Par Jean-Christophe Loppin chez Quodagis

Au cours des dernières décennies, l’externalisation s’est imposée comme une pratique de gestion largement acceptée dans les entreprises. Elle permet aux organisations de se focaliser sur leur cœur de métier tout en bénéficiant de l’expertise de spécialistes dans leurs domaines. En informatique, l’externalisation prend différentes dénominations selon le type de service : infogérance, sous-traitance, services externalisés ou services gérés (managed services), ces différentes expressions recouvrent la même réalité, celle de la prestation de services par des fournisseurs de services gérés ou Managed service providers (MSP).

Selon la définition du Glossaire de Gartner, « les MSP fournissent des services, tels que le réseau, les applications, l’infrastructure et la sécurité, accompagnés d’un support, d’un soutien continu et régulier et d’une administration active dans les locaux des clients, dans le centre de données du MSP (services hébergés et gérés) ou dans un centre de données tiers ». En somme, les MSP proposent des offres basées sur la gestion au quotidien, la maintenance et le support continus et réguliers des services que l’entreprise leur confie.

Les avancées dans les domaines des transports, des communications et des technologies de l’information, les réseaux et le cloud essentiellement, et la baisse consécutive des coûts se sont combinées au point de rendre ce marché accessible aux plus petites structures. La globalisation de l’économie et l’émergence d’un écosystème foisonnant de fournisseurs ont fait le reste. Les entreprises ont pu déléguer avantageusement leurs opérations à travers un écosystème de prestataires.

Quant à la portée et le type de fonctions externalisées en informatique, le marché propose des offres allant de l’assistance de base aux services les plus complexes. Cela peut aller de la supervision des équipements informatiques et des infrastructures (service desk, postes de travail, serveurs…), aux offres plus complexes comme la prise en charge complète des opérations de sécurité via un centre des opérations de sécurité (SOC).

Dans tous les cas, le prestataire met à la disposition de son client une équipe d’experts aguerris qui scrutent le trafic Internet, les réseaux, les postes de travail, les terminaux, ainsi que les applications pour détecter les signes d’un incident de fonctionnement ou de sécurité. Un autre modèle d’externalisation en croissance est celui du support des applications, dans lequel le fournisseur assure la maintenance de toutes les applications et prend en charge la résolution des problèmes liés au fonctionnement de ces applications, y compris les mises à jour.

L’externalisation a permis aux entreprises de réduire les risques industriels en mettant en place des capacités de niveau mondial en matière de logistique, de transactions financières et de gestion informatique. La conséquence est une agilité qui leur permet de saisir les opportunités dans des délais plus courts. La rapidité de réaction, à la fois rythmée et rendue possible par les technologies de l’information, nécessite une collaboration étroite et fluide afin de combiner rapidement les compétences et créer de la valeur pour le client

Au fil du temps, l’externalisation a eu un effet structurant sur les marchés qui l’ont intégrée comme paradigme de gestion et de production. Dans le but de développer leurs capacités à innover et opérer sur un marché donné, des acteurs se sont spécialisés dans la fourniture de produits et services très spécifiques et sur des segments de marché étroits. Un positionnement qui leur permet de proposer les meilleures prestations possibles et de s’insérer de manière pérenne dans les chaînes de valeur et les écosystèmes. Tant et si bien, que la tendance à l’externalisation s’est généralisée à tous les secteurs économiques avec l’émergence de réseaux d’entreprises qui coopèrent étroitement, chacune dans sa spécialité.

Une évolution qui pose la question du choix du fournisseur externe et de la relation à long terme avec ces prestataires. Rappelons que l’externalisation n’est rien de moins que l’internalisation de compétences externes. Une intégration qui place le prestataire en position d’accéder aux données de l’entreprise, à ses processus et même à ses secrets industriels et commerciaux. Dans ce contexte, la question de la confiance et de la relation sur le long terme est primordiale.

L’externalisation est une tendance de fond qui se généralisait au rythme de la transformation numérique, mais dont la croissance a été brutalement accélérée par la crise pandémique et ses conséquences sur l’environnement économique, social et environnemental des entreprises. Auparavant appréciée pour ses avantages premiers, comme la maîtrise des coûts et la possibilité de bénéficier de prestations spécialisées, elle permet désormais de répondre à des défis comme la pénurie de professionnels de l’IT, une intégration et une optimisation constante des solutions externalisées, ainsi que la possibilité d’adopter un modèle innovant pour l’agilité dans les processus d’affaires et l’adaptation aux conditions changeantes des marchés.

Les grands points à prendre en compte pour réussir son projet

• Délimiter le périmètre à externaliser
• Être transparent sur l’état des lieux
• Définir les objectifs (réduction des coûts, performances, fluidification des processus, intégration de technologies nouvelles…)
• Définir les ressources internes à mettre sur le projet (déploiement et gouvernance par la suite)
• Choisir le ou les bons partenaires en fonction de ses besoins et des évolutions futures
• Définir et faire décrire les étapes du projet par le partenaire : design, transition, probatoire et opérationnelle.
• Définir un planning réaliste
• Avoir des outils de suivi et de notation
• Communiquer au quotidien
• Avoir une relation de confiance, penser à la réversibilité

Selon certains cabinets d’analyse stratégique « Les entreprises échouent à réduire leur exposition aux menaces car elles tentent d’évaluer le risque via des outils disparates et non normalisés. De plus, des méthodes de traitement obsolètes ne permettent pas de vaincre les silos organisationnels ». L’année 2023 doit être celle du changement de paradigme, les responsables sécurité ainsi que les gestionnaires de risques doivent lancer et faire évoluer un programme de gestion continue de l’exposition aux menaces afin de garder une longueur d’avance et être en capacité d’évaluer et corriger les vulnérabilités critiques présentes dans l’organisation. Un programme de gestion continu de l’exposition aux menaces repose sur un cycle répétitif constitué de cinq étapes principales :

Cadrage

Il est important de définir le périmètre du programme afin de consacrer les efforts sur les éléments stratégiques pour le business. Au fur et à mesure de l’évolution des systèmes IT internes ou externes il est tout à fait possible de modifier ce cadrage à chaque itération du cycle. Si bien sur l’IT historique et hébergé au sein de l’organisation fait toujours parti de ce type de cadrage, il sera important de penser à rajouter d’autres périmètres impliquant un risque non négligeable pour le business : Attaque de la surface externe, sécurité des données dans les applications SaaS, dépôts du code des applications business, etc. Cette étape souvent négligée représente pourtant le fondement de tout le cycle.

Découverte

Malheureusement, beaucoup de praticiens confondent encore l’étape de cadrage de celle de découverte et imaginent qu’il suffit de découvrir des éléments pour assurer le succès du cycle. Les outils de découverte doivent prendre en compte de nombreux aspects afin d’identifier les différents types de vulnérabilités, qu’elles soient liées à du code ou à des erreurs de configuration.

Priorisation

L’objectif du cycle n’est pas d’essayer de remédier à tous les problèmes identifiés car cela est impossible, il s’agit plutôt d’évaluer et de traiter les menaces les plus susceptibles d’être exploitées contre l’organisation. Les organisations ne peuvent pas utiliser les méthodes traditionnelles de hiérarchisation des expositions via des scores de gravité de base prédéfinis. La priorisation du traitement des expositions doit être basée sur une combinaison des éléments suivants : existence ou non des exploits liés à la vulnérabilité, les options d’atténuation de la menace présentes sur le système, le niveau d’exposition et d’atteinte du dit système, la criticité de l’activité portée par les systèmes, etc.

Validation

L’étape de validation consiste à atteindre principalement deux objectifs : Évaluer la probabilité pour que l’exécution d’une attaque soit réussie en confirmant notamment que les attaquants pourraient réellement exploiter les expositions précédemment découvertes – Estimer l’impact potentiel le plus élevé en pivotant au-delà de l’empreinte initiale et en analysant tous les chemins d’attaque potentiels vers un actif critique depuis la compromission initiale. La pratique utilise une combinaison d’outils et d’activités tels que le pentesting, les activités de red team, la simulation de brèche et d’attaque, etc.

Mobilisation

Après validation de la liste des vulnérabilités prioritaires à corriger, la remédiation ne peut pas être entièrement automatisée, de nombreuses organisations matures ont atteint les limites de la « remédiation automatisée » car les traitements techniques nécessitent très souvent l’application de correctifs ou la réalisation d’un changement de configuration. Il est donc nécessaire de coupler les méthodes pleinement automatisées aux traitement basés sur un système de tickets et de workflows.

Par Sylvain CORTES chez Hackuity