’un pigiste ou d’un partenaire, ne demandant qu’à arrondir ses quinzaines, qu’à rendre service ou qu’à se venger ?

En juin dernier, un sondage réalisé pour le compte de CA Canada, démontrait que le nombre d’entreprises victimes de pertes d’informations confidentielles et de propriété intellectuelle avait doublé au cours des deux dernières années, passant de 10 % en 2006 à plus de 20 % en 2008. Or, un tiers des répondants au sondage avaient désigné les brèches internes comme cause principale, comparativement à moins de 5 % en 2003.

Au même moment, un deuxième sondage CA Canada nous apprenait que seulement 7 % des consommateurs canadiens disaient avoir une grande confiance envers les détaillants (0,5 %), les banques (9 %) et les gouvernements (12 %) pour la protection de leurs renseignements personnels. Autrement dit, 93 % avaient plus ou moins confiance.

Bien sûr, ce constat n’est pas nouveau. Le problème, c’est qu’il gagne actuellement en popularité, notamment en raison des applications et des services Web (SOA – Service Oriented Application) dont les entreprises se dotent à vitesse Grand V. Pour elles, il s’agit de faciliter leurs relations avec clients, partenaires et employés. C’est la mode, ça marche, c’est efficace, c’est simple, tout le monde le fait. Pourtant, déplore M. Mann, la question de l’accès à l’info est, règle générale, gérée de façon inappropriée; on préférera y aller au niveau de l’application (mode silo) et non pas de façon plus globale.

D’autres chiffres, ceux-ci provenant, encore une fois, d’un sondage récent réalisé pour CA auprès de 555 gestionnaires informatiques œuvrant en moyenne et grande entreprise dans différents pays, révèlent que si 93 % des répondants estiment que cette question est critique, seulement 43 % sont passés aux actes en implantant une solution. Autre chiffre intéressant, 57 % des répondants ont déclaré avoir dû retarder des projets de déploiement Web de type SOA en raison de ces enjeux de sécurité.

La logique du gros bon sens “serait de permettre à quelqu’un de n’accéder qu’à ce qui est nécessaire à l’exercice de son travail et à rien d’autre”, soutient le VP Bilhar Mann. Telle tâche, tel accès ! L’affectation est terminée ? En deux clics trois mouvements, on devrait pouvoir changer instantanément les privilèges de la personne sans devoir recourir aux services du département informatique, une tâche pouvant être accomplie par un gestionnaire sans contacts avec l’équipe des TI.

C’est justement ce qui est en train de se mettre en place avec les logiciels de gestion d’identité et d’accès (IAM – “Identity and Access Management”) de la multinationale informatique. On parle essentiellement d’applications Web très simple à utiliser qui permettent d’automatiser, de déléguer et de centraliser certaines procédures stratégiques concernant l’intégrité de son information.

Mais en même temps, il ne faut pas oublier les clients que l’on veut attirer sur un site ou sur son écosystème de sites, des gens normalement bien intentionnés qui doivent ne pas sentir le poids de la sécurité.

C’est ainsi qu’hier, la fabricante newyorkaise ajoutait trois nouveaux produits sous le parapluie IAM, soit “Federation Manager”, “SOA Security Manager” et “Secure Web Business Enablement”, trois gros logiciels qu’elle prévoit lancer sous peu. De plus, elle annonçait un partenariat avec la géante mondiale Deloitte, afin de pousser encore plus loin et de façon plus sécuritaire que jamais, sa solution SiteMinder, un système d’accès Web (WAM – “Web Access Manager”)

Le premier des trois nouveaux produits, “Federation Manager”, se positionne autour du phénomène croissant des écosystèmes. On parle ici de cette tendance d’affaires visant à intégrer certaines fonctions informatiques entre systèmes appartenant à des entreprises partenaires. L’exemple le plus fréquent est probablement l’accès Web. “Monsieur, vous êtes authentifié sur notre site, si vous souhaitez aller sur nos sites partenaires, vous le pouvez maintenant sans devoir tout recommencer le processus d’identité”. On comprend la complexité du processus entièrement automatisé qui fait en sorte que tout est parfaitement étanche, autrement dit qu’aucune information confidentielle sur “Monsieur” ne soit inutilement transmise aux partenaires.

Le second logiciel, “SOA Security Manager”, assume les diverses fonctions de sécurité dans un contexte SOA de services Web, incluant la gestion des identités, ainsi qu’une protection contre les attaques XML, une tendance en nette expansion. Au lieu de voir chaque application Web s’occuper elle-même de cette obligation, le logiciel de CA vient le faire, en couche séparée, pour toutes les applications.

Le troisième, “Secure Web Business Enablement”, se destine aux entreprises qui veulent améliorer, développer et étendre leur système transactionnel Web, tant sur les plans qualité que sécurité, cela dans un contexte de protection accrue des renseignements personnels.

On a compris que cette gamme de produits s’inscrivait dans un contexte d’affaires en expansion très rapide. Les criminels troquent de plus en plus leurs gourdins, leurs surins et leurs pétoires contre des souris, des lignes de code malicieux et une solide connaissance de la nature humaine, c.-à-d. “l’hommerie” du père Rabelais. Le Web devient plus stratégique que jamais, les entreprises le savent et les malfaiteurs s’ajustent. On parle donc de “criminalité intelligente”, l’inévitable contrepartie au développement accéléré auquel on assiste présentement sur le Web.

Bref, le marché est très important et CA entend s’y tailler la meilleure part possible.