Stratégie

Cybersécurité à l'heure du Sase : retrouver confiance dans son IT

---

Le 15 février 2022, CIO a diffusé la webconférence « La cybersécurité à l'heure du Sase : la confiance retrouvée dans l'IT » en partenariat avec Checkpoint, Cloudflare, Darktrace, Fortinet, Netscope, Okta et PaloAlto/Cortex.

PublicitéSi l'approche Zero Trust a constitué un indéniable progrès dans la cybersécurité, cette approche a cependant ses limites. Le cabinet Gartner a introduit le concept de Sase (Secure Access Service Edge) pour, justement, aller au-delà et, en quelque sorte, retrouver confiance dans son SI. Afin de faire le point sur les enseignements des premiers déploiements de cette approche et les bonnes pratiques à suivre, CIO a organisé la CIO.expériences « La cybersécurité à l'heure du Sase : la confiance retrouvée dans l'IT ». Celle-ci a été diffusée sous forme de webconférence le 15 février et sa rediffusion intégrale peut être retrouvée ici.

Cette CIO.expériences a été réalisée en partenariat avec Checkpoint, Cloudflare, Darktrace, Fortinet, Netscope, Okta et PaloAlto/Cortex ainsi qu'avec MyFrenchStartUp, l'AFCDP (Association française des correspondants à la protection des données à caractère personnel), le CESIN (Club des experts de la sécurité de l'information et du numérique) et le Clusif (Club de la sécurité informatique français). Elle a permis d'entendre les témoignages de Zehair Benamar (Chef de projet infrastructures, GHT GPNE), Martine Hemery (Directrice des Technologies et du Digital, CBP Group), Fabien Lemarchand (RSSI, ManoMano) et Frank Van Caenegem (RSSI, CNP Assurances). En partenariat avec MyFrenchStartUp, Adrien Petit, Co-Fondateur et PDG d'Uncovery a présenté cette start-up. Stéphane Rousseau, DSI groupe d'Eiffage et vice-président du Cigref, a été le grand témoin de la matinée. Outre la présentation de son expérience propre, il nous a accompagné toute la matinée, notamment pour commenter les résultats de l'étude « Quelle cybersécurité à l'heure de la convergence dans le cloud ? ».


« Sase : de la théorie à la pratique » a été présenté par Xavier Duros, Directeur Technique de Check Point France.

« Le Sase (Secure Access Service Edge) est un concept proposé par le cabinet Gartner en 2019 en combinant un certain nombre de technologies » a rappelé Xavier Duros, Directeur Technique de Check Point France. L'objectif était de répondre à un défi : comment donner accès à tous partout au système d'information ? La bascule au télétravail global lié à la crise sanitaire a obligé les entreprises à y réfléchir. Deux constituants de cette approche sont à considérer : la connectivité (SD-Wan, VPN...) et la sécurisation de l'accès (identité...), ce qui représente un assemblage d'une trentaine de technologies. Pour Check Point Software Technologies, comme détaillé dans l'intervention de Xavier Duros, le passage à la pratique passe par l'examen de cas d'usage.

Publicité
« L'évolution de l'Offre Sase sur les prochaines années : vision de Fortinet, acteur majeur de la cybersécurité » a été présentée par Christophe Auberger, évangéliste cybersécurité chez Fortinet France.

En lien avec le déploiement de la cybersécurité partout sur tous les terminaux et d'autres tendances comme la convergence IT/OT, l'approche de la cybersécurité a évolué et va continuer d'évoluer. Christophe Auberger, évangéliste cybersécurité chez Fortinet France, a noté : « connecter les utilisateurs où qu'ils se trouvent à des applications où qu'elles se trouvent nécessite d'adopter l'approche Sase. » Il a ensuite développé sa vision au cours de son intervention.


Fabien Lemarchand, RSSI de ManoMano, a témoigné de son retour d'expérience : « par-delà le Zero Trust ».

La place de marché en ligne dédiée au bricolage et à la maison ManoMano est présente dans six pays avec 3500 revendeurs partenaires et sert sept millions de clients. Fabien Lemarchand, RSSI de ManoMano, doit gérer la cybersécurité autant côté utilisateurs finaux que côté revendeurs sans oublier les collaborateurs. « Comme nous produisons nous-mêmes notre plate-forme, la moitié de nos collaborateurs sont des développeurs » a observé Fabien Lemarchand. Il a détaillé son approche de la cybersécurité au cours de son témoignage.


« Sécuriser l'accès aux données en maîtrisant l'expérience utilisateur » a été présenté par Eric Antibi, directeur technique France de Palo Alto Networks.

Avoir une vision unifiée de la cybersécurité est ce qui a amené au Secure Access Service Edge (Sase). « En particulier à cause de la crise sanitaire, de plus en plus de collaborateurs travaillent à distance en permanence ou en mode hybride (et ça ne changera pas) et, par ailleurs, de plus en plus de grandes entreprises migrent leur SI vers le Cloud » a constaté Eric Antibi, directeur technique France de Palo Alto Networks, pour justifier le développement de l'approche Sase. Une difficulté en termes de cybersécurité est la sédimentation des différentes générations de solutions de cybersécurité, accumulation complexe à administrer. Dans son intervention, Eric Antibi a donc insisté sur la nécessité de consolider l'existant.


Frank Van Caenegem, RSSI de CNP Assurances, a expliqué comment retrouver confiance dans ses fournisseurs.

Avec une activité remontant à 1850, CNP Assurances est un des grands acteurs de l'assurance dans le monde. L'entreprise dispose de datacenters mais recourt évidemment aussi à du cloud.
Frank Van Caenegem, RSSI de CNP Assurances, est revenu dans son témoignage sur la nécessité d'auditer les fournisseurs et les modalités pour le faire. Avec des données sensibles de 36 millions de clients, y compris des données médicales, et une croissance forte des incidents chez les prestataires sous-traitants, CNP Assurances n'a pas eu le choix : Frank Van Caenegem a rappelé que « disposer d'engagements contractuels des fournisseurs ne permettait pas de nous garantir le respect de ces engagements alors que les régulateurs nous encourageaient à être plus attentifs. »


« Démystifier le Sase : une approche pragmatique avec Cloudflare » a illustré Boris Lecoeur, Directeur Général de Cloudflare France.

Pour beaucoup, l'approche Secure Access Service Edge (Sase) est un concept théorique voire nébuleux. Or, comme l'a rappelé Boris Lecoeur, Directeur Général de Cloudflare France, les récents mois ont été marqués par une forte croissance des cybermenaces en fréquence comme en gravité, en complexité, en automatisation, en exploitation des failles... alors que la sécurité périmétrique n'est plus du tout pertinente. Pour Boris Lecoeur, « on ne peut plus ni faire confiance au réseau interne ni se reposer sur une sécurité périmétrique ». Il a donc présenter une approche pragmatique de la cybersécurité reposant sur Sase au cours de son intervention.


Grand témoin de la matinée, Stéphane Rousseau, DSI d'Eiffage et vice-président du Cigref, a détaillé « pourquoi et comment Eiffage a adopté l'approche Sase ».

Le groupe Eiffage intervient à la fois sur le secteur du BTP et sur celui des concessions. Par nature, sa sécurité est celle de multiples sites, y compris temporaires ou communs avec des coopétiteurs. Stéphane Rousseau, DSI d'Eiffage et vice-président du Cigref, a été le grand témoin de la matinée et, au cours de son témoignage, a détaillé la mise en oeuvre de Sase dans le groupe Eiffage. Comme il le relève, c'est particulièrement délicat puisque « [le groupe a] informatisé tous les collaborateurs, y compris les compagnons sur les chantiers bien qu'il n'aient aucun bureau, aucun poste de travail. »


« La sécurité des données dans un contexte cloud : l'intérêt du Security Service Edge » a expliqué François Prat, solutions architect de Netskope.

Solution utilisée par le groupe Eiffage, Netskope a fait intervenir François Prat, solutions architect pour détailler les raisons et les modalités de l'approche Sase. « L'usage du cloud a explosé ces derniers temps en relation avec le développement du télétravail car le cloud permet de fournir des applications auxquelles les collaborateurs peuvent accéder à distance » a-t-il ainsi rappelé. Et sécuriser les données et les applications dans le cloud ou en mode hybride suppose d'adopter Sase.


Martine Hemery, directrice des technologies et du digital de CBP Group, a raconté pourquoi le courtier en assurances CBP s'est appuyé sur FranceConnect.

Parmi les questions abordées dans l'approche Sase, l'identification des personnes n'est pas la plus simple. Pour bien identifier ses clients et aussi se connecter à des tiers (notamment la sécurité sociale), le courtier en assurances CBP, spécialiste de l'assurance emprunteur, s'est appuyé sur FranceConnect dans le cadre de l'actuelle expérimentation. Martine Hemery, directrice des technologies et du digital de CBP Group, a ainsi témoigné de l'implémentation de FranceConnect chez CBP. « Renforcer la qualité de l'identification est un enjeu majeur pour tous les acteurs de l'assurance » a-t-elle rappelé avant de décrire les différentes manière d'améliorer l'expérience client grâce à FranceConnect.


« Ransomware : cyber assurance ou Zero Trust ? » s'est interrogé Nicolas Petroussenko, directeur général d'Okta France.

Dans les soucis de sécurité particulièrement importants en ce moment, les ransomwares font figure de stars. Comme l'a rappelé Nicolas Petroussenko, directeur général d'Okta France, le nombre d'incidents signalés a été multiplié par deux sur les deux dernières années. Pour lui, plutôt que de réfléchir à la balance bénéfices/risques entre payer et ne pas payer la rançon lorsque l'on est victime, « il ne faut pas être dans une situation où la question va se poser ». Il a ainsi expliqué dans son intervention comment éviter d'en arriver là, notamment avec une gestion des identité consolidée et robuste.


Zehair Benamar, chef de projet infrastructures au GHT GPNE, a relaté comment les hôpitaux du GHT GPNE ont sécurisé le télétravail.

Le Groupement Hospitalier de Territoire Grand Paris Nord-Est (GHT GPNE) mutualise les ressources IT des hôpitaux d'Aulnay-sous-Bois, du Raincy-Montfermeil et de Montreuil. Comme dans la plupart des organisations, la question du télétravail s'est imposée au calendrier mais dans un contexte particulier : celui du secteur hospitalier, avec ses contraintes de sécurité particulières. Les solutions d'accès à distance de Systancia ont été choisies à cette fin. « Par rapport à l'urgence de la situation, le délai de mise en oeuvre était particulièrement intéressant » a souligne Zehair Benamar, chef de projet infrastructures au GHT GPNE, dans son témoignage.


« Renforcer l'approche ZeroTrust avec l'IA Auto-Apprenante » a plaidé Valentin Pourrinet, expert cybersécurité de Darktrace.

Les ransomwares, les menaces internes, le contexte géopolitique impliquant des attaques soutenues par les Etats et les attaques au sein de la chaîne de production applicative (Log4J...) forment le paysage des principales cybermenaces actuelles comme l'a décrit Valentin Pourrinet, expert cybersécurité de Darktrace. Pour lui, « toutes les défenses statiques sont incapables de couvrir tous ces risques » et le recours à des solutions auto-adaptives s'impose comme il l'a plaidé dans son intervention.


En partenariat avec MyFrenchStartUp, Adrien Petit, co-fondateur et PDG d' Uncovery, a présenté cette start-up qui permet de détecter les risques pesant sur vos actifs numériques.

Dans le cadre du partenariat avec MyFrenchStartUp, la matinée a également permis la présentation de la start-up Uncovery par Adrien Petit, co-fondateur et PDG. Le SaaS automatisé et prêt en quelques instants proposé par cette start-up permet d'identifier et piloter l'exposition aux cyber-risques des entreprises.

Article rédigé par

Bertrand Lemaire, Rédacteur en chef de CIO

Partager cet article