|
 |
Depuis les 5 dernières années, de grandes sociétés françaises ont décidé d’externaliser tout ou partie de la gestion de leur parc informatique via des prestataires dont les centres de services sont basés dans des pays émergents (Inde, Maroc...). Le principal avantage de cette opération est budgétaire : une entreprise française pourrait ainsi réaliser près de 50% d’économie en faisant le choix de l’externalisation. |
Toutefois, l’utilisation intensive de centres de services basés à l’étranger présente de nombreux défis dont le principal est un turn-over très rapide. Par exemple, le taux annuel de turn-over des salariés d’Infosys était de 25% en 2010 (source Infosys) !
Ce chiffre très élevé a pour principale conséquence un niveau technique des équipes souvent moyen en raison du nombre important de techniciens débutants. La conséquence directe étant de fortes probabilités d’erreurs de manipulation lors des opérations de maintenance. En complément, compte tenu compte tenu des faibles salaires des personnels du prestataire et de la valeur des informations accessibles, il existe un risque élevé de fuites d’informations.
Ces différents éléments font que l’externalisation est souvent envisagée avec une certaine inquiétude par les RSSI qui sont confrontés à ce cas de figure... mais alors que peut un RSSI face à un DAF !!!
|
En effet, les dispositifs traditionnels de sécurité informatique s’appuient sur la notion de sécurité périmétrique (le principe du château-fort) or le principe d’externalisation donne, de facto, l’accès à tous les éléments du système d’information, y compris les plus critiques, aux employés des prestataires. La maîtrise des risques liés à ces prestataires devient donc complexe... La mise en place d’un tel projet nécessite une réflexion approfondie sur la politique de sécurité du système d’information avec un focus sur la gestion des droits d’accès des prestataires et sur les moyens de contrôle des opérations effectuées. Faire des économies oui, mais en évitant de multiplier les risques informatiques c’est mieux. Pour prendre une analogie, il faut passer du modèle de sécurité du château-fort – on se protège des menaces venant de l’extérieur mais on n’exerce quasiment aucun contrôle à l’intérieur de l’enceinte – à celui de l’aéroport, où les niveaux de sécurité et de contrôle varient en fonction des zones (ex : accéder à la tour de contrôle nécessite des accréditations bien plus élevées de celles nécessaires pour accéder à l’aérogare). Il est donc de la responsabilité du RSSI d’effectuer une analyse poussée des risques en termes de fuite d’information ou bien d’erreur de manipulation et des conséquences financières qu’ils peuvent engendrer. Son avis pèsera ainsi plus fort sur les choix de l’entreprise en matière d’externalisation du SI et dans ses recommandations en matière de gestion des risques associés. |
