Les RSSI ne s'intéressent pas assez au big data
Les Assises de la sécurité ont montré pourquoi les RSSI devaient élargir leur périmètre de responsabilité. La digitalisation des entreprises commence à les concerner, même si leur positionnement dans l'entreprise ne les entraîne pas naturellement sur ces nouveaux sujets.
90% des données clients disponibles dans les entreprises ont été créées ces deux dernières années. Leur multiplication ne peut que s'amplifier, avec par exemple l'arrivée des compteurs intelligents ou celle des objets connectés. Les équipes sécurité, elles qui s'activent dans la détection des fraudes, le diagnostic des pannes, la modélisation, l'analyse des comportements se sentent-elles concernées ? Sont-elles même préparées ?
Avec le big data, l'entreprise cherche à mieux connaître son client, à savoir détecter les changements dans les comportements du consommateur, à le suivre dans son expérience client. Croiser ces données devient un enjeu clé, d'autant que les entreprises veulent travailler la valeur en un temps donné. Selon le cabinet Gartner, 60% des entreprises ont ainsi débuté un projet big data, mais 10% d'entre elles seulement ont entamé une politique de sécurité correspondant à ce projet. Un écart qui n'a pas échappé à Philippe Duluc (en photo), directeur de la division sécurité de Bull.
Le RSSI n'est même pas consulté
Pour lui, les RSSI ne sont même pas souvent consultés sur ces projets, ils doivent intervenir en pompier. Le RSSI a donc tout intérêt à prendre le sujet en main, sinon il sera concerné au plus mauvais moment et il va passer à côté d'un sujet d'ampleur. En 2016, 40% des entreprises auront un projet de ce type. « Un projet big data, explique encore Philippe Duluc, c'est un projet créant de la valeur et cette valeur, il faut la protéger ».
A l'appui de son raisonnement, Bull avance trois cas clients, malheureusement encore anonymes. D'abord celui d'un opérateur télécoms. « Nous avons travaillé sur l'amélioration de leur expérience utilisateurs, explique Philippe Duluc, à partir des trajets effectués par eux sur les sites du groupe. Ce qui représente des teraoctes de données par jour. De plus, les télécoms sont soumises à des règlementations spécifiques qui brouillent un peu plus la gestion des données. Les opérateurs sont soumis à un reporting sur l'utilisation de leurs données clients, à des règlementations de type PCI DSS pour l'utilisation des données bancaires, à celles de la CNIL. Il leur faut intégrer la compliance dans le big data, ce qui ne peut que rendre plus difficile et plus nécessaire une politique de sécurité adaptée à ce genre de sujet.
Une double base de données Hadoop
Les deux autres cas ont trait à la distribution. Et au e-commerce pour le premier. Il s'agit de bien suivre le parcours client tout en assurant toutes les protections. L'architecture proposée par Bull repose sur une reconnaissance ciblée des données. L'identifiant du client est placé dans un annuaire LDAP pour le suivre de bout en bout. Une double base de données Hadoop assure, l'une la gestion des informations internes et externes, l'autre tout ce qui est récupération. La présentation des données à l'utilisateur, se fait par un procédé de data masking, pour garder invisible et non accessible en externe ses données principales.
Troisième cas, celui d'une chaîne de magasins « en dur », qui veut piloter ses prix, gérer ses stocks, et ses approvisionnements, c'est son big data, du « phase data » avec une architecture in memory et des serveurs Bullion. La sécurité est présente de tous les côtés. L'entreprsie utilise aussi bien des données commerciales que d'autres plus aléatoires, comme le climat important dans le commerce, elle va vouloir protéger ces données, particulièrement les plus confidentielles comme les marges, le client devant être lui aussi garanti quant à l'intégrité de son compte utilisateur. Le big data est bien un grand chantier pour la sécurité, où le RSSI n'a pas encore l'oreille des métiers.
