Expertise Archives - KYOS

Konfluence 2025

Etienne Maghakian — Tue, 14 Oct 2025 08:34:00 +0000

Konfluence 2025

octobre 14, 2025
10:34 am

Konfluence 2025 : KEEP AN EYE ON SECURITY 👁️ La sécurité est un domaine en perpétuelle transformation. Rejoignez-nous pour interagir sur les changements qui impacteront votre entreprise ! Inscrivez-vous à notre évènement Konfluence 2025 !

Konfluence 2025 : KEEP AN EYE ON SECURITY 👁️

La sécurité est un domaine en perpétuelle transformation. Rejoignez-nous pour interagir sur les changements qui impacteront votre entreprise !

Inscrivez-vous à notre évènement Konfluence 2025 !

Cette 3ème édition vous réserve un programme exclusif avec des thèmes essentiels :

Avec 300 participants attendus, Konfluence représente l’occasion d’échanger avec notre réseau de partenaires et de partager un apéritif dînatoire convivial.

Réservez votre place dès aujourd’hui ! ⬇
www.konfluence.ch

Plus d’information à ce sujet ?

Nous sommes à votre disposition !

The post Konfluence 2025 appeared first on KYOS.

La cryptographie post-quantique

Etienne Maghakian — Tue, 31 Oct 2023 09:59:09 +0000

La cryptographie post-quantique

Sécuriser nos données dans l'ère de l'informatique quantique

octobre 31, 2023
10:59 am

L’avènement de l’informatique quantique suscite un intérêt croissant, mais avec ses promesses viennent également de sérieuses préoccupations quant à la sécurité des données.

Comprendre l'informatique quantique

L’informatique quantique exploite les principes de la mécanique quantique pour réaliser des calculs d’une rapidité inégalée par les ordinateurs classiques. Grâce à des algorithmes quantiques, ces machines peuvent résoudre certains problèmes plus efficacement, telles que la factorisation de nombres premiers ou l’optimisation. Pour illustrer, imaginez un labyrinthe : alors qu’un ordinateur classique explore un chemin à la fois, un ordinateur quantique peut simultanément parcourir toutes les voies, aboutissant à une résolution plus rapide.

Bien que ce domaine soit encore émergeant et comporte des défis à relever, il promet de transformer la sécurité de nos infrastructures numériques.

Les défis autour de la sécurité de l'informatique quantique

Comme toute technologie naissante, les opportunités de l’informatique quantique s’accompagnent de risques. Étant capables de résoudre des problèmes hors de portée des ordinateurs classiques, les ordinateurs quantiques pourraient compromettre les systèmes cryptographiques actuels. Cela expose nos identités numériques à des vulnérabilités, menaçant les données personnelles et financières que nous protégeons.

La majorité des méthodes de chiffrement reposent sur la complexité de la factorisation de grands nombres en nombres premiers. Or, les ordinateurs quantiques sont remarquablement performants dans ce domaine grâce à l’algorithme de Shor. De ce fait, des algorithmes couramment utilisés tels que RSA et ECC pourraient être exposés, exposant ainsi nos identités à des risques de vol et de fraude.

Ces machines pourraient également accélérer la recherche de collisions dans les fonctions de hachage qui créent et authentifient les signatures numériques, potentiellement usurpant des identités légitimes.

Les données et documents chiffrés avec les algorithmes couramment utilisés actuellement pourraient être ainsi déchiffrés dans le futur par des ordinateurs quantiques.

Face à l’évolution rapide de l’informatique quantique, garantir la sécurité des données et des identités numériques requiert de nouvelles approches en matière de chiffrement et d’authentification.

La cryptographie post-quantique : Préserver notre sécurité

La cryptographie post-quantique, également appelée cryptographie résistante au quantum, s’emploie à concevoir des algorithmes cryptographiques résistants aux attaques des ordinateurs quantiques.

Cette discipline s’attache à développer des algorithmes sûrs face aux attaques, qu’elles proviennent d’ordinateurs classiques ou quantiques. En s’appuyant sur des problèmes mathématiques réputés ardus, même pour les machines quantiques, elle propose des solutions variées telles que la cryptographie basée sur les treillis, les codes ou les multivariées.

À mesure que l’informatique quantique progresse, la cryptographie post-quantique gagne en importance pour sécuriser nos données et nos communications sensibles. Les gouvernements, institutions financières et autres acteurs investissent activement dans ces solutions afin de préserver la sécurité de leurs données et de leurs communications dans l’ère de l’informatique quantique.

Recommandations

La menace que représente les ordinateurs quantiques reste théorique et pourrait prendre encore des décennies avant de se concrétiser, mais voici quelques mesures pouvant être déjà prises en complément des bonnes pratiques standard de sécurité, afin de protéger vos données contre les menaces potentielles des ordinateurs quantiques :

Adoptez la Cryptographie Post-Quantique : optez pour des algorithmes de chiffrement post-quantiques qui résistent aux attaques des ordinateurs quantiques. Des méthodes comme la cryptographie basée sur les treillis, basée sur les codes, et d’autres approches post-quantiques sont conçues pour être résistantes aux capacités de calcul quantique.
Misez sur la Cryptographie Hybride : utilisez des systèmes de chiffrement hybrides qui combinent des algorithmes classiques et post-quantiques. Cela permet de bénéficier de la sécurité actuelle tout en garantissant une transition en douceur vers la sécurité post-quantique une fois que les ordinateurs quantiques deviennent une réalité.
Renforcez la Longueur des Clés : augmentez la longueur des clés dans les algorithmes de chiffrement classiques. Bien que cela puisse ralentir les attaques, cela n’offre qu’une protection temporaire, car les ordinateurs quantiques pourraient encore potentiellement casser des clés plus longues.

Plus d’information à ce sujet ?

Nous sommes à votre disposition !

The post La cryptographie post-quantique appeared first on KYOS.

Entrée en vigueur de la nLPD : obligations et opportunités

Etienne Maghakian — Mon, 11 Sep 2023 08:49:29 +0000

Entrée en vigueur de la nLPD : obligations et opportunités

septembre 11, 2023
10:49 am

Manon Garcia

La LPD (Loi fédérale sur la protection des données) révisée est effective depuis le 1er septembre 2023, sans phase de transition. Son objectif principal est de protéger la personnalité et les droits fondamentaux des personnes physiques, dont les données sont traitées par des acteurs privés ou par les autorités. Cette loi exige une transparence maximale, donnant ainsi davantage de contrôle aux individus sur leurs propres informations. Elle encourage aussi la prévention et la responsabilité des entités traitant les données, renforçant parallèlement la supervision des autorités en matière de protection des données et étoffant les sanctions légales.

Ce que vous devez savoir

Universelle : Toutes entreprises et entités privées (ex. associations), indépendamment de leur envergure ou de leur activité, sont visées.
Portée extraterritoriale : Bien que s’appliquant principalement en Suisse, la LPD concerne également les activités à l’étranger influençant le territoire suisse.
Inspirée, mais distincte du RGPD : Si la LPD s’inspire grandement du RGPD européen, elle conserve certaines singularités, parfois moins contraignantes et parfois plus stricte sur d’autres aspects.
Sanctions directes : Les violations (intentionnelles) peuvent engendrer des amendes allant jusqu’à 250 000 CHF, ciblant les individus responsables plutôt que les entreprises.

Actions de conformité à mener

Environnement documentaire: Formalisez votre stratégie de protection des données et communiquez-la auprès de vos équipes.
Désignation d’un conseiller à la protection (non obligatoire) : Nommez une personne de référence en charge d’assurer la protection continue des données personnelles.
Registre des traitements(sous conditions) : Élaborez un inventaire des traitements de données personnelles que vous réalisez dans le cadre de vos activités.
Assurer la conformité juridique de vos traitements : Réalisez des analyses d’impact pour les traitements à risque, assurez-vous de la sécurité de vos sous-traitants et informez les personnes concernées.
Sensibilisation : Impliquez vos équipes dans la protection des données.
Droits individuels : Informez les personnes concernées de leurs droits individuels et mettez en place les outils et processus pour y répondre.
Sécurisation : Assurez la confidentialité, l’intégrité, la disponibilité et la traçabilité des données par des mesures de sécurité techniques et organisationnelles.
Violations de sécurité : Déterminez les rôles et responsabilités dans la gestion et la communication des violations de sécurité.

Opportunités

Comme son voisin européen, la LPD révisée a vocation à responsabiliser les entreprises sur les traitements de données personnelles qu’elles réalisent.

Bien qu’obligatoire, vous mettre en conformité doit être perçu comme une opportunité de gagner en maturité dans votre gouvernance des données en obtenant une vue d’ensemble des données que vous manipulez dans vos activités.

La transparence par l’information de vos pratiques représente également une occasion de consolider la confiance que vos clients et prestataires vous portent. Une communication efficace des mesures prises vous assurera sans aucun doute un avantage commercial non négligeable.

Par où commencer ?

Les différentes actions à mener s’inscrivent dans un planning à plus ou moins long terme selon la taille de votre entreprise et de votre activité.

Le point de départ et la clé du succès de la mise en conformité résident dans l’identification des traitements de données personnelles : quelles sont ces données dont l’entreprise est responsable ? A qui les avons-nous confiées (sous-traitants, partenaires, etc.) ? Avec une vue d’ensemble complète, les actions de conformité à mener citées plus haut seront grandement facilitées.

Une fois les traitements identifiés, assurez-vous de protéger efficacement vos données : celles que vous possédez / stockez vous-mêmes et ainsi que celles situées à l’extérieur de votre entreprise (ex. solutions SaaS).

Notre partenaire Datago dispose d’une équipe regroupant des compétences à même de vous accompagner dans vos démarches de mise en conformité.

L’approche de Datago en la matière et l’expertise technique de nos équipes Kyos forment un partenariat éprouvé pour une démarche de mise en conformité réussie de votre entreprise.

Plus d’information à ce sujet ?

Nous sommes à votre disposition !

The post Entrée en vigueur de la nLPD : obligations et opportunités appeared first on KYOS.

Etablir un climat de confiance

Etienne Maghakian — Fri, 14 Jul 2023 08:11:49 +0000

Etablir un climat de confiance

juillet 14, 2023
10:11 am

Etienne Maghakian

Marketing Manager

Cette expression, « climat de confiance », représente bien plus qu’un simple concept. C’est le ciment qui forge des relations solides et favorise l’épanouissement de chacun au sein de l’entreprise. Un environnement de travail où la confiance règne en maître peut décupler la productivité, stimuler la créativité et accroître la satisfaction, ce qui se traduit inévitablement par une performance accrue de l’organisation. Dans cette publication, nous explorerons en profondeur les méthodes managériales qui, jour après jour, alimentent et nourrissent cette culture de confiance au sein de l’écosystème de Kyos.

Table des matières

Add a header to begin generating the table of contents

Définition du climat de confiance

Dans ce vaste univers qu’est le « monde du travail », un phénomène vital émerge : le climat de confiance. Il englobe cet espace où les collaborateurs s’épanouissent, se sentent protégés et à l’aise pour partager leurs pensées, s’interroger sans réserve et s’investir pleinement. Il se nourrit de relations interpersonnelles authentiques, où l’ouverture, l’honnêteté et la transparence tracent la voie. Un tel climat de confiance tisse une toile invisible, mais puissante, favorisant une communication fluide, une collaboration fructueuse et une satisfaction réelle des employés. Une culture de la confiance prend sens lorsque chacun trouve sa place, lorsque la confiance devient le socle solide sur lequel s’érige l’excellence collective.

Importance d'un climat de confiance dans une organisation

Plongeons au cœur même de l’organisation, là où se tisse un fil invisible, mais puissant : le climat de confiance. Il est le fondement même du bon fonctionnement de toute entité, une condition sine qua non pour atteindre des sommets insoupçonnés.

Une meilleure communication : Imaginez un lieu où chaque voix résonne librement, où les idées se croisent et les interrogations s’élèvent sans crainte ni jugement. Un tel climat propice à l’épanouissement favorise une communication fluide, un échange fructueux entre les membres de l’équipe et les acteurs de l’organisation dans son ensemble. Mais ce n’est pas tout !
Une plus grande collaboration : Il donne naissance à une collaboration envoûtante, où les employés se sentent en confiance pour partager leurs connaissances et leurs compétences. Dans cette atmosphère bienveillante, les employés s’épanouissent davantage, nourris par une reconnaissance manifeste. Ce cercle vertueux ne s’arrête pas là. Les collaborateurs qui se sentent en confiance sont plus susceptibles d’être satisfaits de leur travail. Cela peut se traduire par une plus grande motivation et une plus grande rétention des employés.
Une amélioration de la performance globale de l’organisation : La culture de la confiance catapulte l’organisation vers de nouveaux horizons en améliorant sa performance globale. Les bénéfices sont innombrables : une communication optimisée, une collaboration fructueuse, une satisfaction accrue des employés et une réduction des conflits.
Une culture d’innovation : La cerise sur le gâteau, c’est la culture d’innovation qui se déploie dans cet écosystème. Les esprits confiants s’épanouissent, propulsant une créativité sans limites, nourrissant une culture d’innovation contagieuse au sein de l’organisation.

En fin de compte, le climat de confiance tisse les fils invisibles d’un environnement de travail positif et productif, où chaque membre de l’organisation se réalise pleinement, et où les réalisations collectives repoussent les frontières du possible.

Les méthodes managériales pour instaurer un climat de confiance

La communication ouverte

Incarné par une aura bienveillante, également appelée « culture de la confiance », ce concept déploie ses ailes pour élever chaque membre de l’organisation. Mais comment l’ériger ? La réponse réside dans la notion suivante : la communication ouverte.

En effet, la confiance ne peut fleurir que lorsque chaque individu embrasse une communication authentique, se dévoilant sans artifice ni barrière auprès de ses collaborateurs. Il est crucial de créer un espace d’échanges propice où les membres de l’organisation se sentent librement disponibles pour répondre aux questions et préoccupations de chacun. Dans le cadre de la gestion d’un projet, cette transparence devient d’autant plus essentielle. Fournir des informations claires et précises sur les missions en cours, les objectifs à atteindre et les attentes envers les parties prenantes est une pierre angulaire de la confiance. Cette lumière éclaire le chemin de chaque acteur, les guidant vers une compréhension commune et une harmonie collective. Les bénéfices de cette communion sont multiples, tissant un réseau de liens forts entre les membres de l’organisation.

Une communication ouverte fait naître une synergie efficace, où les idées se mêlent et s’entrelacent pour créer une toile d’une richesse infinie. Les obstacles s’effacent devant cette énergie collective, permettant à chaque membre de se sentir en confiance pour contribuer pleinement à l’édifice commun.

Ainsi, cette culture de la confiance crée une harmonie, où chaque individu se sent écouté, valorisé et soutenu. La magie opère alors, enveloppant l’organisation d’une aura bienveillante. L’épanouissement de tous devient une réalité, nourrissant un cercle vertueux de motivation, de satisfaction et de performance.

Dans cet écosystème propice, les défis sont transformés en opportunités d’apprentissage, les idées audacieuses sont encouragées et les collaborations deviennent prolifiques. Depuis des années, Kyos place cette notion au cœur de ses relations afin de façonner un environnement où la confiance règne en maître et où les talents se dévoilent.

La transparence

Pour bâtir cette confiance, la transparence se présente comme un pilier incontournable. En effet, chaque décision prise par l’organisation doit faire preuve de clarté et de transparence concernant les motivations profondes de celle-ci. La transparence établit des liens solides entre les collaborateurs, réduisant les doutes et les méfiances pour laisser place à une confiance profonde et sincère.

En partageant ouvertement les fondements de chaque décision, l’organisation se drape d’une aura de crédibilité et de respect, renforçant le sentiment d’appartenance et la cohésion au sein de ses membres.

Lorsque la transparence devient la norme, les barrières s’effritent et l’authenticité règne en maître, ouvrant les portes à une communication claire et constructive. Les collaborateurs se sentent valorisés et impliqués, sachant qu’ils peuvent s’appuyer sur des bases solides pour comprendre les choix stratégiques et participer activement à l’évolution de l’organisation.

Au-delà de la transparence des décisions, cette culture de la confiance se déploie également dans les échanges interpersonnels. Chaque membre de l’organisation est invité à partager ses idées, ses préoccupations et ses suggestions sans crainte du jugement ou de la rétribution.
Dans cette atmosphère bienveillante, chacun à l’occasion de se faire entendre et d’être écouté. Les erreurs, loin d’être stigmatisées, deviennent des occasions d’apprentissage et de croissance collective. La transparence est le ciment qui unit les collaborateurs, les propulsant vers un avenir commun empreint de confiance et de réussite.

Le respect

Le respect est un élément crucial pour instaurer un climat de confiance. Une façon de le mettre en application est de reconnaitre la contribution de chacun pour l’entreprise tout en respectant les différentes idées ou opinions. Respect mutuel est le mot d’ordre et cela passe par le fait de créer un environnement de travail inclusif et respectueux.

Au cœur de chaque organisation, le climat de confiance se nourrit du respect. Chez Kyos, nous avons à cœur de mettre en exergue la contribution unique de chaque individu à l’entreprise et d’y apporter la reconnaissance nécessaire. C’est en célébrant les talents et en honorant les idées et opinions que le respect devient tangible et puissant.

Un véritable climat de confiance se construit sur les fondations solides d’un respect mutuel, créant un environnement de travail inclusif où chaque voix trouve sa place, où chaque regard est accueilli avec bienveillance.

Dans cette bulle de respect, les idées germent et s’épanouissent, les divergences se transforment en force et les différences sont saluées. Chacun se sent écouté, valorisé et respecté dans sa singularité, engendrant une harmonie qui se répercute sur toutes les facettes de l’organisation.

Lorsque le respect devient le fil conducteur, les conflits se dissipent et la collaboration prend son envol. Les différences s’estompent, laissant place à plus d’empathie et de compréhension, propices à des échanges riches et constructifs.

C’est dans cette alchimie subtile que l’organisation puise sa force, son inspiration et sa résilience. Ainsi, en cultivant ce goût du respect avec conviction, chaque organisation a la faculté d’embrasser un avenir empreint de confiance, d’unité et de réussite.

La gestion du temps efficace

Au cœur de la construction d’un climat de confiance, la gestion du temps se révèle être une pièce maîtresse essentielle.

L’une des clés de cette harmonie réside dans l’établissement d’une charge de travail réaliste. En reconnaissant les limites humaines, une organisation avisée évite de surcharger ses collaborateurs, privilégiant la qualité à la quantité. En offrant suffisamment de temps pour accomplir les tâches, elle favorise un travail méticuleux, dénué de stress superflu. Chaque individu peut ainsi se consacrer pleinement à ses missions, avec la certitude de pouvoir donner le meilleur de lui-même.

La ponctualité est bien plus qu’une simple courtoisie, c’est une démonstration tangible de l’importance accordée au temps de chacun. Elle établit une atmosphère de confiance et de respect mutuel, où chacun sait qu’il sera entendu et que sa présence compte.

En définitive, la gestion du temps efficace est un levier puissant pour instaurer une culture de la confiance au sein d’une organisation. En accordant une attention minutieuse à la mise en place d’une charge de travail réaliste et en témoignant d’une ponctualité irréprochable, une entreprise peut nourrir des relations solides, propices à l’épanouissement personnel et à l’accomplissement collectif.

L'écoute active

Au cœur de toute relation humaine, qu’elle soit personnelle ou professionnelle, réside l’art de l’écoute active. Cette écoute attentive devient l’essence même de la culture de la confiance, créant un espace d’échange où chacun se sent véritablement entendu et valorisé.

L’écoute active transcende les simples mots. Elle implique une ouverture sincère envers les idées et les suggestions de ses collègues. En accordant une attention réelle à ce qu’ils expriment, on témoigne de leur importance et de la valeur que l’on accorde à leur contribution. Chaque voix compte, chaque opinion est un maillon essentiel de la chaîne qui mène à la concrétisation des objectifs communs.

L’écoute active démontre que chaque opinion, aussi modeste soit-elle, est essentielle à la richesse du collectif. En pratiquant cette écoute, on encourage la diversité des idées, on stimule la créativité et on renforce la confiance en soi et en l’équipe.

La reconnaissance

La reconnaissance, sous toutes ses formes, est une force motrice qui nourrit l’estime de soi, renforce les liens interpersonnels et alimente la confiance mutuelle. Lorsque nous prenons le temps de reconnaître le travail accompli par nos collègues, nous leur transmettons le message qu’ils sont importants et que leur contribution est précieuse. Que ce soit par un simple mot de remerciement, une appréciation publique ou même une récompense palpable, chaque geste de reconnaissance construit des fondations solides pour un climat de confiance florissant.

Au-delà de l’impact émotionnel positif, la reconnaissance offre également un terrain fertile pour le développement des compétences et du potentiel de chacun. Lorsque nous soulignons les forces et les réalisations de nos collègues, nous leur insufflons la confiance nécessaire pour continuer à se dépasser. Cette confiance en soi est un moteur puissant qui pousse les individus à explorer de nouvelles possibilités, à prendre des risques calculés et à contribuer de manière significative à l’organisation dans son ensemble.

La reconnaissance ne se limite pas aux moments de succès éclatants. Elle s’étend également aux efforts soutenus, aux petites victoires et aux progrès constants. En cultivant une culture de reconnaissance au sein de notre équipe ou de notre organisation, nous créons un cercle vertueux où chaque membre se sent valorisé et encouragé à donner le meilleur de lui-même. Cette dynamique renforce les liens de confiance, favorise la collaboration et stimule la créativité et l’innovation.

En somme, la reconnaissance est bien plus qu’un simple geste de gratitude. C’est un pilier fondamental pour instaurer un climat de confiance solide et durable. En reconnaissant les talents, les efforts et les réalisations de nos collègues, nous créons un environnement où règne la confiance mutuelle, où chacun se sent soutenu et où l’organisation dans son ensemble peut s’épanouir. Que ce soit par de petits actes de reconnaissance quotidiens ou par des célébrations plus marquées, chaque geste compte et contribue à construire une culture de la confiance vibrante et inspirante.

La formation

La formation joue un rôle clé dans l’établissement d’un climat de confiance au sein de l’organisation. En partageant les connaissances et en développant les compétences, elle renforce la confiance des collaborateurs en eux-mêmes et en leur capacité à accomplir leur travail avec succès. Les employés qui se sentent bien préparés et soutenus sont plus susceptibles de se sentir en confiance et d’aborder leurs responsabilités avec assurance.

La formation favorise également la collaboration, la communication et la performance globale de l’équipe, en créant un environnement propice à la confiance mutuelle et à l’atteinte des objectifs communs.

L'alignement

L’alignement est essentiel pour créer une culture de confiance solide. En harmonisant les objectifs individuels avec ceux de l’organisation, en établissant des cibles claires et mesurables, les collaborateurs se sentent motivés et engagés. C’est une danse où chaque pas compte, reliant les membres de l’équipe autour d’une vision commune. L’alignement nourrit la confiance en créant un sentiment d’appartenance et en renforçant la conviction que chaque action contribue à la réussite collective. C’est le fondement d’une culture de confiance prospère où le potentiel de l’équipe est illimité.

La responsabilisation

La responsabilisation, clé d’une culture de confiance solide. Chez Kyos, chacun s’épanouit dans un rôle où responsabilité et autonomie s’équilibrent. Se sentir investi de cette responsabilisation décuple la confiance en nos capacités, en notre aptitude à prendre des décisions éclairées. C’est dans cet équilibre subtil que naît une équipe qui brille, où chaque membre s’épanouit, sachant que sa contribution est essentielle au succès collectif. Ici, la responsabilisation est bien plus qu’un simple mot, c’est le moteur de notre culture de confiance.

Le feedback

Le pouvoir du feedback : bâtir une culture de confiance riche et solide. Chez Kyos, nous pensons que le feedback est bien plus qu’une simple interaction. C’est une opportunité précieuse de grandir ensemble, de partager nos forces et de faire éclore le meilleur de chacun. Chaque collaborateur est en mesure d’offrir des retours constructifs, de célébrer les succès et d’identifier les pistes d’amélioration. Dans cette culture de confiance, le feedback devient une clé qui ouvre les portes de la croissance individuelle et collective.

Laissez-nous vous montrer comment nous nourrissons cette culture de confiance à travers notre article dédié au feedback.
Préparez-vous à découvrir une approche émotionnelle, puissante et concrète pour élever votre entreprise vers de nouveaux sommets.

Conclusion

Créez une culture de confiance : un des secrets de la réussite chez Kyos.
Nous estimons que l’importance d’un climat de confiance au sein de notre organisation est fondamentale. Chacun doit se sentir en sécurité, libre de s’exprimer, de poser des questions et de prendre des initiatives audacieuses. Nous croyons fermement que grâce à l’application de cette approche, nous pouvons bâtir un environnement où la confiance règne en maître. Les répercussions sont réelles et concrètes : une productivité décuplée, une créativité débordante et une satisfaction générale retranscrite dans chaque projet.

Plus d’information à ce sujet ?

Nous sommes à votre disposition !

The post Etablir un climat de confiance appeared first on KYOS.

Signez vos PDF avec une signature électronique

Etienne Maghakian — Fri, 03 Mar 2023 16:23:04 +0000

Signez vos PDF avec une signature électronique

Alexander Vogt

Systems and Security Specialist

Comment faire en sorte pour le PDF soit signé électroniquement tout en conservant son authenticité et sa valeur légale comme lorsque vous l’imprimiez et le signiez manuellement ? Quelles solutions existent pour mettre en place la signature électronique des fichiers PDF dans votre organisation ?

Dans cet article nous explorerons les différentes technologies à disposition pour signer électroniquement des documents PDF, et surtout, les niveaux de sécurité associés à celles-ci. Est-ce que telle signature électronique est valable légalement ? En Suisse, en Europe ?

Table des matières

Add a header to begin generating the table of contents

Définition de la signature électronique des fichiers PDF

La signature électronique des fichiers PDF est un processus qui permet de signer numériquement un document PDF en utilisant une clé privée associée à un certificat numérique. Cette signature électronique permet de garantir l’intégrité du document, l’identité du signataire et l’horodatage de la signature.

La signature électronique PDF est couramment utilisée dans les processus professionnels pour permettre une gestion de documents plus rapide, efficace et sécurisée. Elle est reconnue juridiquement dans de nombreux pays et réglementée par des normes et réglementations spécifiques, telles que le règlement eIDAS en Europe ou le règlement suisse ZertES.

Importance de la signature électronique PDF dans les processus professionnels

La signature électronique PDF est devenue un élément essentiel des processus professionnels modernes, en particulier dans les entreprises qui traitent un grand volume de documents et ont besoin d’un moyen sûr et efficace de gérer la signature de ces documents. Voici quelques-unes des raisons pour lesquelles la signature électronique PDF est importante dans les processus professionnels :

Sécurité et authentification : La signature électronique des fichiers PDF offre une sécurité accrue par rapport à la signature manuscrite. Elle utilise des techniques de cryptographie pour s’assurer que le document signé n’a pas été altéré après la signature et que la personne qui signe est bien celle qu’elle prétend être.

Gain de temps et d’efficacité : La signature électronique des fichiers PDF permet de gagner du temps en évitant les déplacements physiques pour la signature de documents, ainsi que le traitement manuel de la gestion des documents. Elle peut également permettre d’accélérer les processus de signature, qui peuvent être effectués en quelques clics.

Conformité légale : La signature électronique des fichiers PDF est reconnue juridiquement dans de nombreux pays, ce qui permet de garantir la conformité légale des documents signés électroniquement. Elle permet également de garantir la traçabilité et la sécurité des documents signés.

Accessibilité : La signature électronique des fichiers PDF est facilement accessible à partir de n’importe quel ordinateur ou dispositif mobile connecté à Internet. Cela permet de faciliter la signature de documents, même à distance.

Coûts : Enfin, la signature électronique PDF peut aider à réduire les coûts liés à la gestion des documents et à l’archivage, ainsi qu’à la réduction des erreurs humaines et des pertes de documents.

Dans l’ensemble, la signature électronique PDF est devenue un outil essentiel pour les entreprises qui cherchent à améliorer la sécurité, l’efficacité et la conformité de leurs processus professionnels.

Les différents types de signature électronique PDF

Vous pouvez voir ici une infographie du fournisseur « Skribble » détaillant les différents types de signatures :

SES : Simple Electronic Signature
Type de signature à utiliser pour les documents sans valeur légale particulière ou engagement de responsabilité

AES : Advanced Electronic Signature
Type de signature à utiliser pour les documents sans valeur légale particulière et avec un engagement de la responsabilité limitée (« calculable »)

QES : Qualified Electronic Signature
Équivalent à la valeur légale d’une signature manuscrite au sens de la loi Suisse et Européenne.

Le QES reste de loin le choix le plus pertinent, car la plupart des entités n’acceptent pas le SES ou le AES en raison de l’absence d’engagement juridique.

Il existe plusieurs façons d’obtenir une QES et, selon la solution que vous utilisez, le processus sera légèrement différent. In fine, la signature électronique se présente sous la forme d’un fichier au format pfx/p12 qui peut être importé sur tout appareil le prenant en charge.

Un fichier .pfx/p12 se compose de deux parties :

le certificat qui contient toutes les informations ;
la clé privée, qui est utilisée pour signer le document.

Les avantages de la signature électronique des fichiers PDF

La signature électronique des fichiers PDF présente plusieurs avantages en matière de sécurité. Voici les principaux avantages :

Authentification du signataire : La signature électronique PDF utilise des techniques de cryptographie pour garantir l’authenticité du signataire. Cela permet de s’assurer que le signataire est bien la personne qu’il prétend être et que personne d’autre n’a pu altérer le document.

Intégrité du document : La signature électronique PDF permet de garantir l’intégrité du document en empêchant toute modification ou altération du document une fois qu’il a été signé électroniquement. Si une personne tente de modifier le document après qu’il ait été signé, cela sera détecté et la signature sera invalidée.

Non-répudiation : La signature électronique PDF garantit la non-répudiation, ce qui signifie que le signataire ne peut pas nier avoir signé le document. Cela est important dans le cadre de transactions légales ou financières où la preuve de la signature peut être requise.

Confidentialité : Les outils de signature électronique PDF utilisent des techniques de cryptographie pour protéger la confidentialité des informations contenues dans le document signé. Les informations sont chiffrées et ne peuvent être lues que par les personnes autorisées.

Preuve de l’authenticité : La signature électronique PDF fournit une preuve de l’authenticité du document signé, ainsi que de l’identité du signataire et de l’intégrité du document. Cette preuve peut être importante dans le cadre de transactions légales ou financières.

En somme, la signature électronique PDF offre une sécurité élevée pour les documents signés électroniquement, garantissant l’authenticité, l’intégrité et la non-répudiation du document. Elle offre également une confidentialité accrue pour les informations contenues dans le document signé, ainsi qu’une preuve de l’authenticité du document signé. C’est pourquoi la signature électronique PDF est de plus en plus utilisée dans de nombreux domaines, notamment dans le cadre de transactions légales et financières.

Les bonnes pratiques pour une signature électronique PDF réussie

Voici quelques bonnes pratiques pour une signature électronique PDF réussie :

Utilisez un outil de signature fiable : Assurez-vous d’utiliser un outil de signature électronique fiable et reconnu pour garantir la sécurité et l’intégrité de votre document. Il existe de nombreuses options, nous reviendrons dessus un peu plus tard.

Vérifiez la législation en vigueur : Il est important de vérifier les exigences légales en matière de signature électronique dans votre pays ou région, car celles-ci peuvent varier. Assurez-vous que votre méthode de signature électronique est conforme à la réglementation en vigueur.

Utilisez un certificat numérique : Un certificat numérique est une signature électronique garantissant l’authenticité de l’expéditeur et l’intégrité du document. Utilisez un certificat numérique pour garantir la sécurité de votre document.

Assurez-vous que les informations sont correctes : Avant de signer électroniquement un document, assurez-vous que toutes les informations sont correctes et que le document est complet. Vérifiez également que toutes les parties ont signé le document, le cas échéant.

Gardez une copie en sauvegarde : Assurez-vous de garder une copie en sauvegarde du document signé électroniquement. Vous pouvez également conserver une copie papier si nécessaire.

Protégez votre signature électronique : Assurez-vous de protéger votre signature électronique en ne partageant pas votre mot de passe ou en ne permettant pas à d’autres personnes d’utiliser votre compte pour signer des documents.

En suivant ces bonnes pratiques, vous pouvez être sûr que votre signature électronique PDF est réussie et conforme à la réglementation en vigueur.

Processus de signature (Adobe)

Si une solution SaaS (Software as a Service) est utilisée, la signature se fait en ligne et l’utilisateur ne voit jamais le fichier . pfx/p12. Si la signature est effectuée à travers un outil installé sur votre ordinateur, un programme compatible tel qu’Adobe Acrobat Reader est nécessaire.

En général, Adobe Acrobat Reader peut valider les signatures lui-même, de sorte que l’utilisateur voit directement si la signature est juridiquement valable lorsqu’il ouvre le document.

Moteur de flux de travail (Workflow)

Le moteur de flux de travail est une fonctionnalité qui peut être intéressante pour certaines personnes. C’est l’un des points forts de l’outil Docusign (d’autres fournisseurs proposent cette fonctionnalité également).

Il permet d’organiser un flux de travail dans un processus de signature qui est semi-automatique. Typiquement, il peut y avoir un ordre spécifique dans lequel les signataires doivent signer le contrat.

Dans ce cas, l’utilisateur peut indiquer à la solution que la personne A doit signer en premier, puis la personne B recevra un courriel dès que la personne A aura signé pour compléter le flux de travail. Cette chaîne peut être étendue à l’infini, et les e-mails de notifications sont automatiques.

Choisir une solution de signature électronique PDF

Il existe différents types de services concernant la signature de documents PDF, que l’on peut généralement classer en trois catégories :

les solutions sur site ;
les solutions SaaS ;
les solutions de bureau.

Voici trois solutions suisses qui correspondent chacune à l’une de ces catégories :

	Qualified.ink	Skribble	Let’s Sign
Sur site	Oui (sur le bureau)	Non	Oui
Cloud	Non	Oui	Oui
Serveur en Suisse	Oui	Oui	Oui
tarification	Par utilisateur	Par signature	Mix
Signature certifiée	Oui	Oui	Oui
Assistance téléphonique	Non	Oui	Oui
Signature mobile	Oui	Oui	Oui (applications dédiées)
Signatures multipartites	Oui	Oui	Oui
Rappels	Oui	Oui	Oui
Suivi de l’avancement des tâches	Oui	Oui	Oui
Etiquette blanche	Non	Non	Oui
Salles de signature	Non	Non	Oui

Let’s Sign propose deux modèles, une version sur site et un produit SaaS.
Avec la version sur site, la solution est installée localement et la signature se fait via un serveur web. Avec la version SaaS, le fichier .pdf est téléchargé sur le cloud pour être signé.

Skribble est uniquement disponible en tant que solution cloud.
Pour signer un document sur Skribble, le document doit être téléchargé sur leur cloud, après quoi il sera signé.

Qualified.ink est ce que nous appelons un « on-desktop ».
Il n’est pas seulement sur site, mais il a une intégration directe avec Adobe Acrobat Reader. La procédure de signature est soit effectuée directement dans Adobe Acrobat Reader sans uploader le document sur un serveur web interne (comme les solutions sur site) soit sur un cloud (comme le modèle SaaS).

Commander le certificat

Après avoir choisi votre fournisseur de signature et commandé un QES, il contactera une autorité de certification et demandera la signature à valeur légale. L’autorité de certification contactera ensuite la personne ou l’entreprise à qui le certificat est destiné et validera son identité.

Une fois que l’autorité de certification (AC) a pu effectuer la validation, le certificat et la signature seront donc délivrés à l’utilisateur. Une image de la signature manuscrite peut également être scannée et ajoutée au QES, ce qui la fait ressembler davantage à une signature manuscrite :

À partir de ce moment, le document PDF est juridiquement conforme et peut être envoyé par courrier électronique ou transféré à l’aide d’un service de partage de fichiers.

La question du Cloud

« Donc, si j’utilise un service SaaS, je vais alors télécharger des documents potentiellement confidentiels sur un cloud ? ».

Oui, c’est effectivement le cas, et c’est la raison pour laquelle certaines entreprises préfèrent travailler avec des solutions sur site.

Il faut tout de même noter qu’il y a un temps de rétention spécifique après la suppression de chaque document et que leurs normes de sécurité sont très élevées. L’inconvénient des solutions sur site est leur prix, qui est beaucoup plus élevé que celui d’une solution comme Skribble. Comme pour toutes solutions informatiques, ce choix doit être fait avec soin et répondre pleinement à votre besoin.

Conclusion

Pour conclure, voici un récapitulatif des avantages de la signature électronique PDF :

Gain de temps : La signature électronique PDF permet de signer des documents en quelques minutes, ce qui est plus rapide que l’impression, la signature manuscrite et la numérisation du document.

Économie des coûts : En évitant l’utilisation de papier, d’encre, d’imprimantes et d’autres fournitures, la signature électronique PDF peut réduire les coûts associés aux processus de signature.

Amélioration de l’efficacité : La signature électronique PDF peut accélérer les processus de signature et réduire les délais, ce qui peut améliorer l’efficacité de votre entreprise.

Meilleure sécurité : Les outils de signature électronique offrent des niveaux de sécurité élevés pour les documents signés électroniquement, garantissant l’authenticité et l’intégrité du document.

Accessibilité : La signature électronique PDF peut être effectuée à distance, ce qui est particulièrement utile pour les équipes travaillant à distance ou pour les personnes qui ne peuvent pas se déplacer physiquement.

En somme, la signature électronique PDF offre de nombreux avantages, notamment en termes de gain de temps, d’économie des coûts, d’amélioration de l’efficacité, de meilleure sécurité et d’accessibilité. C’est la raison pour laquelle de plus en plus d’entreprises adoptent cette méthode de signature électronique pour leurs processus.

Vous souhaitez en savoir plus sur ce sujet ou mettre en place l’une de ces solutions ?
Contactez-nous pour être accompagné dans cette démarche.

Plus d’information à ce sujet ?

Nous sommes à votre disposition !

The post Signez vos PDF avec une signature électronique appeared first on KYOS.

Sensibilisation à la cybersécurité

Etienne Maghakian — Thu, 16 Feb 2023 15:35:07 +0000

Sensibilisation à la cybersécurité

février 16, 2023
4:35 pm

Charles Badjaksezian

Security Consultant

Pourquoi la sensibilisation à la cybersécurité (ou sécurité informatique) est fondamentale à votre sécurité en général ? Comment inscrire une sensibilisation dans un programme complet de formation à la sécurité informatique ? Est-ce qu’une plateforme d’e-learning est suffisante pour conduire ces formations à la cybersécurité ?

Vous a-t-on mis au volant d’une voiture sans vous expliquer le code de la route ou avoir soumis à un examen validant vos connaissances de conduite ?

Avez-vous appris à faire du vélo en regardant des vidéos ou en lisant un manuel ?

Finalement, avec la technologie, c’est à peu de choses près ce que le monde a fait avec vous. Vous vous retrouvez immergé de la tête au pied dans un monde technologique, sans nécessairement avoir été informé des tenants et aboutissants.

Pour donner quelques analogies avec le monde physique, on comprend pourquoi il nous faut des clés plus robustes pour ouvrir sa maison que pour ouvrir sa boîte aux lettres. On comprend pourquoi si nous n’avions qu’une seule clé pour tout ouvrir (voiture, maison, bureau, etc.) et que l’on perd cette clé, cela serait problématique.

Or, transposés dans le monde numérique, certains comportements sont très proches de cette analogie.

Utilisez-vous des mots de passe différents pour chaque service ? Savez-vous si l’un des sites que vous fréquentez s’est fait pirater (dis plus clairement : vos données se sont fait voler ! Et peut-être, même votre mot de passe est désormais publiquement accessible !).

Table des matières

Add a header to begin generating the table of contents

Un programme de formation / sensibilisation à la sécurité informatique est là pour cela !

Avant de développer comment construire un programme de sensibilisation à la sécurité informatique (ou sensibilisation à la cybersécurité), voyons les objectifs d’un tel programme. Pourquoi est-ce nécessaire de former les collaborateurs de votre entreprise aux menaces numériques ?

1ère raison de former vos collaborateurs : Ils sont au front

Il est plus simple d’entrer dans un bâtiment en se faisant inviter (un entretien d’embauche par exemple) que de forcer la porte et outrepasser tous les systèmes de surveillance.

C’est exactement de cette manière que les pirates commencent par s’introduire dans votre système d’information. En œuvrant à convaincre vos collaborateurs que leur sollicitation est légitime et qu’il faut les laisser entrer.

Le mail et le téléphone étant les vecteurs les plus fréquents et les moins coûteux, le nombre de messages reçus est et restera très élevé.

Aussi, la sensibilisation à la cybersécurité se doit d’expliquer les techniques employées par les pirates, et surtout, de donner les moyens de les déjouer lorsqu’elles sont utilisées.

2e raison de sensibiliser vos collaborateurs à la sécurité informatique : Ils sont votre meilleure défense

Leur position de 1ère ligne les expose comme nous l’avons développé précédemment, certes. En plus, ils sont vos sentinelles. Ils seront les premiers à voir qu’un virus est en train de se propager.

Ce sera le cas si un virus arrive à passer toutes les barrières en place (antispam, firewall, antivirus, etc.). Vos collaborateurs doivent apprendre à réagir, et vite. La vitesse de réaction sera même fondamentale pour limiter la propagation et limiter au maximum les dégâts.

La sensibilisation à la cybersécurité sera le moment de briser la croyance que le service informatique sait tout sur tout, et ce, instantanément. Il est vrai que de nombreuses traces existent, que de nombreux moyens pourront assister à l’investigation a posteriori. Telles les caméras de vidéosurveillance, ces traces seront utiles après le méfait, plus difficilement avant (c’est évidemment possible, toutefois, les moyens ne sont que trop rarement déployés pour cela).

Vos collaborateurs doivent comprendre les mesures en place pour également les respecter ! Une étude réalisée par HP montre que 31% des 18-24 ans ont déjà tenté de contourner les mesures de sécurité en place.

3e raison d'avoir un programme de sensibilisation aux menaces informatiques : Ils sont les acteurs de votre performance

Le bain technologique dans lequel nous vivons s’étend aussi dans votre vie privée. Votre smartphone, votre tablette, votre ordinateur à domicile, votre télévision, votre radiateur, votre réfrigérateur, etc., tout est connecté.

Améliorer sa posture de sécurité numérique en général, tant d’un point de vue privé que professionnelle, sera bénéfique aux deux mondes (professionnel et personnel).

Avec l’essor du télétravail, les équipements à partir desquels vos collaborateurs se connectent à votre système d’information sont tellement vastes qu’aucune technologie ne pourra tout protéger.

Aussi, investir dans la formation de vos collaborateurs est de votre devoir… cet exemple largement utilisé sur Internet a pour vocation de le rappeler :

CFO: What happens if we train them and they leave?

CEO: What happens if we don’t and they stay?

L’objectif est que chacun comprenne les risques encourus aussi simplement qu’il comprend les conséquences d’un dépassement de vitesse. La prochaine fois que vous brancherez votre téléphone, vous devrez comprendre les conséquences de cliquer sur « Autoriser l’accès », et peut-être direz vous « Refuser ».

Une sensibilisation à la cybersécurité VS un accompagnement à l'utilisation des outils informatiques

L’expérience d’avoir formé plusieurs milliers de personnes dans des dizaines de secteurs d’activités différents amène au constat suivant :

De très nombreux collaborateurs sont des utilisateurs de technologies qu’ils n’ont pas eu le temps de s’approprier et de comprendre. Adopter des pratiques sécurisées est une tâche supplémentaire à leur quotidien alors qu’ils ont d’abord besoin d’être accompagnés pour mieux comprendre les technologies.

Par exemple, expliquer que les macros contenues dans les fichiers Office peuvent être malveillantes lève déjà la question de savoir ce qu’est une macro !

La formation continue de vos collaborateurs aux technologies est donc essentielle tant pour gagner en efficacité dans leur utilisation que pour ensuite pouvoir construire votre défense humaine face aux sollicitations des pirates informatiques.

In fine, les deux plans de formation se doivent d’être complémentaires. Chaque nouvelle technologie déployée dans votre environnement de travail correspondra à un ensemble de bonnes et de mauvaises pratiques.

Comment former des collaborateurs à identifier les menaces informatiques ? Comment les former à leur propre cyber sécurité ?

Le sujet est tellement vaste, les termes employés sont tellement techniques, comment faire pour former plus qu’informer ?

D’une part, on aurait tendance à imaginer qu’il faille distiller des contenus (mini-vidéos, brefs articles, newsletters), d’autre part, il y a tellement de sujets à aborder qu’il faudrait des années pour n’en serait-ce que faire le tour.

Formez vos collaborateurs pour leur propre intérêt, ils seront bons pour vous

Lorsque vous formez votre équipe à utiliser un défibrillateur et aux autres gestes de premiers secours, ce n’est pas uniquement pour sauver les autres collègues. Cela peut leur être utile tous les jours.

Pour la cybersécurité, c’est la même chose. Donnez-leur les moyens de comprendre les menaces informatiques qui rôdent et ils sauront mieux éviter les pièges, tout le temps !

Une fois les bons gestes acquis, vous pourrez alors les compléter aux besoins spécifiques de votre organisation.

Une sensibilisation à la cybersécurité doit toucher les émotions et donner des réponses applicables

Les émotions sont essentielles à la mémorisation. Toutes les leçons apprises par cœur la veille pour le lendemain sont oubliées sitôt l’examen passé. Il en va de même avec les bonnes pratiques de sécurité informatique à adopter, s’il s’agit de regarder une vidéo pour répondre juste au quiz qui suit, alors tout reste à faire.

La peur est une des émotions qui finit par émerger de chaque session de sensibilisation que nous avons menée. Toutefois, cette peur est la conséquence de la compréhension globale de l’enjeu et des mécanismes en question.

Faire peur en s’arrêtant aux exploits de piratage donne uniquement envie de fuir sans avoir compris ce qui était faisable.

Une de ces illustrations est le message récurrent de méfiance autour des liens dans les emails. « Ne cliquez pas sur les liens si vous avez le moindre doute ». Le fond du message est totalement juste, toutefois, de nombreuses questions essentielles découlent de cette injonction :

Comment identifier un bon lien d’un mauvais ?
Comment valider l’identité de mon interlocuteur ?
Est-ce que l’affichage du message risque de compromettre mon ordinateur ? (>> Question fréquemment posée lors des sessions de sensibilisation à la sécurité informatique)
Et j’ai cliqué, que se passera-t-il ?
Etc.

Alors que la question essentielle à se poser est :

Où est censé m’emmener ce lien que je pourrais atteindre par mes propres moyens et par mon propre chemin ?

Un fameux transporteur vous indique que votre colis est bloqué en douane et qu’il faut s’acquitter d’un émolument ? C’est peut-être vrai.

Ne pouvez-vous pas simplement vous rendre sur le site de votre transporteur et saisir le numéro de suivi que vous avez déjà reçu par ailleurs ? Vous verrez alors si c’est vrai ou non !

Pourquoi suivre le chemin qu’on vous montre alors que vous connaissez la route ?

Les plateformes d'e-learning comme relais de votre formation en cybersécurité

Il n’y a que les professionnels de l’informatique (et encore plus les professionnels de la sécurité informatique) pour penser à la cybersécurité en permanence. Pour les autres collaborateurs, ils sont là pour d’autres missions.

Les plateformes d’e-learning sont parfaites pour diffuser de manière régulière les bonnes pratiques à adopter dans différents contextes. Toutefois, comme il est implicitement indiqué, l’e-learning pour la cybersécurité ne peut être qu’un relais, pas son fondement.

En effet, la base se doit d’être humaine et en présentiel. Il faut disposer d’un espace d’échange avec un formateur expert. Créer une interaction, partager des expériences de piratage réel (personnelles ou dans son entourage proche) est un moment fondateur à plusieurs titres :

Réaliser que le piratage est une activité visant tout le monde
Réaliser que le piratage est une activité professionnalisée et que vous êtes des victimes
Créer des liens entre collègues en cas de suspicion de piratage
Oser parler de situations peu flatteuses et libérer la parole des doutes

Une fois cette base acquise, ces émotions révélées, ces liens créés, alors les personnes déjà sensibilisées seront autrement plus à l’écoute des cours en ligne et des différents quiz d’évaluation.

Encore faut-il s’assurer que le contenu de l’e-learning soit aligné et cohérent avec la formation délivrée…

Former est une bonne première étape, il faut également répondre aux questions dans le temps.

Sensibilisation à la sécurité informatique, plateforme d'e-learning, outil de phishing, que choisir ?

Avant de développer ce sujet, vous devez savoir qui, dans votre entreprise, va piloter la démarche. En effet, il est question ici d’un programme de formation, de choix de thèmes de cybersécurité, de choisir et de configurer des tests de phishing, et avant tout et surtout, il est question de vos collaborateurs !

Vous avez à former des êtres humains, vous devez les accompagner pour comprendre le monde malveillant et aussi à comprendre les objectifs des autres mesures de sécurité que vous allez déployer.

En plus de mesurer la capacité de détection des tentatives de piratage par vos collaborateurs, vous allez pouvoir mesurer la capacité de votre service informatique à réagir aux signalements de ces derniers. En effet, les exercices de phishings vont ressembler à de réels phishings.

Si au prochain déclenchement de l’alarme incendie, tout le monde reste à sa place en pensant que c’est un exercice, vous aurez tôt ou tard un gros problème. Raison pour laquelle, vous ne faites qu’un à deux exercices d’évacuation par année.

Les tests de phishings sont-ils des outils de formation à la cybersécurité ?

Cette question revient à se demander si l’examen associé à un cours fait partie ou non du cours… La réponse est clairement oui !

Toutefois, le terme phishing mérite quelques développements.

En premier lieu, voici une définition :

Phishing :

Ce terme est repéré avant les années 2000 et représente une fusion des termes « password » et « fishing », afin de garder le son « f », on l’écrit alors « ph » : phishing = pêcher des mots de passe.

Il désigne un message frauduleux usurpant l’identité d’un service connu et vous invitant à vous authentifier, vous dérobant ainsi votre identifiant de connexion et votre mot de passe.

Les techniques d’usurpation d’identité sont nombreuses (spoofing, typosquatting simple, typosquatting évolué, etc.). Il est alors possible de classer chaque technique par niveau de sophistication.

La mesure du niveau de détection selon le niveau de sophistication est bien plus utile pour adapter votre plan de formation ou vos contenus de formation.

Bâtir les fondations de la sécurité informatique des collaborateurs : toucher leurs émotions

C’est dans cet objectif que Kyos a construit une formation initiale orientée tout public.

Construite autour d’un scénario de piratage concret et compréhensible de tous, la sensibilisation développe les étapes pour mettre en œuvre celui-ci.

Chacun sait quel objectif est visé et comprend alors le déroulement progressif du piratage et des moyens déployés pour atteindre le but.

Ensuite, tout en disséminant les différentes techniques des pirates, la formation développe les mécanismes psychologiques derrière chacune des étapes du piratage. On peut citer le stress et l’urgence comme leviers fréquemment utilisés.

Toutefois, en plus de ces leviers psychologiques, la formation décrit les signaux à repérer et également, des techniques pour s’en protéger.

Il n’y a pas une session où un des participants s’exclame au choix :

« Ah, je comprends mieux pourquoi je me suis fait avoir lors de … »

« Enfin un informaticien que je comprends »

« Il faut absolument que vous parliez à mes enfants de toutes ces techniques »

Bâtir dans la durée votre résilience aux menaces informatiques à l'aide d'un e-learning de cybersécurité

Des plateformes de sensibilisation à la cybersécurité, il en existe plusieurs. Nous avons fait notre travail de veille et d’analyse des solutions et avons opté pour l’une d’entre elles pour plusieurs raisons.

D’abord, il fallait que le contenu disponible soit aligné et cohérent avec le message passé dans notre formation en présentiel. Dans la lignée du message « Ne cliquez pas sur les liens frauduleux », dont l’intention est tout à fait louable. Toutefois, la forme de la communication attise plus la peur que donne des solutions.

Ensuite, nous avions besoin d’une plateforme avec des contenus multilingues. A minima, il faut que les langues allemande, française, italienne et anglaise soient disponibles.

Enfin, le dernier critère est la disponibilité d’une plateforme de phishing avec différents niveaux de sophistication associés à la plateforme d’e-learning.

Notre analyse nous a conduits au choix de la plateforme KnowBe4.

Piloter les indicateurs de sensibilisation à la sécurité informatique

La plateforme KnowBe4 répond également à de nombreux autres besoins :

Indicateurs de suivi des formations
Indicateurs d’envoi et de clics aux tests de phishings
Automatisation de la montée en complexité des tests de phishing
Mise en place de plans de formation obligatoire pour chaque nouveau collaborateur
Contenus variés disponibles avec des messages justement présentés
Nouveaux contenus ajoutés en continu

Découvrez davantage KnowBe4 à travers la rediffusion de notre webinar.

Prenez contact pour en savoir plus

À l’occasion d’une rencontre, nous vous présenterons en détail notre programme de formation, son contenu et ses formateurs experts.

Vous aurez l’opportunité de voir les témoignages de nos clients.

Enfin, nous pourrons répondre à toutes vos questions sur notre vision de la formation des collaborateurs à la sécurité informatique.

DISCLAIMER : toutes les illustrations de cet article ont été générées à partir de la plateforme Dall-E mise en place par la société OpenAI

Plus d’information à ce sujet ?

Nous sommes à votre disposition !

The post Sensibilisation à la cybersécurité appeared first on KYOS.

Network as a Service (NaaS) avec Aruba – Visite CIC

Etienne Maghakian — Mon, 11 Apr 2022 14:13:52 +0000

Network as a Service (NaaS) avec Aruba – Visite CIC

Nous sommes ravis de vous accueillir pour cet événement au HPE CIC – Customer Innovation Center à Genève.

Rejoignez-nous pour échanger avec nos intervenants sur la manière de surmonter facilement les principaux défis de la gestion des réseaux d’aujourd’hui :

Kyos propose à cet effet des solutions Network-as-a-Service (NaaS) hautement agiles et automatisées basées sur les produits Aruba, dont les principaux cas d’utilisation seront présentés lors de cette session matinale.

Inscription Terminée

Aruba Central est une plateforme de gestion Next-gen qui permet de gérer les services WLAN, de commutation, WAN et VPN en utilisant des options cloud, sur site (on-prem) ou as-a-service pour toutes les versions d’Aruba OS.
Grâce à son IA, la plateforme peut diagnostiquer les problèmes sur un réseau, réduire le temps de gestion d’une infrastructure, détecter les pannes et bien plus encore.
Aruba ClearPass, parmi de nombreuses autres choses, exploite la capacité de fournir dynamiquement et sans intervention IT un accès réseau adéquat à tout appareil connecté à votre infrastructure grâce à sa fonction « Colorless Port », réduisant ainsi considérablement le temps nécessaire à la gestion quotidienne.

Agenda

8h30 – Inscription et petit-déjeuner de bienvenue
9h00 – Introduction KYOS > Gregory Roux
9h15 – Aruba NaaS – avantages et stratégie > Joe Saroukhanian
9h45 – Comment gérer votre réseau avec Aruba Central ? – Aruba AOS 10 – Fabien Giraud
10h15 – Pause café
10h30 – Comment sécuriser votre réseau et vos appareils avec ClearPass ? – Fabien Giraud
11h15 – Visite CIC > Eric Dominois
12h00 – Déjeuner Luigia (The Hive)

Adresse

HPE CIC – Customer Innovation Center in Geneva – Route du Nant-d’Avril 154 · 1217 Meyrin

Plan d'accès

Agenda
Date et heure	Jeudi 12 mai 2022 à 8h30
Durée	3 heures
Langue	Français
Intervenants	Kyos et Aruba

The post Network as a Service (NaaS) avec Aruba – Visite CIC appeared first on KYOS.

Retour d’expérience Banque REYL – IAM un des piliers de la sécurité

Etienne Maghakian — Tue, 29 Mar 2022 15:00:09 +0000

Retour d’expérience Banque REYL – IAM un des piliers de la sécurité

Au cœur d'un projet à travers le témoignage de Banque REYL

La Gestion et la Gouvernance des Identités (IGA) est un sujet que vous souhaitez découvrir ou approfondir ?

L’occasion pour Kyos et Usercube de vous proposer un event autour de ces sujets.

Nous nous réjouissons de vous retrouver le mardi 03 mai de 08h15 à 10h30 à l’hôtel Président Wilson à Genève !

Dans le cadre de cet event, nous vous invitons à venir partager un petit déjeuner ensemble et apprendre plus sur notre accompagnement à travers le témoignage d’un de nos clients.

Inscription

La Gestion et la Gouvernance des Identités (IGA) permet de renforcer la sécurité, la conformité et l’efficacité opérationnelle de votre entreprise en garantissant les bons accès aux bonnes personnes, aux bonnes applications, au bon moment et pour les bonnes raisons.

Thèmes abordés

Pourquoi une gestion performante de vos identités est indispensable pour la sécurité, la conformité et l’agilité de votre entreprise ?
Retour d'expérience : Comment la banque REYL a relevé ses défis en matière d’identités pour faire face à l’évolution des réglementations ?
Comment définir une stratégie d’identités plus forte avec Usercube & Kyos

Programme

8h15 - Accueil et petit-déjeuner
9h00 - Kyos et notre approche de l’IAM
9h20 - La gestion et la gouvernance des identités : principes de base par USERCUBE
09h40 - Témoignage de REYL Bank
10h10 - Questions/ réponses

Lieu

Hôtel Président Wilson à Genève – Quai Wilson 47, 1211 Genève

Agenda
Date et heure	Mardi 03 mai à 8h45
Durée	90 minutes, avec questions
Langue	Français
Présentateur	Kyos, Usercube, Banque REYL
Pour qui ?	DSI / CTO / RSSI Responsable de projets sécurité, IAM

The post Retour d’expérience Banque REYL – IAM un des piliers de la sécurité appeared first on KYOS.

Migration cloud : La démarche illustrée par Kyos

Etienne Maghakian — Tue, 22 Mar 2022 16:17:37 +0000

Migration cloud : La démarche illustrée par Kyos

Lorsqu’on pense migration vers le cloud, on pourrait imaginer qu’il s’agit simplement de déplacer des équipements et des logiciels vers un prestataire qui va réaliser les mêmes activités que vos équipes internes et c’est tout.

Or, une migration vers le cloud représente une véritable démarche stratégique pour votre entreprise.

Dans cet article, nous vous proposons un contour sur tous les aspects de votre migration vers le cloud :

la stratégie digitale et la transformation sous-jacente
les risques et les mesures de mitigation
les enjeux tant techniques qu’organisationnels
et bien d’autres aspects encore à découvrir ci-dessous

L’article présente en particulier une démarche d’une migration vers le cloud Microsoft 365.

Nous vous proposons également de découvrir comment Kyos a mis en œuvre cette démarche dans la migration de sa propre messagerie vers le cloud de Microsoft, à savoir d’Exchange on premise vers Exchange Online.

Table des matières

Add a header to begin generating the table of contents

Comprendre les clouds avant d'envisager une migration

Alors que tous les fournisseurs de services se présentent comme un moyen de simplifier la gestion de votre environnement informatique, il n’a jamais été aussi complexe de comprendre les prestations qui étaient acquises et celles qui restaient à votre charge.

Aussi, comprendre le terme cloud et tout ce qu’il couvre est la première étape pour déterminer votre plan de migration vers le cloud.

Cloud : un terme généraliste regroupant des prestations différentes

Avant de présenter les différences, voici les points communs de toutes les prestations dites « cloud ».

Le terme cloud décrit la livraison d’un service dématérialisé accessible par Internet et disponible en tout temps, en tous lieux et à partir de tous les équipements.

La notion de service est clé.

Prenons par exemple le service « fourniture de verres d’eau ».

Le service implique :

La réparation du verre s’il est cassé
Le rechargement de l’eau quand le verre est vide
L’entretien à la bonne température
Le maintien du verre dans de bonnes conditions
d’hygiène
Etc.

Lorsque vous achetez un verre et de l’eau, vous portez toute la responsabilité des conditions d’utilisation de la prestation.

Les fournisseurs de services cloud incluent une série de services implicites ou explicites. Identifier, comprendre et assumer ses choix avant d’entamer une migration vers le cloud est une des démarches clés de votre projet.

Cloud : Quels services dématérialiser ?

Une infrastructure technologique s’appuie sur des composants matériels et des composants logiciels.

Toutefois, comme pour l’exemple du verre d’eau ci-dessus, de nombreuses autres prestations sont attendues de manière plus ou moins explicites :

La disponibilité
Les équipements et les logiciels doivent fonctionner en tout temps
L’intégrité
Les données doivent toujours être justes et conformes aux instructions données
La confidentialité
Seules les personnes autorisées doivent avoir accès aux informations
La traçabilité
Tous les accès doivent être tracés
La non-répudiation
L’identification des accès doit pouvoir être attribuée de manière certaine à un individu

Ces besoins impliquent la mise en place d’infrastructures et des logiciels spécifiques afin d’assurer le niveau de service attendu.

Ce sera tout ou partie de ces infrastructures matériels et logiciels qu’il sera possible de dématérialiser.

Les bénéfices attendus par la migration cloud seront donc relatifs au niveau de dématérialisation réalisé.

Dans tous les cas, l’intégration dans le périmètre du système d’information de l’entreprise restera une tâche à opérer.

Les enjeux du Cloud pour vos collaborateurs et pour les équipes IT

Quelles sont les considérations à prendre en compte pour votre département informatique avant de migrer vers le cloud ?

La gestion des équipements finaux

Dès le premier instant où vous aurez activé votre souscription au service en ligne, vous ouvrez la possibilité à tous vos utilisateurs d’accéder à des services depuis n’importe quel équipement.

Vous initiez ainsi le basculement du service « poste de travail standard d’un utilisateur » vers le service « gestion de la compatibilité matérielle avec les services en ligne ».

La gestion des équipements d'infrastructure

La flexibilité offerte par les offres d’IaaS (Infrastructure as a Service) transforme également toute la gestion de la planification des investissements matériel. La surveillance du stockage ou de l’obsolescence des équipements se transforme en optimisation de l’utilisation des infrastructures en ligne, une partie de la facturation étant basée sur la consommation des ressources en ligne.

La gestion des services à disposition

La vitesse de mise à disposition de nouvelles fonctionnalités sur les plateformes Saas (Software as a Service) nécessite de s’y intéresser de près. Ces services doivent être testés, évalués et mis en corrélation avec les besoins des autres collaborateurs de l’entreprise.

De plus, l’évaluation de nouvelles opportunités d’amélioration ou d’optimisation doit s’accompagner d’un plan de communication et de formation associé.

La gestion de l'hybridation de votre plateforme

Alors que votre souhait est de dématérialiser toute votre infrastructure et votre environnement technologique, vous aurez très probablement encore quelques services et infrastructures à gérer.

Par conséquent, l’interconnexion de vos différentes plateformes sur site (on-premise) et dans le cloud sera au moins nécessaire pendant la phase de migration. C’est ce qu’on appelle les environnements hybrides.

Par exemple, adapter votre infrastructure interne afin de la rendre compatible avec les moyens modernes d’authentification sera un des enjeux.

La gestion de la sécurité périmétrique

Le basculement dans un contexte dématérialisé comme le cloud impose de se poser la question sur la sécurité de l’information au lieu de la sécurité des équipements.

Historiquement (et c’est encore souvent le cas), l’accès aux différents systèmes d’information s’appuie sur un modèle qu’on nommera en cercle concentrique. Le centre du cercle étant celui qui nécessite le plus d’autorisations pour y accéder.

Ainsi, une fois les autorisations acquises, vous avez accès à toutes les données et systèmes disponibles.

Avec votre migration vers le cloud, vous basculerez vers un modèle basé sur la sécurisation de la donnée elle-même. Ainsi, un document qui sera marqué comme « Confidentiel », où qu’il se trouve (espace collaboratif, teams, email, onedrive) imposera un niveau d’accréditation correspondant.

La gestion des licences

L’utilisation de services dématérialisés transforme les modalités historiques de gestion des licences. Du côté des licences utilisateurs, la plupart des fournisseurs se basent sur un abonnement nominatif pour les services SaaS. Pour les services PaaS et IaaS, c’est le modèle nommé « pay as you go » qui s’appliquera, c’est-à-dire, vous payez ce que vous consommez.

Ces nouveaux modèles de licences renforcent le besoin de supervision de leur utilisation :

Vous devez inclure la revue des usages de vos licences utilisateurs pour
optimiser vos factures.
Vous devez superviser votre consommation pour identifier les surconsommations éventuelles

Avec une gestion optimisée, vous éviterez les effets de palier d’investissements qui accompagnent habituellement votre croissance.

La flexibilité apportée par ces plateformes ouvre également les possibilités d’expérimentations de nouveaux services à moindre frais. Comment vos utilisateurs peuvent bénéficier de votre mouvement vers le Cloud ?

La transition d'une communication "email boule de neige" en communication contextuelle

Non, l’email n’est pas mort ! En revanche, les échanges se dérouleront de manière de plus en plus contextuelle, autour des activités, des projets ou des domaines.

Les plateformes collaboratives multiplient les lieux où des informations sont échangées.

Par exemple, un fil de discussion peut se trouver dans les commentaires d’un document, à l’intérieur d’une tâche d’un tableau de bord d’activités, dans une conversation d’équipe. Toutefois, au lieu de considérer cela comme une dissémination des informations, il s’agit bien au contraire de voir que les informations sont là où elles sont importantes.

Ainsi, un nouveau membre d’équipe pourra lire tout l’historique des échanges et ainsi s’approprier le contexte plus simplement.

Du document "patate chaude" à la coédition

Combien de vos documents sont envoyés d’une boîte de messagerie à une autre à des fins de relecture, validation, complétion ? Les outils collaboratifs sont arrivés pour proposer des alternatives à cette pratique.

Toutefois, c’est avec l’arrivée de la coédition en temps réel que la promesse du gain de temps peut commencer à être tenue. Seulement commencer, car plusieurs autres barrières doivent être levées :

L’acceptation de la transparence
La traçabilité de tous vos ajouts/corrections est totale et votre avancement est visible de tous.
L’acceptation du travail « en cours »
Comme vous coéditez un document, vous voyez un document en cours de modification à tous les états de sa production. Aussi, accepter qu’un document soit vu en étant incomplet peut être une autre barrière à considérer.
La peur de perdre l’historique
Connaissez-vous les documents v0.1, v0.2,
etc. ? Et pourtant, une plateforme comme SharePoint Online active automatiquement et par défaut la gestion de l’historique des versions de votre document. Ajoutez à cela la possibilité de visualiser les différences directement dans Word et vous bénéficierez alors de tous les avantages promis.

Quels sont les changements induits par le cloud ?

Une opportunité de revoir vos processus

Vous pourriez imaginer une migration que l’on nomme « 1 pour 1 ». C’est-à-dire, de virtualiser votre infrastructure actuelle et de la déplacer telle qu’elle sur une plateforme d’hébergement auprès d’un fournisseur de IaaS (Infrastructure as a Service).

Vous risqueriez non seulement de passer à côté de nombreuses opportunités, mais également que les bénéfices escomptés ne soient pas au rendez-vous.

Comprendre son passé pour construire son futur dans le cloud

Souvent, la mise en œuvre des processus et contrôles s’est construite sur la base d’outils et de compétences à disposition. En ouvrant la possibilité d’utiliser les derniers outils disponibles (PaaS – Plateform as a Service, mais surtout SaaS – Software as Service), l’éventail des possibilités est bien plus large.

Aussi, en repensant aux motivations et aux objectifs initiaux des applications ou des modes opératoires existants, il vous est possible de découvrir que des moyens nettement plus efficaces existent.

Le potentiel du SaaS

En mettant en place les plateformes cloud, tous les fournisseurs de solutions ont également déployé les moyens d’interconnecter et de piloter ces services à distance. Ce sont les API – Application Programming Interface.

Ce terme très technique signifie également qu’il est désormais possible de piloter et d’interconnecter tous les services dans un processus global.

Ce qui semblait compliqué ou coûteux devient immédiatement disponible.

Si on prend l’exemple de Microsoft, ce dernier a mis en place une plateforme pour faciliter encore plus le développement de vos processus à l’aide de la plateforme Power Automate.

Les nouvelles compétences à développer

Tant du point de vue de votre département informatique que du point de vue de vos utilisateurs, une migration vers le cloud doit s’accompagner d’une prise en compte de l’évolution des métiers.

L’exposition directe de vos données sur un cloud impose une montée en compétence sur la configuration sécurisée des plateformes cloud.

Et les bénéfices ne seront pas au rendez-vous sans une adaptation des pratiques de vos utilisateurs.

Le travail nomade

La disponibilité des plateformes en tout temps, en tous lieux et à partir de n’importe quel équipement sont les raisons de la croissance importante (accélérée par la crise du covid) des fournisseurs de services cloud.

Cette mutation des conditions de travail induit automatiquement une exposition plus importante aux risques numériques.

C’est donc tout naturellement que des mesures de sécurité de l’information doivent être prises.

La fréquence des mises à jour

L’un des changements particulièrement nouveaux pour les utilisateurs et également pour votre département informatique, c’est la fréquence des mises à jour et des nouvelles fonctionnalités offertes par les services cloud.

Auparavant, vous décidiez de quand et comment vous alliez procéder aux mises à jour. Elles pouvaient être planifiées selon votre calendrier.

Malheureusement, le volume et le nombre de systèmes à mettre à jour sont tels que, souvent, les équipes informatiques décalent, regroupent ou pire négligent ces mises à jour.

Dès le moment où vous passez dans le cloud, c’est votre fournisseur qui décide du planning, et il doit respecter le niveau de service qu’il s’est engagé à respecter (le Service Level Agreement – SLA).

Les fonctionnalités obsolètes

Il arrive que certaines fonctionnalités disparaissent !

Les fournisseurs l’annoncent toujours en avance. Toutefois, il est de votre responsabilité de lire et de les prendre en compte. En règle générale, l’obsolescence des fonctionnalités est annoncée plus de six mois en avance.
C’est un temps raisonnable pour vous adapter, à condition de le traiter dès l’annonce.

Les nouvelles fonctionnalités

En contrepartie, de nombreuses nouvelles fonctionnalités font leur apparition toutes les semaines. Suivre et décider de leur activation est tout aussi important.

Les scénarios de migration

Un projet de migration vers le cloud doit démarrer par une analyse des bénéfices, des risques et des opportunités de faire évoluer les systèmes en place. La liste des scénarios possibles (également connus sous le nom des « 6 R de la stratégie cloud » est la suivante :

Stratégie de migration	Brève description de la stratégie
Re-hosting	Déplacer vos serveurs virtuels chez un hébergeur cloud
Re-plaforming	Déplacer la base de données ou de votre middleware vers le cloud
Re-architecting / Re-factoring / Re-build	Révision complète de l’architecture de la solution afin de s’appuyer sur les nouveaux standards de développement dans le cloud
Re-puchasing / Replacing	Au lieu de migrer vos applications, vous acquérez le même service auprès d’un fournisseur SaaS
Retain	Décision de conserver l’application / le service / l’infrastructure sur site / on-premise
Retire	Décision d’abandon d’une application / d’un service / d’une infrastructure

Quelles sont les bénéfices visés lors d'une migration vers le cloud ?

Une scalabilité accrue

L’une des promesses du cloud, c’est de pouvoir activer et configurer une infrastructure « on demand ». Si vous avez besoin de puissance de calcul, quelques clics suffiront (associés à une facture) et vous aurez toute la puissance que vous souhaitez.

Vous pourrez louer cette puissance pendant la durée désirée. Cette possibilité était totalement inenvisageable dans vos data centers on-premise.

Une scalabilité accrue

L’agilité des plateformes cloud est notable à tous les niveaux du cloud, que ce soit en IaaS, en PaaS ou en SaaS. La plupart des collaborateurs percevront cette agilité dans l’utilisation des services de type SaaS.

Les possibilités d’interconnexion offertes entre les services en ligne à disposition ouvrent une capacité d’automatiser de nombreuses activités par soi-même.

Des réductions de coûts

La réduction des coûts est toujours un sujet à contextualiser. Le niveau de service (SLA) fourni par les plateformes cloud intègre des prestations qui pouvaient parfois ne pas être réalisées (par manque de temps, de moyens humains ou financiers) par le département informatique interne. Cela inclut par exemple une fréquence élevée de mises à jour correctives et évolutives.

Ensuite, les offres concernent un ensemble de prestations, souvent plus étoffées que les services disponibles en interne.

Le calcul des économies doit intégrer les coûts qu’auraient représenté l’acquisition, le maintien et les migrations des mêmes services en interne.

Plus de sécurité

Le bénéfice attendu de plus de sécurité en migrant vers le cloud est à considérer avec précaution. Tout d’abord, la notion de sécurité couvre plusieurs dimensions à évaluer séparément :

L’assurance de la disponibilité

Le cloud promet un taux de disponibilité élevé.

Cette évaluation se mesure en pourcentage de uptime allant de 99% à 99,9999 %.

Ce pourcentage doit être défini sur une durée, car comme le tableau ci-dessous le présente, une indisponibilité de plus de 87 h en continu n’aura pas le même impact qu’une indisponibilité de moins de 15 mn par jour. Et pourtant, ces deux durées assurent une disponibilité de 99%.

Pourcentage uptime	Durée d’indisponibilité annuelle	Durée d’indisponibilité mensuelle	Durée d’indisponibilité journalier
99%	87 h 36 mn	7 h 18 mn	14 mn 24 s
99,5%	43 h 48 mn	3 h 39 mn	7 mn 12 s
99,9%	8 h 45 mn 36 s	43 mn 48 s	1 mn 26 s
99,99%	52 mn 33 s	4 mn 22 s	8 s
99,999%	5 mn 15 s	26 s	<1s
99,9999%	31 s	2 s	<1s

Cf. SLA de Microsoft : https://azure.microsoft.com/fr-fr/support/legal/sla/cloud-services/

Cf. SLA de Google : https://cloud.google.com/compute/sla

Cf. SLA de AWS : https://aws.amazon.com/fr/legal/service-level-agreements/

Cf. SLA d’Infomaniak : https://www.infomaniak.com/fr/cgv/conditions-generales

L’assurance de l’intégrité

L’intégrité correspond à la justesse de l’information.

Le cloud vous assure que les données ne seront pas altérées et correspondront aux données et configurations que vous aurez saisies. Le fournisseur vous assure qu’il ne changera pas vos
configurations et vos données. Toutefois, en ce qui concerne les configurations, il est de votre responsabilité de les définir de telle sorte qu’aucune autre personne (ou machine) puisse venir et modifier ces paramètres.

L’assurance de la confidentialité

C’est la dimension de la sécurité de l’information qui pose le plus de questions, en particulier selon le cadre légal applicable d’une part dans le pays de stockage de vos données mais également dans le pays du siège du fournisseur.

Même si celui-ci n’accède pas à vos données dans son activité au quotidien, la possibilité pour un gouvernement d’adresser une requête judiciaire auprès du fournisseur/hébergeur de lui fournir vos données est un véritable risque à évaluer.

Pour ce dernier point, nous verrons dans le cas de l’offre de Microsoft 365 les possibilités que vous avez à votre disposition de traiter ce risque.

Les dernières fonctionnalités

« Pour avoir cette fonctionnalité, il faudrait migrer sur la version cloud ». Avez-vous déjà entendu cette phrase ?

Satya Nadella, CEO de Microsoft, l’a clairement communiqué « Mobile First, Cloud First » dès 2014 ! (https://news.microsoft.com/2014/03/27/satya-nadella-mobile-first-cloud-first-press-briefing/).

C’est bien à travers cette stratégie que les outils et plateformes de l’un des principaux éditeurs de logiciels développe et actualise fréquemment son offre cloud et fait alors attendre l’intégration de ces fonctionnalités dans l’offre on-premise.

Ainsi, tout à fait logiquement, migrer sur le cloud afin de bénéficier les dernières fonctionnalités est un autre leitmotiv. Si on met de côté les considérations politiques d’une telle stratégie, on peut tout de même voir les bénéfices suivants pour les utilisateurs :

L’application des correctifs plus rapidement qu’en interne
La mise à disposition régulière de nouvelles fonctionnalités
Une réduction des charges pour les équipes internes de déploiement des correctifs
Une tendance renforcée à utiliser les outils avec les fonctionnalités natives plutôt que de faire des développements sur-mesure

Finalement, la question clé reste "Start with Why"

(cf. Start with why — how great leaders inspire action | Simon Sinek | TEDxPugetSound)

En définitive, votre souhait de migration vers le cloud doit être mis en œuvre comme un projet, avec des objectifs, des moyens et un plan de transformation de votre organisation.

Celle-ci implique une prise de conscience de tous les défis implicites induits par l’inclusion dans votre écosystème de nouvelles solutions.

Les nouveaux défis de votre environnement cloud

La gouvernance

Votre migration vers le cloud implique une gestion spécialisée de ces nouveaux services.

Voici quelques considérations en termes de rôles et de responsabilités à prendre en compte :

Rôle	Responsabilités
Architecte Cloud	Détermine le design général des composants cloud à implémenter et comment les intégrer entre eux et avec les composants restés sur site
Spécialiste sécurité Cloud	Détermine les règles de sécurité à implémenter et vérifie leur mise en œuvre, valide le design général de l’architecte
Administrateur Cloud	Supervise le bon fonctionnement des plateformes cloud, suit les incidents et analyse les logs, administre les installations, développe et assure la continuité des services
Analyste Cloud	Surveille la consommation des ressources, suit la bonne application des règles d’architecture et de sécurité, évalue les coûts actuels et à venir
Gestionnaire contrats Cloud	S’assure de la cohérence entre les contrats signés et la consommation, suit les évolutions contractuelles, s’assure de la bonne application des SLAs, conduit les achats de service cloud
…

Tous ces rôles devront être adressés par vos équipes internes ou par votre partenaire technologique.

De plus, des processus décisionnels sont nécessaires afin de valider par exemple l’activation des services à disposition.

Chaque activation ayant des impacts variables :

Fonctionnels
Communication, formation, utilisation et suivi du cycle de vie de nouveaux services mis à disposition ?
Techniques
Configuration, supervision, intégration des nouveaux composants activés
Légaux
Communication des données collectées aux usagers, conformité aux lois sur la protection des données personnelles
Économiques
Implication en termes de consommation des ressources utilisées
Sécurité
Niveau de protection des données utilisées dans un nouveau composant

Le processus décisionnel doit ainsi à minima poser les mêmes questions qu’une organisation se serait posée avant de démarrer un nouveau projet. La dématérialisation des services combinée à la facilité de les activer ayant tendance à masquer la complexité induite.

Tous ces éléments contribuent à définir votre gouvernance.

L'accompagnement des personnes

La démarche d’une migration vers le cloud représente un changement majeur pour votre organisation.

Prise à la légère, elle produira plus de plaintes, de désagréments que de bénéfices, en particulier auprès de vos utilisateurs.

Celle-ci est un projet de transformation profond de votre organisation, tant pour votre département informatique que pour vos utilisateurs. Telle une migration vers un nouvel ERP, une migration vers le cloud est un projet stratégique de transformation digitale de votre société.

Elle doit accompagner tant les dirigeants dans la compréhension des enjeux, risques et bénéfices recherchés que tous les collaborateurs qui composent votre organisation.

De la communication, à la formation de personnes clés dans chaque service en passant par votre helpdesk, tous jouent un rôle dans le succès de votre initiative et doivent par conséquent recevoir les informations utiles et nécessaires à leur fonction.

La gestion des risques informationnels

Un risque est un événement redouté qui a une certaine probabilité et un certain impact sur votre activité.

En cela, la liste des risques auxquels vous faites face est la même (cyberattaque, panne informatique par exemple). Ce que vous devez faire, c’est réévaluer les deux dimensions d’impact et de probabilité en y intégrant les nouveaux scénarios de menaces liés à votre dépendance aux fournisseurs cloud.

De là, selon votre appétence aux risques, vous déterminerez si des mesures de mitigation doivent être prises.

Parmi ces mesures de mitigation, vous trouverez certainement une à plusieurs des mesures suivantes :

Mettre en place des mécanismes de chiffrements de vos données (dans tous les états at rest / in transit / in use)
Mettre en place des sauvegardes de votre cloud
1. Avec chiffrement pendant le transfert (in transit) et pendant la conservation (at rest)
2. Avec de la déduplication afin de réduire le coût du stockage de vos backup
3. Avec des sauvegardes complètes/incrémentales/différentielles pour optimiser vos restaurations
4. Avec de l’optimisation de la bande passante lors des transferts des backups
Mettre en place des solutions hybrides
Classifier et protéger vos données elles-memes (approche « data centric »)
Améliorer le monitoring des services

De nombreuses autres mesures issues de l’ISO 27017 (Guide de bonnes pratiques
pour les contrôles de sécurité de l’information fondée sur l’ISO 27002 pour les
services en nuage) sont également à étudier au cas par cas, selon votre activité et le cadre réglementaire applicable (tant sur le traitement des données personnelles que de votre domaine d’activité).

L'approche de Kyos dans votre migration vers le cloud Microsoft 365

Comme nous l’avons vu précédemment, une migration/transformation dans le cloud doit être décidée pour les bonnes raisons, de manière consciente des enjeux, des risques et surtout de la valeur ajoutée qu’elle peut amener au business de votre entreprise.

Vos besoins de sécurité des données initiaux et cibles sont également des éléments clés de votre démarche.

Notre approche méthodique vous aide à identifier les scénarios de migration ainsi que les avantages et contraintes posés par chacun d’entre eux.

Les paragraphes suivants décrivent chacune des étapes de notre méthode d’accompagnement de votre transformation / migration vers le cloud de Microsoft 365.

Identifier les besoins de votre métier : les Business Requirements

Comme nous l’avons vu tout au long de cet article, votre projet de migration vers le cloud doit fixer les objectifs à atteindre avant de commencer.

Selon votre contexte et vos objectifs, vous aurez besoin de certaines fonctionnalités de l’offre de Microsoft qui auront nécessairement un impact sur les coûts de licences.

Lors des premiers ateliers que nous conduisons, nous établissons une cartographie de vos besoins.

L’objectif de cette étape est entre autres de répondre aux questions :

Comment sont utilisés aujourd’hui les éléments Microsoft par vos utilisateurs ?
Quels serait la valeur ajoutée de la solution Cloud ?
Quels sont les projets « quick wins » potentiel à implémenter ?
Comment valoriser la nouvelle plateforme ?
Quelles sont les fonctionnalités d’Office 365 qui vous apporteraient le plus de valeur ?

IT capabilities

La deuxième phase consiste à savoir d’où part votre département informatique et comprendre où il souhaite aller, pour s’y préparer.

Comme décrit dans le paragraphe des enjeux d’une migration cloud, les changements induits pour l’organisation et la gestion de votre système
d’information sont une dimension clé de votre transformation / migration vers le cloud.

Ainsi, les objectifs à cette étape sont les suivants :

Comprendre l’approche et la capacité du département informatique.
Identifier les structures et les processus en place qui seraient affectés par l’adoption du cloud computing et les domaines à développer.
Appréhender les considérations financières et de
licence.
Estimer la portée des entretiens/ateliers ultérieurs nécessaires pour assurer une couverture adéquate de cette activité.
Définir une cible et la roadmap associée.

Sécurité et gestion des risques

Il y a au moins trois dimensions de risques à comprendre et à adresser :

Vos risques numériques actuels
Les risques liés au projet de transformation
Les risques résiduels de l’état cible

Notre démarche vous accompagne sur ces trois dimensions.

Le Kyos Security Essentials (KSE) fournit une vision claire de la situation de la sécurité informatique. Il utilise les contrôles standards CIS auxquels nous apportons notre expertise pour vous livrer les recommandations d’améliorations.

Le KSE vous livre une photo instantanée de votre posture de la sécurité.

Ainsi, en le menant de manière régulière, vous disposer d’indicateurs de vos progrès tout en fournissant une liste priorisée de mesures à implémenter.

Ensuite, notre expérience et notre expertise vous aident à identifier les risques du projet de transformation dans votre contexte.

Et pour terminer, en y incluant l’inventaire des risques d’une plateforme cloud, vous disposez un « Risk Register » permettant conduire le projet de manière sereine.

Technical discovery and applications landscape

Vous disposez certainement déjà d’un système d’information, de serveurs, de services technologiques, de postes de travail et de comptes utilisateurs.

Votre migration vers le cloud passera ainsi obligatoirement par une revue technique de votre environnement.

L’objectif de cette étape est donc de :

Comprendre l’infrastructure technique actuelle.
Identifier les points d’intégration des services et toute contrainte de configuration particulière.
Comprendre comment les applications métiers sont intégrées au système d’information
Quels seraient les points d’interaction avec la nouvelle plateforme ?

IT process review

Vous avez peut-être déjà entendu le triptyque « People, Process and Tools« . Cette étape traite le sujet des processus IT.

Migrer votre environnement vers le cloud de Microsoft est une étape importante. Toutefois, vous assurer que cet environnement sera entretenu dans de bonnes conditions est essentiel.

C’est donc pour cela que cette étape a pour objectifs :

Comprendre la maturité des processus actuels.
Identifier les processus formels qui devront être adaptés à l’intégration du cloud.
Identifier la capacité de transformation

Data management review

Cette étape est un moment clé de la démarche. En effet, il transforme la vision habituelle de la sécurité physique et logique des équipements en sécurité autour de l’information que nous nommerons « data-centric ».

La collecte et l’analyse des informations de cette phase du projet détermineront l’approche de sécurisation de vos informations dans l’environnement cloud.

Les résultats de cette phase auront une forte influence sur les préconisations économiques et organisationnelles.

En résumé, voici les objectifs :

Comprendre le schéma de classification actuel et le modèle de sécurité des données.
Comprendre le niveau de maturité de la propriété des données, de leur
confidentialité, de leur intégrité, de leur disponibilité et de la gestion du cycle de vie du stockage des données.

Les livrables de notre démarche de migration vers le cloud de Microsoft 365

Recommandation de :

La sécurité et de gouvernance dans le contexte Office 365.
L’architecture à mettre en place, high level design.
Licences à mettre en œuvre pour soutenir la valeur métier ainsi que la sécurité et la compliance
Identification de scénarios à valeur ajoutée.
Liste des projets à initier, les étapes de transition et la roadmap recommandée.
- Certains projets seront techniques, mais il ne faut pas oublier les potentiels projets connexes comme l’accompagnement aux changements pour les équipes IT.
Estimation des budgets pour les différentes étapes de transformation, business case par rapport à la situation actuelle.
Définition des besoins de formation du personnel interne et/ou de partenaires externes.
Recommandation pour l’adoption de la plateforme pour les utilisateurs ainsi que pour l’IT.

La migration cloud de Kyos : Exemple et illustration de la migration d'Exchange on-premise vers Exchange Online

Nos besoins métiers

Nous avons défini notre inventaire de données et déterminé celles qui transitaient à travers Exchange Online.

De cet inventaire, nous avons établi la stratégie de traitement des différents risques.

Afin d’illustrer le propos, voici un extrait de l’inventaire des données :

Données internes au fonctionnement de l’entreprise (organisation, ressources humaines, stratégie de l’entreprise, etc.)
Données commerciales – Factures, offres, contrats avec nos clients, nos partenaires et nos fournisseurs
Données sur nos clients avec différents niveaux de confidentialité
1. Les success stories
2. Les travaux courants
3. Les audits de tests d’intrusion

Ensuite, voici quelques besoins complémentaires dans le contexte d’utilisation de la messagerie:

Il faut pouvoir envoyer des données très confidentielles à nos clients sans que ces données ne passent par le cloud de Microsoft.
Les données envoyées et reçues doivent être chiffrées par défaut.
Les données au repos doivent être chiffrées avec des clés Kyos.
Les données de backup doivent être chiffrées et offline.
Les données d’audit d’accès et d’utilisation doivent être disponibles chez Kyos en tout temps et ce de manière chiffrée.
Nous devons assurer une haute disponibilité d’accès aux données chiffrées.
Les datacenter du CSP doivent être sur le territoire Suisse.

Les besoins de sécurité

En tant que prestataire de services de sécurité, nous devons mettre en œuvre les meilleures pratiques de la sécurité de l’information dans notre transition vers les services cloud.

La synthèse des besoins en termes de Confidentialité, Intégrité, Disponibilité et Traçabilité conclut à des exigences élevées sur tous les axes.

L’ensemble des données nécessite de pouvoir être transmis d’une entreprise à une autre. Souvent, la messagerie est l’unique moyen de transfert. Ainsi, les exigences sur celle-ci sont toujours maximales.

Les risques et les mesures de mitigations

La stratégie de migration vers Exchange Online de Kyos

Le mot clé principal de cette migration est « chiffrement« . Comme vous le verrez par la suite, le chiffrement est un sujet complexe mettant en œuvre des technologies et des besoins de compétences avancées.

Ensuite, Kyos a également fait le choix de conserver des moyens alternatifs d’échange sécurisé dédiés pour le transfert des données les plus confidentielles.

Enfin, Kyos a décidé de mettre en œuvre les meilleures pratiques en termes de sécurisation disponible auprès des services de Microsoft.

Mesure 1 : Le chiffrement des boites mails - Une mesure clé

Sur le principe, la réponse à la question de chiffrer ou non ses messages est simple : Il faut chiffrer ses messages.

Toutefois, il faut impérativement comprendre de quels risques on souhaite se protéger afin de mettre en œuvre les bons mécanismes de chiffrement.

Avant d’aller plus loin, la première considération est que le chiffrement a pour objectif de protéger la confidentialité des données. La véritable question sous-jacente, c’est vis-à-vis de qui ?

Identifions d’abord les acteurs intervenant lors de l’échange de messages :

Emetteur + Destinataire
Administrateurs de la plateforme Exchange Online (Kyos)
SOC (Kyos)
SOC (Microsoft)
Hébergeur (Microsoft)
Fonctionnalités Exchange Online (Microsoft)
Solution de backup (Fournisseur Kyos)
Hébergeur de la solution de backup (Fournisseur Kyos)
Anti-spam (Kyos)

Il y a également les menaces de piratage à considérer, et donc, il faut également se prémunir des accès non sollicités dans l’hypothèse où chacune des parties où les données se trouvent (ou bien les données de logs).

De plus, le scénario de menace dont Kyos souhaite se protéger est l’accès en masse à la totalité des données.

Mesure 2 : Le chiffrement des emails (différent et complémentaire au chiffrement des boîtes mails)

Avec l’adoption de l’approche « data centric« , il convient en complément du chiffrement des infrastructures (data at rest, data in transit) d’adopter des mécanismes de chiffrement des données en elles-mêmes. Fort heureusement nous avons maintenant à notre disposition plusieurs outils/mécanismes pour ce faire :

Chiffrement des emails avec OME (Office Message Encryption)
Chiffrement des emails avec les labels MIP (Microsoft Information Protection) avec le mode BYOK
Chiffrement des emails avec les labels MIP + DKE (Chiffrement avec deux clé privées, une dans un key vault et une autre chez Kyos, dans un HSM et gérer avec la solution de Thales eSecurity DKE Broker + Luna HSM)

Grâce à ces différents mécanismes, et grâce à la classification des données, nous pouvons proposer divers mécanismes de chiffrement et protection en fonction de la sensibilité de celles-ci.

Mesure 3 : L'architecture de gestion de clés de chiffrement en place

Le chiffrement est un outil puissant pour assurer la confidentialité. Toutefois, c’est également un grave problème si les clés de déchiffrement sont perdues.

De ce constat découle un ensemble d’exigences de protection des clés elles-mêmes.

La création des clés (à l’aide d’une HSM – Hardware Security Module), la transmission sécurisée des clés, la garantie de disponibilité des clés, la protection des clés et enfin le renouvellement des clés sont autant d’exigences supplémentaires pour assurer un chiffrement effectif des données.

Kyos a donc mis en place les mécanismes pour assurer la confidentialité des données selon la politique de sécurité interne.

Entre autres mesures prises, il y a par exemple :

Utilisation de notre infrastructure HSM
L’activation du BYOK
La souscription à de multiples services de Key Vault
Le double chiffrement des données en elles-mêmes (MIP + DKE)(mode HYOK)
Le chiffrement des backups

Toutes les mesures ne seront pas décrites ici. Toutefois, nous restons à votre disposition pour répondre à toutes vos questions.

Mesure 4 : Le partage de données très confidentielles

Pour le partage des données très confidentielles, nous avons également fait le choix de maintenir sur nos infrastructures une solution de partage de fichiers sécurisée.

Cette solution met elle-même en œuvre un nombre important de mesures de chiffrement et également d’effacement programmé automatique.

Le partage se fera à travers une plateforme où nous garantissons avoir la maîtrise complète du chiffrement, du stockage, d’une localisation en Suisse et sous notre responsabilité directe.

Mesure 5 : L'hybridation des infrastructures

Nous avons également décidé de maintenir on-premise d’autres parties de notre infrastructure de gestion de la messagerie.

Notre évaluation des risques a joué son rôle d’arbitrage de nos décisions en pesant d’une part :

Le coût direct et indirect du maintien de ces infrastructures
Le nombre de fournisseurs devant disposer des clés de chiffrements pour accéder aux contenus

Et d’autre part notre responsabilité de protection des données de nos clients et également celles de l’entreprise.

Mesure 6 : La gestion des accès conditionnels

Mobilité oblige, nous avons également mis en place des mesures de protection des accès à la messagerie selon une série de critères (qui ne seront pas détaillés ici pour des raisons de sécurité).

Un arbre de décision est alors en place afin de déterminer le nombre de preuves d’identité que les collaborateurs de Kyos doivent apporter pour pouvoir accéder à leur messagerie en ligne.

Ceci sans compter sur les alertes et l’analyse des logs opérés sur l’ensemble des accès.

Les clés de lecture du monde du chiffrement - Les termes à connaître pour opérer votre migration vers le cloud

Terme	Définition
CSP	Cloud Service Provider : fournisseur de service Cloud (par ex. Microsoft Azure)
HSM	Hardware Security Module – C’est un équipement matériel hautement spécialisé permettant de produire des clés uniques et possédant des propriétés physiques de protection afin de prévenir du piratage matériel.
CCKM	CypherTrust Cloud Key Manager – Plateforme de Thalès (dont Kyos est partenaire) permettant de gérer les clés et leur cycle de vie dans le cloud.
BYOK	Bring Your Own Key – Possibilité offerte par le fournisseur cloud au client de fournir sa propre clé de chiffrement au lieu d’utiliser celle fournie, et de copier celle-ci sur le système du CSP.
HYOK	Hold Your Own Key – Possibilité offerte par le fournisseur cloud au client de gérer la clé de chiffrement sur votre propre infrastructure pour chiffrer et déchiffrer les données sass que cette clé soit chez le CSP
KEK	Key Encryption Key – Afin de protéger le stockage des clés de chiffrement utilisées pour chiffrer les données, les clés sont elles-mêmes chiffrées par une autre clé.
DEK	Data Encryption Key – C’est la dénomination de la clé utilisée pour chiffrer les données.
DKE	Double Key Encryption – Mécanisme de chiffrement des données déjà chiffrées. Cela rend illisible les données à une unique partie. Il faut posséder deux clés pour déchiffrer les données
AIP	Azure Information Protection – Application de Microsoft permettant de chiffrer automatiquement les données à partir de la suite Office selon le niveau de classification défini par l’utilisateur.
Azure RMS	Azure Right Management System – Sous-ensemble de la suite AIP de Microsoft pour l’utilisation de certaines fonctionnalités de chiffrement (dont OME)
OME	Office Message Encryption – Mécanisme de chiffrement du contenu du message jusqu’au destinataire.
AES-256	Advanced Encryption Standard utilisant un bloc de 128 bits avec des clés de 256 bits pour réaliser un chiffrement symétrique (même clé utilisée pour chiffrer et déchiffrer = mécanisme plus rapide)
RSA	Initiales des inventeurs du mécanisme de chiffrement dit asymétrique. Deux clés sont nécessaires, l’une peut être publique et est utilisée pour chiffrer les données et l’autre est privée et est nécessaire pour déchiffrer les données.

Plus d’information à ce sujet ?

Nous sommes à votre disposition !

The post Migration cloud : La démarche illustrée par Kyos appeared first on KYOS.