Qualité Références n° 53

SYSTÈMES

SYSTÈMES D’INFORMATION ET QUALITÉ La problématique sécurité Les bonnes pratiques à mettre en œuvre La sécurité informatique des entreprises est une problématique trop complexe pour prétendre la traiter intégralement en un seul article. Sorin Mustaca relève néanmoins le défi de présenter les meilleures pratiques, leurs avantages et leurs limites, en les structurant par couche… La sécurité en périphérie consiste à contrer les menaces provenant de l’extérieur de l’entreprise. Cette couche du réseau est celle de la sécurité des e-mails entrants, des pare-feu et des systèmes de détection et de prévention des intrusions. Il s’agit de protéger l’entreprise des menaces externes, accès non autorisés ou attaques de déni de service, et d’identifier les activités suspectes d’origine externe, mais aussi interne. Par exemple, si un ordinateur du réseau est infecté pour pouvoir être contrôlé à distance, le système de détection d’intrusion identifiera cette activité suspecte et pourra en informer l’administrateur. C’est aussi à ce niveau que sont bloqués les e-mails entrants (SMTP) provenant d’adresses IP répertoriées comme malveillantes. Garder le contrôle de la zone de filtrage La zone démilitarisée, sorte de zone tampon, porte sur la sécurité entre les filtres externes et la zone interne sécurisée du réseau d’une entreprise. Cette partie du réseau héberge plusieurs services critiques comme les serveurs de messagerie, Web, ftp, etc. L’accès à cette zone est généralement très bien contrôlé, mais moins strict que l’accès au réseau interne. Il est donc recommandé d’y installer des systèmes de surveillance à même de détecter les comportements suspects avant qu’ils ne se transforment en réel danger pour l’entreprise. C’est sur cette couche du réseau également que l’on installe les systèmes de filtrage de contenus ainsi que les solutions antispam et antivirus pour l’ensemble des services déployés dans la zone. DR Les administrateurs se plaignent de la difficulté à garder cette zone sous contrôle. En effet, les menaces ciblant l’infrastructure réseau évoluent à un rythme tel qu’il est difficile de les suivre. De plus en plus d’entreprises ont d’ailleurs recours à des services gérés pour la sécurité de leurs e-mails et Web. L’intérêt de ces solutions est que le filtrage est externalisé, l’administrateur informatique n’a donc plus à s’occuper des serveurs de filtrage. Gare aux menaces internes La sécurité interne est celle du réseau interne, là où se déroule toute l’activité de l’entreprise. Cette zone est, bien entendu, la plus sécurisée, les accès étant régis par des règles ultra strictes. Généralement, l’accès se fait exclusivement depuis l’intérieur de l’entreprise. Quand il est exceptionnellement autorisé de l’extérieur, c’est au travers de réseaux privés virtuels ultra sécurisés. La plupart du temps, les attaques dont les entreprises sont victimes proviennent de l’intérieur : ordinateurs infectés, employés malveillants ou techniques d’ingénierie sociale relayées par des employés insuffisamment expérimentés. La protection de cette couche du réseau doit donc être optimale. Actuellement, il faut absolument protéger tous les postes de travail et tous les serveurs au moyen de solutions de sécurité couvrant aussi bien les activités en ligne que physiques. Et comme les terminaux sont de plus en plus mobiles (ordinateurs portables, tablettes, smartphones), il n’a jamais été aussi simple de faire sortir des données sensibles du réseau interne de l’entreprise. D’où la nécessité de protéger tous ces terminaux avec des solutions de chiffrement, de sécurité des e-mails et de la navigation Web, ainsi qu’avec des parefeu permettant de filtrer les accès Internet. De plus, aux vues de la rapidité d’évolution des menaces, il est recommandé d’inclure aux solutions de sécurité des systèmes de détection d’intrusion qui identifieront toute activité locale suspecte et en informeront les administrateurs. Une sécurité sans compromis Il n’est jamais bon de sacrifier la sécurité au profit du confort d’utilisation ou des performances d’un ordinateur. Il faut aussi adapter les solutions de sécurité pour qu’elles répondent exactement aux besoins de l’entreprise et de ses employés. Par exemple, rien ne sert d’installer une solution de sécurisation des e-mails sur un serveur de fichiers ou un antivirus pour serveur de fichiers sur un serveur de messagerie. Bien entendu, il faut viser la sécurité la plus stricte possible, mais sans pour autant prétendre au contrôle total, lequel relève de l’utopie. En effet, l’être humain trouvera toujours un moyen ingénieux pour contourner les systèmes de sécurité en place. La meilleure recommandation est donc de former les employés au respect de la sécurité informatique et de les inciter à collaborer avec le service informatique de leur entreprise pour instaurer ensemble un environnement de travail des plus sûrs ■ Sorin Mustaca* * Sorin Mustaca est expert technique-sécurité auprès de la société Avira GmbH, fournisseur de solutions de sécurité développées pour un usage professionnel et privé et comptant plus de 100 millions d’utilisateurs avec plus de vingt ans d’expérience ( www.avira.com et www.facebook.com/avira). QUALITÉ RÉFÉRENCES ➤ JUILLET, AOÛT, SEPTEMBRE 2011 ➤ PAGE 48

Publi-rédactionnel Editeur de logiciels QSE QUAL’NET: GESTION DOCUMENTAIRE et GESTION DES FORMULAIRES/ WORKFLOW/INDICATEURS DR Emmanuel DERRIEN Directeur de QUAL’NET La société QUAL’NET est l’une des entreprises pionnières dans la gestion documentaire et des Workflow (formulaires), dont les solutions logicielles sont particulièrement adaptées pour le management QSE. Présente sur le marché depuis 14 ans, la société a plus de 150 000 utilisateurs dans tous les secteurs d’activité : mécanique, électronique, santé, médical, agro-alimentaire, banque, assurance, logistique, secteur public,… INTRAQUAL DOC est un outil de gestion documentaire ergonomique, simple et puissant fonctionnellement. Il optimise la documentation QSE des organisations, privées ou publiques. Ce logiciel de GED met en ligne toute la documentation : processus, procédures, instructions, fiches de poste, modes opératoires,… Particulièrement adapté au management qualité (ou QSE), ce logiciel permet de maîtriser tout le cycle de vie (=Workflow) des documents : création, signatures (vérification et approbation), diffusion, recherches, relances, archives, statistiques et indicateurs. Il est basé sur un mode full web et ne nécessite donc pas d’installation sur les postes des utilisateurs. «L’utilisation de la gestion documentaire et des WORKFLOW devient aujourd’hui une nécessité dans la plupart des organisations, privées ou publiques. Ces outils apportent des réponses précises aux exigences règlementaires mais surtout offrent un management plus efficient de son système. Les mises en ligne de documents sont plus rapides, les signatures électroniques facilitées, la recherche plus pertinente. La création simple de formulaires/Workflow permet d’être en adéquation avec ses besoins. Les responsables des systèmes de management QSE pilotent mieux les relances, les alertes, les indicateurs,… Les retours sur investissement sont très rapides sur ces types de logiciel et notre expérience de plus 10 ans le démontre.» INTRAQUAL DYNAMIC: Ergonomique, simple et puissant, ce logiciel optimise le management QSE avec le Workflow. Le moteur de Workflow Intraqual Dynamic de QUAL’NET permet de développer par les clients eux-mêmes, sans aucun code, et en quelques minutes, les formulaires intranet dont ils ont besoin, pour tous les processus, et particulièrement dans le domaine Qualité (ou management intégré QSE) : non-conformités, réclamations clients, plan d’actions (AC/AP) (actions correctives et préventives), audits, objectifs, revues de direction, document unique (DU) et évaluation des risques,… L’outil permet aussi de créer tout autre formulaire pour d’autres processus, et pas seulement en QSE : demande de congés, d’achat, de foration, hotline,… L’outil intègre en outre des formulaires prêts à l’emploi dans de multiples processus pour utilisation ou inspiration : Qualité, Sécurité,Environnement, RH, Informatique, Achat,… Cela permet aux clients d’être opérationnel rapidement. La grande ergonomie du logiciel permet une appropriation immédiate. Des générations automatiques de rapports, d’indicateurs, statistiques, alertes,… apportent un pilotage très efficace du système. La formation permet de rendre autonome les clients sur les évolutions de leurs système. Le déploiement en multi-sites et multilingue est aussi possible: QUAL’NET a environ 30000 utilisateurs dans d’autres langues que le français ■ DR QUAL’NET : un portail complet paramétrable pour la gestion documentaire QSE et les formulaires/Workflow. Plus de renseignements sur: http://www.qualnet.fr QUALITÉ RÉFÉRENCES ➤ JUILLET, AOÛT, SEPTEMBRE 2011 ➤ PAGE 49