Les services viennent au secours de la sécurité

L'entrée en scène des prestataires de services boucle la boucle de l'équation de la sécurité des entreprises. Mais l'éclatement du marché et les contraintes propriétaires des logiciels freinent l'émergence du modèle.

" Le marché de la sécurité est appelé à évoluer. Tous les éditeurs de solutions vont migrer vers les services ", garantit Alain Dang Van Mien, consultant sécurité au GartnerGroup. Mais, pour l'instant, les éditeurs délèguent toujours le service aux SSII, aux intégrateurs ou aux grossistes " pousseurs de boîtes " qui génèrent, encore, l'essentiel de leurs revenus.

Les Big 5 dans les services de sécurité

Si peu d'éditeurs vendent en direct, ils gardent souvent la haute main sur le support. Même Computer Associates, longtemps réticent vis-à-vis du canal indirect, vient d'appuyer sur ce levier pour relancer sa suite eTrust. En échange, les grossistes promettent un élargissement des débouchés, grâce à leur fédération de réseaux de revendeurs et d'intégrateurs. Avec la généralisation d'Internet, le conseil se greffe à cette constellation.De nombreuses petites sociétés se sont engouffrées dans cette brèche. Hervé Schauer Consultants est devenu l'évangéliste des réseaux privés virtuels et de l'implémentation de leur protocole fétiche, IPSec. CF6 groupe Telindus développe sur la détection d'intrusions. Quant à Lexsi, il sensibilise les entreprises aux menaces du cyberespace, en les éclairant sur une offre surabondante. D'autres, tel Neurocom, embrassent tout à la fois les métiers du conseil, de l'intégration, et même de l'édition, via sa filiale NetSecure Software.Alléchés par ces perspectives, les grands cabinets d'audit exploitent le filon. KPMG possède un centre européen dédié à la PKI (infrastructures à clés publiques). Deloitte & Touche est le partenaire privilégié du ministère des Finances pour le paiement de la TVA par Internet. Ernst & Young pilote son entité eLabel. Laquelle ambitionne un agrément Cesti (Centre d'évaluation de la sécurité des technologies de l'information) de la part de la DCSSI (Direction centrale de la sécurité des systèmes d'information), afin d'évaluer les systèmes d'information des entreprises selon les critères communs de la sécurité, définis par la norme ISO 15406. Sa candidature suscite le scepticisme d'autres Cesti qui qualifient d'opportuniste cette diversification.Sur le terrain, seuls les MSSP promettent de boucler la boucle des services de sécurité. Leur c?"ur de métiers est l'administration à distance des environnements de sécurité des entreprises. Ce faisant, ils couvrent un spectre de plus en plus large : vente et configuration des logiciels et des équipements, exploitation 24 heures sur 24 et mises à jour des versions des logiciels.

Ubizen et Activis, les pionniers

En contact permanent avec les éditeurs, les MSSP guident les entreprises dans l'analyse et la prévention en amont des risques. Forts de cette dynamique, ils agrègent tout à la fois les métiers d'intégrateur, de revendeur et de conseil. Les MSSP répondent d'abord aux besoins des grandes entreprises. Ces dernières exploitent des parcs importants de pare-feu, souvent répartis sur plusieurs sites et continents. Or, face à la complexité croissante du domaine, elles n'ont plus ni le temps ni les compétences pour les exploiter efficacement. Des pionniers européens comme Ubizen et Activis se proposent de prendre le relais. Le premier sait administrer plus de deux mille produits de sécurité. Pour ce faire, il investit massivement dans ses quatre centres de téléadministration ?"à 3 millions d'euros chacun ?" au niveau mondial.

Le recours indispensable aux outils des éditeurs

De même pour Activis, qui administre des architectures réunissant des pare-feu, des RPV, des IDS et des analyseurs de contenus. Leur valeur ajoutée est alors l'administration d'environnements hétérogènes." Nous avons développé une plate-forme de supervision qui s'interface avec les outils du marché, explique Nicolas Appert, directeur d'Ubizen, La veille auprès des éditeurs est primordiale, car nous devons comprendre comment ils configurent un produit ou définissent des règles de sécurité. Il en va de même pour la supervision ou la consolidation des logs. "En matière de configuration, le recours aux outils des éditeurs est indispensable, étant donné le caractère propriétaire de ces fonctions. Ce qui explique la démarche d'un Unisys, vétéran des grands systèmes, qui préfère se concentrer sur les environnements Check Point Software, depuis son centre basé en Hollande, grâce à la console Provider-1 du même fournisseur. Les éditeurs sont également sensibles à ce marché. Le numéro un de la détection d'intrusions, ISS, exploite un centre de téléadministration en Suède. Il administre ses propres environnements, mais aussi ceux de ses concurrents.D'autres MSSP défrichent le marché vierge des PME. En témoignent les start-up Net Celo et Synelec Networks. Ces prestataires de téléadministration se démarquent avec des offres couplant pare-feu et RPV développées sous Linux. Cette limitation pose problème pour l'élargissement de leurs services aux antivirus ou aux IDS. Face à cette effervescence, les éditeurs n'entendent pas se laisser déposséder. Check Point est ainsi à l'origine de Sofaware.Complémentaires des MSSP, les ASP hébergent des services pilotés à la demande par le client. Qualys délivre un audit de vulnérabilités à distance. " Les scanners sont actionnés par le client ", précise Ricardo Lavie-Peretz, directeur de Qualys. Intranode fournit un service continu de détection de vulnérabilités sur les passerelles externes de l'entreprise, le tout complété d'un historique, dans le cadre de son offre Active Sentry. Ornis loue une " prise " Internet entièrement sécurisée aux PME en hébergeant dans ses locaux les pare-feu, les antivirus et la messagerie sécurisée, et en les mutualisant entre plusieurs clients.À terme, la convergence entre ASP et MSSP semble inéluctable. monDSI.com évalue les risques d'intrusion tout en administrant les environnements antivirus d'origine Network Associates, sa maison mère. De même, le FAI NordNet propose aux PME la téléadministration d'antivirus tout en étant partenaire de l'éditeur F-Secure.

Une spécialisation par secteur d'activité

Cette multiplication des initiatives souligne le manque de maturité du marché. " Seuls survivront les acteurs les plus importants, ceux ayant pu investir de façon à s'adapter aux environnements de tous les éditeurs ", avertit Alain Dang Van Mien. La différence viendra aussi de la capacité des MSSP à administrer à distance non plus uniquement des applications de sécurité, mais aussi la sécurité des applications. Et d'ajouter que " les prestataires de services vont se spécialiser par secteur d'activité ". Une évolution qui scellera le mariage entre la sécurité et les services.

Risc et Ubizen : la confusion des services

Ubizen concurrencé par sa propre filiale ? Racheté en 1998 par la société belge Ubizen, le distributeur Risc Technology s'aventure aujourd'hui sur le même terrain que son actionnaire. Risc a annoncé une offre de services de sécurité supervisés à distance à destination des TPE. Cette offre est pratiquement similaire à OnlineGuardian, d'Ubizen. La cible n'est toutefois pas la même, puisque le MSSP belge se positionne, pour sa part, auprès des grandes entreprises. Dans l'offre de Risc, l'administration et la gestion des mises à jour seront centralisées au sein d'un centre de supervision. Une différence technique également, l'offre de Risc Technology est basée sur la technologie VPN-1 et FireWall-1 de Check Point Software.

Lexique

MSSP (Managed security services provider) : prestataire proposant la surveillance à distance des ressources de sécurité, de l'implémentation à la configuration, et des mises à jour.
ASP (Application service provider) de sécurité : prestataire louant l'usage d'une application. L'ASP fournit aussi des services sur abonnement.

Ils ont dit... : " Nous avons choisi d'externaliser. "

Au début de notre projet de Bourse en ligne, nous avons externalisé la gestion de notre sécurité ?" pare-feu, IDS et applications. Au départ, c'est comme si nous avions eu le sentiment de perdre le contrôle de notre sécurité. Une fois le service opérationnel, il est devenu clair que nous avions une vue globale de toute notre politique de sécurité. Quand les analystes d'Ubizen reçoivent une alerte, leur réaction est basée sur l'accord que nous avons avec eux. Selon l'urgence et l'impact potentiel de lalerte, ils entrent en contact avec nous ou agissent eux-mêmes.