La traçabilité, une obligation lourde pour les RSSI

Savoir qui fait quoi avec les applications de l'entreprise est une obligation pour les responsables sécurité de la Banque Postale, de la Française des jeux ou de SFR. Ils se sont exprimés lors d'un événement organisé par l'intégrateur Atheos en mai dernier.

Les rencontres du RIAM (Rencontres de l'Identity & Access Management) organisées par l'intégrateur Atheos, spécialiste de la gestion des accès et des identités, ont réuni soixante dix RSSI de grandes sociétés, du 28 au 30 mai 2008. Une question en particulier a été abordée par plusieurs responsables sécurité : l'obligation de la traçabilité dans les systèmes d'information afin de savoir qui a accédé à quoi et quand.

Prouver que quelqu'un a visualisé une information
Chez l'opérateur mobile SFR, Olivier Thierry, le RSSI confirme: « La traçabilité des systèmes d'information est demandée. Nous mettons en oeuvre un outil de RSA pour cela. Il est nécessaire de répondre aux questions : qui accède à quoi, qui fait quoi ? ». Une question, cependant se montre plus délicate à résoudre. En effet, « s'il est assez facile de savoir qui a utilisé les fonctions de création, modification, suppression sur les bases de données, en revanche, il est plus difficile de savoir qui a visualisé quoi, ajoute-t-il. SFR a des clients célèbres, et la confidentialité de leur numéro de téléphone mobile et de leurs appels doit être assurée. « Ces clients n'apparaissent pas sous leur vrai nom, mais nous nous sommes aperçus que certains agents allaient visualiser des fiches de clients sans raison. Nous avons du mettre en place un outil pour savoir qui a regardé quelles fiches, et pouvoir montrer que nous le savions , ajoute Olivier Thierry.

La traçabilité sert à retrouver
le vrai gagnant du Loto
Autre cas de figure : La Française des Jeux. En épluchant des milliers de transactions, son RSSI, Jean-Jacques Riera a pu retrouver un joueur chanceux mais trop confiant qui s'était fait subtiliser ses tickets gagnants de plusieurs dizaines de millions d'euros par ...

Photo : table ronde d'ouverture des RIAM organisées par Atheos, avec de gauche à droite, Eric Caprioli, avocat spécialisé, Christophe Dupont, journaliste, Paul Olivier Gibert, responsable de la conformité à la mutuelle AG2R La Mondiale et Patrick Langrand, RSSI du groupe La Poste.

. Web-profils.com, la place de marché du conseil et de l'ingénierie