Stratégie de sourcing

Sogeti propose d'apporter son expertise dans la rédaction de cahiers des charges dans le cadre d'appels d'offre. L'éventail couvert par l'ESEC recouvre l'ensemble des problématiques de sécurité (réseau, infrastructure, poste de travail, supervision...). Afin de mener à bien cette mission, il convient de s'approprier le contexte client ainsi que l'ensemble de ses besoins spécifiques en vue de rédiger le dossier le plus complet possible incluant notamment : Le découpage en unités d'œuvres ; Les livrables attendus ; Les contraintes (techniques, organisationnelles, planning...) ; Les grilles d'appréciation et de dépouillement des offres. Pour compléter la prestation, Sogeti propose également son assistance au dépouillement des offres: comparaison, conformité aux attentes, coûts, notation critique, et conseil.

Standard et référentiel technique

Pour répondre aux évolutions des méthodes de travail qui poussent chacun d’entre nous à plus d’efficacité et de mobilité, il devient de plus en plus important de s’attarder sur des problématiques de sécurité : comment protéger son information tout en ouvrant son SI à ses partenaires, comment se protéger du vol d’informations… Toutes ces problématiques doivent être adressées au fur et à mesure du développement d’une entreprise dans le cadre de la mise en place des Référentiels de Sécurité. On notera parmi elles :

• La sécurisation des postes de travail nomades ou comment chiffrer ses données de travail, assurer un travail collaboratif, filtrer l’utilisation des périphériques…
• L’authentification des utilisateurs : utiliser des méthodes d’authentification fortes par carte à puce, biométrie, One Time Password… Généraliser l’utilisation des certificats x509 dans le cadre de l’implantation d’une Infrastructure de Gestion de Clés (IGC) ;
• La fédération d’identité : rationaliser et contrôler les droits d’accès aux ressources, disposer d’un annuaire autoritaire d’identités ;
• La lutte contre la fuite d’information : bloquer le flux de données correspondant à des documents confidentiels, contrôler les transferts, impressions, copies...

Analyse de code

L'informatique évolue rapidement, et les risques associés à ses progrès sont très rarement mesurés. Notre laboratoire travaille sur les risques émergents, tant sur des aspects techniques que des domaines connexes (par exemple le risque informationnel).
* Exemple : analyse d'un logiciel COTS : ces logiciels sur étagère sont vus comme des boîtes noires auxquelles on doit faire aveuglément confiance.
Nous examinons sa sécurité sous plusieurs angles :

• recherche de failles logicielles (dénis de service, exécution de code, etc.) ou de conception (mauvaise gestion de privilèges conduisant à des vulnérabilités) ;
• analyse de la cryptographie embarquée : de plus en plus souvent, les logiciels emploient de la cryptographie. Parfois, ils s'appuient sur des bibliothèques externes, parfois, tout est reprogrammé. Quelle que soit la solution retenue, implémenter ou utiliser de la cryptographie demande de respecter certaines contraintes fortes, sans quoi des attaques à la portée de n'importe quel PC peuvent survenir ;
• analyse de l'environnement : un logiciel n'existe pas tout seul, mais utilise les ressources d'un système d'exploitation, du réseau, etc. Nous examinons ces liens afin d'évaluer l'impact d'une faille éventuelle, pour ensuite pouvoir la circonscrire.

Pilotage de mise en oeuvre

Au sein de projets d'envergure, piloter l'ensemble des intervenants, des sous-traitants et des éditeurs dans le respect des engagements et du planning. Apporter à la maitrise d'ouvrage la garantie du bon déroulement du projet depuis les phases de spécifications jusqu'aux phases de garanties et en particulier :

• La mise en place et le suivi des indicateurs de pilotage (non conformités, dépassements, non respect des délais...) ;
• La coordination des équipes ;
• L'organisation des comités de suivi ;
• L'aide à l'arbitrage ;
• La conduite du changement.

• L'offre Data Loss Prevention [LINK] [PDF]
• L'offre PKI Externalisée [LINK] [PDF]
• L'offre Self defending - Self healing [LINK] [PDF]
• L'offre chiffrement avec PRIM'X ZoneCentral [LINK] [PDF]