Par Christian JOUY, responsable produits MES, groupe VISEO

Le marché demande aux industriels davantage de réactivité, de traçabilité et de transparence. Le MES (Manufacturing Execution System), système de gestion de la production et des ressources, n’est pas un simple outil de suivi de la production : avec lui, les entreprises disposent d’une solution homogène, apte à maximiser leur compétitivité sur leur(s) marché(s).

Les industriels n’ont pas attendu le MES (Manufacturing Execution System) pour tenter d’informatiser leurs ateliers de production. Via la mise en place d’ERP et d’applications spécifiques, ils ont essayé d’assurer la gestion de différentes problématiques, pour des résultats plutôt variables. Ce qui l’est moins, c’est le coût élevé de la maintenance de ces applicatifs souffrant d’une standardisation grandissante et rendant difficile l’adaptation de la production aux fluctuations du marché.

Comment, dès lors, faire la différence vis-à-vis de la concurrence ? Chaque jour plus volatiles, les marchés réclament une capacité d’innovation grandissante de la part des entreprises de production. Ces dernières doivent adapter leurs processus d’industrialisation aux cycles de vie des produits de plus en plus réduits. Pour être performantes en interne comme vis-à-vis de leur environnement, elles doivent être en mesure de suivre et de piloter leur production, d’ajuster leur activité en fonction de leur rentabilité, mais aussi de fournir une qualité de service optimale.

Avec le MES, place à l’agilité et la réactivité

Aujourd’hui maillon essentiel pour le cycle de production des entreprises, le MES couvre de nombreux domaines : ordonnancement, exécution des fabrications, traçabilité, gestion de la qualité, suivi de production, GED ou encore analyse de la performance.

Lire la suite…

La communauté MOH (Mouvement Offensive Hacker) présente un tutoriel écrit par un de ses membres, Roy’S-Tr@que, expliquant étapes par étapes une attaque de type Man in The Middle. Il s’agit d’un exemple pour alerter les sociétés et les utilisateurs sur certains risques informatiques.

Nous allons vous détailler une attaque dite MITM (Man In The Middle). Cette technique consiste à infiltrer un réseau et intercepter les informations qui y transitent sans être vu.
Nous allons détailler deux types d’attaques utilisant la méthode de « l’homme du milieu ».

En premier lieu, nous allons établir une attaque basique. Elle va analyser le réseau pour récupérer différentes données codées en ASCII. Dans un deuxième temps, nous lancerons une attaque utilisant le certificat SSL sur le port 1500. Cela consiste à envoyer une url de redirection à la victime, qui pense se trouver sur un site sécurisé en https.

Sur l’attaque basique

Elle repose sur ce que l’on appelle le cache ARP. Il s’agit d’une table de couples d’adresses IPv4-MAC contenue dans la mémoire d’un ordinateur qui utilise le protocole ARP, ce qui est le cas des ordinateurs qui sont connectés à un réseau IP sur un segment Ethernet. Dans notre cas, nous allons analyser le réseau en lançant un terminal Linux et en tapant cette commande :ettercap-T -M arp:remote /192.168.1.99/ /192.168.1.1/ -i wlan0

Des explications s’imposent sur cette commande :

Lire la suite…

Georges Jacovlev, expert en architecture fonctionnelle des systèmes d’information

Un ami, qui intervient comme consultant dans une grande banque française me confirme, lors d’une rencontre récente, que, dans toutes les banques dans lesquelles il est intervenu, la distinction entre maîtrise d’ouvrage (MOA) et maîtrise d’oeuvre (MOE ) n’existe pas. Pire, elle est conçue comme sacrilège, car elle risque, selon ce que pensent les managers de la banque, d’inciter les clients de l’informatique à formuler leurs expressions de besoins « dans leur coin », sans réfléchir en commun avec la MOE pour trouver la solution qui intègre les exigences des uns et des autres. D’ailleurs, me dit mon interlocuteur, cette façon commune de penser est totalement en phase avec ce que disent les Anglo-saxons, qui ne connaissent que la notion de « bonnes pratiques », mais pas du tout la distinction entre MOA et MOE. D’ailleurs, l’anglais ne dispose pas d’un mot spécifique pour traduire l’idée de MOA.

Cette non-distinction me rappelle la difficulté que nous autres consultants en systèmes de management rencontrons quand nous voulons expliquer la différence entre processus et procédure. Alors que c’est très simple : un processus répond à la question « quoi faire ? », il fait donc apparaître des valeurs ajoutées, alors que la procédure répond à la question « comment le faire ? » Ce qui fait que la présentation graphique d’un processus est une succession de boîtes, à la manière d’un diagramme PERT, alors que le graphe d’une procédure présente des boîtes et des losanges, lesquels marquent les choix à faire.
Lire la suite…

Par Tru Dô-Khac, consultant en gouvernance et innovation numérique

Grâce à la mise en processus, la direction des systèmes d’information (DSI) est une usine qui tourne bien.  En entreprise numérique, c’est l’établissement de relations qui détermine la capacité de la DSI à une bonne collaboration avec les directions métiers.

Le 29 juillet dernier, ITIL V3 Update sort sous le nom de ITIL® 2011 Edition. Contrairement à ITIL V3, la sortie de cette édition ne surprend personne : dès 2009, l’OGC, son propriétaire, avait annoncé son intention de rafraîchir ITIL, lancé un appel à contribution et annoncé un date de sortie : « early 2011 » [1]. Nous saluons ici la performance « On Time ».

Concernant ses motivations, l’OGC mettait en avant son souhait de prendre en compte les retours des nombreux utilisateurs d’ITIL tout en estimant que les modifications seraient mineures (« cosmetic, editorial and consistency improvements »). A l’arrivée qu’en est-il ?

Une gouvernance SI relationnelle

Naturellement, la réponse sera influencée par l’usage que l’on fait d’ITIL et/ou de celui que l’on projette d’en faire. Et ITIL couvrant l’ensemble du cycle de vie des services SI, on peut s’attendre à une grande dispersion d’opinions.

Pour notre part, nous nous plaçons d’un point de vue méthodologique et nous reprenons les modifications annoncées par leurs auteurs mêmes [2]. D’emblée, nous relevons l’introduction de quatre processus désignés par « Strategy Management »,  « Business Relationship Management », « Demand Management » et « Design Coordination ».

Si « Strategy Management » appelle à une lecture approfondie du contenu des livres ITIL pour comprendre précisément ce que leurs auteurs y mettent, la désignation des trois autres est suffisamment explicite pour  saisir que les relations DSI-Métiers doivent maintenant être traitées expressément, que ce soit au niveau de la gouvernance, des projets ou de l’ingénierie. Nous pensons que cette émergence des relations SI est un changement doctrinal majeur de la gouvernance de SI. Lire la suite…

Par Yves Cointrelle, directeur général d’HOMSYS, groupe VISEO

Mieux piloter pour mieux décider. Les outils décisionnels ont le vent en poupe à chaque strate de l’entreprise. Mais à l’heure où rapidité, flexibilité et contraintes budgétaires priment, les exigences s’affirment : il faut savoir faire plus avec moins et mieux, et désormais en toute sécurité.

Temps réel, appliances mixtes et in-memory, gestion de référentiels, modules et fonctionnalités orientées utilisateur final, mobilité et nomadicité, traçabilité et sécurisation des processus… Revue des tendances pour optimiser le monde de la Business Intelligence.

Le temps réel appliqué à la Business Intelligence

Autrefois mensuelle et hebdomadaire, la fréquence de rafraîchissement des systèmes décisionnels est désormais quotidienne. Dans le même temps, les outils de reporting démontrent leur capacité à se substituer aux dispositifs traditionnels pour générer des rapports sur les applications.

Répliquer, synchroniser les données pour effectuer analyse et reporting en temps réel provoque l’avènement d’outils et de solutions mixtes. Leur mission : autoriser une utilisation hybride des outils décisionnels, pour capter et accéder à la fois aux bases de données de pilotage ainsi qu’aux données opérationnelles et de production.

D’une logique pull, on passe à une logique push : la captation des données sur l’application source peut se faire en temps réel, puis être répliquée sur un système cible, lequel devient à la fois un outil de reporting et la source de construction d’agrégats orientés décisionnels. A cette fin, les technologies non intrusives impactant faiblement les performances systèmes peuvent s’allier aux appliances Business Intelligence (couple logiciel et matériel destiné à fournir de hautes performances en stockage et en rapidité de restitution des données) pour assurer une gestion de bout en bout des services.

Lire la suite…

Par Georges Abou Harb, directeur général en charge des activités Future IT & Cloud chez Logica France

Depuis quelques années maintenant, lorsque l’on demande à un DSI quel est le principal challenge auquel il doit faire face, la réponse est inévitablement la même : « faire plus avec moins ». Cet état de fait a participé à la montée en puissance du cloud computing comme la technologie la plus prometteuse de ces dernières années en matière de transformation de l’IT.

Les partisans du cloud considèrent ce dernier comme un bouleversement fondamental dans la manière dont les entreprises utilisent et consomment l’IT. Du point de vue du directeur financier, il permet de diminuer sensiblement les dépenses informatiques, et transforme ce poids financier en charge opérationnelle planifiée sur la base des abonnements. Pour les directeurs opérationnels et les managers, le cloud permet à leurs équipes de bénéficier d’un support IT réactif en quelques jours, voire en quelques heures, là où il fallait précédemment compter en mois ou en années. Pour les directeurs informatiques, il est synonyme de facilité d’exécution et de simplification des contraintes d’achat, de ressources et de traitement administratif.

Tous ces avantages sont bien réels, même s’il encore un peu tôt pour dire si le cloud computing est une révolution, ou une évolution. Mais il existe d’autres types de bénéfices futurs qui méritent d’être plus amplement explorés. Parmi ceux-là se trouvent l’une des perspectives les plus intéressantes : le cloud au service des communautés d’intérêt et de leurs bénéfices mutuels.

Lire la suite…

par Franck Trognee, Country Manager France de SonicWALL

Les administrateurs informatiques s’efforcent de fournir les meilleures solutions de sécurité réseau mais doivent faire face à des collaborateurs utilisant de plus en plus de logiciels encombrants, dangereux et surtout ayant un comportement à risque en termes d’utilisation d’Internet.

Les firewalls utilisés aujourd’hui dans de nombreuses entreprises se réfèrent uniquement aux ports et aux protocoles et ne sont donc pas en mesure d’identifier les applications cloud et SaaS ainsi que les multiples services web 2.0 qui reposent sur le navigateur. Par conséquent, ces équipements ne peuvent distinguer le trafic productif de l’improductif. De ce fait, l’informatique en est réduite à un contrôle binaire du trafic, ne laissant le choix qu’entre blocage et autorisation. Faut-il donc bloquer des ports ou des protocoles entiers à seule fin de filtrer quelques applications indésirables ? Ou bien faut-il plutôt ouvrir les vannes et autoriser l’accès à toute application susceptible d’être utile, même au risque de saper la productivité et d’exposer l’entreprise aux menaces ? Le choix est cornélien.

Pour s’épargner ce dilemme il faut s’équiper d’un firewall de nouvelle génération (NGF, Next-Generation Firewall), offrant des fonctions complètes d’information, de contrôle, d’identification et de visualisation pour l’ensemble des applications transportées sur leurs réseaux. Ces NGF sont d’une grande efficacité car ils peuvent intégrer étroitement le contrôle des applications avec d’autres fonctionnalités telles que la prévention d’intrusion et la protection antimalware. Ils permettent d’améliorer la productivité du réseau et des utilisateurs en allouant en priorité la bande passante aux applications critiques et en bridant l’accès aux médias sociaux et aux jeux.

Pour gérer les applications efficacement, le firewall de nouvelle génération doit répondre à chacun des critères suivants :

1- Un scanning de l’ensemble du trafic applicatif

Tout d’abord, un NGF doit pouvoir scruter la totalité du trafic, y compris au niveau des couches réseau et application. Cela implique d’aller au-delà de la simple inspection « stateful » pour procéder à une analyse approfondie des paquets, indépendamment du port et du protocole utilisés. En outre, le moteur d’inspection approfondie des paquets intégré au firewall doit être mis à jour de façon dynamique afin d’identifier les plus récentes menaces d’intrusion, attaques de malware ou de spyware ou encore les sites web susceptibles de compromettre la sécurité de votre réseau. Le plus important est que le firewall puisse bloquer ces menaces pour la sécurité sans introduire de temps de latence ni dégrader la capacité d’utilisation du réseau.

2- Identification de l’empreinte et visualisation des applications traversant le firewall

Pour permettre d’établir et d’ajuster des règles de contrôle des applications en fonction d’observations critiques, le NGF doit offrir la possibilité de surveiller et de visualiser l’ensemble du trafic applicatif sur votre réseau. Dans un souci d’efficacité, il doit identifier « l’empreinte » des applications spécifiques fonctionnant sur le réseau et comprendre à qui leur trafic est destiné. Il doit présenter ces informations sous une forme graphique intuitive, afin de permettre à l’administrateur d’observer en temps réel l’activité des applications, dresser des rapports de tendances sur celles-ci, ainsi que sur la bande passante en entrée et en sortie, les sites Web visités et toutes les autres activités des utilisateurs.

3- Mise en place de règles granulaires de contrôle des applications

Le NGF doit permettre de créer des règles applicatives avec facilité et souplesse, sur la base de critères contextuels, par exemple en fonction d’un utilisateur, d’un groupe, d’une application ou d’un moment de la journée. Il pourrait ainsi s’agir de donner accès à une application particulière suivant le rôle de son utilisateur au sein de l’entreprise. Un membre d’une équipe marketing pourra notamment avoir des raisons légitimes d’accéder à Twitter et Facebook pour des campagnes sur ces médias sociaux, alors que ce n’est peut-être pas le cas d’une personne de la comptabilité. De plus, dans l’optique d’une gestion facilitée et efficace, chaque règle doit être centralisée, unifiée et orientée objet. Les NGF dotés d’une intelligence applicative et donc capables de contrôler les applications autorisent la mise en place de règles de pare-feu granulaires dans ce domaine, aidant à retrouver une pleine maîtrise du trafic applicatif en gérant la bande passante. Il en résulte des gains de productivité, une prévention des fuites de données et une protection contre les codes malveillants véhiculés par les applications.

4- Gestion de la bande passante des applications

Pour aider à gérer la bande passante des applications, un NGF doit permettre d’allouer en priorité la bande passante aux applications essentielles et sensibles aux temps de latence (par exemple, Salesforce.com, LiveMeeting ou la VoIP), mais aussi de limiter la bande passante allouée aux applications non essentielles (telles que YouTube, MySpace ou Facebook). En outre, le firewall doit aider à améliorer encore la productivité en contrôlant l’accès à des sites Web applicatifs (ESPN, par exemple,). A tout le moins, l’administrateur doit avoir la possibilité de limiter l’accès à des fonctionnalités spécifiques au sein des applications, par exemple autoriser l’accès à Facebook mais bloquer celui à Farmville et à d’autres jeux sur cette plate-forme.

5- Blocage des codes malveillants véhiculés par les applications

Les malwares n’ont plus besoin d’une intervention de l’utilisateur pour s’exécuter. Leur diffusion ne passe plus simplement par l’envoi d’exécutables infectés par un virus et l’attaque de systèmes sur des réseaux locaux, mais désormais par l’exploitation de failles dans des documents, fichiers ou navigateurs traditionnellement considérés comme sûrs. A titre d’exemple, les fichiers Adobe PDF et Flash sont devenus des cibles privilégiées en raison de leur compatibilité multiplate-forme et de la nature invisible des attaques qu’ils peuvent renfermer. Ces menaces s’infiltrent dans les réseaux via divers canaux et ne peuvent être déjouées que par des boitiers employant des services de sécurité dynamiques et recevant en continu des informations sur les malwares, fournies par des laboratoires de recherche spécialisés.

6- Contrôle des applications distribuées

Une fois la passerelle centrale équipée d’un NGF, l’étape logique suivante consiste à mettre en œuvre les règles de contrôle des applications et de gestion de la bande passante sur les sites distribués de chaque filiale. Du fait que les réseaux des filiales sont aujourd’hui directement connectés à Internet, il faut faire preuve d’une égale vigilance dans la sécurisation du trafic applicatif à destination et en provenance des sites correspondants. La gestion de la bande passante est elle aussi cruciale pour optimiser les performances des réseaux distribués et la productivité des collaborateurs distants. Le contrôle des applications permet de définir des règles en fonction des besoins spécifiques de chaque zone géographique ou site (par exemple, une succursale ayant besoin de bande passante prioritaire pour une application transactionnelle en mode cloud). Les mêmes contrôles granulaires facilitent également l’administration en offrant la possibilité d’appliquer, à partir d’une console centrale, des règles normalisées pour des rôles et groupes à base d’objets sur les différents sites distribués. En outre, de robustes capacités de visualisation sont indispensables à la sécurité des réseaux largement distribués, car elles permettront de surveiller et suivre les tendances en matière d’utilisation, de trafic et de performances, afin d’adapter les règles en conséquence sur l’ensemble du réseau.

7- Performances optimales

Enfin, tout cela ne sert à rien si le firewall n’offre pas une puissance à la hauteur de la tâche. Il doit en effet présenter les performances nécessaires pour un contrôle total des applications, sans que le débit du réseau s’en trouve pénalisé. Une technologie performante (par exemple, une architecture multicœur et un scanning sans réassemblage ni buffer (RFDPI) peut considérablement renforcer la viabilité de la solution de contrôle intelligent des applications.

Théodore-Michel Vrangos, président et fondateur d’I-Tracing

On a récemment appris que Bercy aurait été victime d’une attaque informatique inédite ! Depuis le mois de décembre, plus de 150 ordinateurs ont été infiltrés par des «hackers». Cette opération d’espionnage d’une ampleur sans précédent  vient s’ajouter à la longue liste des cyber-attaques. Quelques jours auparavant, le PDG de Renault, Carlos Ghosn, demandait un audit interne des fonctions de sécurité et du système d’information du groupe automobile français, par ailleurs au centre d’une affaire juridico-médiatique sur fond d’imbroglio d’espionnage industriel et de règlement de comptes. Il est significatif que la direction d’une des plus grandes entreprises françaises se sente obligée d’annoncer par la voix de son PDG, le lancement d’un audit de sécurité.

En France, contrairement aux pays anglo-saxons ou à l’Allemagne, on constate que les grands groupes négligent trop souvent l’importance de la sécurité de l’information. Si elle figure parmi les préoccupations majeures d’un nombre croissant d’entreprises comme l’a montré l’étude ‘Global Information Security Survey’, publiée par Ernst & Young, il n’en demeure pas moins vrai que les budgets octroyés à la sécurité des systèmes d’information ne sont pas toujours à la hauteur des ambitions. Mettre en place une protection efficace engendre des coûts ! L’ensemble des DSI s’entend pour déclarer unanimement que la sécurité de l’information est un de leurs principaux soucis. Cependant, les ressources humaines et financières consacrées à ce poste, demeurent insuffisantes, faute de budgets ! Où plutôt, faute de considérer cette activité comme primordiale. Autre constatation. En 2008, seules 12 entreprises françaises étaient certifiées ISO 27001, la norme de sécurité IT. La France était à égalité avec l’Islande mais loin derrière le Royaume-Uni qui comptait 400 entreprises certifiées, ou le Japon avec plus de 3 000 entreprises certifiées !

Toutes les organisations sont informatisées et travaillent en réseau. L’ouverture à l’Internet, le partage des données et l’interactivité croissante ont aussi beaucoup contribué à faciliter l’accès aux informations. S’emparer des données confidentielles, personnelles ou stratégiques devient un jeu d’enfant pour certains. Pourtant, en dépit de l’expansion des pratiques liées à Internet, les mesures de sécurité ne sont pas toujours au rendez-vous, voire négligées. Et, ce n’est pas toujours une affaire d’argent. C’est le plus souvent une question de motivation stratégique et de priorité, au plus haut niveau de l’organisation !

Alors que, certaines entreprises ont intégré la sécurité du système d’information à leurs programmes de gestion des risques, la maigreur des budgets qui y sont consacrés ralentit – voire empêche – la mise en œuvre des moyens techniques, organisationnels, juridiques et humains nécessaires. C’est alors qu’arrivent de sérieux accidents ! Victime des négligences et des malveillances, le système entier devient une proie. Sa disponibilité ainsi que l’intégrité et la confidentialité des données sont en danger. L’altération, le vol et la destruction des informations ont des conséquences financières non négligeables. Sans compter l’impact négatif qui touche l’image de l’organisation. Que penser, en effet, d’une entreprise qui ne protège pas ses brevets ou d’une banque qui se laisse voler les coordonnées de ses clients ?

Lire la suite…