Rechercher
Fermer ce champ de recherche.

Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

09/02/2022

Digital Technology Insights

Self-BI : Dat’Iceberg en vue !

Culture, gouvernance et qualité… Voilà les 3 priorités en matière de « Data Strategy » sur lesquelles les entreprises s’accordent cette année encore [1], quels que soient leur secteur d’activité, leur plaque géographique ou leur maturité sur ces sujets.
Et ce depuis plus de 5 années consécutives alors que le monde connait une accélération sans précédent avec dans son sillage son lot d’injonctions (à priori) paradoxales…

Les marqueurs d’une transition

Figure 1: L’injonction paradoxale à l’échelle de l’entreprise

La multiplicité de ces changements tant en fréquence qu’en nature, met à mal l’entreprise et l’ensemble de son écosystème. Alors pour préserver sa « santé » (business model, performance, pérennité…), le besoin de fiabilisation et de valorisation de l’information devient chaque jour plus prononcé.
Avec encore et toujours le même objectif : mieux décider pour mieux agir (cf. notre article « La Gouvernance de Données : votre passeport vers la création de valeur »). Pas étonnant dans ce contexte que la Self-BI trouve une nouvelle fois sa place au top 5 des tendances Data, BI and Analytics de 2022 selon BARC [1].

Figure 2: « Data, BI, and Analytics Top trends » 2022 selon BARC

Car tout l’enjeu est là : bâtir le socle technologique, organisationnel et culturel nécessaire à l’autonomisation des métiers (indépendance ET responsabilité) en matière de consommation du patrimoine informationnel de l’entreprise. De sorte que l’intelligence économique devienne une compétence décentralisée qui concourt au développement de l’intelligence collective.
En clair, c’est donner la capacité aux utilisateurs finaux d’accéder à des sources de données fiables et d’en tirer la valeur attendue en construisant et en déployant leurs propres analyses et reportings (voire modèles de données pour les plus aguerris), et ce sans recourir à l’IT.
Il s’agit donc de créer au sein même de l’entreprise un nouvel écosystème fondé sur la confiance et répondant à de nouvelles règles d’engagement visant à concentrer, orchestrer et associer données, compétences, processus et personnes.

[1] Data, BI and Analytics Trend Monitor 2022, BARC – Business Application Research Center

La transformation en prérequis

Les promesses de la Self-BI sont nombreuses et ont toutes pour objet la valorisation du patrimoine informationnel de l’entreprise :

  • L’amélioration des processus de création de valeur et d’aide à la décision,
  • L’amélioration de la performance et de l’agilité des métiers (time to market),
  • Le développement d’une culture du pilotage et de l’innovation par la Donnée,
  • Le développement de la relation partenariale entre IT et métiers.

Pour autant, ces promesses ne pourront être tenues qu’à cette unique condition : une transition IT réussie vers le Data Enablement. En d’autres termes, la mise en œuvre et le support efficace de l’architecture et des processus qui garantiront que la bonne information soit délivrée à la bonne personne et au bon moment afin qu’elle puisse prendre la meilleure décision possible et agir en conséquence. Et ce en conformité avec les standards éthiques, réglementaires et de sécurité qui s’imposent à la structure.

Sans pousser trop loin la métaphore, le modèle culturel de l’iceberg d’Edward T.Hall s’applique ici parfaitement : les parties immergées (c’est-à-dire la valeur produite) n’étant que l’expression des parties submergées (rassemblant prérequis et fondamentaux).

Figure 3: La Self-BI, le changement de paradigme

La Self-BI n’est donc pas uniquement une affaire d’outils et elle ne peut se limiter aux seuls talents du bricoleur. Bien au contraire ! Elle s’inscrit dans une démarche globale relevant davantage du programme de transformation que du projet de déploiement applicatif.
Sur le plan technologique, on portera une attention particulière à la performance et la scalabilité de la plateforme qui soutiendra la démarche :

  • performance : car la démocratisation des usages au même titre qu’une volumétrie croissante des données viendront malmener les infrastructures. La performance pourrait vite devenir la première victime du succès (de fait éphémère) de cette toute nouvelle autonomie donnée aux utilisateurs ;
  • scalabilité : car les besoins viendront à se multiplier et qu’il deviendra indispensable de pouvoir accueillir ces changements en des temps records, sans remettre en question la qualité, la conformité, la sécurité ou l’exploitabilité du service rendu.

Sur le plan organisationnel, il conviendra de créer et orchestrer de nouveaux rôles dédiés à la valorisation de la donnée comme à sa collecte et à son façonnage amont. In fine, c’est l’animation d’une communauté data rapprochant équipes métiers et IT/BI qui représentera l’un des facteurs de succès de la démarche en relayant notamment :

  • gouvernance : car la définition de politiques, processus, standards (notamment en matière de gestion des privilèges) et la clarification des rôles et responsabilités tout au long du cycle de vie de la donnée devront garantir les niveaux de disponibilité, intégrité, confidentialité et traçabilité de l’information ;
  • changement : car le déploiement et le maintien de guides, de plans de formation et de canaux de communication appropriés (supports, publications, événements) contribueront à l’acculturation nécessaire à la transformation amorcée et favoriseront l’adhésion des différentes parties prenantes aux solutions déployées.

Trouver le bon curseur, la bonne approche, la bonne architecture sont autant de challenges auxquels il faudra se confronter pour mettre en œuvre le plus efficacement une démarche de Self-BI.
En conséquence, une recommandation s’impose : définir une feuille de route adaptée, privilégiant preuves de concepts et autres « quick wins » ou effets démonstrateurs en s’appuyant en premier lieu sur les populations métiers les plus matures tant en termes de compétences que d’usages.

Le cloud : un accélérateur à double tranchant

Et cette logique « des petits pas » s’illustre particulièrement en matière d’architecture. Comment bâtir un socle technologique qui réponde à l’ensemble des usages de la donnée au sein de l’entreprise ? Et par conséquent, comment intégrer les besoins liés au déploiement de la Self-BI ?

Les réponses à ces questions épineuses ne tombent jamais du ciel. Pourtant, nombreuses sont les organisations qui se tournent vers les nuages… D’ici 2025, 50% des entreprises appuieront leur transformation métier sur des architectures cloud distribuées, justifiant une place au top 3 des priorités achat dès 2023[2].

Et les motivations sont claires : plus simple, plus performant, plus agile et moins cher, avec en prime la possibilité souvent alléchante de changer de modèle de coût (du CAPEX vers l’OPEX) et de diminuer le TCO (Total Cost of Ownership) du SI. Un environnement tout désigné pour garantir l’ATAWAD (Any Time, Any Where, Any Data) recherché par l’implémentation d’une démarche Self-BI.
Simplification et valorisation : telles sont les attentes de ces architectures DaaS (Data as a Service) telles que rencontrées dans de nombreuses organisations puisqu’elles facilitent :

  • l’ingestion et le stockage de multiples sources de données, qu’elles soient structurées, semi-structurées ou non structurées,
  • l’accès au temps réel via le déploiement de technologies de CDC (Change data Capture) et le passage au mode ELT (Extraction, Load and Transform) par opposition au traditionnel ETL,
  • l’implémentation de « sources uniques de vérité » permettant l’exposition de données Métier sécurisées, fiabilisées et traçables de bout en bout (data lineage).

Figure 4: xOPS – les clés d’une transition réussie vers le cloud

Et ces tendances à la modernisation des socles data ne rencontreront de succès et de ROI raisonnable (Return On Investment) qu’à condition de porter une attention particulière aux points suivants :

  • l’implémentation puis le maintien en conditions opérationnelles et de sécurité de l’architecture choisie (hybride, multicloud…),
  • le développement et la pérennisation de compétences, rôles et processus spécifiques à même de garantir l’agilité et la flexibilité recherchées,
  • la gestion fine, opérationnelle et en continu des coûts liés à ces plateformes dont la pluralité des modèles et usages peut vite condamner toute tentative de maîtrise des budgets dédiés.

C’est donc en prenant « le virage des Ops » et en rapprochant les métiers du développement, de la sécurité, des opérations et des finances autour de la donnée et dans un cadre collaboratif efficace, que ces architectures donneront pleinement satisfaction.
Des choix forts et des investissements lourds qui figurent parfaitement de l’iceberg présenté plus haut et de l’ampleur de la tâche concernant l’implémentation de la Self-BI comme outil de pilotage de l‘entreprise par la donnée.
Et les différents fournisseurs du domaine en conviennent, car si les principaux acteurs présentent des solutions aux fonctionnalités similaires, c’est bien sûr les points présentés plus haut que la bataille fait rage.

Figure 5: Magic Quadrant pour les plateformes d’analyses et de Business Intelligence

En effet, les principales fonctionnalités qu’il faudra rechercher dans un outil de Self-BI sont les suivantes :

  • la capacité à effectuer des analyses/requêtes sans ou avec peu de support de la part de l’équipe IT. Cette facilité de prise en main représentant le cœur de la Self-BI ;
  • l’accès, la collecte et la manipulation de différentes sources de données. Capacité essentielle à la consolidation de vues 360° d’une problématique donnée ;
  • enfin la multiplicité et la qualité des outils de data visualisation et de création de tableaux de bords permettant d’explorer et de représenter les données de façon précise et largement compréhensible, s’avèrent indispensables à toute solution de Business Intelligence.

Toutefois, il ne s’agit là que d’une base commune aux différents outils d’un marché ultra compétitif, ne permettant plus de les départager.
Il convient alors de se focaliser sur des critères relevant davantage du contexte d’implémentation de ces solutions que de leur valeur intrinsèque :

  • Scalabilité et performance : à mesure que la quantité de données augmente et que les besoins en analyse sont en constante croissance, il est nécessaire de disposer d’un outil scalable, performant avec des capacités de calcul importantes (au même titre que l’ensemble des briques architecturales évoquées plus haut) ;
  • Sécurité et contrôle d’accès : la sécurité des données est un élément critique à surveiller. La mise en place d’une gouvernance claire en définissant les rôles et privilèges d’accès permet de limiter les risques de compromission des données et d’en maitriser les niveaux de confidentialité. Une gestion fine des privilèges et la définition de modèles de delivery (business led et/ou IT managed) adaptés aux profils utilisateurs comme aux usages permettront ainsi de maîtriser les risques et coûts de déploiements ;
  • Collaboration : afin de contribuer à la démocratisation des usages et au développement d’une culture de la donnée au sein de l’entreprise, la solution choisie doit faciliter la communication entre utilisateurs, le partage de données (publication) comme la production collaborative de tableaux de bords. Les capacités multi-devices seront également appréciées, notamment dans une optique de mobilité ;
  • Data management : la Self-BI renvoie à la mise en œuvre d’une chaine complète de traitement de l’information. En conséquence, les solutions « de bout en bout » proposant une couverture exhaustive de cette chaine seront particulièrement appréciées. L’intégration de fonctionnalités de gestion de la qualité des données (Data Stewardship) ou encore de gestion centralisée des métadonnées (Data Catalogue ou Business Glossary) est indispensable au déploiement d’une vision commune et dé-silotée de l’information, facilitant sa compréhension par tous et libérant par là son usage ;
  • Analytique avancée : si la multiplicité des connecteurs facilite l’intégration de nombreuses sources de données, elle permet également d’étendre les performances de la solution en embarquant des méthodologies d’IA de découverte, d’enrichissement, ou d’explication de données (cf. Machine Learning ou Deep Learning). Proche d’intégrer les fonctionnalités de bases citées plus haut, leur facilité d’implémentation et/ou degré d’intégration à la solution constitue un élément particulièrement différenciant.
  • Offre cloud : la capacité d’un outil Self-service BI à s’inscrire dans un environnement cloud est devenue également inévitable. L’outil devra permettre non seulement de réaliser des analyses de données dans le cloud (qu’il soit public ou privé) mais aussi de s’intégrer dans des écosystèmes multiclouds et hybrides.
  • Coût : les coûts d’achat, de mise en œuvre et d’exploitation doivent être pris en compte lors du choix de l’outil. Les fournisseurs mettant en avant des offres plus avantageuses avec une couverture complète arriveront à se démarquer notamment les fournisseurs cloud (tels que Microsoft, AWS, Google…).

[2] 100 data analytics predictions through 2025 – GARTNER

Alors « faire ou ne pas faire ? »

Finalement, la question n’est pas là. Et pour une fois, elle n’est pas non plus dans le « Pourquoi ? », la valeur potentielle pour l’entreprise n’étant plus à démontrer, quel que soit le domaine[3][4]. La question réside bien dans le « Comment ? ».

Figure 6: L’impact de l’analyse de données en temps réel par métier et secteurs d’activité [3][4]

La Self-BI n’est pas une fin en soi mais une composante essentielle d’une stratégie globale de valorisation de la donnée au sein de l’entreprise, visant à renforcer le pilotage de la performance Métier, accélérer et fiabiliser la prise de décision.

Elle représente un palier de maturité dans le rapport de l’entreprise à la donnée, et doit s’inscrire dans une démarche stratégique à moyen/long terme, mobilisant de nombreuses parties prenantes afin d’opérer le changement de culture associé.

Figure 7: La Self-BI, une question de maturité [5]

Selon le référentiel du CMMI, un niveau de maturité « Defini » (3 sur une échelle de 5 niveaux), c’est-à-dire présentant des standards décrits et en application sur chacun des axes du modèle DMMSM, semble représenter une base solide pour l’implémentation efficace et sereine d’une démarche de Self-BI.

En 2023, 30% des organisations collecteront la valeur issue de leurs données via l’intelligence collective déployée au sein de leurs communautés Data, dépassant leurs concurrents ne comptant que sur leur centre d’excellence dédié ou démarche de self-service [2].

L’analyse n’est donc que la partie immergée de l’iceberg « Self-BI » dont la stabilité repose sur les étapes clés suivantes :

  • L’établissement d’une stratégie ambitieuse, claire et pragmatique, alignant métier & SI au regard des enjeux de l’entreprise,
  • La définition et l’animation d’une gouvernance transverse, mobilisatrice, tangible et efficace au quotidien,
  • L’implémentation ou la modernisation d’une architecture performante, scalable, agile et sécurisée par design,
  • Le développement et l’accompagnement d’une communauté dynamique et engagée, car seules ces forces vives donneront corps aux plans, processus et outillages déployés.

Figure 8: La Self-BI, une composante essentielle de votre stratégie Data

[3] Fueling growth through data monetization – MCKINSEY

[4] Faster Insights from Faster Data – best practice report 2020 – TDWI

[5] Why Is Measurement of Data Management Maturity (DMM)SM So Important? – CMMI

ANTARI Imane

Imane ANTARI

Consultante Digital Technology

Alexandre MENICACCI

Consultant senior Digital Technology

Voir les derniers Digital Technology Insights

22 novembre 2023
Le Digital & Technology Insights de ce jour permet d’appréhender la nécessité de positionner de manière lisible et assumée sa Direction des Systèmes d’Information conditionnant l’organisation la plus efficiente à déployer pour décliner la stratégie IT toute en accompagnement le business.
8 novembre 2023
Digital & Technology Insights : Asma nous plonge au cœur du rôle crucial de la donnée en tant qu'élément moteur qui alimente l'innovation urbaine, ouvrant la voie à des villes plus durables et une meilleure qualité de vie pour les résidents.
12 juillet 2023
Luc nous parle des services IXP ​et des nombreux bénéfices qu’il apporte aux entreprises.
22 mars 2023
La tendance du Multi Cloud se confirme. Dans ce contexte, quelle stratégie adopter afin d'assurer une connectivité efficiente et résiliente ?
10 novembre 2022
Digital & Technology : une couverture de l’ensemble de la chaine de valeur IT & Digitale, de la définition à la mise en œuvre : retour d’expérience sur un use case client.
13 octobre 2022
Pour pouvoir ouvrir la voie à de nouveaux services, de nouveaux acteurs innovants, créer de nouveaux marchés pour de nouveaux besoins, nous avons besoin d’adressage. L’explosion de la demande dépasse largement la capacité d’adressage IPv4 et c’est pour solutionner ce problème que l’IPv6 a été inventé, en 1998.
13 septembre 2022
Numérique responsable : le FinOps se présente comme une réelle opportunité et un levier indéniable pour maitriser sa consommation énergétique, réduire le gaspillage des ressources dans le cloud et avoir un impact positif sur l’environnement.
11 août 2022
La data a une importance cruciale et représente un enjeu majeur pour une entreprise dans l’élaboration de l’ensemble de ses stratégies commerciales, marketing et opérationnelles.
29 juin 2022
FinOps renverse le paradigme de planification des dépenses. Au lieu de fixer en avance les coûts engendrés par une technologie, FinOps vise à analyser et optimiser de manière continue les dépenses d’une technologie utilisée.
19 mai 2022
Finops : le cloud est aujourd’hui un levier incontournable. De nouveaux paradigmes sont introduits par la nature du modèle cloud.

Nous vous souhaitons de joyeuses fêtes de fin d’année hautes en couleur et à l’année prochaine pour une année 2024 exaltante ! 🎉

🎁 Merci à tous pour votre participation au quiz de l’avent, nous contacterons le gagnant très prochainement.

🎅 Chez Almond, l’esprit festif des fêtes de fin d’année est arrivé en avance !

Nos collaborateurs ont profité d’une soirée chaleureuse et joyeuse dans l’un des restaurants les plus spectaculaires de Paris, Le Cirque avec un cocktail dinatoire, des surprises et un Secret Santa.

Et un peu plus de magie de Noël ? Almond a également ouvert ses portes aux familles de nos collaborateurs pour une après-midi conviviale autour de l’arbre de Noël. Les enfants ont été captivés par des contes enchantés, de 1001 contes Constance Felix et ont savouré un goûter délicieux avec des chocolats chauds préparés par les Empotés. Le Père Noël a distribué des coloriages géants et des cadeaux pour le plus grand bonheur des enfants 🎁

Jour 23 : Quel est l’un des avantages de la communication et de la concertation des parties intéressées dans le processus de gestion des risques liés à la sécurité de l’information ?

  • Réponse 1 : La comparaison des résultats réels du processus de gestion des risques avec les résultats prévus lors de l’évaluation des risques.

  • Réponse 2 : Elle permet de prendre en compte différentes perspectives lors de l’établissement des critères de risque et l’évaluation des risques.

  • Réponse 3 : L’assurance que tous les risques soient communiqués à toutes les parties intéressées, quelles que soient la nature et la sensibilité de ces risques.

Laïus explicatif : La mise en place d’un processus de communication et de consultation en matière de gestion des risques liés à la sécurité de l’information a pour avantage l’amélioration des connaissances des employés concernant les risques et le processus de gestion des risques, la prise en compte de différentes perspectives lors de l’établissement des critères de risque et de l’évaluation des risques, l’amélioration de la gestion du changement au cours du processus de gestion des risques, et la garantie que chacun comprend son rôle et ses responsabilités.


Précision : une partie intéressée (le terme « partie prenante » est admis) est une personne ou un organisme susceptible d’affecter, d’être affecté ou de se sentir lui-même affecté par une décision ou une activité (extrait de la norme ISO 27001).
Les parties intéressées externes peuvent inclure les régulateurs et législateurs, les actionnaires, y compris les propriétaires et investisseurs, les fournisseurs, y compris les sous-traitants, consultants et partenaires d’externalisation, les associations industrielles ou autres, les concurrents, les clients et consommateurs, et les groupes d’activistes.
Les parties intéressées internes peuvent inclure les décideurs, y compris la direction générale, les propriétaires de processus, de systèmes et d’informations, les fonctions de soutien telles que l’informatique ou les ressources humaines, les employés et les utilisateurs, et les professionnels de la sécurité de l’information.

Jour 22 : CTF #4 de l'avent

Voici la solution du CTF #4 de l’avent

  • Flag : CWATCH{A_MAGICIAN_AMONG_THE_SPIRITS-HOUDINI}

Jour 21 : En communication de crise, qu’appelle-t-on l’effet « streisand » ?

  • Réponse 1 :  Une technique de réponse face aux journalistes

  • Réponse 2 :  Un phénomène médiatique involontaire

  • Réponse 3 :  Une posture de communication non-verbale

  • Réponse 4 :  Une stratégie de communication en temps de crise

Laïus explicatif : En communication de crise, l’effet « streisand » est un phénomène médiatique qui se produit lorsqu’une organisation souhaite cacher, supprimer ou censurer des informations la concernant et que cela la conduit à une augmentation involontaire de la visibilité de ces informations.

Ce phénomène fait échos à la chanteuse et actrice américaine Barbra Streisand. En effet, en 2003, Barbra Streisand avait essayé de supprimer une photographie de sa résidence en Californie et cela a conduit à une plus grande attention portée à cette photographie. Cet effet prend souvent de l’ampleur grâce à la couverture médiatique, le bouche-à-oreille ainsi que les réseaux sociaux (qui vont propager l’information encore plus rapidement).

 

Exemple d’entreprise :

En novembre 2022, la FNAC s’est retrouvée au cœur d’un débat politique lorsqu’elle a mis en vente un jeu intitulé « Antifa ». Il propose aux joueurs d’incarner des militants chargés de déjouer les « exactions d’extrême droite » en leur opposant « une résistance de force égale ou supérieure ». À la suite de cette polémique, la FNAC a décidé de retirer le produit de ses ventes le dimanche 27 novembre 2022 puis, après « analyse », de le remettre en vente le 29 novembre.

La polémique générée par les critiques d’extrême droite a permis de mettre en lumière le jeu alors qu’il aurait pu passer sous les radars.

En voulant arrêter la polémique naissante sur les réseaux sociaux, l’entreprise a pris l’option risquée de réagir très vite par le retrait temporaire du jeu afin d’analyser son contenu. Elle s’est ainsi retrouvée au cœur d’un débat politique.

 

Notre opinion :

Afin d’éviter l’effet « Streisand », il faut mettre en place des veilles médiatiques régulières pour surveiller et analyser le contexte médiatique. De plus, il faut évaluer avec soin l’information en question, en se demandant si cette information est vraiment susceptible de causer un préjudice important et si la tentative de censure est justifiée.

Néanmoins, il faut avoir en tête qu’avec l’évolution des médias et la rapidité de diffusion de l’information, chercher à supprimer une information met davantage les organisations sous le feu des projecteurs. Ainsi, il faut parfois relativiser et accepter que cette information ait été diffusée. C’est grâce à l’analyse du contexte médiatique que les entreprises pourront évaluer l’impact que peut avoir cette information dans les médias et ainsi décider de communiquer ou non.

Jour 20 : Quel type d’attaque consiste à intercepter et à lire les informations sensibles, telles que les identifiants de connexion, en transit entre un utilisateur et un site web ?

  • Réponse 1 : Attaque par déni de service (DDoS)

  • Réponse 2 : Attaque par force brute

  • Réponse 3 : Attaque par interception (Sniffing)

  • Réponse 4 : Attaque de phishing

Laïus explicatif : Une attaque par interception, également connue sous le nom de “sniffing”, est une méthode utilisée par les cybercriminels pour capturer et inspecter les données qui sont transmises sur un réseau.

L’attaquant utilise un logiciel d’interception de paquets (sniffer) pour capturer les données à mesure qu’elles passent sur le réseau. Ces données peuvent inclure des informations sensibles telles que des noms d’utilisateur, des mots de passe, des numéros de carte de crédit, etc.

Jour 19 : Quelles sont les différentes briques fonctionnelles composant habituellement les plateformes SASE (Secure Access Service Edge) ?

  • Réponse 1 : XDR (Extended Detection & Response), IDS (Intrusion detection System), CRL (Certificate Revocation List), ZTNA (Zero-Trust Network Access), anti-SPAM

  • Réponse 2 : SD-WAN (Software-Defined WAN), ZTNA (Zero-Trust Network Access), Bastion, EDR

  • Réponse 3 : SD-WAN (Software-Defined WAN), CASB (Cloud Access Security Broker), SWG (Secure Web Gateway), FWaaS (Firewall-as-a-Service), ZTNA (Zero-Trust Network Access)

  • Réponse 4 : SDS (Santa Detection System), CaaS (Chocolate as a Service), STAR (haut du sapin), CD-TTWU (Children-Defined Time to Wake Up), XMS (Extended Meals & Stomach)

Laïus explicatif : Gartner définit le SASE comme la convergence entre le réseau et la sécurité, incluant SD-WAN, SWG, CASB, NGFW et zero trust network access (ZTNA). Certains fournisseurs de plateforme SASE prévoient d’étendre leurs offres en y intégrant EDR et XDR.

Jour 18 : Quels types de données une solution DLP vise-t-elle généralement à protéger ?

  • Réponse 1 : Uniquement les données personnelles des employés.

  • Réponse 2 : Toutes les données, indépendamment de leur sensibilité.

  • Réponse 3 : Uniquement les données stockées sur des serveurs internes.

  • Réponse 4 : Les données sensibles et confidentielles, telles que les informations financières ou médicales.

Laïus explicatif : Les stratégies et solutions DLP visent généralement à protéger les données sensibles et confidentielles, telles que les informations financières, médicales, ou tout autre type de données qui, si perdues ou compromises, pourraient causer des dommages importants à une organisation.

Jour 17 : D'après Hyperproof, quel est le pourcentage moyen de non-respect des réglementations en matière de protection des données telles que le RGPD et des faiblesses des mesures de cybersécurité entraînant des vulnérabilités dans la protection des données de l'entreprise et des clients, observé dans les entreprises du secteur technologique ?

  • Réponse 1 : 10%

  • Réponse 2 : 25%

  • Réponse 3 : 40%

  • Réponse 4 : 55%

Laïus explicatif : Une étude récente menée par Hyperproof (logiciel de gestion de la conformité) parmi les 1029 personnes interrogées a montré que 25% des entreprises technologiques font face à des problèmes de non-conformité chaque année. Elles ont connu au moins une violation de la conformité ou un manquement, comme un non-respect des réglementations en matière de protection des données telles que le RGPD et des faiblesses des mesures de cybersécurité entraînant des vulnérabilités dans la protection des données de l’entreprise et des clients. Cela montre l’importance d’une gestion efficace des risques et de la conformité pour éviter les sanctions et maintenir une bonne réputation. Les entreprises doivent investir dans des formations, des audits réguliers et des technologies de surveillance pour s’assurer qu’elles restent dans les limites des réglementations en vigueur.

Jour 16 : Quelle fonctionnalité d’un serveur proxy permet à un administrateur réseau d’exposer des sites web hébergés sur son réseau à des utilisateurs externes ?

  • Réponse 1 : Proxy de transfert

  • Réponse 2 : Protocole HTTP

  • Réponse 3 : Protocole proxy

  • Réponse 4 : Proxy inverse

Laïus explicatif : Un proxy inverse peut être un serveur ou une application qui se place devant un serveur Web pour intercepter et inspecter les demandes entrantes des clients avant de les transmettre au serveur Web. Ce serveur permet aussi de renvoyer la réponse du serveur au client (par exemple, les navigateurs web).

Les solutions de proxy inverse sont généralement déployées pour améliorer la sécurité, les performances et la fiabilité.

Le protocole HTTP décrit la méthode de communication client/serveur afin d’échanger différentes ressources qui composeront un site Web.

Le protocole proxy décrit la méthode d’encapsulation qui permet de conserver les informations d’origine du client au sein de l’échange TCP « proxifié » entre le client et le serveur Web.

Avec un proxy de transfert, contrairement au Proxy inverse, l’utilité va être de protéger les utilisateurs et non les serveurs Web. Le proxy de transfert va intercepter les requêtes des utilisateurs à destination des serveurs Web afin de bénéficier d’une meilleure confidentialité et de contrôler l’accès à certaines catégories de contenus.

Jour 15 : CTF #3 de l'avent

Voici la solution du CTF #3 de l’avent

  • Flag : CWATCH{02/12/2021_18:50:00}

Jour 14 : Quel principe directeur d’ITIL prend en compte l’importance de la fidélisation des clients ?

  • Réponse 1 : Progresser de manière itérative grâce aux feedbacks
  • Réponse 2 : Commencer là où vous êtes
  • Réponse 3 : Optimiser et automatiser
  • Réponse 4 : Se concentrer sur la valeur

Laïus explicatif : Le principe « privilégier la valeur » implique que toute initiative de l’organisation doit être liée, directement ou indirectement, à la valeur qu’elle dégage pour les parties prenantes. Il englobe plusieurs perspectives, notamment l’expérience des clients et des utilisateurs.

Jour 13 : Qu'est-ce que l'ingénierie sociale dans le contexte de la cybersécurité ?

  • Réponse 1 : Une méthode de construction de logiciels de réseaux sociaux sécurisés
  • Réponse 2 : L’utilisation de technologies dans la sécurité des réseaux sociaux
  • Réponse 3 : Un protocole de sécurité pour les ingénieurs
  • Réponse 4 : Une méthode frauduleuse d’obtention d’informations

Laïus explicatif : L’ingénierie sociale est un processus frauduleux visant à tromper les individus pour obtenir certaines informations personnelles ou confidentielles, voire un accès direct à un système informatique. Il consiste souvent à se faire passer pour quelqu’un d’autre, tout en jouant sur des ressorts psychologiques.

Les attaques d’ingénierie sociale sont courantes et peuvent prendre différentes formes, telles que le phishing, le vol par diversion, le SMiShing (phishing par SMS), le pretexting, l’arnaque sentimentale (honeytrap), le tailgating/piggybacking etc.

Jour 11 : Parmi ces données, lesquelles seraient selon vous les plus attractives pour un cyberattaquant ?

  • Réponse 1 : Des informations de quelques clients (nom, prénom, adresse physique, email, téléphone)

  • Réponse 2 : Une liste d’une vingtaine d’emails professionnels

  • Réponse 3 : Une carte « black » avec adresse du propriétaire et CVV

  • Réponse 4 : Un numéro de carte bancaire

Laïus explicatif : La carte « black » et ses détails sera plus attractive pour un cyberattaquant car ce type de carte appartient généralement à des personnes avec un certain niveau de revenu ou des personnalités publiques. Le cyberattaquant pourra directement frauder ou vendre ces informations à un prix plus élevé qu’un numéro d’une carte bancaire lambda sur le marché noir. Les données à caractère personnel commencent à devenir rentables lorsqu’elles sont nombreuses, récentes, réutilisables et couplées à d’autres types de données (données de santé et données bancaires notamment). La donnée peut servir divers objectifs bien souvent motivés in fine par l’appât du gain :

  1. La fraude financière
  2. Le détournement pour d’autres cyberattaques (campagne de phishing, usurpation d’identité)
  3. La revente à des plateformes de marketing : filon davantage exploitée par les GAFAM

Jour 12 : CTF #2 de l'avent

Voici la solution du CTF #2 de l’avent

  • Flag : CWATCH{JAN_FABRE}

Jour 10 : Parmi ces 4 choix, lequel définit le mieux une Due Diligence IT/Cyber ?

  • Réponse 1 : un audit organisationnel et technique IT/Cyber d’une entreprise en prévision de l’entrée au capital d’un nouvel actionnaire
  • Réponse 2 : un audit organisationnel et technique IT/Cyber d’une entreprise à la suite de l’entrée au capital d’un nouvel actionnaire
  • Réponse 3 : un questionnaire IT/Cyber envoyé à une entreprise dans le cadre d’une opération d’investissement
  • Réponse 4 : un audit de conformité permettant de s’assurer que l’entreprise ciblée répond à ses obligations réglementaires

Laïus explicatif : Une Due Diligence est un audit réalisé dans le cadre d’un projet d’investissement (ex. LBO) concernent généralement des enjeux financiers, juridiques, opérationnels, RSE et IT/Cyber.

Une Due Diligence IT/Cyber est un audit permettant d’éclairer la décision d’investissement, en analysant la posture cyber de l’entreprise, ses pratiques et ses éventuelles vulnérabilités. Elle permet à l’investisseur, un fonds d’investissement par exemple, d’obtenir une appréciation argumentée de la maturité de l’entreprise, et ainsi déterminer les efforts et moyens nécessaires par la suite pour renforcer le niveau de sécurité de l’entreprise.

Almond réalise régulièrement des Due Diligence IT/Cyber pour le secteur du Private Equity, en y associant une évaluation externe automatisée avec la solution Security Rating de Board of Cyber mais également des investigations ciblées type OSINT.

Jour 9 : Quelle est la part de la consommation d'électricité globale imputable aux Datacenters ?

  • Réponse 1 : 0,01%

  • Réponse 2 : 0,1%

  • Réponse 3 : 1,5%

  • Réponse 4 : 10%

Laïus explicatif : La quantité de Datacenters à travers le monde connaît une hausse significative et cette tendance perdure. Malgré les efforts des constructeurs pour réduire et rationaliser leur consommation d’énergie, ces infrastructures sont responsables de 1,5 % de la consommation électrique globale, d’après les données de l’Agence Internationale de l’Énergie (IEA.org).

Jour 8 : Qu'est-ce qu'une "Zero Day" ?

  • Réponse 1 : Une faille informatique déjà corrigée par le fournisseur avant que vous ne le sachiez

  • Réponse 2 : Une vulnérabilité ne disposant pas de solution de mitigation

  • Réponse 3 : Une faille de sécurité qui n’affecte pas les systèmes d’information

  • Réponse 4 : Une vulnérabilité exploitée uniquement le jour de sa découverte

Laïus explicatif : Une « Zero Day » est une vulnérabilité qui n’a pas encore été corrigée ou pour laquelle il n’existe pas de mitigation possible. Potentiellement, des attaquants peuvent déjà avoir connaissance de cette faille et l’exploiter activement : certaines vulnérabilités Zero-Day sont ainsi découvertes par la communauté informatique à la suite d’une attaque qui l’exploite. Les cyber-criminels investissent beaucoup pour découvrir des vulnérabilités avant les chercheurs en sécurité, afin de maximiser les chances de réussite de leurs attaques.

Jour 7 : Selon les nouvelles recommandations de la CNIL, quelle est la meilleure pratique sur la robustesse d'un mot de passe ?

  • Réponse 1 : La longueur

  • Réponse 2 : Une dérivation des mots du dictionnaire (exemple la dérivation du mot Kangourou est k4ng0urOu)

  • Réponse 3 : L’utilisation d’une phrase de passe (7 mots minimum)

  • Réponse 4 : L’utilisation d’une combinaison de 12 caractères comprenant des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire

Laïus explicatif : Conformément aux récentes directives de la CNIL, l’approche privilégiée pour renforcer la sécurité des mots de passe repose sur une complexité évaluée par l’entropie, plutôt que sur une exigence stricte de longueur minimale. Cette approche vise à accorder une plus grande souplesse dans l’élaboration de politiques de mots de passe, adaptées à divers scénarios d’utilisation. Les trois exemples ci-dessous sont considérés comme équivalents en termes d’entropie, et ils sont tous conformes aux recommandations récentes :

  • Exemple 1 : Les mots de passe doivent comprendre au moins 12 caractères, incluant des majuscules, des minuscules, des chiffres, et des caractères spéciaux choisis parmi une liste d’au moins 37 caractères spéciaux possibles.
  • Exemple 2 : Les mots de passe doivent avoir au moins 14 caractères, incluant des majuscules, des minuscules, et des chiffres, sans obligation d’utiliser des caractères spéciaux.
  • Exemple 3 : Une phrase de passe doit être utilisée, composée d’au moins 7 mots. Cette approche permet aux utilisateurs de choisir des mots de passe répondant à des critères variés, tout en garantissant une sécurité appropriée.

Vous pouvez consulter les recommandations en suivant le lien fourni : Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité | CNIL

Jour 6 : Quel sera le principe innovant principal du Wifi7 ?

  • Réponse 1 : L’introduction de la bande de fréquence 6Ghz

  • Réponse 2 : L’utilisation de largeur de bandes allant jusqu’à 640 Mhz

  • Réponse 3 : La possibilité d’utiliser deux bandes de fréquences simultanément

  • Réponse 4 : Aucune mise à jour requise sur les terminaux

Laïus explicatif : Avec le Wifi 7, il sera possible d’utiliser deux bandes de fréquences simultanément, contrairement au Wi-Fi intelligent actuel qui positionne automatiquement les appareils sur la meilleure bande de fréquences. Conséquences de cette agrégation de fréquences : des débits plus rapides et latences encore réduites. Le 6Ghz est déjà introduit depuis le wifi 6E, les largeurs de bandes ne seront « que » de 320 Mhz sur le 6Ghz avec le Wifi7.

Jour 5 : CTF #1 de l'avent

Voici la solution du CTF #1 de l’avent

  •  Flag : CWATCH{C51H79NO13} 

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Laïus explicatif : Le ransomware à triple extorsion est comme son nom l’indique une attaque durant laquelle les cybercriminels menacent de trois façons différentes leur victime.

  1. L’attaquant va demander une rançon à la victime pour qu’il puisse récupérer/déchiffrer ses données
  2. L’attaquant va demander une rançon pour ne pas publier / divulguer les données exfiltrées, il peut aussi demander une rançon pour un délai supplémentaire avant divulgation (retarder le compte à rebours)
  3. L’attaquant va mettre la pression à la victime pour augmenter les chances de paiement de la rançon via des attaques de type DDoS ou des appels téléphoniques, enfin il peut aussi demander des rançons aux victimes collatérales, dont les données auraient fuité indirectement dans l’attaque

Ce type d’attaque permet aux attaquants de maximiser le gain financier pour chaque victime, le ransomware étant déjà l’une des attaques les plus lucratives, il convient d’anticiper ce scénario et de s’en protéger convenablement.

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou « Distributed Denial of Service » est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/