Tokheim : les bénéfices d’un plan de sécurité progressif

Le Groupe Tokheim est un des leaders mondiaux dans la production et la vente de systèmes de distribution de carburants, de terminaux de paiements et de systèmes multimédia. Le Groupe offre également des services de maintenance et de support, au travers de son vaste réseau mondial.
Dans un contexte d’évolution, de centralisation et d’ouverture de son Système d’Information (SI) , la maîtrise des risques liés à la sécurité s’est imposée comme une nécessité, menant Tokheim à définir et à conduire la mise en œuvre d’un plan de sécurité global.

5 questions à Patrick Weisse, Responsable Réseaux et Sécurité du Groupe Tokheim.

Quelles ont été les principales étapes de ce projet ?
Aucun projet de ce type ne peut démarrer sans une vision exhaustive du SI : nous avons donc en premier lieu réalisé un audit global de la sécurité de notre SI, sur la base d’une méthode du CLUSIF. A partir de cette analyse, nous avons défini 15 chantiers couvrant l’ensemble des paramètres liés à la sécurité du SI, qu’ils soient techniques ou organisationnels. Nous les avons classés par niveau de priorité, ce qui a permis de dérouler la mise en œuvre de ce plan de façon progressive en respectant nos priorités métier. Parmi les actions prioritaires, nous avons la cartographie complète du SI (non seulement les différents objets le composant, mais aussi de toutes les chaînes applicatives), la mise en œuvre d’un plan de secours, la protection des postes nomades, la politique de sauvegarde et de restauration, le stockage, la sécurité physique, l’optimisation de nos processus de gestion des habilitations et des audits techniques. Nous souhaitons aussi optimiser et simplifier l’administration des serveurs avec une réflexion sur la virtualisation et la consolidation.
En parallèle, nous travaillons sur notre organisation et sur la sensibilisation des utilisateurs : c’est un élément clé du projet, que nous souhaitons concrétiser par la définition précise des rôles des instances impliquées dans la sécurité du SI et par une charte utilisateur.
Nous déroulons ce plan depuis près de 18 mois et l’enrichissons de manière continue par des chantiers de progression, suivis conjointement par la DSI et la Direction de l’entreprise. Même si la priorité reste l’informatique métier, la sécurité est devenue l’affaire de tous : elle est gérée par les exploitants et ses impacts sont autant techniques que fonctionnels, organisationnels ou encore juridiques. On parle avec raison d’écosystème de la sécurité.

A ce stade du projet, quels gains pouvez-vous identifier ?
De manière générale, le gain principal n’est pas dans le ROI financier, mais dans la capacité à anticiper et mieux gérer les risques. Ce point est particulièrement important au regard des demandes « réglementaires » (en provenance de nos propres clients ou d’organismes de certification de management de la qualité de type LNE) que nous supportons. Par exemple :

• La mise en place de procédures formalisées et partagées par les équipes : elles optimisent et sécurisent des tâches standards. Le gain de temps est évident et les équipes en ont aujourd’hui pris conscience.
• Tout besoin métier est sous-tendu par l’informatique. La prise en compte beaucoup plus en amont des aspects sécurité accélère la réalisation des projets, c’est un véritable gain pour les structures opérationnelles.
• Avec l’ouverture du SI et l’évolution de nos métiers, nous devons maîtriser de plus en plus de risques. L’uniformisation des systèmes facilite le management et la surveillance, donc le contrôle des risques.

Quels sont les facteurs clés de succès d’une telle démarche ?

• Le projet doit être supporté par la Direction de l’entreprise, car il impacte tous les collaborateurs de l’entreprise. La Direction Générale de Tokheim est très impliquée, ainsi que plusieurs directions fonctionnelles.
• Pas de plan de sécurité sans vision globale de l’entreprise : le DSI doit savoir avec précision ce qu’il doit sécuriser et secourir !
• La sensibilisation est primordiale. Pour les utilisateurs, la sécurité reste une contrainte et une complexité supplémentaire : il faut leur faire comprendre l’utilité de la sécurité.
• Tout nouveau projet doit prendre en compte le plus en amont possible les aspects sécurité. Il faut définir les meilleures pratiques, de façon pragmatique et surtout réaliste !
• Il faut savoir où l’on va : le découpage de notre projet en chantiers et en axes de progression a été l’un des éléments clés de succès.

Comment Bull est-il intervenu dans votre démarche ?
Bull nous a conseillé dans la définition et le démarrage de ce projet. Le risque était que nous nous engagions dans une démarche non exhaustive ou trop complexe. Grâce à Bull, nous avons bâti un plan de sécurité prenant en compte l’ensemble des paramètres ayant un impact sur la réduction des risques, qu’il s’agisse de disponibilité (y compris la continuité d’activité), d’intégrité, de confidentialité et de preuve. L’autre grand « plus » de Bull est sa capacité d’adaptation à un environnement d’entreprise industrielle de taille moyenne avec ses contraintes propres.
L’apport méthodologique de Bull a été primordial et nous a permis de bâtir un plan progressif, concret et réaliste. Aujourd’hui nous pouvons passer à une phase de sensibilisation plus large.

Comment capitalisez-vous sur ce projet ?
Aujourd’hui la France est support des autres pays européens pour y déployer des plans similaires : c’est un vrai projet pour capitaliser sur les expertises acquises !