Prévenir plutôt que guérir, avec un plan d’urgence informatique

Malgré toutes vos précautions, un intrus s’est glissé dans votre système informatique. C’est la panique à tous les étages. Pourtant, comme pour les premiers secours, les toutes premières actions sont cruciales. Et les gestes répétés à l’avance et exécutés machinalement le jour J sauveront le principal. Anatomie d’un plan d’urgence informatique.

En temps de crise, il est vital de ne pas réfléchir. De ne plus réfléchir. Mais d’agir selon un plan établi à l’avance. C’est tout aussi vrai pour votre informatique, lorsque celle-ci se trouve compromise. Si vous êtes préparé à une telle éventualité, vous saurez quoi sauver en premier, et quelles branches couper en priorité. Le ver est peut-être dans le fruit, mais une approche chirurgicale vous évitera d’abattre tout l’arbre. Et de préserver l’essentiel. Voyons comment.

Vision à 360°

Circonscrire un incendie réclame d’en connaître toute l’étendue. Et là où il se propage le plus rapidement. Vous commencerez donc par prendre soin d’inventorier tous les systèmes informatiques mis en œuvre dans votre PME. De la messagerie aux serveurs applicatifs, en passant par le stockage des fichiers, et les impressions.

L’exercice n’est pas évident, car au fil du temps, les services se sont accumulé tel un millefeuille. Et plus personne chez vous n’a de vision globale de la situation. Mais vous pourrez vous reposer sur votre prestataire informatique, non ?

Sans inventaire clair, vous risquez tout simplement de passer à côté d’éléments essentiels et particulièrement exposés

Une fois le périmètre défini, vous devrez définir le risque associé à chaque élément de votre infrastructure. Ce risque consiste en une combinaison de plusieurs facteurs. Tel que l’exposition d’une part, et la surface de cette exposition. La boîte mail d’un collaborateur, accessible depuis Internet, est finalement plus exposée que votre système de gestion des RH et de la finance, accessible uniquement depuis votre réseau.

En plus de ces deux facteurs, vous devrez combiner aussi le niveau de protection de vos services. Finalement, cette boîte email n’est pas si à risque que cela, car elle est protégée par une double authentification MFA, renforcée récemment. Alors que votre système RH interne est accessible avec un simple mot de passe. Ou pire, via un compte générique.

Dernier critère à prendre en compte : la menace. Si votre système de messagerie contient peu ou pas de données critiques, on peut envisager en revanche que votre entreprise gagnerait à ne pas voir le contenu de son système de gestion financière exposé sur le Net.

Une affaire de priorité

Bien. Maintenant que vous avez défini le quoi, le comment, le où et le pourquoi, vous avez tout en main pour définir des priorités. Comment ? En bâtissant quelques scénarios qui vous permettront de vous projeter. Votre plan d’urgence informatique prend forme. L’idée consiste à définir les services dont vous êtes prêts à vous passer temporairement, et l’impact de leur absence sur votre activité.

Si l’impact d’une coupure est trop fort, vous pourrez toujours opter pour l’abaissement des facteurs de risque

Un poste utilisateur a été infecté par un virus ? Isolez-le et coupez tous les accès Internet : vous pourrez travailler quelques heures en 4G/5G avec les mails sur les natels. Une boîte email a été infectée après une attaque de phishing ? Désactivez-le compte avant de la nettoyer, voire de la supprimer si vous n’êtes pas sûr de l’efficacité du nettoyage.

Vous l’aurez compris, pour chaque élément pris individuellement, vous devrez imaginer vous en passer. Et définir l’impact, en cas de, coupure sur votre exploitation. Cet impact sera ensuite modéré par le risque encouru. Le jeu consistera alors à s’assurer que les systèmes les plus critiques sont ceux qui sont le moins à risque. Et à comprendre les conséquences de leur arrêt, si vous devez en arriver à cette décision.

Vos services sous un autre angle

Car l’objectif final est bien là. Avec un plan clair sous les yeux, vous appréhenderez à l’avance les conséquences de la coupure volontaire d’un ou plusieurs de vos services. Et vous serez prêt à appuyer sur le bouton on/off. Sans vous poser de question. Nous avons récemment réalisé l’exercice pour l’entier du portefeuille de services managés Steel Blue, soit 34 produits. Qui vont du compte Microsoft 365 au serveur Cloud. Et les résultats peuvent être surprenants.

Car des services que nous exploitons depuis des années et qui nous semblent aussi exposés les uns que les autres aboutissent à des niveaux de risque différents. Le diable se cache en effet dans les détails. En réalisant cette évaluation de façon granulaire – où, quoi, comment, pourquoi – et avec le plus d’objectivité possible, nous avons obtenu une vision nouvelle sur nos services.

Alors certes, l’arrêt d’un serveur compromis aura fatalement des répercussions importantes. Mais si des moyens de reconstruction rapide ou de secours existent – un plan de reprise d’activité ou DRP, par exemple, on arrivera à modérer l’impact. Peut-être plus que la perte irréversible de la boîte email du Directeur Général, où toute son activité est concentrée depuis des années. C’est la subtilité du plan d’urgence informatique. Là encore, tout n’est qu’affaire de priorité. Et se prépare à l’avance.

Emmanuel Dardaine

emmanuel dardaine expert cloud

Envie de construire votre propre plan ? Faites-le nous savoir !

On vous explique : la protection des appareils informatiques

Pour beaucoup de responsables de PME, gérer un parc IT est simple. Cela consiste à acheter des ordinateurs, y installer un antivirus, et les mettre en service. Et recommencer au bout de quelques années. Dans un monde peu connecté et sans cyber-risque, la protection des appareils informatiques aurait pu se résumer à cela. Mais ce temps est révolu.

Il est loin le temps, en effet, où la majeure partie de l’effort passé à gérer un parc informatique était dédiée au matériel. Les ordinateurs étaient relégués au rang de consommables : on installe, on utilise, et on remplace. La maintenance se focalisait sur la réparation, notamment le remplacement de composants. Au premier rang desquels, le disque dur : quand ils étaient encore mécaniques, ces périphériques de stockage constituaient le maillon faible des ordinateurs personnels.

Révolution mobile

Puis Internet est arrivé. L’interconnexion des appareils a fait exploser les risques d’attaque et de contamination. Risques encore aggravés par la multiplication des appareils, et notamment l’arrivée des smartphones. L’utilisateur informatique est devenu la cible privilégiée des pirates, exploité comme vecteur de propagation de menaces en tous genres dans la multitude de ses appareils.

Si vous êtes patron de PME, vous pouvez adopter différentes postures. Soit vous êtes conscient du danger, sans pour autant le maîtriser, et vous transformez votre informatique, au sens large, pour vous adapter. Soit vous l’ignorez tout simplement. Après tout, vous n’avez jamais eu le moindre problème. Et prêter un peu plus d’attention risque bien de faire exploser votre budget.

L’absence d’incident pourrait inciter, à tort, à l’immobilisme

Mais les chiffres sont têtus. En 2022, le nombre d’attaques informatiques en Suisse a bondi de 61% dans les entreprises. Cette statistique dénote deux choses. Tout d’abord, les attaques informatiques restent faciles et rentables. Ensuite, la multiplication des terminaux constitue autant de portes d’entrées supplémentaires dans votre réseau et vos applications. Ignorer la protection des appareils informatiques et se contenter de les mettre en ligne risque de vous jouer des tours. Rapidement.

Partir sur de bonnes bases

Alors, comment agir ? Tout se passe en 3 actes : configuration, évaluation, autorisation. Dans un premier temps, il est nécessaire de s’assurer que l’appareil que vous allez utiliser pour accéder aux ressources d’entreprise est sous contrôle. Adopter une base minimale de prérequis est un must : par exemple, un antivirus installé et à jour, ou la présence d’un mot de passe – un vrai. Et ceci aussi bien pour les appareils d’entreprise que les privés. En automobile, on pourrait comparer cela à l’homologation.

Une fois cette configuration initiale passée, démarre la vie de l’appareil. On entre dans le domaine de la surveillance. L’enjeu consiste à évaluer en temps réel que sa conformité est préservée au long de sa vie. Car toute configuration peut évoluer au fil de l’eau, et sa dégradation peut rendre l’appareil moins fiable, voire dangereux. L’analyse de la conformité assigne un niveau de fiabilité à l’appareil, qui autorisera un accès plus ou moins large.

Au temps du Covid, on aurait pu comparer la conformité d’un appareil à son pass informatique

Reste alors à autoriser l’accès aux données, ou pas. Là encore, l’analogie avec les véhicules est simple : il s’agit de l’expertise automobile. Cette phase revient donc à décider si votre appareil est apte à se connecter aux services et aux données. Tout comme au service des automobiles, il y a des exceptions : un appareil qui n’est pas conforme pourra se connecter aux services, mais de manière limitée. La reconnexion complète nécessitera d’avoir montré à nouveau patte blanche. On parle ici d’accès conditionnel.

Protection des appareils informatiques grâce à Microsoft inTune

Conformité et protection des appareils informatiques avec Microsoft inTune

Le prétexte de la complexité

A priori, on pourrait trouver ces mécanismes contraignants. Et ils le sont. Mais c’est le lot de la sécurité informatique, qui doit trouver le juste équilibre entre la protection des données et des appareils , et la facilité d’utilisation. L’erreur consisterait à tout balayer d’un revers de la main, au prétexte justement que la gestion de ces pauvres machines n’a jamais rien demandé de complexe jusqu’à maintenant. Le syndrome du « jusqu’ici, tout va bien ».

Il faut simplement l’admettre : l’informatique est devenue terriblement complexe

Cela reviendrait à assimiler l’environnement informatique des années 2000 à celui d’aujourd’hui, ou inversement. Alors que tout a changé. Les machines se mettent à jour en permanence, suivant le rythme effréné de la découverte de failles de sécurité. Et pas une semaine ne se passe sans qu’une institution de renom ne se fasse rançonner. Si autrefois le piratage de son informatique pouvait relever du manque de chance, l’excès de simplification peut en être une cause plus probable aujourd’hui.

Car les outils existent pour assurer la protection des appareils informatiques. Et ils sont plutôt efficaces. Pas infaillibles, mais efficaces. Et complexes, c’est certain. Au point qu’un pirate pourra être dissuadé de tenter de rentrer dans un réseau protégé comme il faut. Ou en tout cas, son travail ne sera pas facilité, et l’intrusion aura pu générer quelques alarmes. Pour autant que le gestionnaire du parc maîtrise justement toute la complexité de ces nouveaux outils. Et de l’informatique des années 2020.

Emmanuel Dardaine

emmanuel dardaine expert cloud

Applications Microsoft 365 : si on se passait (enfin) de mots de passe ?

Dès fin février, Microsoft 365 consolidera l’authentification à ses applications. Ce renforcement permettra de sécuriser encore plus les applications Cloud du géant. Mais derrière cette mesure de sécurité se cache un but plus radical. Microsoft vise tout simplement à faire d’une pierre deux coups. Et vous permettre de vous passer (enfin) de mots de passe. Explications.

La double authentification nous est maintenant familière. En plus de saisir notre mot de passe, nous sommes amenés à valider notre identité par un second moyen. Il peut s’agir d’un code généré par une application mobile, ou d’une validation de connexion, toujours via le smartphone. Mieux, on peut aussi vous demander de fournir un paramètre biométrique, tel qu’une empreinte digitale, ou de reconnaître votre visage ou l’iris de vos yeux.

Microsoft résume très bien la combinaison de ces facteurs. Votre authentification nécessitera d’une part de fournir quelque chose que vous savez – votre mot passe. Et de la compléter par un autre facteur : quelque chose que vous possédez comme votre smartphone ou votre ordinateur, ou quelque chose qui vous est propre – un paramètre biométrique par exemple.

Les applications Microsoft 365 changent la donne

En y regardant de plus près, la double authentification pourrait tout simplement se cantonner à combiner ces deux dernières catégories. Et oublier la première : votre mot de passe. Vous avez bien lu : l’objectif ici est de tout simplement ne plus avoir à utiliser de code secret pour s’authentifier. A terme, une identification consistera uniquement à fournir quelque chose qui vous est propre et quelque chose qui vous appartient.

Plus qu’un renforcement, c’est un changement de modèle d’authentification

Pour préparer le terrain, Microsoft imposera donc dès la fin du mois la saisie d’un code à usage unique en complément d’une approbation dans son application Microsoft Authenticator. Mais il y a mieux encore : vous pourrez décider de sélectionner cette approbation dans Authenticator comme premier facteur d’authentification, pour peu que vous activiez la reconnaissance biométrique – faciale ou digitale.

Concrètement, vous ouvrez une des applications Microsoft 365. Celle-ci vous affiche un code à deux chiffres généré aléatoirement. Votre smartphone vous lance alors une demande d’authentification, que vous ne pourrez approuver qu’en saisissant le code affiché. L’approbation est alors complétée par une reconnaissance faciale par exemple. Vous avez bien combiné deux facteurs d’authentification. Mais vous n’avez pas saisi le moindre mot de passe. Génial, non ?

Authentification sans mot de passe grâce à Microsoft 365

Authentification sans mot de passe grâce à Microsoft 365

L’histoire se répète

Comme souvent, Microsoft a fait preuve d’une habilité et d’une réactivité incroyables pour prendre le lead dans un domaine où l’éditeur était malmené. Et ça n’est pas une nouveauté dans l’histoire de l’informatique. Dans les années 90, Bill Gates ne croyait pas dans l’Internet. Il avait dû prendre un virage à 180 degrés, et Windows 95 était né, avec le succès qu’on lui connaît. Idem pour Internet Explorer : longtemps le navigateur Microsoft était à la traîne face à Netscape et Firefox. Mais à force d’investissement, il les a surclassés.

En matière de sécurité, Microsoft a longtemps fait office de mauvais élève. Windows était réputé pour être mal protégé et truffé de vulnérabilités. Evidemment, quand on produit le système d’exploitation le plus répandu au monde, on est plus exposé que les autres. Quant à la faible protection, les mauvaises langues – ou les plus clairvoyants – diront qu’elle faisait partie du plan pour inonder le marché.

Microsoft a longtemps eu mauvaise réputation en termes de sécurité

Mais depuis les années 2010, Microsoft, à grands coups de R&D et de marketing, a complètement renversé la tendance. Windows Defender est devenu un des antivirus leaders du marché, si bien qu’acquérir un produit tiers n’est plus nécessaire. Et la transition de Microsoft d’un statut d’éditeur à celui de fournisseur de services en ligne, l’a forcé à revoir sa posture sécuritaire. Avec un certain succès. A tel point que l’éditeur devient un leader en la matière et trace la route pour le reste de l’industrie.

Objectif zéro mot de passe

Avec quels objectifs ? La feuille de route concernant les mots de passe est assez claire. Elle repose sur un autre triptyque. Dans un premier temps, ne plus avoir à saisir nos mots de passe. Nous y sommes donc déjà. Dans un second temps, ne plus avoir à changer nos mots de passe. S’ils ne sont plus utilisés, ils ne sont naturellement plus exposés. Et enfin, ne plus savoir nos mots de passe du tout. On ne pourra plus vous dérober ce que vous ne savez pas.

Le vol d’identifiants repose aujourd’hui sur deux axes : soit le piratage de sites peu fiables contenant un mot de passe réutilisé ailleurs, soit l’ingénierie sociale qui permet de « deviner » vos codes secrets. Ne plus être contraint de connaître son mot de passe ouvre la porte à la génération aléatoire et systématique de codes complexes et différents sur tous les sites et services que vous utilisez.

Les mots de passe peuvent alors être stockés dans un gestionnaire de clés, car ils ne sont plus utilisés comme premier facteur d’authentification. Un peu comme une clé que vous iriez déposer dans un coffre à la banque, et qui ne serait accessible qu’en dernier recours. La pression se déplacera donc probablement vers ces outils de stockage en ligne, qui seront, encore un peu plus, dans le radar des hackers. Mais ça, c’est une autre histoire.

Emmanuel Dardaine

emmanuel dardaine expert cloud

Sécurité : Microsoft renforce sa double authentification MFA

Avec le lancement d’Office 365, Microsoft avait progressivement généralisé l’authentification forte. Notamment grâce à son application mobile Authenticator. Mais une nouvelle menace a forcé l’éditeur à revoir sa copie. Changements en vue dès la fin février 2023.

L’authentification forte, ou MFA (Mutli Factor Authentication), n’est plus une nouveauté pour vous. Ni pour personne d’ailleurs. Tous les éditeurs d’applications en ligne, de Google à LinkedIn en passant par les réseaux sociaux grand public, ont adopté cette procédure d’identification. Elle consiste à ajouter à votre mot de passe une seconde protection, la combinaison seule des deux vous laissant accéder au service.

Il faut dire que la protection de nos comptes en avait bien besoin. Malgré, ou à cause de, la digitalisation de nos activités, la protection de nos comptes et de notre vie numérique est devenue un enjeu majeur. Surtout si l’on considère que, année après année, le grand gagnant du palmarès des mots de passe les plus utilisés reste l’indéboulonnable « 123456 ».

Office 365 dope l’authentification MFA

Microsoft n’a pas échappé à la règle. La commercialisation massive de ses services en ligne, initiée en 2011 avec Office 365, à imposé à l’éditeur de continuellement renforcer la protection des comptes de ses utilisateurs. Cet effort s’est matérialisé par l’application Authenticator, devenue un standard du marché. Elle permet de compléter votre mot de passe – quelque chose que vous savez – avec un autre facteur d’authentification – quelque chose que vous possédez, comme votre smartphone par exemple.

Dans les faits, votre compte est associé à votre smartphone, et chaque demande d’authentification MFA relaie une demande d’approbation sur celui-ci par le biais de l’application Authenticator. D’autres facteurs supplémentaires peuvent venir s’ajouter pour approuver la demande, comme un facteur biométrique (quelque chose qui n’appartient qu’à vous, comme une reconnaissance faciale ou une empreinte digitale).

Il est important de noter que d’autres formes d’approbation sont aussi permises par Microsoft, en dehors d’Authenticator, telles que l’appel téléphonique ou l’envoi d’un code par SMS. Elles utilisent toutes le même médium – votre smartphone – mais des méthodes différentes. Dans le cas de l’appel téléphonique, Microsoft vous contacte sur votre mobile et la validation passe par l’appui sur la touche « # ».

Attaques de fatigue vs. MFA renforcé

C’est justement ce type d’approbation sans saisie – appui sur le bouton d’approbation d’Authenticator ou sur la touche « # » du téléphone – qui pose souci. En effet, en cas de vol de votre mot de passe, un pirate potentiel va utiliser ces méthodes, si elles sont permises par votre organisation, pour vous amener à valider le deuxième facteur d’authentification.

Le risque d’une approbation malencontreuse n’est pas nul une fois la barrière de votre code secret franchie

Ce genre d’attaque, dite « de fatigue », repose sur une certaine forme d’exaspération digitale, qui nous amène à repousser rapidement et sans y prêter attention les sollicitations qui détournent notre attention. Comme les notifications du téléphone que nous faisons glisser machinalement vers le haut de l’écran, ou les conditions générales que nous balayons pour accéder rapidement à un service en ligne.

Selon Microsoft, 1% des utilisateurs attaqués de cette façon approuvent dès la première tentative une demande de connexion dont ils ne sont pas l’auteur. Si ce chiffre peut paraître faible, il faut le mettre en regard du nombre de comptes Microsoft (cela se compte en dizaines de millions) et sur la relative faiblesse générale des mots de passe (ou plutôt, leur réutilisation à l’infini sur plusieurs comptes).

Microsoft a donc décidé de réagir, fidèle aux efforts de sécurisation dont la société américaine fait preuve depuis maintenant plusieurs années. Et réagir rapidement, puisque des changements ont été annoncés en octobre 2022 pour une mise en place seulement 4 mois plus tard à l’échelle mondiale. Compte tenu de l’ampleur de ces modifications, il s’agit d’un défi de taille.

Activation à marche forcée

Concrètement, Microsoft activera progressivement par défaut dans ses comptes dès le 27 février 2023 une fonction appelée number matching – correspondance numérique. A chaque demande de connexion, l’application à laquelle vous vous connectez présentera un nombre de 10 à 99, généré aléatoirement. Vous devrez donc saisir ce nombre dans Authenticator pour pouvoir approuver la demande de connexion.

Si vous n’êtes pas à l’origine de cette demande de connexion, vous n’aurez pas de nombre en face de vous. L’approbation par dépit ne sera donc plus possible. Autre avantage : Authenticator affichera des informations complémentaires au moment de la connexion. Il s’agira du service à l’origine de la demande d’approbation, de l’appareil sur lequel elle a été réalisée ou encore de sa localisation géographique.

Cette nouvelle mouture d’Authenticator identifie plus clairement l’origine des demandes d’authentification, pour peu qu’on soit attentif

Cette méthode présente plusieurs avantages. A l’usage, la saisie du nombre à deux chiffres n’est pas contraignante, la taille limitée du code évitant les erreurs et ne ralentissant quasiment pas le processus d’authentification. Surtout, tout en empêchant un pirate de se connecter, elle vous fait prendre conscience que votre compte est à risque, puisque la première étape, celle du mot de passe justement, a été franchie à votre insu.

Comment profiter de cette mise à niveau ? Il n’y a rien de particulier à faire, puisque la fonction sera activée par Microsoft, si ce n’est informer vos utilisateurs. Et leur demander de mettre à jour Authenticator : seules les versions récentes seront supportées pour saisir le code à deux chiffres. Profitez-en évidemment pour leur demander de mettre à jour leur mot de passe, avec un code unique et propre à leur compte Microsoft, histoire de renforcer (aussi) cette première barrière.

Emmanuel Dardaine

emmanuel dardaine expert cloud

Protection informatique des PME : à quand des dirigeants exemplaires ?

Ces dernières années ont montré comment les attaques informatiques se sont sophistiquées. De larges et aveugles, elles sont devenues précises et ciblées. Avec dans le viseur, les utilisateurs. Mais pas n’importe lesquels : ceux qui disposent d’accès élargis, et de dérogations à la protection informatique de PME. Suivez mon regard…

Il y a une dizaine d’année, réaliser une attaque informatique était relativement simple : vous achetiez sur le Darknet l’accès à un réseau de machines « zombies », auxquelles vous faisiez exécuter des programmes malveillants en masse. Que ce soit pour envoyer des SPAM par millions, ou pour se connecter simultanément au service en ligne que vous souhaitiez faire « tomber » – le principe des attaques dites de « déni de service ».

Dans l’intervalle, hébergeurs et éditeurs ont progressivement amélioré leurs outils pour se prémunir de ces comportements. Pas au point de les rendre inefficaces, mais suffisamment pour qu’ils soient moins rentables. Et demandent plus d’efforts. A n’en pas douter, les hackers n’avaient aucune envie de voir leurs revenus chuter. Alors, ils se sont adaptés.

On donc vu apparaître plus récemment des attaques plus complexes, telles que les ransomwares. Celles-ci consistent à affecter une organisation en particulier, en bloquant tout ou partie de son système d’information. Si diffuser un rançongiciel à large échelle peut encore avoir des chances d’aboutir, cibler l’attaque s’avère bien plus payant. Car, on l’a vu, les outils de sécurité informatique se sont renforcés. Et surtout, adapter sa tactique à son adversaire est toujours plus efficace.

Des attaques informatiques ciblées

Les pirates informatiques se sont donc attachés à se donner le maximum de chance de réussite. Comment ? En faisant en sorte de rendre l’attaque la plus discrète possible. Et en s’attaquant, comme le ferait tout prédateur, à la proie la plus fragile. Il s’agit fatalement d’un utilisateur, maillon faible par excellence, présentant des caractéristiques toujours identiques : permissions plus larges que la moyenne, et exceptions plus nombreuses que la moyenne.

Il faut admettre que ce profil correspond en général, mais pas uniquement, aux postes les plus élevés dans l’organisation. Pourquoi : parce qu’un directeur devra pouvoir accéder à tous les fichiers de l’entreprise. Et exigera souvent de pouvoir travailler avec un matériel plus exotique que le reste des collaborateurs, ou contourner les règles générales de sécurité informatiques imposées à tous par ces satanés informaticiens…

En matière de sécurité, imposer des exceptions n’est pas raisonnable.

En bon hacker qui se respecte, l’attaquant commencera donc logiquement par identifier ce type de profil pour initier son attaque. La multiplication des cyberattaques par ransomware s’est donc accompagnée de ce qu’on appelle l’ingénierie sociale. Notre présence sur les réseaux sociaux est en effet une manne d’informations inespérée pour cybercriminels. En quelques clics, il est en effet possible de savoir qui dirige telle entreprise, et quels sont ses collègues.

Il est également possible de glaner des informations concrètes comme le prénom et de date de naissance d’un(e) conjoint(e). Et de faire des premières tentatives d’intrusion à l’aide de mots de passe basés sur ces informations. Mais aussi de cibler en premier lieu des collaborateurs qui pourraient, par rebond, laisser accéder aux personnes finalement visées.

La protection informatique des PME commence par en haut

Une fois le responsable d’entreprise piraté, c’est le bingo. Il a accès aux informations d’entreprise les plus sensibles, et peut aussi faire exécuter des ordres à la majeure partie des employés. Une fois le ver dans le fruit, les possibilités sont donc nombreuses : usurpation d’identité, lancement d’ordres bancaires, cryptage des données de l’entreprise à large échelle, ou encore chantage à la révélation de documents sensibles.

Plus le profil piraté est élevé, plus les chances d’aboutir de l’attaque sont fortes.

On comprend donc aisément que leur position même dans leur entreprise fait porter aux dirigeants des PME une responsabilité accrue quant à la protection de leur informatique et de leurs données. Même sans être plus faillibles que d’autres employés, ils représentent une cible de choix, une sorte de boîte de Pandore que les hackers viseront plus naturellement parce qu’elle sera plus prometteuse si elle vient à s’ouvrir.

Contrairement aux habitudes solidement ancrées dans le PME, les restrictions et les protections devraient donc s’aligner sur le niveau hiérarchique dans l’entreprise. Et imposer l’utilisation d’outils et de bonnes pratiques tels les gestionnaires de mots de passe, le contrôle d’accès basé sur les rôles ou l’emploi de comptes différents à moindres privilèges. Parce qu’un dirigeant est bien plus exposé qu’un employé lambda. D’autant plus s’il n’est pas exemplaire dans l’utilisation de son informatique.

Emmanuel Dardaine

emmanuel dardaine expert cloud

On vous explique : le serveur d’impression Cloud

La généralisation du Cloud laissait augurer de la disparition du papier. Ce qui est vrai, mais en partie seulement. Historiquement, par habitude, ou pour des contraintes métier, de nombreux professionnels doivent encore avoir recours aux impressions. Alors comment faire communiquer deux mondes : votre imprimante et vos ressources informatiques virtuelles ? Réponse par le serveur d’impression Cloud.

Avec la virtualisation des ressources informatiques, certains se sont pris à rêver d’un IT complètement dématérialisé. Mais tout concept a ses limites. Tout d’abord, parce qu’il faut tout de même des périphériques pour interagir avec l’utilisateur. Et surtout parce que le papier reste encore présent dans bien des entreprises. Mais une fois vos ordinateurs et serveurs dématérialisés dans le Cloud, comment faire pour assurer l’impression de quelques pages sur l’imprimante qui se trouve dans vos bureaux ?

Les données, et leur traitement

Comme à notre habitude, commençons avec un peu d’histoire. Avant que le Cloud n’existe, ou qu’il s’appelle ainsi, les entreprises étaient équipées de systèmes centraux, avec lesquels on interagissait via un terminal. Aucune donnée n’était stockée localement, elles restaient sagement dans l’ordinateur central : les ordres étaient donnés via le clavier, et le résultat des commandes et des programmes était affiché à l’écran. Les imprimantes étaient reliées directement à ce serveur, seul endroit d’où les données pouvaient sortir.

Avec l’arrivée des PC, et du modèle client-serveur, les données ont été rapatriées vers – et traitées par – le terminal de l’utilisateur, via le réseau. Les imprimantes elles aussi ont été connectées au réseau, et on pouvait virtuellement imprimer depuis n’importe où sur n’importe quelle imprimante. Seule condition à respecter toutefois : que tous les réseaux locaux soient raccordés entre eux via des liens privés, bien souvent par le biais de VPN (Virtual Private Network, réseau privé virtuel ou l’émulation d’une ligne privée sur une connexion Internet).

Le modèle client-serveur a initié le découplage entre la génération du job d’impression et le rendu sur imprimante

Mais avec l’émergence du Cloud, ce modèle a été à nouveau bouleversé. Les ressources Cloud, que ce soit des postes virtuels ou des serveurs, se trouvent dans des infrastructures publiques. Non pas qu’elles sont exposées à tout un chacun, mais elles sont accédées via Internet. Evidemment, utiliser un VPN est toujours possible pour accéder aux imprimantes locales. Mais ce réseau virtuel n’est plus justifié que pour adresser ce besoin, ce qui finit par s’avérer assez cher et complexe.

Faire redescendre les impressions du Cloud du serveur vers les imprimantes

Alors, est-ce que le Cloud signe la fin des impressions ? Non, car à leur tour celles-ci peuvent être virtualisés. Voici donc les impressions Cloud. Plutôt que de lancer une impression depuis une machine sur une imprimante, les impressions Cloud reposent sur une infrastructure centralisée qui sert d’intermédiaire entre les appareils qui lancent les impressions d’une part, et les imprimantes qui les reçoivent. Chacun de ces éléments vient s’enregistrer sur ce serveur d’impression virtuel dans le Cloud.

On retrouve ainsi la facilité d’impression du modèle client-serveur. Mais sans le VPN. Et avec une compatibilité étendue à tous les types d’appareils : PC, Mac, mais aussi les smartphones iPhone ou Android, et même les iPads. La sécurité n’est pas en reste, puisque les imprimantes sont connectées au serveur d’impression Cloud central via les protocoles TLS, ceux qui sécurisent l’accès au Web du quotidien. Il n’est plus nécessaire non plus de gérer les pilotes d’impression, qui sont stockés sur le serveur Cloud. Enfin, l’impression sécurisée de documents confidentiels – les pages ne sortent que lorsque vous êtes à proximité – est possible en standard, sans surcoût.

Le Follow Me est désormais accessible avec un simple smartphone : vous imprimez où vous voulez, au moment où vous le voulez

De nombreux éditeurs historiques du monde de l’impression se sont lancés sur ce marché : Canon, Xerox, Papercut. Comme souvent, Microsoft a réagi plus tard. Mais dispose toujours de l’avantage de contrôler le système d’exploitation le plus répandu dans le monde. Et donc d’intégrer les services d’impression Cloud directement dans Windows 10 et Windows 11. Son service Universal Print ne déroge donc pas à la règle, et ajouter une imprimante sur un poste utilisateur est aussi simple que de connecter une imprimante locale. Quelques « pure players » émergent aussi, comme Thin Print, en prenant une longueur d’avance grâce à leur focalisation unique sur ce marché.

Des limitations et des possibilités nouvelles

Alors, parfait le service d’impression Cloud ? Evidemment pas, car toute médaille a son revers. Pour les professions dont les impressions sont très spécialisées (les bureaux d’ingénieurs, les architectes) et qui génèrent des volumes importants sur des machines souvent spécifiques, il vaut mieux continuer à imprimer en local, sous peine d’attendre (très) longtemps ses travaux. De manière générale, les gros volumes d’impressions ne sont pas adaptés, puisque les données doivent faire l’aller-retour dans le Cloud.

Par ailleurs, ce modèle ne fonctionne nativement que pour les imprimantes qui sont compatibles : les machines doivent en effet être capables de se connecter sur le service Cloud, de s’y annoncer, et d’échanger avec le service. Mais les éditeurs maintiennent à jour des listes de compatibilité, et elles s’agrandissent chaque jour. Et pour les imprimantes qui ne seraient pas compatibles, il existe des boîtiers à placer sur le même réseau que celles-ci pour agir comme un intermédiaire : le boîtier voit les imprimantes, et est capable de discuter avec le service d’impression Cloud.

La révolution Cloud de l’impression est donc en marche. Elle pousse encore un peu plus loin le paradigme de la virtualisation, qui tend à ne laisser sur votre réseau d’entreprise que des périphériques d’entrée/sortie plus ou moins passifs, alors que stockage des données et traitements se font massivement de manière centralisée. Tout en apportant son lot de fonctions innovantes et avancées et en vous faisant bénéficier d’un paiement à l’usage.

Emmanuel Dardaine

emmanuel dardaine expert cloud

On vous explique : le poste virtuel Cloud

Fidèle lecteur de la newsletter Steel Blue, vous avez déjà vu passer le terme « poste virtuel ». Fervents défenseurs de cette technologie, il s’agit d’un de nos chevaux de bataille. Mais peut-être pas (encore) du vôtre, alors un peu de pédagogie s’impose probablement. Voici donc à quoi ressemble un tel poste, avec quelques analogies faciles à comprendre.

Dans un monde tourné vers le Cloud et la dématérialisation, il est parfois difficile de se faire une idée concrète d’un produit ou d’une technologie. A moins de la voir à l’œuvre, ce que nous vous encourageons aussi à faire, d’un simple clic. Alors comment expliquer avec quelques mots simples quelque chose qui ne l’est pas forcément ? En faisant quelques parallèles bien sûr.

Souvenez-vous, dans les années 80 et 90 : la télévision était linéaire, c’est-à-dire qu’il fallait regarder les programmes à l’heure de leur diffusion, Internet n’existait pas, et les plateformes de streaming non plus. Pour regarder un film au moment de son choix, il fallait se tourner vers la VHS, puis le DVD et le BlueRay. 30 ans plus tard, vous obtenez le même service, mais avec une qualité incomparable et surtout plus aucune cassette ni disque laser chez vous.

Le poste virtuel Cloud, le streaming de l’informatique

Pourquoi une telle introduction ? Tout simplement parce que le streaming est à la vidéo ce que le poste virtuel est à l’informatique. Explications. Le streaming vous exonère de posséder le moindre support physique, et tout autant de disposer du matériel pour le lire. Autrement dit : là où autrefois vous regardiez un DVD sur votre propre appareil et le diffusiez sur l’écran qui y était raccordé, le streaming se contente de le lire à distance, et de n’acheminer que les images sur votre appareil.

Les postes virtuels fonctionnent exactement de la même façon. Hier, vous disposiez de votre propre ordinateur avec ses ressources de calcul et de stockage (processeur, disque dur, mémoire). Il diffusait le résultat de son travail sur l’écran qui lui était associé. Maintenant, cette puissance de traitement est délocalisée dans le Cloud, et seules les images de l’écran sont transférées vers vous, par le biais d’une simple application, sur n’importe quel appareil (PC, Mac, smartphone, tablette).

Le poste virtuel revient à utiliser des programmes qui s’exécutent à distance

La virtualisation des postes de travail revient donc, comme pour le streaming, à dissocier le traitement des données (le décodage d’une vidéo dans un cas, les programmes dans l’autre) et leur rendu à l’écran. Si l’avantage du streaming en comparaison de nos bonnes vieilles cassettes VHS n’est plus remis en cause, celui d’un poste virtuel peut encore être questionné. Et pourtant, là encore, les analogies sont nombreuses, et les gains conséquents.

Craintes virtuelles et réalités

La première réticence viendra probablement de l’éloignement de vos données. Si le stockage à distance de votre film préféré ne vous pose pas de souci – d’autant plus qu’il ne vous appartient pas dans le cadre du streaming – voir s’éloigner ses fichiers Excel ou ses emails peut inquiéter. En y regardant de plus près, cet argument tombe à l’eau : qu’il soit physique ou virtuel, votre poste n’est pas là pour stocker des données, elles sont bien mieux protégées sur un serveur.

Quant à la sensation de ne plus posséder physiquement l’objet, coupons court au phantasme : plus grand monde (à part les collectionneurs invétérés) ne souhaite conserver des étagères entières de cassettes ou de DVD. Ces supports vieillissent et les appareils capables de les exploiter deviennent rares. C’est d’ailleurs un des atouts du poste virtuel : il ne vieillit virtuellement pas, puisque vous pouvez le mettre à jour en quelques clics à la dernière version de Windows. Pour qu’il puisse faire tourner les toutes dernières versions de vos programmes préférés.

Les supports physiques disparaissent. Et les PC aussi.

Une fois évacués ces quelques freins bien compréhensibles, les avantages d’un bureau virtuel sautent rapidement aux yeux. A commencer par l’accès universel : où que vous soyez, et depuis n’importe quel appareil, une simple application suffit à retrouver votre environnement de travail habituel. Exactement comme cet épisode de Friends que vous commencez dans les transports sur natel et que vous terminez confortablement dans votre canapé sur la télévision. Et ceci sans avoir à reconfigurer chaque appareil.

Fiabilité et performances au menu

La fiabilité n’est pas en reste non plus. Là encore, la mutualisation des ressources dans le Cloud à l’échelle industrielle permet de mettre en œuvre des systèmes de protection du matériel sans aucune comparaison possible avec ce que vous pourrez offrir aux quelques PC de votre entreprise. Exploités dans des conditions idéales et stables, les postes virtuels sont choyés, et durent bien plus longtemps.

Enfin, les performances ne sont pas en reste. Tout d’abord, le matériel utilisé pour les postes virtuels repose sur des technologies dédiées aux serveurs. Les processeurs par exemple n’ont rien à voir avec ceux que vous retrouverez dans votre ordinateur de bureau. Surtout, les données se sont rapprochées de leur traitement. Je m’explique : si vous mettez des données volumineuses dans le Cloud, mais conservez un appareil physique, celles-ci devront transiter entre le Cloud et vous, induisant une latence qui pénalise la vitesse de traitement.

Avec le poste virtuel, seul l’affichage de l’écran vient jusqu’à vous. Le traitement des données se fait au plus près de celles-ci, car tout est regroupé au même endroit, dans le Cloud, ce qui optimise la vitesse de traitement. Associé à des connexions Internet ultrapuissantes (car oui, le poste virtuel se connecte par sa propre connexion Internet, ou plutôt celle de son datacenter, mais pas la vôtre), tout est réuni pour que l’expérience utilisateur soit parfaite, ou presque. Et même si votre connexion Internet est lente, votre poste virtuel n’en sera pas affecté. A tel point qu’une connexion 4G suffit pour y accéder. Comme pour le streaming. La boucle est bouclée.

Emmanuel Dardaine

emmanuel dardaine expert cloud

On vous explique : Microsoft Teams

Teams, vous connaissez. Ou plutôt : vous croyez connaître. L’explosion de la visioconférence, dans le sillage de la pandémie de Covid-19, a amené nombre de salariés du secteur des services à passer par cet outil. Mais s’il excelle pour mettre en relation, via le son ou l’image, il va un peu plus loin que cela. Beaucoup en fait. Analyse d’un logiciel aux mille facettes.

Si Teams apparaît maintenant comme un standard du marché, c’est qu’il a été bien aidé. Lancé en 2017, le successeur désigné de Skype for Business le remplaçait progressivement dans les grandes entreprises. Jusqu’à ce que deux facteurs simultanés agissent sur son implantation dans le marché, et le transforment en star, au sein même des PME.

Evidemment, l’épidémie de SarsCov2 figure au premier chef de ces événements. Teams, comme ses concurrents tels que Slack, se sont vite rendus indispensables auprès des entreprises, de toutes tailles. Il faut dire que Microsoft ne permettait plus d’installer Skype for Business depuis longtemps. Et que le bouche-à-oreille a fait le reste. Bien aidé par un téléchargement libre et une utilisation gratuite dans un cadre personnel. Cadre régulièrement dépassé et qui s’étendait rapidement aux sphères professionnelles.

Mais tout n’aurait pas été forcément aussi vite et loin sans un autre vecteur de développement. Microsoft à l’époque avait déjà fait de Teams son nouveau cheval de bataille pour la collaboration en entreprise. Et avait décidé d’enterrer la messagerie au profit de Teams pour les échanges internes. Dans le contexte d’une PME, et hors télétravail, l’intérêt de la visioconférence est assez limité : les organisations sont de taille réduite, et la proximité facilite les échanges en présentiel. Cette seule fonction n’aurait pas justifié les ambitions de Microsoft. Il doit donc y avoir autre chose…

Teams, colonne vertébrale du travail collaboratif

Cela peut paraître comme une évidence, mais le nom même de Teams révèle tout de cet outil. Il facilite simplement le travail en équipe. Et la visioconférence n’est qu’une facette de ce couteau suisse. Teams donne donc tout son sens aux équipes, en les mettant au centre du travail collaboratif. Les équipes sont alors l’élément structurant de l’organisation dans Teams. Et tout en découle ensuite, assez naturellement. Pour une petite structure, l’adoption est assez simple puisque les équipes sont réduites et connues : Teams vient se greffer sur ces groupes d’utilisateurs et leur offre des outils multiples.

Prenons un exemple. Votre PME dispose d’un département dédié à la comptabilité. Vous créez une équipe Teams du même nom, et vous invitez vos utilisateurs. Dans cette équipe, vous définissez les espaces de travail, publics ou privés. Les premiers sont accessibles à tous les membres, alors que les seconds sont évidemment limités aux personnes que vous choisissez. Ces espaces de travail, appelés canaux, structurent le travail de l’équipe, par thème, par activité ou par projet.

Les canaux Teams sont les lieux de regroupement virtuels de vos équipes.

Dans chaque canal, vous disposez d’une boîte à outil complète : publication d’informations (texte, liens), organisation de réunions en ligne ou en présentiel, gestion des tâches, publication d’un intranet, stockage des fichiers, mise en ligne de formulaires et de listes. A cela viennent s’ajouter de nombreuses applications, fournies par Microsoft ou des sociétés tierces, qui enrichissent cet environnement collaboratif. Autrement, dit, les équipes et leurs canaux deviennent les « lieux » de regroupement pour le travail à plusieurs. Et toutes les informations liées à une activité s’y retrouvent concentrées.

Un impact réel et rapide sur le travail collaboratif

Première conséquence majeure : vous n’envoyez plus d’email en interne. Soit vous passez par la messagerie instantanée de gré à gré, ou alors vous postez des informations dans le canal approprié. Libre à chacun d’en prendre connaissance et de participer. Deuxième conséquence : vous n’envoyez plus d’attachements. Les fichiers sont directement intégrés dans les canaux, dans une arborescence dédiée. En prime, chaque modification est conservée : vous bannissez donc les allers-retours de fichiers par messagerie qui vous font perdre le fil.

Par souci de cohérence, Microsoft s’appuie sur son stockage de fichiers Cloud SharePoint pour sauvegarder les documents. Ils sont alors évidemment accessibles en ligne ou synchronisés sur vos différents appareils. Et pour faciliter la transition, votre calendrier Outlook est désormais intégré, tout comme vos tâches, ce qui vous incite plus facilement à passer par Teams pour démarrer votre journée. Enfin, les applications Office sont aussi intégrées, et vos fichiers Word ou Excel s’ouvrent directement depuis Teams.

Désormais, vous pouvez tout faire depuis Teams. Sauf envoyer des emails.

Un des avantages de cette approche réside dans la classification des données. Celles-ci se trouvent déjà dans la bonne équipe, et le bon canal. Les fonctions de recherches proposées par Teams mettent la touche finale, en vous laissant chercher un terme dans tous les éléments collaboratifs : fichiers, conversations, etc. Autre avantage : vous pouvez étendre le travail d’équipe à des membres externes, qu’ils aient Teams ou pas d’ailleurs, puisque tout est accessible au travers d’un simple navigateur. Mais pour ceux qui disposent d’une licence, passer d’une organisation à une autre depuis Teams devient progressivement une habitude.

Encore quelques lacunes

Alors, parfait Teams ? Pas tout à fait. Microsoft a adopté un rythme de développement sidérant sur son outil, avec de nouvelles fonctions publiées tous les mois via les mises à jour en ligne. Ce qui permet en passant de corriger les bugs. Et ils restent nombreux. Autre point noir : le programme s’alourdit en même temps qu’il s’enrichit. Il est courant que Teams à lui seul, et sans faire grand-chose, occupe à peine moins de 1GO de mémoire. Et présente parfois des soucis de lenteur. Voire des plantages. Probablement la rançon à payer pour un outil aussi polyvalent.

Autre déception : l’intégration de la téléphonie n’est pas au point. Car en effet, Teams vous permet de passer et de recevoir des appels téléphoniques, de manière presque transparente. L’expérience au quotidien n’est franchement pas extraordinaire, surtout si, comme nous, vous décidez d’utiliser votre smartphone pour prendre les appels. La gestion de la présence n’est pas au point (vous risquez de ne pas recevoir d’appel après une réunion par exemple), et les dysfonctionnements restent nombreux.

Pour autant, Teams marque un vrai progrès dans le travail collaboratif. Assez rapidement, on se prend au jeu et on s’approprie ce nouvel outil. Avec les fonctions de partage avancées de SharePoint, la gestion documentaire s’en trouve facilitée, si bien que vous mettez facilement à disposition de l’extérieur ce que vos équipes produisent en interne. Sans que rien ne sorte vraiment de chez vous. Evidemment, tout cela ne prend du sens qu’avec une vraie démonstration, que je vous invite à réclamer. En présentiel ou en visioconférence, évidemment.

Emmanuel Dardaine

emmanuel dardaine expert cloud

On vous explique : les services managés pour entreprise

Historiquement, gérer l’informatique d’une PME revenait à acheter du matériel, l’installer, et résoudre les pannes éventuelles. Le passage au Cloud et l’augmentation de la cybermenace ont rebattu les cartes de la gestion IT. Et amenés les prestataires informatiques à changer leur modèle. Les services managés en entreprise ont alors éclos. On vous explique en quoi ils consistent.

Souvenez-vous, il y a 10 ans ou plus. Renouveler son parc informatique revenait toujours plus ou moins au même : changer les machines, installer les logiciels, les configurer, et mettre en service. Et une fois que tout cela fonctionne ? Rien. Ou pas grand-chose : quelques demandes de support prises sur un carnet d’heures, des mises à jour (parfois). En attendant le renouvellement suivant.

La bonne vieille informatique à papa

Procéder ainsi avait un avantage : une fois passé l‘investissement initial, souvent lourd, il était possible de limiter les frais liés à l’informatique et d’alléger cette ligne comptable pendant quelques années. Jusqu’à la prochaine remise à niveau, si le budget le permettait. Entre temps, les machines vivaient leur vie, tant bien que mal. Et vous, vous viviez dangereusement, sans trop même le savoir.

On peut résumer cela en une formule simple : le syndrome du mal nécessaire. C’est ainsi que la plupart des PME envisagent leur informatique. Alors autant que cela fasse mal un bon coup, et ensuite on l’oublie pour quelques années (en supposant qu’elle tourne comme une horloge). Evidemment, avec cette approche, maintenances, mises à jour et correctifs passent à la trappe. Et c’est ainsi qu’on tombe chez certains clients sur des parcs de PC sous Windows 7 dont plus personne ne prend soin.

Personne ne rechigne à faire le service de sa voiture en fonction des instructions du tableau de bord. Mais en informatique, tout un chacun se réserve le droit de donner son avis sur la nécessité de l’entretien.

La logique d’investissement qui a prévalu jusqu’à il y a peu a amené les PME dans une situation inédite, et propre à notre secteur. Alors qu’il ne viendrait jamais à l’esprit d’un acteur de la micromécanique de ou la micro-industrie de négliger l’entretien de ses machines-outils, il lui arrive de délaisser ses PC et serveurs. Pourvu que cela coûte le moins cher possible. Le mal nécessaire, donc, fait se détourner les petites entreprises de leur devoir d’entretien IT.

L’arbre derrière la forêt…

Mais il y a un « mais ». Et même plusieurs. D’une part, l’informatique s’est complexifiée et multipliée. Les outils sont de plus en plus nombreux, les moyens d’accès aussi. Et ils communiquent les uns avec les autres, accentuant encore le phénomène. Le moindre dysfonctionnement, le moindre incident peut avoir des conséquences importantes sur une chaîne de production de données devenue sensible. Les compétences requises pour maintenir un système IT en état de fonctionnement sont devenues cruciales. Et on ne peut plus se contenter de « laisser aller ».

Par ailleurs, les cybermenaces ont explosé. Et continuent de croitre à vitesse exponentielle tous les ans. Cela requiert a minima de maintenir les systèmes à jour. Et, idéalement, de superviser les niveaux de risque et de menaces qui pèsent sur votre informatique. Un système de surveillance en temps réel est donc plus que recommandé, ainsi qu’une politique de maintenance. Pour tout cela, il vous faudra aussi un pilote dans l’avion. Les compétences, toujours.

Les risques informatiques toujours un peu plus élevés tous les jours requièrent de ne plus rester dans une posture uniquement réactive

Dernier argument en défaveur de cette gestion informatique classique : la bascule dans le Cloud. On associe souvent l’informatique dans les nuages à la simplicité. A l’extrême, il suffit de cliquer pour accéder à ses données et ses services. Certes, mais cette simplicité apparente peut facilement cacher une complexité bien réelle. Si hier il vous suffisait de peser sur un bouton pour redémarrer votre serveur, il n’en va plus de même avec votre machine virtuelle.

Les services managés : l’avènement d’un modèle de gestion professionnelle

En un mot comme en cent : votre informatique est un organisme vivant et complexe. En tant que telle, elle nécessite une attention constante, et des personnes qualifiées pour s’occuper d’elle. C’est là que le modèle des services managés prend le relais. Ils vous permettent de souscrire à un abonnement, couvrant la fourniture de l’infrastructure, et l’entier des services professionnels qui vont avec.

Par services, on entend : le support et l’assistance, la maintenance proactive et les mises à jour, l’analyse des logs, la gestion des modifications, la documentation, le reporting. En bref, toutes les activités qui garantissent le bon fonctionnement de votre informatique, sa sécurité, et son accès sans heurt par les utilisateurs. L’enjeu de cette approche repose sur les activités proactives menées par le prestataire IT. Selon l’adage qui préconise de prévenir plutôt que de guérir.

D’un point de vue pécunier, les services managés sont fournis sous la forme d’abonnement tout compris. Vous sortez donc de la logique de l’investissement. Et vous lissez ainsi vos coûts informatiques. Le contrôle de votre budget est donc total. En particulier, vous n’avez plus à souscrire à des carnets d’heures, sorte de double peine du secteur informatique : non seulement vous les payez à l’avance, mais c’est le prestataire qui décide de leur consommation.

Les services managés vont à l’encontre de cette pratique, dans un rapport gagnant-gagnant : plus le prestataire assure ses tâches proactives, mieux l’informatique se porte. Les utilisateurs ne subissent donc pas de pannes, et le prestataire limite les efforts de support. Rien de nouveau me direz-vous : c’est ainsi dans bien des secteurs. Oui, mais pas en informatique. En tout cas, pas jusqu’à maintenant et pas de manière généralisée. Etonnant non ?

Emmanuel Dardaine

emmanuel dardaine expert cloud

Trop élevées, trop faibles : et si vous estimiez vos dépenses informatiques ?

Les dépenses informatiques des PME restent un objet nébuleux. Entre croyances tenaces, fantasmes et maîtrise relativement moyenne, difficile de les évaluer correctement. D’autant plus que les petites entreprises ont l’habitude de vivre dangereusement. Et de ne pas consacrer suffisamment d’argent à leur informatique. Jusqu’au jour où les choses dérapent. Alors, comment savoir si vous êtes dans le vrai ?

Lorsqu’on demande à un patron de PME quel est son budget IT, on reçoit dans la majeure partie des cas une information très parcellaire. Avec un peu de temps et d’effort, il est possible de regrouper ce qui manque, et de prendre une photographie précise de ce que l’entreprise consacre à son système d’information. Pour autant, s’il s’agit d’un état des lieux, cela ne correspond que rarement au besoin réel.

Des coûts sous-estimés

Premier écueil : évacuer les investissements antérieurs. Si des PC ou des serveurs ont été achetés par le passé, ils disparaissent dès les années suivantes du budget. Sauf à avoir une stratégie de remplacement en place, qui permettra de lisser les achats dans le temps, les dépenses informatiques des PME ressemblent à une courbe en escalier. Ce qui n’est pas correct puisque des provisions devraient être réalisées tous les ans pour procéder au renouvellement au terme de l’amortissement. Y compris pour les licences Windows.

Ce remplacement un-pour-un constitue d’ailleurs le deuxième écueil dans l’estimation du budget des petites entreprises. Avec le recours sans cesse croissant aux outils numériques, les PME se reposent de plus en plus sur leur informatique pour fournir leurs services et leurs produits. Si bien que l’investissement de l’année prochaine n’a rien à voir à celui qui était nécessaire 5 ou 10 ans auparavant. Le budget s’en trouve donc affecté d’autant. Et la digitalisation des PME induit une augmentation importante des dépenses IT.

Penser que le recours de plus en plus important aux outils numériques n’a pas d’impact sur le budget serait une erreur

Enfin, les coûts de main d’œuvre restent une variable insaisissable dans le budget. Avant l’avènement des services managés, les PME étaient réduites à souscrire à des carnets d’heures. Payés à l’avance au prestataire, ils sont consommés au bon vouloir de celui-ci. Qui n’est alors plus très enclin à régler rapidement les soucis liés à son propre défaut de maintenance proactive. Si tout se passe bien, les dépenses informatiques sont réduites au minimum. Et le dirigeant de PME aura tendance à compter là-dessus. Mais tout se passe rarement comme on l’espère, surtout en matière d’informatique, non ?

Les éléments dimensionnants de dépenses informatiques sous contrôle

Maintenant que nous avons vu où le bât blesse, voyons comment estimer correctement votre budget. Commençons par les achats : en fonction de votre plan comptable, vous les amortirez sur 36, 48 ou 60 mois. Avec la virtualisation des infrastructures, les équipements seront réduits au réseau (firewall, switches, WiFi) et aux appareils d’accès (PC/Mac, smartphones). Peu importe la façon dont sont répartis vos achats dans le temps, c’est leur valeur sur 12 mois qui vous intéressera. Et qui servira de base de comparaison, nous verrons cela plus loin.

Viennent ensuite les dépenses de main d’œuvre. Elles peuvent couvrir les projets d’une part, et les efforts de maintenance (proactive ou corrective) et le support d’autre part. Si votre prestataire n’intervient que lors d’une panne ou d’un dysfonctionnement, vous devrez aussi considérer le temps consacré en amont de ces pannes. Et si vous n’avez aucune idée de ce que cela peut représenter, adoptez une règle simple : comptez autant d’effort proactif que de temps passé en support et réparation. Autrement dit, doublez votre carnet d’heure pour considérer que le travail est bien fait.

Dernier chapitre, les coûts récurrents. Si vous disposez encore de serveurs chez vous, vous me direz que le coût est nul. Pas complètement faux, mais pas tout à fait juste non plus. Les clients oublient souvent l’électricité qui sert à abreuver leurs machines, et celle utilisée pour les refroidir. Pour un serveur digne de ce nom, comptez pas loin de CHF 100.- par mois pour les deux, par serveur. Sur 36 mois, ça commence à faire une somme. Pour ceux qui sont déjà passés au Cloud et à la location, le calcul est plus rapidement fait, car il se résume à une règle de trois sur leur facture mensuelle. A mois que vous soyez déjà passé aux services tout inclus. Il est donc temps de comparer.

Estimer la cohérence de votre budget informatique nécessite quelques points de repère. Les services managés en sont un bon.

Résumons. Vous avez une idée plus précise des achats faits sur les dernières années, et vous êtes capables de les lisser dans le temps. Vous savez aussi estimer le coût de la main d’œuvre nécessaire au bon fonctionnement de votre informatique et à sa protection. Pour les coûts récurrents – les licences Office par exemple, ou d’autres logiciels en ligne – c’est assez simple. En alignant ces dépenses, les choses se dessinent plus clairement. Mais tout ça ne vous dit pas si vous dépensez trop ou pas assez.

Alors, serré ce budget informatique, ou pas ?

Pour le savoir, fiez-vous à ce que vous aurait coûté un service managé équivalent. Par ce terme, on entend la fourniture d’une infrastructure, et sa gestion proactive et réactive, tout compris. Par exemple : un serveur Cloud entièrement géré pour vous, ou des postes virtuels, mais aussi un réseau d’entreprise en location (matériel compris) et supervisé par des professionnels. Ces services sont loués à prix fixe, forfaitaire, mensuellement.

A ce stade, j’imagine que vous auriez besoin de points de repère plus précis. Pour un serveur basique (2 processeurs virtuels, 4GB de mémoire, un peu de disque rapide SSD), comptez dans les CHF 400.- par mois. Et pour un poste virtuel ? Avec les mêmes ressources, comptez dans les CHF 100.- par mois. Ces deux chiffres permettent d’ailleurs de comprendre qu’un serveur requiert un peu plus d’attention que de simples postes.

Chose amusante, si vous optez pour un poste physique au lieu d’un poste Cloud, la différence de coût de revient sera comblée sur 36 mois par l’achat d’un matériel plus onéreux et d’une consommation électrique supérieure. Sur une telle période, estimez que le coût total de possession d’un poste utilisateur, quel qu’il soit, tournera autour des CHF 4’000.-, hors licences. Ajoutez un peu de réseau et les souscriptions à vos logiciels et vous serez dans le vrai.

Si vous êtes en deçà de ces chiffres, vous devez clairement vous interroger sur le bien-fondé de votre budget informatique. Les plus pessimistes argueront même du fait que vous devriez appliquer un ratio 1.5, histoire d’être à l’abri. Mais sans aller jusque-là, vous ne devriez pas vous sentir à l’aise avec un budget trop faible. Certes, les choses fonctionnent certainement sans encombre. Mais comme une bonne assurance, la question n’est pas de savoir ce que vous avez, mais pour quel niveau de protection vous payez. Chose certes intangible, j’en conviens, mais qui définit la vraie valeur de votre informatique.

Emmanuel Dardaine

emmanuel dardaine expert cloud