GreenDrive, un système innovant pour une conduite écologique

Laisser un commentaire

L’innovation automobile se tourne depuis quelques années vers les économies de carburants. Arrêt du moteur au feu rouge, récupération de l’énergie cinétique… les procédés innovant ne manquent pas. Cependant, un facteur de consommation de carburant sur lequel les constructeurs n’ont aucun moyen d’action est le style de conduite. Ainsi, on sait que les conduites dites « sportives » sont gourmandes en carburant, surtout en ville.Partant de là, Alex Ackerman et Yossef Shiri, respectivement suédois et israëlien, ont mis au point un appareil intelligent nommé GreenDrive. Ce système, dont la date de commercialisation n’est pas encore arrêtée, combine des informations sur la position du véhicule, les conditions de circulation et le type de voiture pour calculer et conseiller le conducteur sur le style de conduite à adopter pour réduire sa consommation. « Notre système permet de réduire la consommation de carburant d’un véhicule d’une manière très intuitive pour le conducteur. Il peut fonctionner sur un téléphone mobile ou un appareil de navigation personnelle, et il tient compte de l’environnement », explique Yossef Shiri.

Entre 15 et 25% de carburant économisé

Le système est encore à l’état de prototype, mais les résultats des tests menés sur le terrain sont concluants. Selon les deux inventeurs de GreenDrive, ce système permet de réaliser, en moyenne, une économie de 15 à 25% de carburant sur un cycle complet. « Si vous conduisez de manière agressive, vous pouvez économiser jusqu’à 50% de carburant grâce à ce système », précise Yossef Shiri.Utilisant les informations de localisation du Global Navigation Satellite System (GNSS), GreenDrive fonctionne pour l’instant avec le GPS, mais dans l’avenir, il sera également capable d’exploiter les données de Galileo, le futur système de positionnement par satellites européens.Il sera même possible aux utilisateurs de ce système de consulter sur le Web les données statistiques relatives à leur style de conduite, pour adapter ce dernier au besoin.L’Agence Spatiale Européenne a salué cette invention, dans le cadre de son programme de transfert de technologie, et travaille en partenariat avec Ackerman et Shiri pour améliorer ce nouveau système. GreenDrive a déjà été récompensé, en 2008, par le premier prix de l’European Satellite Navigation Competition.

La crise, une opportunité pour les DSI

Laisser un commentaire

Comment la crise financière et le développement rapide des nouvelles technologies, notamment la vidéo, les réseaux sociaux ou encore l’intelligence artificielle dans le domaine des prévisions, affectent-ils le métier de DSI ? Que recouvre aujourd’hui cette fonction et comment celle-ci est-elle susceptible d’évoluer dans les années à venir ? Autant de questions auxquelles l’enquête commandée par l’éditeur de solutions d’entreprise CSC ainsi que l’éditeur de logiciels d’Application Intelligence Cast, et réalisée par l’IFOP auprès d’une centaine de DSI des grandes entreprises européennes apporte quelques éléments de réponse.Premier constat : d’une fonction support au service du développement des métiers et de la réduction des coûts, la DSI des entreprises interrogées est devenue aujourd’hui une fonction stratégique, à la fois support du patrimoine applicatif de l’entreprise mais aussi acteur de l’innovation. Interrogé sur leur position et leur contribution actuelle au sein de leur société, 86% des DSI estiment que la fonction informatique est un levier d’excellence professionnelle pour les métiers et 75% pensent qu’elle mène de plus en plus l’innovation et contribue à la création de valeur grâce aux nouvelles technologies. La dynamisation et la valorisation des patrimoines applicatifs est cité, quant à elle, par 68% des professionnels interrogés. Une évolution que l’on retrouve de manière sensible dans la perception qu’ont les DSI de l’évolution de leur fonction. Pour 83% d’entre eux, ils sont désormais de plus en plus impliqués dans la stratégie de leur entreprise. 76% signalent également être associés aux changements et évolutions des métiers tandis que 73% déclarent contribuer à l’accélération de l’innovation. Mais la crise économique qui oblige aujourd’hui les entreprises à adapter leurs offres et leurs prix, mais aussi à intensifier les économies d’échelles et à resserrer les coûts et d’autre part, l’évolution rapide des technologies ne remettent-elles pas en cause ce nouveau rôle acquis par les DSI ? Pour les auteurs de l’enquête, il semble que ce ne soit pas le cas. « Car aujourd’hui, les dirigeants d’entreprises ont conscience que les systèmes d’informations sont devenus de puissants leviers de croissance », martèlent-ils. Encore faut-il que les DSI sachent se positionner comme une fonction capable de renforcer l’entreprise sur son marché. Et pour cela, ils doivent relever deux principaux défis :

Se servir de l’informatique pour créer de la valeur auprès des directions opérationnelles. Ce qui signifie, faciliter voire anticiper les besoins métiers, améliorer la rentabilité des applications sur leur cycle de vie et créer des connexions entre informatique, processus métiers et business de l’entreprise. Sur ce point, les DSI déclarent être confrontés à quatre principaux défis : l’optimisation des processus IT et le développement des bonnes pratiques telles que CMMI, ITIL, cobit, etc. (93 % des réponses) ; la rationalisation du patrimoine applicatifs et des infrastructures (91%) ; la mise en place de la sécurité et du contrôle interne (84 %) et enfin, la mise en place de solution ou d’ERP (83%).

Utiliser les technologies pour identifier et mettre en oeuvre des relais de croissance pour l’entreprise. Ce qui signifie, aider les dirigeants à imaginer comment les technologies peuvent changer la stratégie de l’entreprise et contribuer à générer du chiffre d’affaires supplémentaire via de nouveaux produits ou de nouveaux services. Dès lors, la question à laquelle les DSI vont être de plus en plus confrontées et devront répondre est moins « comment », mais « quoi ». Un virage dont ils ont bien conscience puisque 83 % d’entre eux estiment qu’ils devront être de plus en plus moteur de l’innovation au moyen des nouvelles technologies dans les années à venir.

Deux évolutions qui pour les auteurs de l’étude ont des implications importantes en terme d’évolution de cette fonction et de ses attributions dans les années à venir.Du fait de leur rôle croissant dans l’innovation, ils devront être impliqués de plus en plus en amont dans la stratégie des entreprises. Par ailleurs, afin de pouvoir être force de proposition, ils devront veiller :

à comprendre et anticiper l’impact des signaux précurseurs tels que les changements socio-économiques, réglementaires, technologiques ou encore organisationnels, puis adapter le système d’information en conséquence ;
à développer une bonne compréhension de l’informatique et de ses enjeux par les dirigeants de l’entreprises et mettre en place des relations proactives avec les responsables métier ;
à développer une veille constante pour pouvoir identifier les modèles de demain ;
à développer et cultiver dans l’entreprise une curiosité au changement ;
à mettre l’innovation au service de l’approche client afin de faciliter le recueil d’informations auprès de ces derniers ;
à intégrer de plus en plus dans le processus de production le travail collaboratif et les nouveaux modes de communication.

Les principaux défis RH des DSI dans l’avenirIls sont principalement au nombre de six. Le premier d’entre eux est le besoin croissant de compétences en matière de nouvelles technologies (75% des réponses). Vient ensuite la gestion des compétences et des carrières (73%), la rareté des compétences (60%), la mixités des profils recherchés (59%), l’évaluation de la performance du personnel IT (56%) et enfin, l’apparition de nouveaux métiers au sein de la DSI (55%).

Chiffre clé : 98% des énergies de transport sont issues du pétrole

Laisser un commentaire

Le transport est un secteur extrêmement gourmand en énergie. Dépendant à plus de 98 % des produits pétroliers, il constitue également le domaine où les recherches pour produire des carburants alternatifs s’intensifient. En effet, les sources d’énergie exploitables pour les transports regroupent les ressources fossiles, la biomasse et les énergies renouvelables voire nucléaires (via la production d’électricité). A partir de ces ressources, plusieurs types de carburants peuvent être obtenus puis utilisés dans différents types de véhicules, que l’on classe en quatre catégories : les véhicules équipés de moteur à combustion interne ; les plus répandus, les véhicules hybrides, qui sont en cours de mise sur le marché ; les véhicules à pile à combustible et les véhicules électriques qui ne sont pas, pour le moment, des solutions suffisamment pertinentes. L’étude de l’IFP révèle des chiffres qui, à défaut de surprendre, soulignent une dépendance écrasante du secteur par rapport au pétrole. Ainsi, les carburants conventionnels pétroliers constituent l’immense majorité des besoins en énergie, comme le montre le camembert ci dessus présentant la consommation d’énergie dans le transport routier mondial par type de carburant. On constate que l’essence et le gazole constituent 98% de l’énergie utilisée pour le transport mondial. Ce chiffre tombe à 96% en Europe, où les biocarburants représentent seulement 1,5% et le gaz naturel à peine plus de 1%.

Le transport, secteur extrêmement énergétivore

En ce qui concerne les transports aérien et maritime, ils dépendent respectivement du pétrole à hauteur de 99,9% et 100%. En fait, seul le transport ferroviaire est parvenu à se détacher légèrement des ressources pétrolières (71% de l’énergie totale), et ceci grâce à l’électrification avancée des réseaux ferroviaires dans certains pays.Or, la consommation énergétique du secteur des transports augmente à un rythme annuel proche de 2%. Ayant déjà fait l’objet de nombreuses améliorations techniques et environnementales, les carburants routiers traditionnels devront encore être modernisés, notamment pour répondre aux exigences futures de l’UE en termes de qualité de l’air. De nouvelles exigences en matière de modes de combustion des moteurs sont également prévues dans les années à venir.Quoi qu’il en soit, à l’heure actuelle, les carburants fossiles présentent des atouts considérables pour le transport, qui expliquent pour partie leur omniprésence. En effet, leur densité énergétique importante permet une autonomie appréciable des véhicules, souvent plus de 600 km, et les techniques de raffinage sont éprouvées et peu coûteuses (hormis en ce qui concerne les coûts d’approvisionnement).

Des techniques de raffinage éprouvées et peu coûteuses

Cette extrême dépendance pétrolière des modes de transport pose des problèmes complexes, principalement au niveau économique et environnemental. Economiquement, l’utilisation d’une ressource rare et non renouvelable, dont les économies développées sont souvent très dépendantes et exposées à la volatilité des cours, est une source de vulnérabilité énergétique. Au niveau environnemental, la donne est connue : le contenu en carbone des produits pétroliers, les émissions de gaz à effet de serre et la pollution locale associées aux activités de raffinage et à la combustion dans les moteurs sont des enjeux majeurs. Qui plus est, ces problématiques prennent une dimension croissante, dans un contexte où le développement durable prend une place centrale.Au final, l’extrême dépendance du secteur des transports face au pétrole est plus que jamais d’actualité. Malgré les efforts menés sur la demande (comportements de conduite, modification des habitudes de déplacement), c’est bien la diversification des carburants dans le transport routier qui permettra de lutter efficacement contre les émissions de CO2, ainsi qu’une réduction substantielle de la consommation des énergies non renouvelables.

L’UE trouve un accord sur la diminution des SAO

Laisser un commentaire

Les substances qui appauvrissent la couche d’ozone (SAO), font l’objet d’une étroite surveillance depuis quelques années. L’Union européenne a décidé de franchir un palier de plus, en parvenant à un accord qui limite au maximum l’utilisation de ces substances identifiées comme des gaz à effet de serre. L’accord, signé le 11 mars dernier, comporte trois axes de lutte contre l’utilisation des SAO.Il s’agit dans un premier temps de simplifier le règlement actuel, notamment en réduisant les charges administratives inutiles. L’accord souligne également l’importance du respect du protocole de Montréal tel qu’adapté en 2007. Enfin, l’anticipation des problèmes, afin de garantir la reconstitution de la couche d’ozone, constitue une volonté claire de la part de l’UE et de tous les pays membres.« Le succès de la présidence est le résultat de l’engagement actif et ancien de la République tchèque dans le cadre des actions entreprises pour la protection de la couche d’ozone au niveau international, et plus particulièrement au niveau européen », a déclaré Jakub Achrer, expert du ministère de l’Environnement de la République tchèque dans ce domaine. Un succès donc pour la présidence tchèque, qui a obtenu la signature de cet accord. Au-delà, il s’agit d’une véritable avancée au niveau environnemental, mais aussi pour la santé de l’homme. En effet, les SAO endommagent la couche d’ozone, mais sont également potentiellement néfaste pour l’homme, car elles augmentent l’exposition aux rayonnements UV.

Privilégier au maximum les solutions de remplacement

La modification du règlement actuel permettra non seulement d’améliorer de manière significative la protection de l’environnement, mais aussi de réduire l’influence du rayonnement ultraviolet sur l’organisme humain. Il s’agit donc d’un double enjeu environnemental et sanitaire. A ce titre, la Communauté Européenne s’est montré enthousiaste, qualifiant le protocole de « plus constructif de tous les accords internationaux conclus dans le domaine de l’environnement ».Le rapport de Johannes Blokland, adopté par 667 voix pour, 13 voix contre et 10 abstentions, propose de réduire au minimum les SAO et de mettre un terme à leur production et leur utilisation lorsqu’il existe des solutions de remplacement. L’objectif est clair : à terme, il s’agit d’interdire progressivement l’utilisation des SAO, ainsi que des produits et des équipements qui en contiennent. Autre but avoué du texte dans son ensemble : éclaircir les conditions dans lesquelles les substances endommageant l’ozone vont cesser d’être utilisées. Cette proposition harmonise de façon plus appropriée la législation européenne avec les accords internationaux en vigueur sur la réduction des substances dangereuses, tel que le protocole de Montréal (ratifié en 1987).

Fin annoncée des HCFC et du bromure de méthyl

Au niveau des substances concernées, ce sont les réfrigérants, type HCFC (hydrochlorofluorocarbures), qui sont principalement ciblés. Ainsi, l’interdiction d’utiliser des HCFC nouvellement produits entrera en application dès 2010. Leur fabrication sera limitée cette même année à 35%, puis à 14% en 2014, à 7% en 2017, pour être arrêtée au 1er janvier 2020. La seule exception accordée concernera la fabrication de ces substances pour des raisons scientifiques et leur utilisation en laboratoire.Enfin, 2010 marquera décidément un virage dans l’utilisation des SAO. En effet, c’est l’année prochaine qu’entrera en vigueur l’interdiction d’utiliser du bromure de méthyle et du halon 1202. Cela englobe des mesures plus restrictives quant à la prévision de leurs émissions, comme des contrôles d’étanchéité des équipements contenant plus de 30 kg des substances concernées. Cette substance pourra être utilisée uniquement lors des applications de quarantaine et des applications préalables à l’expédition en vue d’empêcher la propagation de nuisibles à travers le commerce international, ceci jusqu’au 18 mars 2010. L’exportation de ces substances sera également limitée, en particulier à destination des pays en voie de développement.En savoir plus sur le protocole de Montréal28 ans avant les accords récemment trouvés par l’UE, le protocole de Montréal, relatif aux substances qui appauvrissent la couche d’ozone, a donné la première impulsion dans la prise en compte de la dégradation de la couche d’ozone. Négocié et ratifié par 24 pays et la CEE, il implique alors que les signataires suppriment tous les CFC, halons et OCD synthétique des produits manufacturés ou importés. Accompagné de pénalités importantes pour tous les contrevenants, il sera par la suite complété par les accords de Londres (1990), Copenhague (1992) et Pékin (1999).

Des poissons robots pour détecter les pollutions marines

Laisser un commentaire

Le professeur Hu et son équipe robotique du Département d’Informatique de l’Université d’Essex ont mis au point des poissons robots, d’une taille d’environ 1,5 mètre. Imitant le mouvement ondulant des poissons à la perfection, ces robots sont complètement autonomes et trouvent leur chemin sans risque, évitant les objets et réagissant à leur environnement. Parmi toutes les applications possibles de ce bijou technologique, la détection des pollutions marines intéressent particulièrement les scientifiques.Le coût de ce prototype de poisson-robot, créé par BMT Group Ltd, est estimé à près de 23.000 euros. Le professeur Hu prévoit que les robots soient opérationnels d’ici 2010. « Si utiliser des bancs de poissons robots pour détecter la pollution dans les ports semble sortir tout droit de la science-fiction, il y a des raisons très pratiques pour choisir cette forme. Avec des poissons robots, on suit un modèle, créé par des millions d’années d’évolution, qui est incroyablement efficace », explique Rory Doyle, directeur de recherche scientifique chez BMT Group. Innovation technologique remarquable, c’est bien le mimétisme avec la nage des poissons qui a impressionné les visiteurs de l’aquarium de Londres, où des prototypes étaient en démonstration (voir la vidéo).Autres capacités étonnantes, ces robots, actuellement au nombre de cinq, ne sont pas télécommandés. Disposant d’une autonomie de huit heures, ils se déplacent intelligemment et sont capables de travailler en équipe. Aussi, ils trouvent seuls leur chemin pour revenir à leur port d’attache une fois leur batterie épuisée.

Repérer des fuites jusque là indétectables

Pouvant se déplacer à une vitesse d’un mètre par seconde, équipé de capteurs chimiques pouvant identifier différentes sources de pollution et transmettre les données récoltées en Wi-Fi, ces prototypes se révèlent des outils parfaits pour identifier des fuites dans des canalisations, et toute sorte de pollution sous-marine, afin d’en limiter au maximum l’étendue et la gravité.Cinq poissons-robots de ce modèle doivent être mis à l’eau dans le port de Gijon, dans le nord de l’Espagne, dans le cadre d’un projet de recherche fondé par la Commission européenne.Le projet s’étendra par la suite, s’il s’avère concluant, à d’autres étendues d’eau comme des lacs ou des rivières. « L’espoir est que cela puisse prévenir des rejets potentiellement dangereux dans la mer, avant que des fuites non détectées ne s’aggravent avec le temps », conclut le professeur Hu.

L’Europe mobilise les TIC pour réduire sa facture énergétique

Laisser un commentaire

Décidément, les TIC sont de nouveau au coeur des débats sur les économies d’énergie. Début mars, elles étaient présentées par le Conseil général des technologies de l’information et le Conseil général de l’environnement et du développement durable comme un moyen de diminuer » la facture écologique » (lire l’article). Aujourd’hui, c’est au tour de Viviane Reading, Commissaire européenne en charge de la société de l’information et des media, d’appeler les professionnels de ce secteur à redoubler leurs efforts pour aider l’Union européenne à baisser de 20% sa consommation d’énergie d’ici à 2020.Mais comment ? Tout d’abord, en proposant aux promoteurs immobiliers et aux entreprises du bâtiment des systèmes intelligents permettant de contrôler plus efficacement les dépenses de chauffage, de ventilation, de climatisation ou encore d’éclairage. Un poste stratégique puisqu’il représente à lui seul, 40% des besoins d’énergie de l’Europe. Au delà, elle propose également de développer le commerce électronique, le télétravail ainsi que tous les outils d’optimisation des trajets afin, soit de limiter les déplacements, soit de les rendre plus efficaces. Pour rappel, le transport des biens et des personnes représente pas moins de 30% de la consommation d’énergie de l’Union européenne. Enfin, elle suggère aux fournisseurs d’énergies d’informer ou de permettre à leurs clients, grâce à des outils spécifiques tels que les compteurs intelligents, de suivre leur consommation.Mais la Commissaire européenne ne s’arrête pas là. Elle souhaite également que l’ensemble de ce secteur montre l’exemple en matière de réduction de son empreinte carbone. Une injonction assortie de chiffres, puisque d’ici 2015, elle leur demande de réduire cette dernière de 20%. Parallèlement, Viviane Reading en a profité pour lancer une consultation publique sur le Web. Ouverte à tous les pays membres, son but est de collecter des idées d’utilisation des TIC pour réduire la facture énergétique de l’UE.

Du nouveau dans la sécurisation des puces RFID

Laisser un commentaire

Mieux protéger, à un coût acceptable, les puces RFID (Radio Frequency identification) contre une lecture pirate. Telle est l’ambition, rapporte l’Adit, d’une équipe d’informaticiens américains de l’université du Massachusetts coordonnée par Wayne Burleson, professeur d’électronique et d’informatique. Leur idée, s’appuyer sur les nombres aléatoires et l’empreinte numérique unique que génèrent les puces SRAM (Static Random-Access Memory) pour réaliser des communications sécurisées avec un lecteur RFID. Ces puces sont en effet très sensibles aux variations de leur unique source d’énergie, à savoir les ondes radio émises par les lecteurs RFID. Lorsque celles-ci surviennent, ce qui ne manque pas d’arriver plusieurs fois par seconde, la mémoire de ces puces se réinitialise en produisant une série de 1 et de 0. Or, « en raison de petites imperfections dans leur composition ou dans leur processus de fabrication, certains bits deviennent de façon prévisible des 1 lorsqu’on augmente la puissance du lecteur, tandis que d’autres deviennent des 0 », explique Wayne Burleson. Il suffit dès lors de lire cette succession de 1 et de 0 pour obtenir « une empreinte unique pour chaque puce » et identifier avec certitude chacune d’elles.Parallèlement, d’autres bits réagissent de manière aléatoire aux variations de puissance. Non reproductibles, ces nombres peuvent alors être utilisés pour sécuriser la communication avec le lecteur. Selon Daniel Holcomb, qui a travaillé sur ce système pour sa thèse de master, « c’est un véritable système accessible. Il suffit d’activer n’importe quelle puce SRAM et cela fonctionne…». Seul bémol, il faut des puces RFID programmables dotées de SRAM. Ce qui n’est pas le cas de celles qui servent aujourd’hui à afficher les prix.Cette étude paraîtra, précise l’Adit, dans une prochaine édition du journal IEEE « Transactions on computers« , mais est déjà accessible sur le Net.

Qualibat délivre ses premières certifications « énergies renouvelables »

Laisser un commentaire

Les entreprises de construction ont un rôle majeur dans le développement durable et la promotion des énergies renouvelables. Qualibat, organisme certificateur des entreprises du bâtiment, regroupe les principales organisations professionnelles d’entreprises, d’architectes et de maîtres d’ouvrages publics ou privés et différentes institutions d’étude, de contrôle ou de recherche du secteur. Dans le contexte actuel, les entreprises du bâtiment ont une responsabilité accrue dans la diffusion et l’installation de produits innovants et durables. Or, selon Qualibat, « le manque de professionnalisme des entreprises en la matière conduirait à des risques de contre performance, et, par conséquent, à l’abandon des techniques concernées ». C’est pour remédier à ces errements que l’organisme certificateur a créé, en 2007, sept nouvelles certifications d’entreprises « énergies renouvelables », spécifiques aux installations thermiques utilisant les énergies renouvelables. Ces labels concernent principalement trois domaines :

Le solaire : trois certifications ont été mises en place, elles ciblent les chauffe-eau solaires, les systèmes solaires combinés ou chauffage seul, ainsi que les « installations solaires thermiques ».
La géothermie : les installations de pompes à chaleur géothermique font l’objet de deux certifications, l’une pour les installations de technicité courante, et une seconde pour celles de technicité confirmée.
Le bois énergie : comme pour le solaire, deux certifications existent, l’une de technicité courante et l’autre de technicité confirmée. Elles concernent les « installations thermiques bois énergie ».

Pour l’instant, les entreprises se montrent surtout intéressées par les certifications concernant les chauffe-eau solaires et les installations bois énergie. Pour les entreprises candidates, le processus de certification, réalisé par un auditeur indépendant mandaté par Qualibat, constitue un examen de passage standardisé. Une évaluation approfondie concernant la situation juridique et administrative de l’entreprise, de ses chantiers de références et de ses procédures techniques est tout d’abord conduite. Ensuite, c’est un auditeur indépendant, qui se rend dans l’entreprise et sur les chantiers, pour évaluer au plus près les pratiques de l’entreprise et leur adéquation avec les exigences inhérentes aux certifications.

Plus de 300 entreprises candidates

Si l’entreprise est jugée conforme à toutes les exigences du référentiel, la certification lui est attribuée pour quatre ans. Les sept certifications étiquetées « énergies renouvelables » sont très prisées, elles répondent à l’attente des entreprises. En effet, plus de 300 entreprises ont déjà demandé un dossier en vue d’obtenir une des certifications. Qualibat, de son côté, indique que la commission d’examen génie climatique a examiné 33 dossiers de candidature, au cours de ses réunions entre les mois de septembre et décembre 2009. 12 ont été rejetées, mais 16 entreprises ont été retenues pour un total, 21 certifications ont été délivrées.Pour les entreprises du bâtiment, il s’agit donc d’un enjeu très important. L’exigence de Qualibat en matière de certification assure à l’entreprise labellisée une véritable reconnaissance en matière de savoir-faire. Une reconnaissance nécessaire, qui permettra à chaque entreprise de se positionner efficacement sur le marché des installations thermiques impliquant les énergies renouvelables. Un marché en pleine croissance, avec des nouveaux produits toujours plus performants, mais qui doivent être mis en oeuvre de manière très précise. Dans un contexte où les installateurs font face à des projets tous différents, il est important qu’ils proposent des prestations irréprochables. En effet, le succès à long terme des installations thermiques utilisant les énergies renouvelables, croissant, passe par là.En savoir plus sur les modalités d’attribution des certifications QualibatL’attribution d’une certification implique une évaluation des capacités techniques, humaines, et financières des entreprises. C’est pourquoi chaque candidature fait l’objet de procédures rigoureuses soumises au contrôle d’un organisme tiers :

l’établissement de référentiels reconnus, pour évaluer objectivement les entreprises candidates à la certification, Qualibat définit les exigences de qualité auxquelles elles doivent répondre et qui constituent la base de toute évaluation.
Des procédures harmonisées sur l’ensemble du territoire, conformes aux exigences de la norme NF X50-091 qui s’applique aux organismes de certification.
Des Commissions collégiales compétentes et régulièrement évaluées au moyen d’audits internes et d’audits tierce partie.
Un certificat officiel, pour récompenser et surtout reconnaître les entreprises.

Pollution de l’air : l’importance de réduire les émissions de particules à la source

Laisser un commentaire

Commandée en 2007 par les ministères chargés de l’Ecologie et de la Santé, l’expertise menée par l’Agence Française de Sécurité Sanitaire de l’Environnement et du Travail (AFSSET) s’appuie sur une nouvelle forme de mesure des particules de l’air. Celle-ci prend en compte la fraction volatile des particules, ce qui conduit à des résultats différents, et globalement à une augmentation des concentrations mesurées. Depuis le 12 octobre 2007, une circulaire ministérielle fixe les seuils d’information et d’alerte, respectivement à 80 µg/m3 et 125 µg/m3 en moyenne sur 24 heures. Au niveau des objectifs, le Grenelle avait conclu à la nécessité de mettre en place un « plan particules », avec un objectif de 15 µg/m3 (valeur cible en 2010, qui deviendra obligatoire en 2015). Ceci équivaut à une réduction de 30% de la pollution. A terme, l’objectif est d’atteindre la valeur guide de l’OMS, soit 10 µg/m3.

Aucun seuil en dessous duquel l’impact pour la santé est nul

Les résultats du travail réalisé par l’AFSSET confirment les connaissances actuelles, mais ils ont le mérite d’apporter des éléments nouveaux, qui doivent prendre toute leur place dans la réflexion engagée pour lutter contre la pollution par les particules. A ce jour, les connaissances scientifiques mettent en évidence des effets indésirables des particules dans l’air ambiant sur la santé de l’homme. Ceci est valable qu’il s’agisse d’une exposition de court terme ou d’une exposition chronique. Il n’est cependant pas possible d’observer un seuil de concentration en particules en deçà duquel aucun effet sanitaire ne serait constaté. Deuxième conclusion de l’enquête, plus étonnante : ce sont les expositions fréquentes, à des niveaux modérés de pollution, qui sont responsables de l’essentiel de l’impact sanitaire, et non les pics de pollution. Les chiffres sont édifiants : 97% de l’impact sanitaire est attribuable à des niveaux modérés mais fréquents, et seulement 3% aux pics.Enfin, le troisième point concerne les seuils d’alerte. Car même si les principaux pics ne sont pas responsables de l’impact sanitaire, la mise en place de seuils d’alerte reste intéressante. Notamment pour les personnes sensibles, mais aussi en termes de communication vis-à-vis du grand public.

La nécessité de réduire les émissions à la source

A partir des ces conclusions, le rapport de l’AFSSET propose trois principales recommandations, avec en point d’orgue la nécessité absolue de réduire à la source les émissions de particules, pour diminuer l’exposition des personnes. Ainsi, les sources d’émission primaire de particules devront être ciblées. Selon le Centre Interprofessionnel Technique d’Etude de la Pollution Atmosphérique (CITEPA), il s’agit en premier lieu de la combustion du bois, du charbon et du fioul dans le résidentiel tertiaire (27% des émissions), de l’industrie manufacturière (28%) et de l’agriculture/sylviculture. A noter que dans les zones urbaines, les transports contribuent également de manière importante aux émissions, trois fois plus que dans les zones rurales. L’autre recommandation de l’AFSSET cible la communication vers les publics les plus sensibles. Ainsi, femmes enceintes, nouveau-nés, personnes âgées, et plus particulièrement les personnes atteintes de pathologies cardio-vasculaire ou respiratoire sont particulièrement visés. Le diabète et l’obésité sont aussi les critères d’une sensibilité particulière.Enfin, l’AFSSET recommande de considérer conjointement, pour une fixation de seuils d’information et d’alerte pertinents dans la réglementation, deux éléments primordiaux. D’abord, les données épidémiologiques du programme de surveillance air et santé de l’institut de veille sanitaire qui pour différents niveaux de pollution aux particules évaluent les risques pour la santé. Ensuite, la distribution statistique des niveaux journaliers de particules à l’échelle nationale car celle-ci donne également des informations pertinentes quant à la pollution réelle par particules.Au final, le rapport de l’AFSSET apporte des éléments nouveaux dans la réflexion sur les dangers liés aux émissions de particules, mais souligne en premier lieu un point déjà connu de tous : seule une diminution à la source des émissions de particules réduit efficacement l’exposition des personnes.

Les industries à valeur ajoutée technologique proposent un plan de relance

Laisser un commentaire

Investir davantage dans les industries à valeur ajoutée technologique pour aider ce secteur, et plus largement l’économie française, à sortir de la crise… Tel est l’appel qu’une trentaine d’organisations coordonnées par la Fédération des industries électriques, électroniques et de communication (FIEEC) ainsi que l’Association française des éditeurs de logiciels (AFDEL) a lancé au gouvernement, mercredi 18 mars 2009, lors de la présentation de leur plan de conquête.Véritable plan de relance, celui-ci repose sur 10 projets qui couvrent un large spectre d’activités.

Le premier propose la création d’un environnement numérique performant sur l’ensemble du territoire et dans les bâtiments. Objectif : permettre aux particuliers comme aux entreprises de disposer d’un accès Internet haut débit de 10 Mbits/s d’ici 2012 avant d’atteindre 100 Mbits/s en 2020. Pour y parvenir, les rédacteurs du rapport proposent deux types de mesures : améliorer la capillarité du réseau de fibres optiques et jouer sur la mixité des technologies (sans fil, ADSL, etc.) pour atteindre l’abonné ; libérer les fréquences nécessaires pour les technologies sans fil haut débit au plus vite et s’assurer que les réseaux de communication à l’intérieur des immeubles sont conformes. Un projet dont l’investissement de départ est évalué à 300 millions d’euros en 2009.

Le deuxième vise à améliorer la qualité et la sécurité du réseau électrique. Objectifs : renforcer immédiatement la sécurité des installations électriques existantes, sécuriser d’ici 2015 120.000 km de lignes électriques contre les aléas climatiques et, d’ici 2018, accélérer le développement des énergies renouvelables et, parallèlement, travailler à l’intelligence d’un réseau électrique au service des citoyens et des entreprises (smart grid). Un projet dont le coût est évalué à 100 millions d’euros en 2009.

Le troisième concerne l’e-santé. Objectifs : faire en sorte que d’ici 2012, 10% des patients soient suivis sur leur lieu de vie plutôt que dans un hôpital et que d’ici 2020, toutes les personnes fragilisées (vieillesse, handicaps, maladies chroniques…) puissent demeurer chez elles si elles le désirent. Pour y parvenir, le rapport propose de développer la télé-médecine et la télé-santé, ainsi que de lancer un programme d’équipement ambitieux pour soulager des pathologies spécifiques. La première année, ce projet pourrait être financé à hauteur de 50 millions d’euros.

Le quatrième projet a trait à l’éco-responsabilité énergétique et au Green IT. Trois mesures phares sont proposées : accélérer dici 2015 a mise en oeuvre des décisions du Grenelle de l’environnement sur la rénovation des bâtiments tertiaires, industriels et résidentiels ; remplacer les équipements vétustes et énergivores et gérer les consommations d’énergie des bâtiments » intelligemment » grâce aux technologies innovantes ; et enfin, encourager le développement d’applications logicielles au service de l’éco-responsabilité. Un projet dont l’investissement pour 2009 est évalué à 200 millions d’euros.

Le cinquième programme s’applique, quant à lui, au développement de systèmes d’éclairage plus économes et plus performants. Objectif : rénover, d’ici 2015, 80% des installations, publiques et privées, d’éclairage des bâtiments et voieries les plus dégradées et énergivores, et installer des systèmes de contrôle automatique du fonctionnement (détection de présence de personnes et de lumière du jour). Un projet évalué à 100 millions d’euros en 2009.

Le sixième projet vise pour sa part à développer d’ici 2010 une véritable filière française de contenus audiovisuels et de jeux interactifs en Haute Définition (HD). Pour y parvenir, les auteurs du rapport proposent de redéployer et de compléter les aides du Conseil National de la Cinématographie (CNC) vers la filière HD, d’avancer sur le déploiement TNT, et de former et de sensibiliser l’ensemble de la filière. Coût de l’opération en 2009 : 30 millions d’euros.

Le septième programme propose de réguler le trafic routier pour polluer moins et réduire les bouchons en généralisant les infrastructures intelligentes et le rechargement électrique. Pour y parvenir, le rapport propose de développer, dès 2009, un pilote grandeur nature dans une ville, une région ou un département, et de réunir les acteurs concernés. Un projet qui pour 2009 devrait représenter un investissement de 24 millions d’euros.

Le huitième projet se place, lui, sous le volet de la sécurité. Objectifs : généraliser, d’ici 2015, les outils de sécurité des personnes et des biens grâce aux technologies à valeur ajoutée. Entre autres mesures, il s’agit essentiellement d’accélérer l’introduction de la carte nationale d’identité électronique et de la carte vitale 2 à base de puce. Coût de l’opération : 100 millions d’euros en 2009.

Le neuvième programme est consacré à l’e-éducation et propose, d’ici 2015, de généraliser les outils numériques de soutien à l’enseignement en primaire et secondaire ainsi que dans la formation professionnelle. Le budget nécessaire à sa mise en oeuvre en 2009 est évalué à 50 millions d’euros.

Enfin, le dixième projet propose de généraliser l’e-administration et d’encourager l’équipement numérique des entreprises d’ici 2011, l’investissement de départ étant évalué à 50 millions d’euros.

Au final, pour être lancé, ce plan en 10 points nécessiterait un investissement global de 1 milliard d’euros en 2009. Pour réunir cette somme, la FIEEC et l’AFDEL propose de créer un fond d’investissement spécifique au secteur des industries à valeur ajoutée : le FIVAT. Piloté par le gouvernement, mais cogéré par les différents acteurs publics et privés (incluant les centres de recherche et développement et les pôles de compétitivité pertinents), celui-ci sera alimenté par une mise initiale associant capitaux privés et publlics et serait, ensuite, alimenté par le privé et par les économies réalisées par la mise en place du plan de conquête. Reste à savoir si le gouvernement est prêt à financer un nouveau plan de relance en plus de ceux dans lesquels il est déjà engagé. Un plan de relance IT également aux Etats-UnisOutre-Atlantique aussi, des voix s’élèvent pour appeler le gouvernement à investir davantage dans les nouvelles technologies afin de sortir plus rapidement de la crise. Là bas, le projet est porté par Robert Atkinson, l’un des conseillers du président américain, fondateur et dirigeant de la Fondation pour l’innovation et les technologies. Celui-ci invoque la capacité de ce secteur à générer des gains de productivité. Le plan de relance économique américain prévoit pourtant d’allouer 7,2 milliards de dollars à la construction de réseaux. Mais pour Robert Atkinson, ce sont 15 milliards de dollars qui seraient nécessaires.

Comment évaluer l’efficacité des mesures de sécurité d’un SMSI ?

Laisser un commentaire

Un SMSI est avant tout un système de management. Un tel système est un ensemble de mesures aussi bien organisationnelles que techniques visant à :

atteindre un objectif ;
une fois cet objectif atteint, à s’y tenir voire à le dépasser.

Les systèmes de management s’articulent autour d’un modèle cyclique à quatre phases connu sous le nom de « PDCA » (Plan, Do, Check, Act) :

Phase Plan : dire ce que nous allons faire dans le cadre du domaine qui nous concerne.
Phase Do : faire ce que nous avons dit dans le cadre de ce domaine.
Phase Check : vérifier l’écart entre ce que nous avons dit (Plan) et ce que nous avons fait (Do).
Phase Act : engager les actions correctives nécessaires à la suppression d’un éventuel écart.

Tel que défini par la norme ISO 27001, un SMSI est « une partie du système de management global de l’entreprise basée sur une approche du risque lié à l’activité, visant à établir, mettre en œuvre, exploiter, surveiller, réexaminer, tenir à jour et améliorer la sécurité de l’information ». Dans la suite de ce document, nous allons nous appuyer sur cette norme pour toutes les définitions et exigences relatives à un SMSI.

Sélection et mise en œuvre des mesures de sécurité

Une appréciation des risques est effectuée dans la phase Plan du SMSI. Cette appréciation permet ensuite d’engager la réflexion sur le traitement des risques identifiés. Dans la plupart des cas, il s’agit de les réduire à l’aide de mesures de sécurité adaptées. Mais comment déterminer ces mesures ?L’ISO 27001 fournit en annexe une liste de 133 mesures de sécurité, sans fournir de conseil ou d’exemple d’implémentation. Ceci est le rôle de la norme ISO 27002. Si toutefois l’implémenteur ne trouve pas de mesure permettant de réduire un risque identifié parmi celles proposées, il a la possibilité de la chercher dans un autre référentiel ou de l’élaborer lui-même. Les mesures de sécurité sélectionnées sont alors mises en œuvre lors de la phase Do du SMSI.

Ces mesures sont-elles efficaces ?

A la lecture de ces quelques lignes, n’avez-vous pas l’impression d’assister à un Happy End où la mise en place d’un SMSI serait un jeu d’enfant ? C’est loin d’être le cas et les normes ISO 27001 et 27002 ont leur lot d’imperfections.Ces normes ne fournissent quasiment aucune recommandation pratique pour juger de l’efficacité des mesures de sécurité sélectionnées. A sa décharge, l’ISO 27001 demande à ce que des indicateurs d’efficacité soient définis pour vérifier le bon fonctionnement du SMSI. Mais lesquels ?L’ISO 27001 ne fournit malheureusement pas plus de détails. L’absence d’éléments concrets permettant d’établir des indicateurs est un de ses défauts majeurs. L’ISO compte le corriger à l’aide d’une autre norme en cours d’élaboration : l’ISO 27004. Elle proposera une démarche de sélection d’indicateurs dans le cadre d’un SMSI. Mais en attendant cette nouvelle norme, que peuvent faire les entreprises pour mesurer l’efficacité des mesures de sécurité de leur SMSI ?Le National Institute of Standards and Technology (NIST), entité fédérale au sein du Département du Commerce américain, a récemment publié un guide intitulé « Performance Measurement Guide for Information Security » et portant l’identifiant SP 800-55. Ce guide vise à fournir une aide dans le développement, la sélection et l’implémentation d’indicateurs de performances d’un programme de sécurité de l’information. Bien qu’il soit destiné aux agences gouvernementales américaines, les entreprises disposant d’un SMSI peuvent tout de même s’en inspirer.

Facteurs de succès

Quel que soit l’indicateur que vous souhaitez développer et implémenter, le SP 800-55 met l’accent sur des facteurs importants dont il faut tenir compte :

tout indicateur doit produire une information quantifiable (que ce soit des pourcentages, des moyennes ou des chiffres concrets) ;
les données servant à alimenter les indicateurs doivent être facilement consultables ;
seuls les processus reproductibles doivent être mesurés ;
les indicateurs doivent être utiles pour évaluer la performance et l’affectation des ressources.

Le but de ces facteurs est de s’assurer que les indicateurs soient développés dans le but d’identifier les causes de la faible performance d’un SMSI et d’aider à entreprendre les actions correctives adéquates.

Trois types d’indicateurs

Le SP 800-55 porte particulièrement sur le développement et la collecte de trois types d’indicateurs :

des indicateurs d’implémentation,
des indicateurs d’efficacité,
des indicateurs d’impact.

Les indicateurs d’implémentation visent à jauger le niveau d’application des mesures de sécurité. Par exemple, un indicateur d’implémentation pourrait être le pourcentage de systèmes disposant de politiques de gestion de mots de passe correctement configurées ou le pourcentage de systèmes d’exploitation durcis suivant la politique de durcissement en vigueur. Ces indicateurs sont principalement alimentés par les résultats d’audits.En gagnant en maturité, le SMSI permet à ces indicateurs d’approcher et surtout de rester autour de 100 %. L’entreprise commencera alors à porter son attention vers les autres types d’indicateurs proposés par le SP 800-55.Les indicateurs d’efficacité sont utilisés pour vérifier que les processus du SMSI et les mesures de sécurité sont correctement implémentés, fonctionnant tel qu’attendu et permettant d’obtenir le résultat souhaité (réduction des risques à un niveau acceptable). Le pourcentage de vulnérabilités corrigées est un exemple d’indicateur d’efficacité de la mesure de sécurité 12.6.1 de l’ISO 27001 (mesure relative aux vulnérabilités techniques). En effet, tout résultat en deçà du résultat attendu indique une incapacité à recevoir les bulletins d’alertes et à les utiliser pour corriger les vulnérabilités.Enfin, les indicateurs d’impact sont destinés à mesurer les conséquences d’événements de sécurité sur l’activité de l’entreprise. Ces indicateurs peuvent être utilisés par exemple pour mesurer les économies réalisées grâce au SMSI suite à un incident sécurité. Bien évidemment, ces indicateurs sont très recherchés par les dirigeants de l’entreprise. Il n’en reste pas moins les plus difficiles à développer et à implémenter. Contrairement aux autres indicateurs présentés plus haut, le SP 800-55 ne fournit pas d’exemple concret d’indicateur d’impact. La description de ces indicateurs reste aussi très vague. Le SP 800-55 se contente d’indiquer qu’ils sont spécifiques à chaque organisation (sic). Une manière d’écarter un sujet aussi difficile à traiter ?

Améliorer les performances du SMSI

Afin d’améliorer les performances du SMSI, le SP 800-55 propose une démarche en six étapes dont voici les grandes lignes :

Préparer soigneusement la collecte des données qui vont servir à générer les indicateurs d’efficacité du SMSI. Il s’agit de décrire à l’aide d’un plan comment ces données seront réunies, traitées et comment les résultats seront communiqués.
Procéder à la collecte des données et à leur analyse. Ainsi seront obtenus les indicateurs attendus. Cette étape permet d’identifier tout problème d’efficacité des mesures de sécurité retenues et de donner une visibilité sur les actions qui doivent être engagées afin de rectifier le tir s’il y a lieu.
Identifier clairement les actions devant être entreprises en s’appuyant sur l’étape précédente. Chaque mesure de sécurité qui n’est pas suffisamment efficace se voit associer une ou plusieurs actions correctives. Ces actions sont priorisées suivant un processus d’analyse de risques.
Estimer le budget nécessaire pour mener à bien les actions précédemment identifiées. Défendre le projet auprès des décideurs.
Obtenir les ressources nécessaires à la bonne conduite des actions correctives.
Appliquer les actions correctives aux mesures de sécurité incriminées. Il se peut qu’il soit nécessaire de supprimer une mesure de sécurité au profit d’une autre, plus adaptée. Cette démarche est itérative.

Un coup d’épée dans l’eau ou une réelle aide ?

Malgré les quelques problèmes de cette première version tel qu’un traitement très vague des indicateurs d’impact, le SP 800-55 reste une ressource utile pour développer quelques indicateurs pertinents et améliorer ainsi l’efficacité des mesures de sécurité du SMSI et donc les performances de ce dernier. Le guide fournit aussi treize fiches descriptives de mesures de sécurité et les indicateurs associés. Bien que ces mesures soient décrites dans un langage propre au NIST, il est facile de trouver leur pendant dans l’ISO 27001. Toutefois, un effort d’adaptation vis-à-vis au monde « ISO » des SMSI tels que nous les connaissons reste nécessaire, sans oublier que ce guide n’est actuellement disponible qu’en anglais. Saad Kadhi, Consultant sécurité, ISO 27001 Lead Auditor

Les autres articles du dossier

Quel script pour un bon audit de systèmes d’informations ?
OSSTMM, une méthodologie pour cadrer les tests de sécurité
Les tests d’intrusion comme révélateurs de dysfonctionnements
Tests d’intrusion : le contrat, gage d’une mission réussie

Quel script pour un bon audit de systèmes d’informations ?

Laisser un commentaire

Si l’on n’y prend garde, l’audit d’un système d’information peut s’apparenter au script du célèbre film de Sergio Leone Le Bon, la Brute et le Truand .Dans le rôle du « Bon », le client d’une prestation de service qui contribue à tout ou partie de son système d’information. Ne maîtrisant pas directement les équipements et les hommes qui concourent à cette prestation, il est inquiet voire suspicieux sur le niveau de sécurité effectif.Pour le « Truand », retenons le prestataire qui apporte au « Bon » une solution informatique généralement mutualisée avec d’autres clients. Il connaît bien son métier mais il doit trouver le juste équilibre entre une sécurité adaptée aux enjeux et une pression sur les prix imposée par ses clients.Enfin, attribuons le rôle de la « Brute » à la société d’audit missionnée par le client. Au prix de nombreuses tortures du genre interviews, revues de documents et autres tests d’intrusion en force, elle cherchera à faire « avouer » au prestataire un nombre de défauts proportionnel au coût de sa prestation facturée au client.Mais essayons d’être plus constructifs. Contrairement à un trésor caché, la sécurité n’est pas un jeu à somme fixe à partager entre trois belligérants. Il vaut mieux la voir comme un enfant qui peut croître et embellir s’il est couvert par l’attention de tous. Dans ce cas, mieux vaut que nos trois protagonistes jouent ensemble comme dans Trois Hommes et un couffin de Coline Serreau.

Enjeux pour le prestataire

Plaçons-nous dans le rôle du prestataire. Vous connaissez votre métier et vous agissez de manière professionnelle dans la fourniture de services à des tiers. Pour fixer les idées, prenons quelques exemples concrets d’une telle prestation :

déploiement et exploitation d’un réseau IP privatif d’entreprise ;
hébergement en salle blanche de serveurs informatiques appartenant à vos clients ;
hébergement sur vos serveurs d’applications développées et maîtrisées par vos clients ;
fournitures d’une application clef en main de comptabilité, de gestion documentaire, d’archivage…

Cette prestation va reposer sur les 3 grands piliers suivants :

des ressources physiques : fibres optiques, surface d’hébergement, alimentation électrique, climatisation…
des plates-formes logicielles et matérielles : serveurs, systèmes d’exploitation, bases de données…
des hommes et des femmes pour concevoir, déployer, maintenir et opérer l’ensemble de ce qui précède dans le respect de processus clairement définis et efficients.

Si le client vous a confié cette prestation, c’est qu’il pense que vous pouvez la réaliser à un meilleur rapport coût / performance que ce qu’il saurait faire en interne avec des ressources en propre.Ce meilleur rapport coût / performance tient essentiellement dans le couple « savoir faire » et « mutualisation » :

Ce savoir faire acquis dans un domaine vous permet d’être plus efficace que d’autres acteurs et d’offrir une prestation de qualité. Vous avez les bons équipements, les bonnes personnes, les bons processus industriels…
La mutualisation de surfaces techniques, d’équipements informatiques, de liens réseau et d’experts dans un domaine entre plusieurs clients similaires vous permet de maîtriser votre compte d’exploitation et d’offrir votre prestation à un coût concurrentiel.

Ces deux points sont structurants dans votre attitude en tant que prestataire quand un client souhaite auditer la sécurité de la prestation rendue :

Vous allez devoir imposer des mesures afin de protéger votre savoir faire de l’inquisition des auditeurs ;
Vous allez devoir « contenir » les assauts des auditeurs pour éviter toute perturbation sur les services offerts à vos autres clients.

Les points clefs pour un bon audit

Cela va sans dire, l’audit client ne doit porter que sur la prestation qui lui est contractuellement due. On pourra y inclure quelques éléments connexes, mais avec de solides justifications. Si on vient dans un restaurant pour juger du bien fondé des ses étoiles, on peut inspecter la cuisine mais pas sa comptabilité, même si cela peut impacter la pérennité de l’établissement.Quelles sont les actions qui seront réalisées et les bonnes questions à se poser ?

L’ingénierie sociale ? Mais alors comment protéger les employés qui en font l’objet ?
Les tests d’intrusion dans les systèmes d’informations du prestataire ? Et quelles seront les limites de ces tests ?
Les tests de déni de service ? Alors comment protéger les équipements mutualisés dans l’intérêt des autres clients ?
Les analyses documentaires ? Les documents seront-ils copiés ou consultés sur place ?

De fait, tout ceci doit être précisé avec le périmètre de l’audit.

Faut-il planifier l’audit ?

Certains clients aimeraient pouvoir agir comme la » Brigade des Stups » et faire irruption comme bon leur semble chez leur prestataire. Si ce dernier accepte toutes les demandes de ce genre alors on risque de désorganiser les services opérationnels au détriment des prestations elles-mêmes. Un bon audit n’est pas fait pour « pincer » le prestataire mais pour évaluer la sécurité et l’améliorer si nécessaire. Et si le client insiste pour mettre en place des audits » surprise « , c’est que le minimum de confiance nécessaire dans son prestataire n’existe pas. Pour contribuer à l’amélioration, l’audit doit être planifié à l’avance afin que tous les intervenants soient disponibles. Et il doit être borné dans le temps pour ne pas perturber plus que nécessaire le fonctionnement quotidien des équipes.

Des coûts supplémentaires à répartir

L’audit va monopoliser des ressources chez le prestataire. Les techniciens qui seront interviewés, la présentation de l’organisation ou des process par les managers, la mise en œuvre d’un accueil approprié des auditeurs, l’ouverture de comptes système… Autant d’actions qui ne font pas partie de la prestation de base. Il faut donc se mettre d’accord sur l’acteur qui prendra en charge ces différents postes de coûts.

Attention à la confidentialité

Le prestataire devra présenter aux auditeurs un savoir faire, des documents, son organisation… qui sont autant de potentiels atouts concurrentiels. Dans certains cas, il peut également avoir à présenter des informations qui concernent d’autres clients que celui qui réclame l’audit. Et puis certaines de ces informations seront portées à la connaissance du client au travers du rapport d’audit. Il est donc indispensable que le cabinet d’audit et le client concerné soient soumis à une clause de confidentialité appropriée.

Formaliser la responsabilité du cabinet d’audit

Dans l’exercice de sa mission, le cabinet d’audit peut porter involontairement préjudice au prestataire : un test technique qui dérape et met un équipement mutualisé hors service, un document confidentiel dupliqué et perdu… Afin que ce cabinet conduise l’audit avec tout le professionnalisme nécessaire, il est prudent de lui faire signer un engagement de responsabilité, et le cas échéant de vérifier son contrat d’assurance professionnelle. Autrement dit, pas de clause d’exonération comme certains cabinets en demandent parfois.

Un droit de regard pour le prestataire

Le rapport d’audit appartient logiquement au client. Mais afin de pouvoir progresser par le déploiement de mesures correctives, il est bon que le prestataire ait accès à ce rapport. Il en va de l’intérêt même du client. On peut aussi prévoir un droit à commenter pour le prestataire si le rapport ne lui reflète pas exactement la situation. Un élément positif peut avoir échappé à l’auditeur. Enfin, dans le cadre de la clause de confidentialité, la diffusion de tout ou partie de ce rapport à des tiers doit être prohibée.

Comment bien choisir son cabinet d’audit ?

Un cabinet d’audit peut faire partie d’un groupe ou d’une société concurrente du prestataire audité. Si ce dernier argumente que cela peut impacter la réalité de la confidentialité de l’audit, alors il doit pouvoir récuser ce cabinet. Client et prestataire doivent donc s’accorder sur le choix du cabinet d’audit finalement retenu. Il faut aussi se méfier des problématiques de type « juge et partie » et s’assurer que le cabinet d’audit et le prestataire ne font pas partie de la même entité !

Prévoir l’audit dans le contrat

Afin d’éviter de pénibles débats a posteriori, il est recommandé d’inclure la possibilité de l’audit et ses clauses opératoires dans le contrat de la prestation, en s’inspirant de ce qui précède. Il faudra bien sûr compléter les documents quand un prestataire aura été retenu et lui faire apposer sa signature sur les différents volets qui le concernent : confidentialité, responsabilité, assurance…

L’audit d’un prestataire de services par son client doit être conçu dans une approche d’amélioration dans l’esprit du « Plan-Do-Check-Act » cher à la norme ISO 27001. L’audit se place dans le Check et il trace le chemin pour le Act.
Pour ce faire, il faut convenir d’un accord sur la planification, la confidentialité, l’utilisation des résultats… entre le client, le prestataire et le cabinet d’audit.
L’audit doit être « balisé » dès la signature du contrat de la prestation de base.

Eric Wiatrowski, responsable de la sécurité des systèmes d’information de Orange Business Services

Les autres articles du dossier

Comment évaluer l’efficacité des mesures de sécurité d’un SMSI ?
OSSTMM, une méthodologie pour cadrer les tests de sécurité
Les tests d’intrusion comme révélateurs de dysfonctionnements
Tests d’intrusion : le contrat, gage d’une mission réussie

Les tests d’intrusion comme révélateurs de dysfonctionnements

Laisser un commentaire

Les responsables chargés de maintenir la sécurité d’un système d’information (SI) disposent d’une gamme d’outils variés pour identifier les faiblesses potentielles. Parmi ceux-ci, les tests d’intrusion sont généralement utilisés de manière à relever les vulnérabilités purement techniques (mauvaise configuration, erreurs de développement, non application des correctifs…). Cependant, en regardant ces tests et leurs résultats sous un autre angle, il est possible, dans certains cas, d’en tirer des conclusions d’un niveau plus élevé qui peuvent servir de point d’entrée à des réflexions d’ordre plus général sur la sécurité du SI.Voici quelques exemples, tirés de cas rencontrés au cours d’audits réels, dont peuvent être déduits l’existence de problèmes de fond dans la sécurité d’un SI : au niveau de la conception (réseaux, architecture logicielle, développement d’applications) mais aussi dans la définition et l’application de la politique de sécurité.

Les problèmes de conception

Comme indiqué, les tests d’intrusion techniques (externes ou internes) peuvent mettre en évidence des problèmes de conception. La preuve, via ces trois exemples qui illustrent, chacun à leur niveau, ce cas de figure.

Au niveau architecture réseau

Au cours d’un test d’intrusion externe, un auditeur peut parvenir à passer des commandes sur une des machines frontales (par exemple un reverse proxy Web). L’auditeur cherche ensuite à cartographier les machines internes accessibles et à identifier les ressources sensibles. Dans l’exemple qui suit, l’auditeur exploite la méthode HTTP CONNECT sur le reverse proxy situé en frontal d’un service HTTPS (secure.site.fr) pour établir des connexions vers des serveurs du réseau interne:

# openssl s_client -connect secure.site.fr:443CONNECTED(00000003)[…]—CONNECT 192.168.0.10:80 HTTP/1.0HTTP/1.0 200 Connection establishedProxy-Agent: NetCache NetApp/5.6.2R2GET / HTTP/1.0HTTP/1.1 200 OK[…]

Connexion SSL vers le port 443 du site secure.site.frEtablissement de la connexion Tentative de connexion vers le port 80 d’un serveur interne. Ici 192.168.0.10 La connexion avec le serveur est effective. L’attaquant peut donc effectuer des requêtes sur le port distant, au travers du reverse-proxy.

L’exemple précédent démontre la possibilité de se connecter au service HTTP (80/tcp) d’un serveur interne du réseau cible (192.168.0.10), au travers du reverse-proxy mal configuré. La page d’accueil retournée constitue une ressource interne de la société qui ne devrait en aucun cas être accessible depuis Internet. Ce serveur ne devrait pas être accessible depuis le reverse-proxy. Cela dénote un manque de cloisonnement dans la définition de l’architecture réseau. La mise en place de DMZ et de filtrage entre les différentes DMZ et le réseau local aurait permis d’éviter les intrusions par rebonds successifs depuis l’extérieur. Cette mesure vaut également pour contrer des intrusions depuis le réseau interne et spécifiquement depuis le LAN utilisateur.Remarque : en fonction de la configuration du reverse proxy, il peut être possible d’atteindre n’importe quel service (SMB, SSH, telnet…).

Au niveau développement logiciel

Dans le cadre d’un test d’intrusion sur une application Web, l’auditeur va chercher à vérifier le degré de liberté que possède un utilisateur dans les valeurs envoyées en paramètre à l’application. L’objectif est d’injecter des chaînes de caractères qui seront interprétées comme du code et exécutées comme tel :

soit côté serveur : injection de code dynamique (PHP/ASP/JSP), injection de code SQL (SQL Injection);
soit côté client : injection de JavaScript dans le navigateur client ou Cross-Site Scripting (XSS).

En fonction des résultats observés, l’auditeur pourra identifier des faiblesses au niveau du développement de l’application. Par exemple si le fait de passer une commande du type : http://www.site.com/rechercher.php?requete=