management et technologie

la gouvernance des SIC bancaires: gestion des projets sic

2023-04-07T18:18:00.007+00:00

Dans le contexte de la transformation numérique, les banques doivent régulièrement mettre en œuvre des projets informatiques pour améliorer leur efficacité opérationnelle, leur service client et leur compétitivité. La gouvernance des SIC bancaires doit inclure une gestion efficace des projets informatiques, de la planification à l'exécution, afin de garantir leur succès.

La gestion des projets informatiques implique la planification, l'organisation, la direction et le contrôle des ressources pour atteindre les objectifs fixés dans les délais et les budgets impartis. La gouvernance des SIC bancaires doit garantir que ces projets sont bien gérés, en respectant les coûts, les délais et les risques, tout en étant alignés sur les objectifs stratégiques de l'institution financière.

Pour cela, il est nécessaire de mettre en place une méthodologie de gestion de projets adaptée au contexte bancaire. Cette méthodologie doit inclure une phase de planification rigoureuse, qui permet de définir les objectifs du projet, les livrables, les délais, les coûts et les risques associés. Elle doit également inclure une phase de suivi et de contrôle, qui permet de surveiller l'avancement du projet, de détecter les éventuels écarts par rapport au plan et de prendre des mesures correctives.

La gouvernance des SIC bancaires doit également garantir une gestion efficace des coûts et des ressources humaines. Cela implique une allocation optimale des ressources, une gestion rigoureuse des budgets et une évaluation régulière des coûts et des bénéfices du projet.

La gestion des délais est également un aspect crucial de la gestion de projets informatiques. La gouvernance des SIC bancaires doit garantir que les projets sont exécutés dans les délais impartis, en utilisant des outils de gestion de projets adaptés. Ces outils permettent de suivre l'avancement du projet en temps réel, d'identifier les goulots d'étranglement et de prendre des mesures pour respecter les délais.

La gestion des risques est également importante dans la gestion de projets informatiques. La gouvernance des SIC bancaires doit garantir que les risques associés au projet sont identifiés, évalués et gérés de manière appropriée. Cela implique la mise en place de mesures de contrôle pour réduire les risques et la surveillance continue de l'environnement pour détecter les nouvelles menaces.

Enfin, la gouvernance des SIC bancaires doit garantir l'alignement des projets informatiques sur les objectifs stratégiques de l'institution financière. Cela implique la définition claire des objectifs du projet et la mesure régulière de sa contribution aux objectifs stratégiques de l'entreprise.

En conclusion, la gestion des projets informatiques est un élément essentiel de la gouvernance des SIC bancaires. Elle doit inclure une méthodologie de gestion de projets adaptée au contexte bancaire, une gestion efficace des coûts et des ressources humaines, une gestion rigoureuse des délais, une gestion des risques appropriée et un alignement sur les objectifs stratégiques de l'institution financière.

La gouvernance des projets informatiques doit également garantir la qualité des livrables et la satisfaction des parties prenantes. Pour cela, il est nécessaire de mettre en place une méthodologie de gestion de projet efficace, qui permettra de définir les étapes clés du projet, les livrables attendus, les responsabilités et les délais.

Cette méthodologie doit inclure des processus pour la gestion des changements, des risques, des problèmes et des exigences, ainsi qu'une communication régulière et transparente avec les parties prenantes. Elle doit également prévoir des mécanismes pour la mesure de la performance, la gestion des coûts et la gestion de la qualité.

Dans le contexte bancaire, la gouvernance des projets informatiques doit tenir compte des spécificités du secteur, telles que la réglementation et la complexité des processus métiers. Elle doit également tenir compte de la nécessité d'assurer la sécurité et la confidentialité des données, ainsi que la disponibilité des systèmes critiques.

Pour garantir le succès des projets informatiques, la gouvernance doit également inclure la gestion des ressources humaines. Il est nécessaire de disposer de compétences techniques suffisantes pour gérer les projets, ainsi que d'une compréhension approfondie des processus métiers de la banque. La gestion des ressources humaines doit également inclure des processus pour la formation, la motivation et la rétention des talents.

Enfin, la gouvernance des projets informatiques doit inclure des processus pour la gestion des connaissances et de l'innovation. Les projets informatiques peuvent être une source importante d'innovation pour les banques, en leur permettant de développer de nouveaux produits et services ou de mettre en place de nouveaux processus métiers plus efficaces. Il est donc important de prévoir des mécanismes pour la gestion des connaissances et de l'innovation, afin de capitaliser sur les succès des projets passés et de favoriser l'innovation continue.

En conclusion, la gouvernance des SIC bancaires doit inclure une gestion efficace des projets informatiques, qui garantit la gestion des coûts, des délais et des risques, ainsi que l'alignement sur les objectifs stratégiques de l'institution financière. Cette gouvernance doit également inclure la gestion des ressources humaines, la gestion des connaissances et de l'innovation, afin de garantir le succès des projets et de favoriser l'innovation continue.

la gouvernance des SIC bancaires: Dans le secteur bancaire, la sécurité de l'information est une préoccupation majeure.

2023-04-07T18:11:00.005+00:00

Dans le secteur bancaire, la sécurité de l'information est une préoccupation majeure. Les banques gèrent des informations sensibles telles que les données personnelles et financières des clients, les transactions, les informations stratégiques, etc. La gouvernance des SIC bancaires doit garantir la protection de ces informations contre les menaces internes et externes.

La mise en place de politiques de sécurité est essentielle pour garantir la sécurité de l'information. Ces politiques doivent décrire les mesures de sécurité à mettre en place pour protéger les informations sensibles. Elles doivent également préciser les responsabilités de chaque acteur impliqué dans la sécurité de l'information et les sanctions en cas de non-respect de ces politiques.

La gestion des identités et des accès est un autre aspect important de la sécurité de l'information. La gouvernance des SIC bancaires doit garantir que seules les personnes autorisées ont accès aux informations sensibles. Cela implique la mise en place de processus de gestion des identités et des accès qui permettent de gérer les droits d'accès des utilisateurs. Ces processus doivent être régulièrement révisés pour garantir que les droits d'accès sont toujours appropriés.

La surveillance des systèmes est également essentielle pour garantir la sécurité de l'information. La gouvernance des SIC bancaires doit mettre en place des outils de surveillance qui permettent de détecter les incidents de sécurité en temps réel. Cette surveillance peut inclure la surveillance des activités réseau, la surveillance des journaux d'événements, la surveillance des transactions, etc.

Enfin, l'audit des activités informatiques est un élément clé de la gestion de la sécurité de l'information. Cet audit doit permettre de vérifier la conformité aux politiques de sécurité, de détecter les faiblesses de sécurité et de proposer des améliorations. Cet audit doit être mené régulièrement pour garantir que les politiques de sécurité sont toujours adéquates.

En conclusion, la gouvernance des SIC bancaires doit garantir la protection de l'information sensible contre les menaces internes et externes. Pour garantir cette sécurité, la gouvernance des SIC bancaires doit mettre en place des politiques de sécurité, gérer les identités et les accès, surveiller les systèmes et auditer les activités informatiques. La sécurité de l'information est un enjeu majeur dans le secteur bancaire et la gouvernance des SIC bancaires doit y accorder une attention particulière pour garantir la confiance des clients et la pérennité de l'entreprise.

la gouvernance des SIC bancaires : La conformité réglementaire est un élément clé de la gouvernance des SIC bancaires.

2023-04-07T08:41:00.001+00:00

La conformité réglementaire est un élément clé de la gouvernance des SIC bancaires. Les institutions financières sont soumises à des réglementations strictes en matière de protection des données, de sécurité des systèmes informatiques, de lutte contre la cybercriminalité et de continuité des activités. La gouvernance des SIC bancaires doit garantir la conformité à ces réglementations pour protéger les intérêts de toutes les parties prenantes de l'entreprise.

La protection des données est une préoccupation majeure pour les institutions financières. Les données des clients doivent être protégées contre les menaces internes et externes. Les institutions financières sont soumises à des réglementations strictes en matière de protection des données, notamment le Règlement général sur la protection des données (RGPD) de l'Union européenne et la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada. La gouvernance des SIC bancaires doit garantir que les données des clients sont protégées conformément à ces réglementations.

La sécurité des systèmes informatiques est également une préoccupation majeure pour les institutions financières. Les institutions financières sont soumises à des réglementations strictes en matière de sécurité des systèmes informatiques, notamment la norme ISO 27001 et la norme PCI-DSS. La gouvernance des SIC bancaires doit garantir que les systèmes informatiques de l'entreprise sont sécurisés conformément à ces réglementations.

La lutte contre la cybercriminalité est également un enjeu majeur pour les institutions financières. Les institutions financières sont soumises à des réglementations strictes en matière de lutte contre la cybercriminalité, notamment la directive NIS de l'Union européenne et la Cybersecurity Information Sharing Act (CISA) aux États-Unis. La gouvernance des SIC bancaires doit garantir que l'entreprise dispose des mesures de sécurité appropriées pour lutter contre la cybercriminalité conformément à ces réglementations.

La continuité des activités est également une préoccupation majeure pour les institutions financières. Les institutions financières sont soumises à des réglementations strictes en matière de continuité des activités, notamment la norme ISO 22301. La gouvernance des SIC bancaires doit garantir que l'entreprise dispose d'un plan de continuité des activités en cas de crise, de manière à garantir que l'entreprise peut continuer à fonctionner même en cas d'incident majeur.

En conclusion, la conformité réglementaire est un élément clé de la gouvernance des SIC bancaires. Les institutions financières sont soumises à des réglementations strictes en matière de protection des données, de sécurité des systèmes informatiques, de lutte contre la cybercriminalité et de continuité des activités. La gouvernance des SIC bancaires doit garantir la conformité à ces réglementations pour protéger les intérêts de toutes les parties prenantes de l'entreprise. La gouvernance des SIC bancaires doit garantir que les données des clients sont protégées, que les systèmes informatiques de l'entreprise sont sécurisés, que l'entreprise dispose des mesures de sécurité appropriées pour lutter contre la cybercriminalité, et que l'entreprise dispose d'un plan de continuité des activités en cas de crise. La conformité réglementaire doit être intégrée dans l'ensemble de la gouvernance des SIC bancaires afin de garantir une gestion efficace des risques liés à l'utilisation des technologies de l'information et de la communication.

Pour garantir la conformité réglementaire, la gouvernance des SIC bancaires doit mettre en place un processus d'évaluation régulière des risques. Cette évaluation doit identifier les risques liés à l'utilisation des technologies de l'information et de la communication et les mesures de contrôle appropriées pour les réduire. Cette évaluation doit être menée régulièrement pour garantir que les risques sont toujours bien identifiés et que les mesures de contrôle sont toujours adéquates.

Une fois les risques identifiés, la gouvernance des SIC bancaires doit mettre en place des mesures de contrôle appropriées. Ces mesures peuvent inclure des contrôles techniques tels que des pare-feux, des antivirus, des systèmes de détection d'intrusion, etc., mais aussi des contrôles organisationnels tels que des politiques de sécurité de l'information, des plans de formation et de sensibilisation à la sécurité, des processus de gestion des accès, etc.

La gouvernance des SIC bancaires doit également assurer une surveillance continue des activités informatiques. Cette surveillance permet de détecter rapidement les incidents de sécurité et de prendre des mesures appropriées pour y remédier. Cette surveillance peut être effectuée à l'aide d'outils de surveillance automatique ou de l'analyse de journaux d'événements.

Enfin, la gouvernance des SIC bancaires doit mettre en place un plan de gestion des incidents. Ce plan doit décrire les mesures à prendre en cas d'incident de sécurité et les responsabilités de chaque acteur impliqué dans la gestion de l'incident. Ce plan doit être régulièrement testé pour garantir son efficacité en cas de crise.

En conclusion, la conformité réglementaire est un élément clé de la gouvernance des SIC bancaires. La gouvernance des SIC bancaires doit garantir la conformité aux réglementations en matière de protection des données, de sécurité des systèmes informatiques, de lutte contre la cybercriminalité et de continuité des activités. Pour garantir cette conformité, la gouvernance des SIC bancaires doit mettre en place un processus d'évaluation régulière des risques, des mesures de contrôle appropriées, une surveillance continue des activités informatiques et un plan de gestion des incidents. En garantissant la conformité réglementaire, la gouvernance des SIC bancaires protège les intérêts de toutes les parties prenantes de l'entreprise.

la gouvernance des SIC bancaires :La gestion des risques : une priorité pour la gouvernance des SIC bancaires

2023-04-07T08:31:00.003+00:00

La gestion des risques : la gouvernance des SIC bancaires

Dans le monde des institutions financières, la gestion des risques est un enjeu crucial pour assurer la sécurité et la protection des données tout en optimisant les avantages offerts par la technologie. Les systèmes d'information et de communication (SIC) sont devenus un outil incontournable pour les banques, non seulement pour améliorer l'efficacité opérationnelle, mais également pour offrir de nouveaux produits et services aux clients. Cependant, la complexité des SIC peut entraîner des risques considérables, tels que la cybercriminalité et la perte de données, qui peuvent nuire à la réputation d'une banque et affecter sa santé financière. C'est pourquoi la gestion des risques liés aux SIC bancaires est cruciale pour assurer la sécurité et la protection des données tout en optimisant les avantages offerts par la technologie.

La gouvernance des SIC bancaires doit garantir la gestion efficace des risques liés à l'utilisation des technologies de l'information et de la communication. Pour cela, elle doit inclure une évaluation régulière des risques, l'identification des mesures de contrôle appropriées, la surveillance continue des activités informatiques et la mise en place d'un plan de gestion des incidents.

L'évaluation régulière des risques est un processus crucial pour garantir que les SIC bancaires sont sécurisés et protégés contre les menaces internes et externes. Cette évaluation doit être menée régulièrement pour s'assurer que les risques sont identifiés et évalués de manière continue. L'identification des risques doit également inclure l'analyse de l'environnement externe, tels que les menaces de cybercriminalité, les risques réglementaires, les changements de technologie, etc.

Une fois que les risques sont identifiés, il est nécessaire d'identifier les mesures de contrôle appropriées pour gérer ces risques. Les mesures de contrôle peuvent inclure des politiques de sécurité des informations, des contrôles d'accès, des politiques de gestion de la confidentialité, etc. Les mesures de contrôle doivent être mises en place pour garantir que les risques sont minimisés et que les SIC bancaires sont sécurisés.

La surveillance continue des activités informatiques est également cruciale pour la gestion des risques. Les activités informatiques doivent être surveillées pour détecter les menaces potentielles et les anomalies. Les outils de surveillance peuvent inclure la surveillance de l'activité des utilisateurs, la surveillance des journaux de connexion, la surveillance des transactions, etc. La surveillance continue peut aider à détecter les incidents de sécurité tels que les tentatives de piratage, les fuites de données, etc.

Enfin, il est important de mettre en place un plan de gestion des incidents pour gérer les risques de manière efficace en cas d'incident de sécurité. Le plan de gestion des incidents doit inclure des procédures claires pour la gestion des incidents de sécurité, y compris la communication avec les parties prenantes, la collecte de preuves, la restauration des systèmes, etc. Le plan de gestion des incidents doit également être testé régulièrement pour s'assurer de son efficacité.

En conclusion, la gestion des risques liés aux SIC bancaires est un enjeu crucial pour les institutions financières. La gouvernance des SIC bancaires doit garantir une gestion efficace des risques liés à l'utilisation des technologies de l'information et de la communication. Pour cela, elle doit inclure une évaluation régulière des risques, l'identification des mesures de contrôle appropriées, la surveillance continue des activités informatiques et la mise en place d'un plan de gestion des incidents.

Il est important de souligner que la gestion des risques doit être intégrée à la gouvernance d'entreprise globale de l'institution financière. La gouvernance d'entreprise est un système de direction et de contrôle qui vise à garantir que les intérêts de toutes les parties prenantes de l'entreprise sont pris en compte. Les parties prenantes peuvent inclure les actionnaires, les clients, les employés, les régulateurs, les communautés locales, etc.

La gestion des risques doit donc être alignée sur les objectifs stratégiques de l'institution financière et soutenir sa mission et ses valeurs. La gouvernance des SIC bancaires doit être intégrée dans la stratégie globale de l'entreprise, de manière à garantir une utilisation efficace des SIC tout en minimisant les risques.

En outre, il est important que la gestion des risques liés aux SIC soit une responsabilité partagée entre les différents départements de l'entreprise. Le département informatique doit travailler en étroite collaboration avec les départements juridique, de conformité et de gestion des risques pour garantir que tous les risques sont identifiés et gérés de manière efficace.

En conclusion, la gouvernance des SIC bancaires doit garantir une gestion efficace des risques liés à l'utilisation des technologies de l'information et de la communication. Elle doit être intégrée dans la gouvernance d'entreprise globale de l'institution financière, alignée sur ses objectifs stratégiques et soutenir sa mission et ses valeurs. Elle doit inclure une évaluation régulière des risques, l'identification des mesures de contrôle appropriées, la surveillance continue des activités informatiques et la mise en place d'un plan de gestion des incidents. La gestion des risques liés aux SIC bancaires doit être une responsabilité partagée entre les différents départements de l'entreprise pour garantir une utilisation efficace des SIC tout en minimisant les risques.

La gouvernance d'entreprise : l'intégration de la gouvernance des SIC bancaires

2023-04-05T11:22:00.000+00:00

La gouvernance d'entreprise : l'intégration de la gouvernance des SIC bancaires

Dans le monde des institutions financières, la gouvernance des systèmes d'information et de communication (SIC) est devenue un enjeu stratégique majeur. La technologie est devenue un outil incontournable pour les banques, non seulement pour améliorer l'efficacité opérationnelle, mais également pour offrir de nouveaux produits et services aux clients. Cependant, la complexité des SIC peut entraîner des risques considérables, tels que la cybercriminalité et la perte de données, qui peuvent nuire à la réputation d'une banque et affecter sa santé financière. C'est pourquoi la gouvernance des SIC bancaires est cruciale pour assurer la sécurité et la protection des données tout en optimisant les avantages offerts par la technologie.

La gouvernance d'entreprise est un cadre de gestion qui vise à aligner les activités et les décisions de l'entreprise sur ses objectifs stratégiques, sa mission et ses valeurs. La gouvernance d'entreprise s'applique à tous les aspects de l'entreprise, y compris les SIC. En effet, la gouvernance des SIC bancaires doit être intégrée à la gouvernance d'entreprise globale. Elle doit être alignée sur les objectifs stratégiques de l'institution financière et soutenir sa mission et ses valeurs.

Pour une banque, les objectifs stratégiques peuvent inclure l'expansion géographique, l'amélioration de l'expérience client, l'augmentation des revenus, la réduction des coûts, etc. La gouvernance des SIC bancaires doit donc soutenir ces objectifs stratégiques en fournissant des systèmes d'information et de communication fiables, évolutifs et adaptés aux besoins de l'entreprise.

La gouvernance d'entreprise implique également la mise en place de structures et de processus de gouvernance clairs et efficaces pour gérer les risques liés aux SIC. Les risques comprennent les menaces externes telles que la cybercriminalité, les erreurs internes, les défaillances techniques, etc. La gouvernance des SIC bancaires doit comprendre une évaluation régulière des risques, l'identification des mesures de contrôle appropriées, la surveillance continue des activités informatiques et la mise en place d'un plan de gestion des incidents.

En intégrant la gouvernance des SIC bancaires à la gouvernance d'entreprise globale, les banques peuvent aussi garantir la transparence, la responsabilité et l'éthique dans la gestion des SIC. Cela peut contribuer à renforcer la confiance des parties prenantes, notamment des clients, des investisseurs et des régulateurs.

En conclusion, la gouvernance des SIC bancaires est essentielle pour assurer la sécurité et la protection des données tout en optimisant les avantages offerts par la technologie. En intégrant la gouvernance des SIC bancaires à la gouvernance d'entreprise globale, les banques peuvent garantir que les SIC soutiennent les objectifs stratégiques de l'entreprise tout en respectant les normes réglementaires et les exigences de sécurité et de confidentialité.

La gouvernance des systèmes d'information et de communication (SIC) bancaire

2023-04-05T11:18:00.003+00:00

La gouvernance des systèmes d'information et de communication (SIC) bancaire est un enjeu stratégique majeur pour les institutions financières. Ainsi, on peut délimiter les grands axes de gouvernance des SIC bancaires en ces point :

La gouvernance d'entreprise : la gouvernance des SIC bancaires doit être intégrée à la gouvernance d'entreprise globale. Elle doit être alignée sur les objectifs stratégiques de l'institution financière et soutenir sa mission et ses valeurs.
La gestion des risques : la gouvernance des SIC bancaires doit garantir la gestion efficace des risques liés à l'utilisation des technologies de l'information et de la communication. Elle doit inclure une évaluation régulière des risques, l'identification des mesures de contrôle appropriées, la surveillance continue des activités informatiques et la mise en place d'un plan de gestion des incidents.
La conformité réglementaire : la gouvernance des SIC bancaires doit garantir la conformité aux réglementations en matière de protection des données, de sécurité des systèmes informatiques, de lutte contre la cybercriminalité et de continuité des activités.
La gestion de la sécurité de l'information : la gouvernance des SIC bancaires doit garantir la protection de l'information sensible contre les menaces internes et externes. Elle doit inclure la mise en place de politiques de sécurité, la gestion des identités et des accès, la surveillance des systèmes et l'audit des activités informatiques.
La gestion des projets : la gouvernance des SIC bancaires doit inclure une gestion efficace des projets informatiques, de la planification à l'exécution. Elle doit garantir la gestion des coûts, des délais et des risques, ainsi que l'alignement sur les objectifs stratégiques de l'institution financière.
La gestion de la qualité : la gouvernance des SIC bancaires doit garantir la qualité des services informatiques fournis aux utilisateurs internes et externes. Elle doit inclure la mise en place de processus de gestion de la qualité, de mesures de performance et de contrôle de la qualité.

En somme, la gouvernance des SIC bancaires doit garantir une utilisation efficace et efficiente des technologies de l'information et de la communication pour soutenir la mission et les objectifs stratégiques de l'institution financière, tout en respectant les normes réglementaires et les exigences de sécurité et de confidentialité.

synthèse sur la sécurité de l'information

2015-01-08T23:05:00.004+00:00

La sécurité de l'information vise à protéger tous azimuts l'accès aux données, dans quelque but que ce soit.

Sûreté ou sécurité ?

Du latin "securitas", ce sont 2 notions proches : la sûreté c'est un état, alors que la sécurité, c'est les conditions de protection.
On se met en sécurité pour être en sûreté. Par exemple, pendant un orage s'abriter sous un arbre n'est pas un lieu de sûreté, car on n'y est pas en sécurité.
La sécurité du SI s'assure que l'entreprise ne risque rien. En somme la sécurité c'est les conditions de la sûreté de la société.

Wikipedia définit, par exemple, la sécurité des systèmes d’information (SI) comme "l’ensemble des moyens techniques, organisationnels, juridiques et humains nécessaires et mis en place pour conserver, rétablir, et garantir la sécurité de l'information et du système d'information".

on attend des réponses:

Que se passe-t-il si un serveur crashe?

Et si on perd nos commandes, comment la production peut-elle continuer ?

Est-on bien protégé contre l'espionnage industriel sur notre SI ?

Les données sont un capital de l'entreprise, car elles sont capitales pour l'entreprise.

La sécurité n'est confinée ni aux systèmes informatiques, ni à l'information.

5 composantes du SI

doivent être prises en compte :

Le réseau et son équipement
Les OS (operateur system)
Les serveurs et PC
Les applications
Les utilisateurs

les risques:

Le système d'information est sujet à divers types de risques :

Intégrité : modification ou suppression de l'information ;
Confidentialité : révélation des informations à des tiers (qui ne doivent pas en avoir connaissance) ;
Disponibilité : de provoquer des pannes, des erreurs, voire de la malveillance.

Certains de ces risques peuvent aussi, directement ou indirectement, causer d'importants dommages :

Financiers (détournement, vol de N° de carte de crédit...) ;
Personnel, causant du tort à la vie privée d'une personne en diffusant des informations confidentielles sur elle (entre autres ses coordonnées postales ou bancaires) ;
D'image, désinformation, diffamation, permettre à une personne de mettre en évidence des failles de sécurité sur un serveur web...

Si un individu faisait passer les employés de l'entreprise pour des ringards, imaginez notre image auprès de nos clients !

À l'entreprise le département R&D a été la cible d'espionnage industriel. Notre système d'agrafeuse a été copié ! Heureusement, notre réactivité nous a fait devancer la concurrence, mais notre secret a été éventé avant l'heure et le manque à gagner est important.

les causes des risques:

Causes humaines

La maladresse : Errare humanum est. Quelqu'un peut exécuter un traitement non souhaité, effacer involontairement des données ou des programmes...

À l'entreprise, on a Roger de la compta qui lance régulièrement le traitement de fin de mois en milieu de mois (il est proche de la retraite !).

L'inconscience : de nombreux utilisateurs méconnaissent les risques, et introduisent souvent des programmes malveillants sans le savoir, ou effectuent des manipulations inconsidérées.

un employé, par exemple, colle un post-it avec son mot de passe sur son écran... pour ne pas l'oublier ! un autre employé, lui, télécharge plein de gadgets qu'il met sur sa fenêtre de bureau ou des vidéos rigolotes pour faire marrer ses collègues.

La malveillance : une personne parvient à s'introduire sur le système, légitimement ou non, et à accéder ensuite à des données ou à des programmes.

Un soir, un employé de l'entreprise a laissé son poste allumé. L'employé de ménage a pu utiliser son poste pour aller sur des sites... de charme. Moindre mal ! Imaginez s'il avait voulu supprimer des commandes !

La majeure partie des menaces est due à l'erreur ou la négligence humaine (utilisateurs comme informaticiens).

Il ne faut pas les ignorer ou les minimiser.

Causes extérieures

Un sinistre (vol, incendie, dégât des eaux)

Il y a eu le feu au stock de l'entreprise. Tout est parti en fumée. Ça aurait pu être la salle serveur. On a d'ailleurs mis un digicode pour limiter l'accès et ainsi éviter les vols.

Une malveillance ou une mauvaise manipulation entraînant une perte de matériel et/ou de données.

Un jour, on a eu des travaux de voiries. Le site de production est resté plusieurs jours sans réseau, coupé du siège, et ne pouvait plus recevoir les commandes.

Problèmes électriques. L'alimentation électrique n'est pas à négliger.

En effet lors d'un orage, on a eu des coupures et des surtensions qui ont abîmé serveurs et disques durs, donc l'accès aux données.

Causes techniques

Surchauffe : les processeurs produisent de la chaleur.

Les climatiseurs de la COGIP sont tombés en panne un week-end. La salle serveur, mal ventilée, est montée en température et les serveurs se sont mis en sécurité, en s'éteignant.

L'usure : elle est inévitable. En tenir compte donc !

Le disque dur du serveur de gestion de paie de la COGIP est tombé en rade... Certains n'étaient pas contents de recevoir leur salaire avec du retard.

Incidents liés au logiciel : des failles permettant de prendre le contrôle total ou partiel d'un ordinateur.

À l'entreprise, on s'est protégé contre les failles de IE et on a été peu impacté par le problème de OpenSSH.

Un programme malveillant : un logiciel destiné à nuire au système.

Attaques par programmes malveillants

Source : Wikipedia

virus

Programme se dupliquant sur d'autres ordinateurs

worm (vers)

Exploite les ressources d'un ordinateur afin d'assurer sa reproduction

wabbit

Programme qui se réplique par lui-même (mais qui n'est ni un virus, ni un ver)

cheval de Troie (trojan horse)

Programme à apparence légitime (voulue) qui exécute des routines nuisibles sans l'autorisation de l'utilisateur

backdoor

Ouvreur d'un accès frauduleux sur un système informatique, à distance

spyware (logiciel espion)

Collecteur d'informations personnelles sur l'ordinateur d'un utilisateur sans son autorisation, et en envoyant celles-ci à un organisme tiers

keylogger

Programme généralement invisible installé sur le poste d'un utilisateur et chargé d'enregistrer à son insu ses frappes clavier

Attaques par messagerie
	Source : Wikipedia
spam	Un email non sollicité. Ils encombrent le réseau, et font perdre du temps
phishing (hameçonnage)	Un email se faisant passer pour un organisme officiel et demandant de fournir des informations confidentielles
hoax (canular)	Un email incitant à retransmettre le message à ses contacts sous divers prétextes. Ils encombrent le réseau, et font perdre du temps. Dans certains cas, ils incitent à effectuer des manipulations dangereuses sur son poste (suppression d'un fichier prétendument lié à un virus par exemple).

Attaques sur le réseau
	Source : Wikipedia les moyen pour instaurer la sécurité: Conception globale Chaque composante du SI doit être prise en compte, afin d'aborder la sécurité du SI de façon globale : une "prise de conscience" par les utilisateurs de leurs responsabilités ; la sécurité des données ; la sécurité réseaux ; la sécurité des systèmes d'exploitation (OS). La sécurité physique doit aussi être prise en compte, au même titre que la sécurité du matériel, afin d'éviter les sinistres (incendies, vol...). Politique de sécurité Élaborer des règles et des procédures. Définir les actions à mener et les personnes à contacter. Sensibiliser les utilisateurs aux problèmes liés à la sécurité des systèmes d'information. Déterminer les rôles et les responsabilités. La politique de sécurité doit donc être élaborée au niveau de la direction des systèmes d'information (DSI), car elle concerne tous les utilisateurs du système. Plan de continuité d'activité Il a pour but la reprise des activités après un sinistre. Il s'agit de redémarrer l'activité le plus rapidement possible avec le minimum de perte de données. Ce plan est un des points essentiels de la politique de sécurité informatique d'une entreprise. L’analyse de risque Identifier les menaces : d’origine humaine, naturelle... internes ou externes. Déduire les impacts : pour atténuer les risques. L’analyse d’impact C'est-à-dire évaluer un risque, son impact et en déterminer la gravité. On en déduit ainsi le temps maximal d’indisponibilité, à partir de laquelle elle est qualifiée de "gênante". Une indisponibilité du site internet institutionnel n'a pas le même degré d'importance que le processus de prise de commande. Mesurer ces risques en fonction de : la probabilité ; leur fréquence ; leurs impacts. la sauvegarde des données: Objectifs de la sauvegarde L'opération inverse qui consiste à réutiliser des données sauvegardées s'appelle une restauration. Les sauvegardes sont utiles principalement à deux choses : Permettre de restaurer un système informatique suite à un incident (défaillance matériel, sinistre…). Faciliter la restauration d'une partie d'un système informatique (un fichier, un groupe de fichiers, un système d'exploitation, une donnée dans un fichier, etc.) suite à une suppression accidentelle ou à une modification non désirée. Ne pas confondre: sauvegarde et archivage Sauvegarde : enregistrement des données dans un but de sécurité Archivage : enregistrement des données à des fins légales ou historiques Critères de choix Le choix d'une technique de sauvegarde se fera en prenant en compte : la capacité de stockage du support (le volume d'information) ; la vitesse de sauvegarde ; la fiabilité du support notamment après une longue période de stockage ; la facilité à restaurer les données ; et bien sûr le coût de l'ensemble. On préférera donc les sauvegardes en ligne, sur NAS ou sur SAN (Storage Area Network : réseau dédié pour mutualiser les systèmes de stockage ), en fonction de sa taille et de son budget. Les NAS sont des serveurs spécialisés pour le stockage (comme un disque dur externe relié au réseau tout entier et non à un poste en particulier). Ils sont donc simples à mettre en œuvre, accessibles par tous les postes d'un réseau. Les NAS d'entreprise implémentent des systèmes de réplication de données (RAID) pour pallier à la défaillance d'un des disques durs du serveur NAS. Les SAN sont un réseau complet qui unifie toutes les ressources de stockage (comme un disque dur interne supplémentaire d'un ordinateur ou d'un serveur). Il compliqué de mettre en place un SAN, car c'est un réseau spécifique avec son propre protocole. Ils sont cependant rapides d'accès, très utilisés pour les bases de données et les serveurs mail et permettent la redondance. Stratégies de sauvegarde La sauvegarde s'inscrit dans une démarche globale qui consiste à assurer la continuité d'activité d'un SI ou, en cas de défaillance, son redémarrage le plus vite possible. Cette démarche est souvent formalisée dans un document qui peut porter des noms divers, par exemple le Plan de reprise d'activité (PRA) ou le plan de secours. les actions correctives Mesures préventives Sensibiliser les utilisateurs. S'assurer de "l'innocuité" des postes de travail et des serveurs. Sécuriser l'accès réseau. Sauvegarder les données. Redondance des matériels : en doublant, on réduit le risque. Dispersion des sites : un accident (incendie, tempête, tremblement de terre, attentat, etc.) a très peu de chance de se produire simultanément en plusieurs endroits distants. Supervision : elle permet de déceler en amont les anomalies. Mesures curatives La reprise des données : elle doit se faire dans un laps de temps court. Le redémarrage des machines. Le redémarrage des applications. Actions pour les utilisateurs N'utiliser que les applications identifiées. Ne pas surcharger les réseaux. Respecter la confidentialité des codes d'accès. Savoir reconnaître les symptômes de panne et savoir en rendre compte le plus vite possible. ... Actions pour les techniciens Avoir une bonne connaissance fonctionnelle et technique du système. Sauvegarder régulièrement et s'assurer que ces sauvegardes soient utilisables. ... Actions pour les responsables S'assurer que les actions à conduire en cas de panne pourront être faites (par exemple, rien ne sert d'avoir des machines de secours si on ne prévoit pas la mise à jour de leur système d'exploitation). ... openclassrooms
	sniffing Technique permettant de récupérer toutes les informations transitant sur un réseau. Utilisée pour récupérer les mots de passe, et pour identifier les machines qui communiquent sur le réseau. spoofing Technique consistant à prendre l'identité d'une autre personne ou d'une autre machine. Utilisée pour récupérer des informations sensibles. denial of service (déni de service) Technique visant à générer des arrêts de service, et ainsi d’empêcher le bon fonctionnement d’un système.

19 IDÉES D’AFFAIRES POUR LES ÉTUDIANTS POUR GAGNER DE L’ARGENT

2014-02-26T18:06:00.002+00:00

La capacité de faire une petite entreprise ou de faire l’argent tout en étant un étudiant pourrait être tout à fait fascinante et s’avérer une expérience enrichissante dans sa vie. Cette activité est aussi une nécessité pour chaque étudiant car non seulement il remplit sa poche mais aussi il contribue également à des initiatives futures.

1) Les lettres de motivation et les CV:

Apprenez les techniques de rédaction des lettres de motivation et reprend la couverture professionnelle. Imaginez- vous le nombre d’étudiants qui passent hors de l’université chaque année pour chercher un emploi, aidez-les en fournissant des lettres de motivation adaptées, vous auriez besoin d’un peu de marketing pour leurs montrer exactement comment votre service peut améliorer leur curriculum vitae.

2) L’enseignement :

Que vous soyez expert dans une langue particulière ou tout autre sujet, vous pouvez toujours regarder vers l’avant pour faire de l’argent. Par exemple les bons tuteurs à la maison sont toujours en grande demande pour les enfants de l’école.

3) Apprendre une activité :

Ne laissez pas votre talent et la connaissance des activités parascolaires telles que jouer de la guitare, piano, peinture, etc jetés à la poubelle. Rejoignez une école de musique ou une école d’art qui détient les classes de week-end ou lancer vos propres classes.

4) Comptabilité :

Vous pouvez chercher des emplois de comptable à temps partiel dans les petites entreprises et de faire un peu d’argent chaque mois. Il n’est pas obligatoire d’être bien familiarisés avec la comptabilité. Il ne faut que quelques jours pour apprendre la comptabilité de petite entreprise et même un étudiant en sciences peut faire ce travail.

5) Vendre des objets faits à la main (Handmade) :

Si vous avez du talent dans la fabrication des articles de cadeau ou tout autre produit utile, c’est une grande opportunité pour vous de faire de l’argent. Prenez part à des expositions et des expositions d’art et d’artisanat pour commercialiser et vendre vos articles fait à la main. Vous pouvez même vendre vos œuvres si vous êtes bon.

6) Aide informatique

Si vous êtes bon en informatique, vous pouvez fournir un service d’installation du logiciel, le service de réparation d’ordinateurs et d’autres services de soutien liés à l’ordinateur. C’est un bon moyen de gagner de l’argent et développer les compétences informatiques de chacun.

7) les blogs :

Faisant des blogs est une habitude. Les blogs peuvent être mis gratuitement, ne ratez pas maintenant de choisissez votre sujet, commencez à écrire aujourd’hui !

8) Vendre sur eBay :

Cela ne devrait pas être un nouveau terme pour vous. Presque tout peut être vendu sur eBay. Vendez vos objets inutilisés ou acheter des objets inutilisés de vos voisins ou amis ou même les entreprises de les vendre à un prix plus élevé sur eBay.

9) Design les slogans de T-shirt :

Les entreprises paient pour les slogans des T-Shirts. Si vous pensez que vous avez un bon sens de l’humour, utilisez votre talent et vendez vos slogans en ligne.

10) Vendre des ebooks :

Utilisez votre écriture pour créer des ebooks utiles et instructifs et vendez les en ligne. eBooks ne doivent pas être de 100 pages. Même quelques pages de bonnes informations peuvent être présentées à la vente. Ces jours, vous pouvez aussi publier et vendre votre propre livre en version papier à Amazon sans aucun investissement. Vous devriez consulter cette liste de sites où vous pouvez vendre vos livres électroniques.

11) Donnez un Commentaire en ligne :

Saviez-vous que vous pouvez être payé pour écrire des commentaires. Les commentaires sont généralement effectués pour les produits et les services des entreprises prêtes à payer pour la même chose. Vous devriez vérifier payé pour examiner les sites comme ReviewStream.com, SharedReviews.com……….

12) Faire des enquêtes en ligne :

Passer vingt minutes pour faire des enquêtes en ligne tous les jours pour gagner de l’argent, ce n’est pas une mauvaise affaire après tout!! Il existe de nombreux sites légitimes qui paient pour prendre des enquêtes en ligne. Vous devez appliquer pour ceux qui opèrent dans votre pays. Voici quelques bons sites d’enquête sont Toluna, PanelPlace, GlobalTestMarket, etc

13) Jouez aux jeux en ligne :

Si vous aimez jouer les jeux numériques, ne jouez pas seulement pour passe-temps, jouez pour gagner de l’argent. Choisissez un des sites tels que Moola.com, Clubbing.co

14) Rédiger des articles et Gagnez

Même si vous ne voulez pas créer votre propre blog, vous pouvez écrire pour d’autres sites de partage de revenus. Deux des meilleurs sites de blog de partage des revenus que vous devez rejoindre sont Squidoo et Hubpages.

15) Vendre des photos en ligne

Si la prise de photographies est votre passe-temps, n’attendez plus pour faire de l’argent en ligne. Il existe de nombreux sites qui paient pour les photographies numériques. Certains des meilleurs sites sont iStockPhoto, Dreamstime, Shutterstock.

16) Qualité capture des vidéos en direct :

Vous aurez besoin d’un bon enregistreur came. Que ce soit lors d’événements sur le campus ou d’autres concerts, tout enregistrement en direct, éditer et télécharger sur votre chaîne YouTube. Vous pouvez facilement gagner de l’argent à partir de Google Ads.

17) Organiser des événements :

Non seulement les parties mais l’organisation de petits événements comme la compétition de danse, concours de chant, etc, peuvent apporter beaucoup d’argent pour vous. En outre, il ne sera pas un gros problème si vous faites équipe avec vos amis. Votre source de revenu pourrait être les participants et aussi les sponsors et les annonceurs.

18) Un intermédiaire

Vous pouvez travailler à titre d’intermédiaire et aidez les nouveaux étudiants qui viennent à la ville à trouver des appartements. Chargez un pourcentage de commission du courtier pour donner des pistes.

19) Aider les entreprises dans les médias sociaux

Il y a encore beaucoup de petites entreprises qui ne savent pas encore la valeur de Web Marketing. Convainquez les petites entreprises locales sur les avantages de la socialisation et la promotion de leur entreprise en ligne et de maintenir au début les pages Facebook et des comptes Twitter et promouvoir dans Google Adresses, etc …Faire ces tâches simples peut vous donner beaucoup d’argent !

التجارة الالكترونية في المغرب: رقم معاملاتها تجاوز 27 مليون دولار بداية العام وتستهدف 9.6 مليون حامل بطاقة ائتمان بنكي

2013-09-06T01:20:00.004+01:00

زكريا عبد الكريم -

مع تزايد مستخدمي الانترنت في المغرب الذي يتجاوز عددهم 15 مليون مستخدم، و جدت التجارة الالكترونية تفاعلا نسبيا في السنوات الأخيرة رغم الكثير من المعوقات التي تجعل هذا النمو محدودا. فرغم العدد الكبير من المتعاملين بالبطائق البنكية إلا أن هناك استحياء في أرقام المعاملات التي تتم الكترونيا، لتأثر نمو التجارة الالكترونية بعدة عوامل منها ما هو اقتصادي و قانوني، وهذا عائد لحداثة التعامل التجاري الالكتروني في المغرب مقارنة مع تواجد خدمة الانترنت في المغرب منذ 1995. ومن الملاحظ ايضا ان معاملات هذه التجارة منذ بدايتها في المغرب بلغ 2.5 مليار دولار مقابل أكثر من 11 مليار دولار في مصر، كما نجد ايضا عدم تبني إستراتيجية واضحة في هذا المجال يطرح العديد من التساؤلات عن نجاع الخطوات التي قام بها المغرب في تطوير التجارة الالكترونية .

تضارب الإحصاءات

من الملاحظ تضارب الإحصاءات حول رقم معاملات التجارة الإلكترونية المغربية فنجد أرقام الفيدرالية للتجارة الالكترونية تضع أرقاما لا تتطابق مع إحصاءات شركة التجارة الالكترونية (ماروك تلكوميرس) التي اتهمت مؤخرا من قبل شركات التجارة الالكترونية بالاحتكار وفرض عمولة مرتفعة جدا مقارنة بالبلدان الأخرى حيث تصل العمولة إلى 2 في المائة داخل المغرب و 3.5 خارج المغرب.

وفي السياق ذاته، يقول رئيس الفيدرالية الوطنية للتجارة الالكترونية، الامين السرحاني الادريسي، معلقا على تضارب الاحصاءات حو التجارة الالكترونية (أن اكبر خطا هو اعتماد رقم معاملات هذا القطاع على البطائق البنكية فقط في حين يشمل ذلك اداءات أخرى موضحا أن الفدرالية أصدرت أرقاما اعتمدت على دراسة لماكينزي وإحصائيات (باي بول) التي يوجد مقرها باللوكسومبورغ) ، و يتسأل السرحاني عن دور بنك المغرب في تطوير التجارة الالكترونية و تفعيله لمجلس المنافسة والاهتمام بهذا القطاع المهم الذي يتجاوز معاملاته 3 ترليون دولار عالميا.

قطاع تجاري "محصور"

لا يزال نمو قطاع التجارة الالكترونية في المغرب محصورا في فئات معينة مما يحرم هذا القطاع من فئات كبيرة أخرى من الاستفادة من ميزات هذه التجارة التي توفر الوقت والتواصل المباشر دون تعدد الوسطاء. فلم يصبح بمقدور المغاربة التسوق باستخدام بطائق الائتمان الخاصة بالبنوك المحلية إلا عام 2008، رغم أن استخدام شبكة الانترنت داخل المغرب بدأ منذ عام 1995 ، ورغم أن عدد حاملي البطائق الإلكترونية في المغرب تجاوز 9.6 مليون بطاقة حتى الربع الأول من عام 2013.

ورغم أنها مازالت متعثرة إلا أن رقم معاملات التجارة الإلكترونية في المغرب سجلت في الربع الأول من عام 2013 ما يقارب 27 مليون دولار وهو رقم متواضع مقارنة بدول مثل مصر، وإذا ما قارنا الربع الأول بالأرباع الأولى للأعوام السابقة سنجد أن هذا الرقم في ارتفاع مضطرد.

إلا أن ما يؤثر في الحد من نمو هذا النوع من التجار الجديدة هي الرسوم الجمركية والضرائب على السلع التي يتم ترويجها عبر الشبكة العنكبوتية. وهذا يطرح إشكالا دوليا كبيرا ما بين الدول النامية وتلك المتقدمة حيث تسعى بعض الدول المتقدمة إلى إلغاء كل أنواع الضرائب والرسوم الجمركية على المعاملات الالكترونية التي يتم تنفيذها بالكامل على شبكة الانترنت بما فيها أعمال التسليم وذلك من أجل التشجيع على التجارة الالكترونية وإدراكا لأهميتها في تعاملات التجارة العالمية ونموها.

"تراخي" بنك المغرب

أظهرت تقارير دراسية لماكينزي، وإحصائيات "باي بول"، التي يوجد مقرها باللوكسومبورغ، أن المغاربة اشتروا أكثر من 7 مليار درهم بالخارج و 700 مليون درهم بالمغرب، إذ اشتروا 10 مرات أكثر من ما اشتروه في المغرب وهذا يعود لقوة العرض وتعدد المواقع التجارية الالكترونية الخارجية في تلك البلدان بعكس المواقع التجارية في المغرب التي ما ترزال قليلة وإمكانياتها محدودة، مما يعكس الفرق الشاسع بين أرقام المعاملات ما بين المواقع المغربية والخارجية. ويعزى هذا التراخي إلى بنك المغرب الذي لا يشجع على تسهيل هذه التجارة ورواجها في المغرب في ظل وجود أكثر من 15 مليون مستخدم و 9.6 مليون حامل لبطائق الائتمان البنكية .

وحتى تنمو التجارة الالكترونية في المغرب يرى الخبراء أنه يجب أن تتكاتف عدة جهات أبرزها بنك المغرب والقطاعات الخاصة للتعريف بفوائدها وتذليل الصعاب لنهوض بها وتشجيع خلق شركات جديدة تحظى بشهادات الجودة العالمية لتسيير التجارة الرقمية في المغرب وعدم احتكارها من شركة واحدة كما هو حاصل حاليا من قبل شركة "ماروك تيلكوميرس". حيث يعتقد الخبراء أن المستقبل سيكون لهذا النوع من التجارة التي لم تدرك حتى الآن الكثير من فوائدها مثل تسهيل التواصل الفعال بين الشركاء والعملاء بدون وسائط، واختصار المسافات، وتخفيض مصاريف الشركات، وخفض الأسعار، ودمقرطة المعاملات التجارية.

source: http://www.lakome.com

Accueil

إنفوجرافيك: التجارة الإلكترونية في الشرق الأوسط

2013-08-14T11:18:00.000+01:00

إن استخدام الإنترنت ينمو في الشرق الأوسط بكل تأكيد، لكن دعوني أخبركم أن هناك تفاصيل أكثر دقة من مُجَرَّد جملة تحوي في طيَّاتها أرقاما هائلة.

إن عدد مستخدمي الإنترنت في الشرق الأوسط هو 90 مليون مُستخدم، وتم تقدير مبيعات التجارة الإلكترونية في الشرق الأوسط وشمال أفريقيا بنحو 15 مليار دولار تقريباً في عام 2015، صعوداً من 9 مليار دولار منذ عام 2012.

يكشف الإنفوجرافيك أيضاً أن قيمة التجارة الإلكترونية عبر الهواتف الذكية في الشرق الأوسط وشمال أفريقيا قد تصل إلى 4.9 مليار دولار بحلول 2015.

كذلك فإن نصف المستهلكين في الشرق الأوسط تقريباً 47% يملكون بطاقة دفع، وما يتراوح بين 70% إلى 80% من عمليات الشراء عبر الإنترنت للسلع المادية في الشرق الأوسط تتم عبر الدفع بواسطة تلك البطاقات عند الاستلام، في حين أن هُناك 30% فقط يتم الدفع فيها عبر الإنترنت.

إليكم المزيد من المعلومات الشيِّقَة والإحصاءات والتوجهات عن التجارة الإلكترونية في الشرق الأوسط بالإنفوجرافيك التالي:

تأثير تكنولوجيا الحوسبة السحابية Cloud Computing على قطاع التجارة الالكترونية

2013-08-13T12:25:00.001+01:00

الحوسبة السحابية أو Cloud Computing هي الإصدار الجديد لنظم تكنولوجيا المعلومات IT، وقد كانت المرة الأولى التي أسمع عنها كان من صديقي مهندس الآي تي العتيد، حينما أخبرني عن اعتزامه الحصول على كورسات جديدة يجاري بها التطورات الجديدة في عالم الآي تي حيث ستتحول كل سرفراتنا إلى Cloud Servers.

بحكم عملي السابق في مجال الآي تي أعرف ما تعنيه كلمة (سحابة Cloud) ولكن المدهش هو المفهوم الذي وصل إلى ذهني وأردت التحقق منه، وقد كنت على حق .. فهو يقضي بأن يجعل كل سرفرات المعلومات الخاصة بك، والداتا سنتر، والتطبيقات المختلفة، ووضعها في مكان مستقل مؤمن بحماية تقنية ومادية على أعلى مستوى، وتتعامل أنت معه عن طريق حسابك الخاص Remotely وتنفق فقط على قدر ما تحتاج من سرفرات وخدمات Pay As You Get.

مع أنظمة الـ IT القائمة على الحوسبة السحابية، سيتمكن المستخدم من تقليل تكلفة الأجهزة كثيرًا، وكذلك خفض معدل التعقيد في أداء المهام. إضافة إلى ذلك فهي تسمح للمستخدم بالاستفادة من الخدمات الإضافية التي تظهرها تكنولوجيا المعلومات، وذلك حسب الطلب.

وحسب المعنى المفهوم من بنية السرفرات الافتراضية Virtual Servers والتي تحول من السرفر المفرد (كجهاز) إلى أكثر من سرفر (كآداء) سيتيح للمستخدمين (الشركات) التمتع بوفورات نقدية كبيرة، والاستفادة بنظرية توحيد التكلفة الثابتة. (توحيد التكلفة الثابتة: حينما تقوم الشركة المقدمة لخدمة السرفرات السحابية بتسديد فواتير تكلفة ثابتة كإيجار المكان، تدفع مبلغ ثابت تقريبًا سواء كان لديها 10 عملاء أو 20 عميل، فكلما زاد عدد عملائها، انخفض سعر الخدمة التي تقدمها لأن تكلفتها الإجمالية انخفضت).

النماذج المهجنة Hybrid Models من الأعمال أيضًا ربما ترغب في بناء السحابة الخاصة بها، وتدخل بصورة مؤقتة سحابة عامة إضافية – كاحتياطي – لو تطلب البزنس الخاص بها هذا الأمر.

وكمثال تطبيقي لهذه التقنية، مواقع المتاجر الالكترونية .. حيث تسعي هذه المتاجر مستقبلًا إلى تعلية أداءها باستخدام تقنية الحوسبة السحابية، عن طريق إطلاق حملات ضخمة عبر الشبكات الاجتماعية بدون الحاجة إلى تعلية وتطوير البنية التحتية الخاصة بها اعتمادًا على الحوسبة السحابية.

الأنواع المختلفة للسحابة بناءًا على الخدمات

SaaS أو Software as a Service: وهي تعني في المقام الأول أن المستخدم النهائي سيتعامل مع الموقع لهذا الغرض عن بعد عبر الإنترنت. المثال المشابه له هو خدمة تتم عن بعد مثل CRM أو Customer Relationship Management مثل تلك التي توفرها Salesforce أو برامج فوترة مثل Invoicera أو مركز البيانات المعروض من موقع أمازون لخدمات الويب.
PaaS أو Platform as a Service: أفضل مثال للـ PaaS هو متجر تطبيقات جوجل Google App Store. فهو في المقام الأول يهدف إلى أنشطة المتطورين الذين يرغبون في نشر تطبيقاتهم مباشرة في سرفر السحابة، وليسوا على قدر كبير من الاهتمام بالارتباط بالبنية التحتية للسرفر.
IaaS أو Infrastructure as a Service: هي تعطي تصريح للمطورين لكي يأخذوا أعلى مستوي من التفاعل المباشر مع البنية التحتية للسرفرات. وتتيح لهم كذلك نشر تطبيقاتهم الخاصة بأعمالهم في تلك البيئة البعيدة، والتحكم فيها عن بعد بصلاحيات أكبر.

حتى الآن، فإن نموذج SaaS هو المهيمن على الصناعة الحالية، وإمكانياته وإعداداته تم اكتشافها من قوى مختلفة في السوق الآن.

على حافة تقنية الحوسبة السحابية مع المتاجر الإلكترونية

1. عامل الثقة

في المراحل الأولية جدًا من عالم الويب، كان أحد التحديات التي تواجه صناعة المتاجر الإلكترونية، والشركات التي يعتمد البزنس الخاص بها على الويب، لم يكن تحدي وظيفي أو تحدي تقني، ولكن كان عامل نفسي بحت مرتبط بالطبيعة البشرية .. الثقة.

لم يكن المستخدمين يثقون بالتعامل مع ما يحدث على الإنترنت، باعتباره عالم افتراضي يبيع ويشتري مجموعة من النبضات الكهربائية والبيكسلات الضوئية، ولذلك واجهت هذه الصناعة الكثير من العقبات الصلبة في البدايات. لقد أخذ الأمر كمية معتبرة من الوقت للشركات لكي يبنوا عامل الثقة ويدربوا العملاء ويقودوهم إلى الشراء من المتاجر الإلكترونية على الإنترنت.

أما وصول السحابة الإلكترونية المبنية على الحوسبة، فقد جعل الأمر سهل للشركات القائمة بالفعل في عالم الأعمال وتلك حديثة البدء، للاستفادة بالثقة المتوافرة لدى الكيانات الضخمة التي قامت بالفعل ببناء الأنظمة الخاصة بها اعتمادًا على تكنولوجية الحوسبة السحابية مثل جوجل وأمازون وSalesforce. ولذلك فإن الشركات تستطيع كسب ثقة المستخدمين عن طريق إخبارهم أن هذه المنصة الحديثة، تم اختبارها وإدارتها من قبل أفضل مهندسي الحوسبة السحابية في العالم، لدى أكبر الشركات، ومن ثم فهي آمنة ومؤمنة تمامًا.

2. التوفير الهائل في التكلفة

الحوسبة السحابية تعتبر الاختيار المفضل الآن لأنها تسمح لرواد الأعمال وأصحاب الشركات الكبرى بوفورات هائلة في التكلفة، وأي بزنس بصفة عامة يبحث عن كل سبيل يستطيع من خلاله تعلية إيراداته، ويعتبرمبدأ تقليل التكلفة هو أول هذه السبل. لذلك فهي من المرجح أن تكلف أقل مما لو كان المستخدم يقوم بتطوير بوابة تجارة إلكترونية، تتطلب تكلفة لمستلزمات خاصة من سرفرات ذات مواصفات خاصة، لتتحمل حجم معين من الترافيك، …الخ.

في أي وقت من زمن بدء أي بزنس، تمكنك الحوسبة السحابية وتطبيقاتها من توفير التكلفة التي تتحملها الشركة بنسبة قد تصل إلى 80% من التكلفة التي من المرجح أن يدفعها أي بزنس لنشر منصة تجارة إلكترونية.

3. النتائج السريعة

مع تطبيقات الحوسبة السحابية، تستطيع الشركة أن تحصل على بوابة تجارة إلكترونية جاهزة للإطلاق بسرعة أكبر 5 مرات من المعدل العادي لإطلاق مثل هذه النوع من الأعمال على الإنترنت. فإذا كنت في حاجة ماسة إلى منصة قوية متميزة في وقت قصير، فإن تطبيقات الحوسبة السحابية تستطيع توفير هذا الحل لك.

4. مستوى عال من التدرج

خدمات الحوسبة السحابية شديدة المرونة حسب الطلبات المقدمة طبقًا لنوع الأعمال. التدرج هو السمة المميزة لها بالشكل الذي يسمح لخدمة معينة بأن تنمو مع الوقت وتزيد مجالها. مع الخدمات المقدمة بناءًا على تقنية الحوسبة السحابية، تستطيع بكل سهولة تلبية ارتفاع الطلب في المواسم، وكذلك تلك الطلبات الناشئة من الحملات الترويجية الخاصة.

5. حماية أفضل

الاهتمام بأمر الحماية هو مسألة محسومة في إنشاء أي منصة على الويب، ولا سيما المتاجر الإلكترونية. لقد استشرت عمليات الإحتيال على الإنترنت مؤخرًا، ولكن تقنية الحوسبة السحابية تأخذ في اعتبارها الأمان التام للتطبيقات، وكذلك الشبكات المختلفة، والأجهزة المادية. معظم مقدمي خدمات الحوسبة السحابية مقيد بالحصول على شهادات معيارية للجودة من أكثر من مصدر مثل ISO 27001 وكذلك مراجعات SysTrust. وكذلك شهادات ISO 9001.

بالإضافة إلى جهود الحماية التقليدية، فإنه مع الحوسبة السحابية قد تم بذل المزيد من الجهد لتوفير حماية أمثل كتلك التي تكون المتاجر الإلكترونية في أشد الحاجة إليها. مقاييس الحماية الشديدة تم تطبيقها على مستويات مختلفة، مثل التطبيقات، والشبكات وكذلك مستويات السهولة.

جهود الحماية تلك تشمل تشفير البيانات، فحص الشهادات عن طريق القياسات الحيوية Biometrics، تقييم أوجه الضعف، شهادات الطرف الثالث Third Party Certifications .. الخ.

6. ربط وتشغيل بيني أفضل

هناك نمو كبير في حقل الحوسبة السحابية والعمليات المستندة إلى تطبيقاتها، وهذا عزز إلى حد كبير سهولة وسرعة نقل البيانات والمعلومات بين الشبكات السحابية والمجتمعات المختلفة على الويب.

ملاحظة أخيرة

الحوسبة السحابية ليست لغزًا أو موضة عابرة في عالم الويب، ولكنها ترسم بشكل كبير الاتجاه التقني لصناعة المتاجر الإلكترونية في المستقبل. فهي تحدد كيف سيكون التحول في عالم الأعمال، وكيف سيتم تخزين البيانات وتشغيلها عبر تطبيقات تجارة إلكترونية (متاجر إلكترونية) مختلفة يمكن العمل عبرها بسهولة شديدة، بالتعامل والمشاركة والتفاعل، مثلما يحدث في عالم الويب العادي الآن، ولكن بشكل أكثر تطورًا.

وجنبًا إلى جنب مع ذلك، فإن تطبيقات الهواتف الذكية، من المتوقع لها الاستفادة من الحوسبة السحابية، وعرض شريحة عريضة من الخدمات للمستخدمين، وربطهم في مختلف العمليات ذات الصلة بالتجارة الإلكترونية.

مجيء الحوسبة السحابية تم التعامل معه باحترام شديد، بنفس الصورة التي قوبل بها الإنترنت في تسعينات القرن الماضي. لذلك من المقرر والمتوقع لها أن تكبر في عملياتها التشغيلية وإمكانياتها الاستخدامية وفوائدها مع الوقت.

source:

Accueil

Une approche globale de la sécurité de l’information : théorie et pratique

2013-06-21T18:53:00.001+01:00

" Beaucoup de systèmes d’information n’ont pas été conçus sûrs. La sécurité qui peut être obtenue par des moyens techniques est limitée, et elle devrait être soutenue par des procédures et une organisation appropriées. "Introduction de l’ISO/IEC 17799:2005(E) Cet article présente une approche globale de la sécurité de l’information, d’où son titre ;-)… Après une courte introduction, nous verrons deux approches, les meilleures pratiques et les normes, pour appréhender les idées principales de la sécurité de l’information sans partir d’une page blanche, puis nous mettrons en lumière quelques éléments pragmatiques de son implémentation au sein d’une organisation.

1. Le processus de la sécurité de l’information

Tout est dit dans l’introduction de l’ISO 17799 citée ci-dessus : la sécurité de l’information (SI) n’est pas seulement une problématique technique. Certaines entreprises sont désormais conscientes que quelques briques technologiques, logicielles et matérielles, ne suffisent plus à protéger leurs informations critiques, d’ailleurs nous devrions dire " ne suffisent pas " car ils n’ont jamais suffi. Ces entreprises se tournent désormais vers le management de la sécurité, dans une approche globale, aussi bien organisationnelle, technologique que juridique. Rappelons, que l’information n’a de valeur que lorsqu’elle est exploitée, traitée et souvent échangée avec d’autres entités internes ou externes. L’environnement dans lequel l’information évolue et est manipulée est donc complexe. Il est composé d’hommes et de relations humaines, de processus, d’éléments technologiques et d’exigences juridiques, tout ceci en mutation constante. Vouloir s’attaquer à la sécurisation de l’information implique l’obligation de prendre en compte tous ces paramètres. Il en est de même pour la sécurisation des systèmes qui participent à l’exploitation de cette information. La SI se décline donc d’un point de vue humain, l’homme en tant qu’individu mais aussi au niveau des structures et des organisations qu’il met en place. Elle doit également être présente au niveau des processus métiers de l’entreprise et des procédures associées. Enfin, on la retrouve au niveau des éléments techniques constituant le système d’information. De plus, l’environnement de l’information évolue sans cesse. Il sera donc nécessaire de vérifier chaque jour, de surveiller en continu l’adéquation des solutions trouvées hier à la problématique de la SI, et estimer ce qu’elles donneront demain. On voit donc que l’on entre dans un véritable processus de la SI, processus d’amélioration continue, consistant à identifier et mettre en place des mesures préventives et correctives, à surveiller leur performance et à corriger les écarts qui ne manqueront pas d’apparaître. On est loin du simple achat d’un pare-feu supplémentaire…

2. Ne pas réinventer la roue… de Deming

Devant l’ampleur et la complexité du processus de la sécurité de l’information, une aide pour sa mise en œuvre est souvent recherchée. Deux voies sont alors classiquement suivies, seules ou de façon complémentaire : les meilleures pratiques et les normes. Par la suite, nous allons classifier ces démarches possibles et les expliciter ensuite.

2.1. Classification des approches

Une approche inspirée de meilleures pratiques permet d’espérer bénéficier de l’expérience, des succès et aussi des erreurs de pairs, qui ont déjà dû traiter les mêmes sujets. Pour une entreprise, cette approche lui permet également de se comparer aux pratiques vraisemblablement mises en œuvre par les autres, en espérant faire ce qu’il faut pour être en sécurité, sans en faire trop, et donc sans investir dans des mesures moins rentables. D’un autre côté, l’avantage des normes est d’être… des normes justement, qui constituent, enfin peut-on l’espérer, un consensus, voire au pire un compromis, entre experts internationaux sur la meilleure façon de traiter un sujet. Les meilleures pratiques et les normes abordent la plupart du temps la problématique de la SI avec des orientations différentes. Schématiquement, on peut classifier les approches possibles comme suit :

S’appuyer sur de telles approches, quelles qu’elles soient, permet de s’assurer d’une certaine exhaustivité, cohérence et homogénéité dans sa démarche, et fournit également des éléments communs (vocabulaire, concepts, …) à tous les intervenants dans le projet : décideurs, utilisateurs, personnels de l’informatique, sous-traitants, fournisseurs, partenaires, etc.

2.2 Meilleures pratiques

De nombreux guides de meilleures pratiques existent. Ils peuvent être nationaux, comme certains composants de la série 800 du NIST[11], ou réalisés par l’industrie, comme les publications de l’ISF (Information Security Forum)[10], de l’ISACA (Information Systems Audit and Control Association)[13]. Prenons comme exemple le " Standard de bonnes pratiques pour la sécurité de l’information " de l’ISF. Ce document est destiné aux entreprises de moyenne à grande taille, de n’importe quel secteur. Selon l’ISF, une entreprise devrait avoir comme objectif final la mise en œuvre de toutes les mesures mentionnées dans son standard afin de limiter les risques pesant sur l’information à un niveau acceptable. L’ISF a choisi de découper la SI en cinq aspects comme montré dans la figure suivante : Les applications critiques se trouvent au centre de cette approche et reposent sur les soubassements techniques de l’infrastructure informatique et des réseaux. Le développement des systèmes aborde la façon dont de nouvelles applications sont créées, et le management de la sécurité explicite les mesures de gouvernance et de contrôle. Chacun de ces aspects est décliné en domaines (area) qui sont à leur tour déclinés en sections. Enfin, chaque section possède un principe qui spécifie ce qui doit être fait ainsi qu’un objectif qui indique les raisons pour lesquelles quelque chose doit être fait. Ces principes et objectifs haut niveau dans le domaine de la SI sont suivis de mesures à mettre en œuvre pour atteindre les objectifs. Même si l’approche des meilleures pratiques consiste globalement à puiser dans un catalogue de mesures celles qui sont le plus adaptées au contexte de l’organisation, elle n’économise pas l’étude des éléments particuliers à chaque organisation, afin de choisir les mesures les plus pertinentes et de les adapter aux besoins spécifiques de chaque situation. Il ne s’agit pas de remplacer l’analyse par la copie.

2.3 Normes et standards

L’approche normative privilégie l’utilisation de normes ou standards reconnus afin de mettre en œuvre une SI globale dans son organisme. Parmi l’ensemble des normes existantes, deux s’intéressent tout particulièrement à ce processus de la SI : la paire BS 7799-2 / ISO 17799 et l’ISO 13335. Pour schématiser, on peut dire que les normes BS 7799-2 et ISO 17799 proposent une approche à la fois technologique, axée sur ce qui doit être fait (ISO 17799) et organisationnelle (BS 7799-2). A contrario, l’ISO 13335 se concentre sur la manière de faire, d’un point de vue organisationnel, juridique et technique. Elle part des concepts et des processus de management de la sécurité pour aboutir in fine à des choix de mesures de protection techniques. Nous allons les présenter rapidement, sans pour autant tomber dans un plagiat de leur contenu.

2.3.1 ISO 17799

ISO a adopté le BS 7799 (et pas BS 7799-2 !) sous le nom de ISO 17799:2000 " Code de pratiques pour la gestion de la sécurité de l'information " en procédure " fast track " (c'est-à-dire suite à peu de négociations entre les différents pays membres de l'ISO …) en 2000. Il propose des recommandations pour assurer la sécurité de l'information, sous la forme d'objectifs de contrôles ou de mesures de sécurité répartis en 10 domaines décrits plus bas. Dans le cadre d’un processus d'amélioration de ses documents, l'ISO 17799 a été mis à jour en juin 2005. Cette nouvelle version ISO 17799:2005(E) propose des moyens de contrôle, des mesures dans le but de réduire les risques qui pèsent sur la SI. Ces contrôles sont répartis par domaines, un objectif de sécurité est énoncé pour chaque domaine, définissant le résultat qui doit être obtenu, et des contrôles sont proposés afin d’atteindre l’objectif de contrôle recherché.

En résumé, l’ISO 17799:2005 prend un peu de recul avec les technologies et les techniques, apporte une mise à jour des contrôles présents dans la version précédente, ajoute des contrôles relatifs au management de la sécurité, et accentue l'importance de la gestion des risques. Le tableau 3 met en lumière le fond des modifications apportées par la nouvelle version aux différents domaines de la norme.

2.3.2 BS7799-2

Le second document intéressant, le BS 7799-2:2002, propose quant à lui un cadre ou un Système de Management de la Sécurité de l'Information (SMSI). C’est en mettant en place ce SMSI dans son organisation que l’entreprise va pouvoir gérer sa SI selon une méthode qui se veut exhaustive et reconnue. Le SMSI s'appuie principalement sur un cycle de gestion de la SI dit " PDCA ", représentant les quatre phases PLAN-DO,CHECK-ACT de la roue de Deming [9], tel que définis plus en détail dans le paragraphe 3.

2.3.3 ISO 13335

L’ISO 13335 intitulé " Management de la sécurité des technologies de l’information et de la communication " offre une autre approche du management de la sécurité des technologies de l’information. Il aborde le sujet à différents niveaux dans ses cinq rapports techniques 13335-1 à 13335-5. Il propose d’abord une approche stratégique (que faire ?) dans ses parties 13335-1, qui présente les concepts et modèles de la sécurité des technologies de l’information, et 13335-2 qui propose une approche du management et de la planification de la sécurité des technologies de l’information. Ces deux parties sont destinées à donner aux dirigeants et aux responsables de la SI d’une organisation, les concepts et méthodes relatifs au management de la sécurité des technologies de l’information. On trouve ensuite une approche pratique (comment faire ?) de la mise en œuvre du management de la sécurité des technologies de l’information. Dans la partie 13335-3 " Techniques pour le management de la sécurité des technologies de l’information ", on trouve des moyens de réaliser les actions énoncées dans la partie 2. La partie 13335-4 " Sélection de mesures de protection " propose un processus de sélection de mesures de protection adaptées aux besoins de sécurité qui auraient été mis en lumière lors d’une analyse des risques menée en partie 3. Même si ces mesures de protection sont générales, des tableaux renvoient à des catalogues tiers de mesures de protection détaillées et de bonnes pratiques, comme :

ISO 17799 ;
ETSI Baseline Security Standard ;
IT Baseline Protection Manual du Bundesamt für Sicherheit in der Informationstechnik ;
NIST Computer Security Handbook ;
Medical Informatics : Security Categorisation and Protection for Healthcare Information Systems ;
TC68 Banking and Related Financial Services ;
Protection of Sensitive Information not covered by the Official Secret Act ;
Canadian Handbook on Information Technology Security.

Enfin, la partie 13335-5 offre un guide pour le management de la sécurité des réseaux, mais sans entrer trop dans les mesures techniques.

Révision

À l’image de ce que nous avons vu pour l’ISO 17799, l’ISO 13335 est en cours de révision. Les rapports techniques 2, 3, 4 et 5 sont assez anciens et le tout va être refondu en deux parties :

une norme ISO 13335 sur la gestion de la sécurité des technologies de l'information et des communications, en deux parties : la 13335-1 " Concepts et modèles pour la gestion de la sécurité des technologies de l'information et des communications " publiée fin 2004 et la 13335-2 " Gestion de risque de la sécurité de l'information " ;
des rapports techniques, les 13335-4 " Sélection de sauvegardes " et 13335-5 " Guide pour la gestion de sécurité du réseau ".

(Voir tableau 5, page suivante.) Nous avons donc vu qu’il existe plusieurs méthodes permettant de guider l’entreprise dans la mise en œuvre d’un processus de sécurité de l’information. En particulier, les BS 7799-2 et ISO 17799 peuvent servir de guide pour réaliser un système de management de la sécurité de l’information. Intéressons-nous maintenant à son implémentation pratique.

3. Un système de management de la sécurité de l’information

À l’image de beaucoup d’entreprises, choisissons le standard BS 7799-2 comme guide pour réaliser un système de management de la SI. Dans les paragraphes qui suivent, nous allons d’abord définir la structure d’un tel système avant d’aborder son implémentation.

3.1. Structure

du système de management de la SI Comme cela a été dit plus haut, il s’agit de mettre en place au sein de l’entreprise un cycle de gestion de la SI en quatre étapes " PLAN – DO – CHECK – ACT ". À la première étape, il s’agit d’établir les fondements de la SI de l’entreprise, et en particulier la politique de sécurité ainsi que les processus et procédures de gestion de la sécurité de l'information afin d'atteindre les objectifs de sécurité identifiés par l'organisation. Cette étape va également contenir la préparation des éléments nécessaires au pilotage du SMSI, c'est-à-dire la sélection des indicateurs adéquats pour suivre le niveau de sécurité dans les différents domaines traités. Dans la deuxième étape, il va falloir mettre en œuvre les mesures de sécurité choisies dans l’étape précédente. Il est possible de s’appuyer sur des mesures issues de catalogues de bonnes pratiques ou de l’ISO 17799. Ces mesures seront de tous ordres : organisationnelles, humaines, procédurales, techniques, etc. Leur propriété fondamentale commune est de participer à la réduction des risques identifiés précédemment. En ce qui concerne les indicateurs, on veillera à définir leur métrique, quoi mesurer et comment, et à les alimenter. Il convient ensuite de " refermer la boucle ", donc de mesurer les résultats atteints et d’apporter les corrections nécessaires. C’est le but des étapes " CHECK " et " ACT ". L’appréciation des performances des moyens mis en œuvre se fonde sur l’exploitation des indicateurs et leur évolution. Ces indicateurs pourront également servir à montrer l’évolution du système de management de la SI, aux dirigeants par exemple. Enfin, la dernière étape consiste à apporter les corrections nécessaires aux mesures mises en place afin d'amener les performances au niveau objectif qui a été déterminé par l'organisation. Le système de management de la SI étant un processus bouclé, il est important de réexaminer le contenu de chaque étape régulièrement, à un rythme annuel voire tous les deux ans. Pour cela, il est primordial d’avoir établi et maintenu à jour une documentation exhaustive de chaque étape. Cette base documentaire enregistre les directions choisies, les options qui ont été laissées de côté, les décisions et toutes les justifications nécessaires. Même si ce formalisme est lourd lors de sa première mise en place, il prend toute sa valeur lors des bouclages successifs, car il permet de ne plus agir que par différence, et non pas de refaire tout le travail à chaque itération.

3.1. Implémentation du système de management de la SI

Nous venons de définir la structure d’un système de management de la SI tel que le propose le standard BS 7799-2. Intéressons-nous maintenant à la façon de mettre en œuvre un tel système de management dans une entreprise. La première phase est la définition exacte des informations qui vont être prises en compte. Choisir un périmètre trop important risque de conduire à un projet sans fin, alors qu’un périmètre trop restreint réduit d’autant l’intérêt de la démarche. Ensuite, il faudra identifier les objectifs de sécurité dans le périmètre retenu, c'est-à-dire savoir comment on veut protéger quelle information, contre qui ou quoi. Il s’agit donc de réaliser une analyse de risques pesant sur le patrimoine informationnel de l’entreprise. Cette analyse de risques est requise par le BS 7799-2, même si le document ne dit pas comment elle doit être réalisée. À chaque entreprise donc de choisir sa méthode, parmi les très nombreuses existantes. Sans vouloir entrer dans une étude exhaustive des différentes méthodes, disons globalement que l’analyse de risques selon l’ISO 17799 et le BS 7799-2 se déroule selon les étapes suivantes :

D’abord, il s’agit d’identifier les informations de l’entreprise les plus sensibles et les processus de traitement de l’information afférents. Le terme de processus doit être pris au sens le plus large, par exemple le processus de gestion des ressources humaines ou celui du recrutement de personnel.
Ces processus sont mis en œuvre par des ressources humaines, organisationnelles et techniques qui doivent être identifiées à leur tour.
Nous allons ensuite analyser et apprécier le risque qui pèse sur ces ressources, c’est-à-dire identifier qui ou quoi pourrait mettre en œuvre quelle attaque, pour exploiter quelle vulnérabilité des ressources, avec quelle probabilité et quel impact sur l’entreprise.
Les risques identifiés sont alors traités : nous pouvons les accepter et ne rien faire, ou les transférer en externalisant une activité par exemple, voire les réduire en agissant sur leurs origines ou leurs conséquences, c'est-à-dire en se fixant des objectifs de sécurité.
Enfin, nous allons choisir des mesures à mettre en œuvre pour atteindre ces objectifs de sécurité. Elles vont être le fondement de la politique de sécurité de l’entreprise.
Il s’agit ensuite de faire le bilan des mesures de sécurité déjà en place dans l’entreprise. Un plan de travail sera alors mis en place pour réaliser les mesures manquantes.

5. Retours d’expériences

Parmi les enseignements d’implémentation de SMSI réussies, on peut identifier quelques éléments clé de succès, des facteurs déterminants sans lesquels un projet de SMSI n’a que peu de chances d’aboutir.

5.1 Engagement des dirigeants

Un premier facteur déterminant pour la réussite d’un projet de SMSI est l’engagement réel et affiché des dirigeants et des managers intermédiaires de l’organisation. Un projet de SMSI est une démarche de gestion des risques qui pèsent sur le patrimoine informationnel de l’organisation. À ce titre, il s’agit donc d’un projet stratégique pour l’organisation qui dépasse la seule compétence de la direction des systèmes d’information, et qui doit émaner, ou au moins recevoir le soutien et la participation, de l’exécutif. De plus, les conséquences de la démarche dépasseront largement le simple cadre des systèmes d’information, et auront vraisemblablement un impact sur toute l’organisation. La démarche doit donc être soutenue au plus haut niveau afin d’obtenir les moyens humains et financiers nécessaires à sa mise en pratique.

5.2 Sensibilisation des utilisateurs

Pour obtenir le soutien et la participation du management, mais aussi de tous les acteurs de l’organisation, encore faut-il les avoir sensibilisés aux risques et aux enjeux de la SI. Il s’agit là d’une modification de leur sensibilité, de leur culture et de leurs habitudes, ce qui ne se fait pas en quelques jours. De véritables campagnes de communication doivent être organisées sur le thème de la sensibilisation à la SI, avec le soutien de professionnels de la communication. Nous voyons une nouvelle fois que les personnes sont au centre de notre démarche. Après avoir converti les dirigeants ;-), attaquons-nous aux autres acteurs de l’organisation, à savoir les utilisateurs mais aussi une autre catégorie de personnels parfois difficiles, les responsables techniques des systèmes d’information. Les utilisateurs doivent être convaincus de l’utilité de faire des efforts au jour le jour, d’accepter les quelques lourdeurs de certaines mesures de sécurité, et de changer eux aussi leur culture et leurs habitudes. Souvent, ils n’acceptent pas facilement ces efforts. C’est dans ces circonstances que le soutien des dirigeants est nécessaire afin de motiver les utilisateurs, sans lesquels le SMSI ne pourra fonctionner. Concernant les responsables techniques et autres administrateurs système ou réseau, nous avons souvent rencontré des problèmes liés à une mauvaise évaluation de leur part des problématiques de sécurité. Même si toute généralisation est fausse, risquons-nous à dire que les concepts de sécurité ne font pas toujours partie de leurs connaissances générales et cela souvent à l’opposé de leur croyance. Il faut alors montrer, et souvent prouver, à ces professionnels que leurs pratiques ne sont pas sécurisées comme elles devraient l’être, avant de leur proposer de nouvelles façons de mieux faire leur métier.

5.3 Classification selon les stades d’apprentissage

Pour résumer le travail de sensibilisation, d’information et de formation à faire, on peut s’inspirer des stades d’apprentissage de l’adulte et les calquer à notre problème. Nous allons donc devoir faire cheminer les acteurs dans le domaine de la SI du stade 1 au stade 3, voire au stade 4 : cf. tableau ci-dessus. Attention tout de même, car parfois certaines personnes peuvent être au stade 1 et croire (ou vouloir faire croire) être au stade 4, comme quand elles expliquent que " les procédures relatives à la sécurité ne sont pas écrites car elles font partie intégrante de la façon de travailler de tout le monde … " ;-)

5.4 Prise en compte des objectifs métiers

Un autre facteur déterminant est la prise en compte des objectifs métiers de l’organisation dans la démarche. Il est souvent difficile mais fondamental de montrer en quoi les mesures qui font parties du SMSI ne sont pas des freins supplémentaires aux activités de l’entreprise, mais bien des éléments qui permettront de travailler mieux : plus vite, de façon moins risquée, voire d’économiser à court, moyen ou long terme des sommes importantes. Nous imaginons bien le petit sourire que ces phrases pourront générer dans les rangs des plus " techniciens " d’entre nous. Plus haut, nous parlions d’un effort à faire pour inculquer un peu de culture sécurité dans les préoccupations des dirigeants et des utilisateurs. Nous parlons ici d’un autre effort que nous, les " techniciens ", devrions faire pour comprendre un peu plus le fonctionnement des " autres " afin de présenter nos convictions sous la forme la plus adaptée possible, dans le but qu’elles soient comprises et acceptées de tous. C’est seulement au prix de cet effort que les mesures que nous pensons indispensables à la SI seront finalement implémentées.

5.5 Approche pragmatique

Enfin, terminons par quelques mots relatifs à un autre standard en préparation, l'ISO 27799. Ce document propose une approche pragmatique pour implémenter le BS 7799-2 dans le domaine hospitalier, en tenant compte d’erreurs et d’expériences passées. Il peut néanmoins être intéressant pour toutes les entreprises même hors du domaine de la santé, car il propose également une partie en forme de guide d’implémentation de la démarche BS 7799-2. Cette future norme préconise en particulier :

la sélection d’un premier périmètre limité à une dizaine de processus, ayant prouvé qu’il permettait de réaliser concrètement un SMSI dans des délais raisonnables, puis une itération sur des périmètres plus vastes ou d’autres processus ;
la mise en place d’une organisation humaine particulière afin d’implémenter un SMSI qui vient en complément de l’organisation humaine proposée par l’ISO 13335-2 pour gérer un SMSI ;
l’utilisation d’un outil d’aide à la réalisation d’un SMSI et d’aide à l’analyse de risques.

6. Conclusion

La sécurité de l’information ne peut pas être traitée par une approche uniquement technique, comme c’est encore trop souvent le cas. Le niveau de sécurité de l’information adaptée à chaque organisation ne peut être atteint et conservé qu’en impliquant tous les acteurs et les processus de cette organisation. À l’image de la qualité qui a transformé radicalement le fonctionnement des organisations dans les années 80, le patrimoine informationnel de toute organisation ne pourra être sécurisé qu’après un changement de culture et de méthodes de travail de cette l’organisation. Un tel processus sera sans doute long à mettre en œuvre, mais des guides et des compétences existent pour aider chaque organisation dans sa mutation. Mais comme en montagne, le guide ne fait que donner la direction, c’est aux randonneurs de faire chaque pas. Notes et liens

[1] EBIOS : Expression des Besoins et Identification des Objectifs de Sécurité, www.ssi.gouv.fr/fr/confiance/ebios.html
[2] Méthode MEHARI : https://www.clusif.asso.fr/fr/production/mehari/
[3] OCTAVE : Operationally Critical Threat, Asset, and Vulnerability Evaluation, www.cert.org/octave/
[4] ISO : International Organization for Standardization, www.iso.org/
[5] BSI : British Standards Institution, www.bsi-global.com/Global/bs7799.xalter
[6] ITIL : IT Infrastructure Library, www.itil.co.uk/
[7] COBIT : Control Objectives for Information and related Technology, www.isaca.org/cobit.htm
[8] BSI : Bundesamt für Sicherheit in der Informationstechnik, www.bsi.de
[9] La roue de Deming originale est formée des 4 étapes Plan-Do-Study-Act :http://fr.wikipedia.org/wiki/Roue_de_Deming
[10] ISF : Information Security Forum, www.isfsecuritystandard.com/index_ns.htm
[11] NIST : National Institute of Standards and Technology, (http://csrc.nist.gov/publications/nistpubs/) qui a publié, entre autres, les documents suivants : • 800-14 Generally Accepted Principles and Practices for 14 • 800- 12 The computer Security Handbook • 800 800-18 Guide for Developing Security Plans • 800 800-26 Self Assessment Guide for IT Systems

[12] ISACA : Information Systems Audit and Control Association, http://www.isaca.org/

source: http://www.unixgarden.com Accueil

Données clefs:Les données de la sécurité de l'information

2013-06-10T10:26:00.001+01:00

Bien comprendre les enjeux de la sécurité de l’information, c’est aussi comprendre quelques données clefs.

En 2010, 80% des entreprises françaises (de plus de 200 personnes) estiment avoir une dépendance forte vis à vis de leur système d’information, et 3/4 considèrent qu'une indisponibilité de 24h et moins de leur Système d'information serait lourde de conséquences.

Pourtant l''édition 2010 du Clusif sur les Pratiques de sécurité en France montrent que :

2/3 des entreprises ne disposent pas de tableau de bord sur la sécurité (alors qu'à 75% elles ont mis en place une politique de sécurité de l’information, autant dire que beaucoup de ces politiques sont théoriques)
2/3 des entreprise indiquent disposer d'un Plan de Continuité d'Activité mais seulement 28% de ces entreprises l'on fait sur la base d'une analyse métier des RTO/RPO (ce qui indique que les entreprises confondent souvent continuité d'activité et haute disponibilité) .
enfin seulement 38% des entreprises réalisent des analyses de risques (chiffre qui semble en plus fort discutable, quand on voit qu'un tiers de ces entreprises disent utiliser ISO 27005 comme méthode de gestion des risques ...)

Bref comme il est indiqué en synthèse de l'étude du Clusif : le travail continue ... laborieusement.

D'après le Gartner, l'Europe en 2010 est le continent où les entreprises consacrent la part la plus faible de leur budget à la sécurité, 4,3%, contre 5,5% par exemple aux Etats-Unis.

Quelle confiance dans leur sécurité de l’information ?

La même enquête aux USA fait par l'ISSA (organisme américain équivalent au Clusif en France, association regroupant des entreprises et des professionnels autour de la sécurité de l’Information), a montré qu’à peine 20% des entreprises américaines sont bien protégées par rapport à un référentiel minimal de bonnes pratiques (ISO 27001).

Bref, telle est la situation en France, on est confiant en la sécurité de l’information pour son entreprise alors que l’on a pas mis en oeuvre une politique de sécurité et les mécanismes de contrôle associés. Etonnant, non ?

Arrivée de méthodes de mesure/contrôle de mise en place de la sécurité de l’Information.

L’arrivée en France de normes internationales et de méthode basées sur des analyses des risques (Mehari, Ebios, ...) réels pour l'entreprise risque bien de remettre en cause notre bonne vieille culture des solutions « techno-centrique », c’est à dire de croire, qu’ayant mis un bon anti-virus, un bon pare-feu le problème de la sécurité de l’information est traité.

Mais peut être que les Directions Générales des Entreprises et Organismes ne délégueront plus la responsabilité de la Sécurité de l’Information au seul département informatique, qui, si il a des responsabilités vis à vis des solutions techniques à mettre en œuvre, n’a ni le pouvoir, ni les moyens de mettre en place une culture sécurité et de risk management) :

le coût moyen d’une incident de sécurité est de 40.000 €
certaines entreprises ont déclaré des incidents de sécurité leur ayant coûté 700.000 €
dans 20% des cas, les entreprises mettent plus d’une semaine pour revenir à une situation de fonctionnement normal.

Quels sont les obstacles à la mise en oeuvre d'un management de la sécurité de l'information ?

Le premier obstacle est souvent économique. Mais en fait cela cache d'autres difficultés. La première est de positionner la sécurité de l'information : chantier technologique ou chantier transverse à l'entreprise.

Suivant la réponse des entreprises, les freins à la mise en oeuvre de la sécurité de l'information sont alors différents.

Les budgets de sécurité sont ils bien distribués ?

On voit dans le graphique ci-après, que la distribution des budgets est très déséquilibrée entre technologie et moyens organisationnels. Bruce Schneier, un expert de la sécurité de l'information résume pourtant bien ce dilemne dans son livre Secrets et Mensonges :
"Si vous pensez que la technologie peut résoudre vos problèmes de sécurité, alors vous n'avez rien compris à vos problèmes ni à la technologie"

Seules les grandes entreprises ont pris conscience de l'importance d'impliquer fortement les directions utilisatrices dans l'ensemble de la démarche sécurité.

Calcul du ROI de la sécurité

Moins d'une entreprise sur trois calcule le ROI des mesures de sécurité. Il est vrai que ce n'est guère plus évident pour la sécurité que pour les autres investissements des systèmes d'information.

Pourtant la mise en oeuvre de certains indicateurs permettraient de mieux justifier les investissements de sécurité. Les premiers concernant évidemment la disponibilité des application critiques pour l'entreprise.

Accueil

source: http://www.ysosecure.com

Enjeux sécurité: Les enjeux de la sécurité de l'information

2013-06-10T09:53:00.001+01:00

Qu'elle est la valeur de l'Information ?

Les japonais du groupe Mitsui ont coutume de dire que l'information est le sang des entreprises. Les technologies de l'information favorisent l'augmentation de la valeur de l'information pour les entreprises. Et si l'information a une valeur intrinsèque (liée notamment à sa création), c'est surtout dans son échange et son partage qu'elle développe cette valeur.

On peut dire que l'information acquiert de la valeur quand elle aide les collaborateurs à agir plus efficacement lorsqu'ils cherchent à réaliser les objectifs qui leur sont assignés par l'entreprise.

Cette valeur de l'information peut prendre diverses formes :

la connaissances des clients ou les informations partagées avec les fournisseurs et partenaires.
Les bases de données de l'entreprise.
Les connaissances (ou savoirs) du personnel de l'entreprise, soit le capital humain
Les brevets, les méthodes, ...

Bien qu'il soit difficile d'attribuer à ces éléments une valeur comptable ou les évaluer en fonction de paramètres comptables normalisés, la perte, la manipulation ou le vol d'informations peuvent considérablement affaiblir une entreprise et remettre en question ses perspectives d'avenir. Il est toujours plus onéreux de produire de l'information que de la copier.

La sécurité de l'Information

L'information représente un actif aussi important que les actifs liés au système de production classique (actifs physiques, actifs humains, actifs financiers, actifs sociaux,...).

Et si de multiples protections ont été développées vis à vis des actifs, que l'on pourrait appeler « traditionnels » : protection des infrastructures, dommages aux biens, protection sociale, en revanche, la sécurité de l'information n'est généralement garantie que de manière partielle et peu coordonnée dans les entreprises et organismes.

La sécurité de l'Information peut être définie comme un dispositif global dont la mise en œuvre assure que l'Information d'une façon qui garantit un niveau approprié de protection de cette information &des actifs liés dans le but d’en garantir :

sa Disponibilité : Garantir que les utilisateurs habilités ont accès à l'information et aux ressources associées au moment voulu
son Intégrité : Sauvegarder l'exactitude et la fidélité d'information et des méthodes de traitement des données
sa Confidentialité : Garantir que seules les personnes habilitées peuvent accéder à l´information

La sécurité de l'information est donc un domaine vaste : il couvre la sécurité des systèmes d'information et des réseaux, la protection vis à vis de l'intelligence économique, la classification de l'information, la gestion des actifs informationnels.

« Les entreprises doivent intégrer la sécurité à leurs services pour gérer les problèmes liés à la perte de confiance. Aussi, les entreprises intelligentes rechercheront et déploieront avec force les nouvelles technologies qui offrent ce genre de protection aux consommateurs. »
Jonathan Penn, Forrester Inc. (« Regagner la confiance du consommateur en Internet »)

La sécurité de l'information, une responsabilité du Management

Repérer et définir les informations critiques pour une entreprise, choisir les mesures de sécurité adéquates, contrôler leur mise en oeuvre. Ces responsabilités de management sont difficiles à déléguer complètement.

La sécurité de l'information c'est 80% d'organisation et 20% de technologie, il faut savoir comprendre et gérer les risques spécifiques, organiser un projet sécurité, s'appuyer sur des normes et des méthodes, identifier les coûts et les gains.

Il serait donc dangereux dans une entreprise de déléguer entièrement la responsabilité de la sécurité aux seules équipes de la Direction des Systèmes d'Information qui risquent d'en favoriser la dimension outils et techniques.

Ainsi, la sécurité de l'information fait partie des tâches importantes de chaque cadre, dans chaque entreprise ou chaque organisation.

On constate d'ailleurs cette prise de conscience sur le rôle du management jusque dans les référentiels de normalisation de la sécurité de l'information comme l'ISO/IEC 27001 qui traduisent bien l'importance des aspects organisationnels et managériaux.

Le risque humain prépondérant

Les attaques de toutes natures se développent et se complexifient. Les attaques les plus fréquentes sont les attaques externes de type "hacker", car elles sont automatisables, réalisables à distance et donnent à l'attaquant un sentiment d'impunité. En revanche elles ne sont pas forcément celles qui génèrent le plus de dégâts pour l'entreprise. Les tentatives d'intrusion sont externes et les intrusions réussies et douloureuses sont d'origine interne.

En effet les attaques venant de l'interne peuvent mettre le plus en danger les entreprises ou organismes (vol d'informations critiques, détournement de fonds, dénigrement d'image de l'entreprise, ...).

Et si l'on croit les hackers ou experts les plus célèbres, le point le plus vulnérable des systèmes est donc souvent l'homme. La sécurité a donc une dimension humaine majeure et un caractère collectif : "la sécurité de mes informations dépend du comportement de mes voisins et vice versa", c'est donc, dans les entreprises une question de management.

Le périmètre de la sécurité de l'information ?

Si nous avons abordé le concept de DIC (Disponibilité , Intégrité et Confidentialité), d'autres concepts peuvent également être nécessaires pour caractériser la sécurité de l'information, il s'agit :

d'authenticité renvoie au fait que le document est ce qu'il prétend être, c'est à dire qu'il n'a pas été manipulé, modifié ou autrement falsifié après sa créatio qui suppose le respect de trois conditions essentielles : le principe de l'image fidèle, la neutralité et la prudence
de traçabilité qui est définie comme "l'aptitude à retrouver l'historique, l'utilisation ou la localisation de cette information au moyen d'une identification enregistrée"
de non répudiation qui est une fonction qui permet d'obtenir la preuve de l'émission d'une information ou de sa réception. L'émetteur ou le récepteur ne peut ainsi en nier l'envoi ou la réception

Accueil

source: http://www.ysosecure.com/

Perception de la menace pour les entreprises : La gestion du brouillard informationnel

2013-06-09T18:51:00.001+01:00

L’analyse informationnelle est au croisement des pouvoirs informationnels

Le chargé d’analyse (Veille, IE, autres) au sein d’une entreprise, joue un rôle déterminant en participant à l’élaboration de l’avantage concurrentiel, du nouveau marketing mix ou bien encore, à travers l’identification de l’innovation.

Comme dans tout théâtre opérationnel, l’enjeu de l’analyse se situe au niveau stratégique, et non tactique. La détection de l’environnement, des menaces et des opportunités sont les clefs du travail du chargé d’analyse. Il est à noter qu’il ne maîtrise pas les informations collectées. Son expertise est de savoir les localiser à travers un environnement multiparamétrique.

L’analyse informationnelle est au milieu des centres de décisions

Dans le cadre de la sphère économique, l’ère de l’internet et notamment du web 2.0 et du web 3.0 a des effets non prévisibles sur les organisations car nous travaillons de plus en plus en flux informationnel tendu. Nous devons gérer plus de volume, en moins de temps, avec la meilleure qualité possible pour le client cible. Cette élasticité informationnelle entraine des changements dans la définition des coûts.

Globalement, nous constatons que les changements imposés aux entreprises de l’ère informationnelle, ainsi que la naissance d’une nouvelle fonction comme celle des veilleurs en est un des signes discrets mais bien réels de cette corrélation entre quantité de données et accélération des échanges.

Une fois que le management a identifié ces problématiques spécifiques au nouveau monde de l’information, il lui reste à mettre en place la solution pour y répondre : création d’un poste ou sous-traitance. Cela impose un changement dans la perception du leadership de l’entreprise, la notion de réseau s’impose peu à peu à la notion pyramidale.

A ce titre, cette seule prise de conscience peut déstabiliser les jeux humains de pouvoir internes…or, tout retard dans la prise de décision du déploiement d’un tel dispositif devient de plus en plus difficile à rattraper dans la nouvelle sphère économique.

L’analyse informationnelle ou le principe de précaution

En théorie, l’analyse informationnelle développe le principe de précaution suite aux décisions qu’elle génère. Dans le processus de vie de l’entreprise, le seul événement correspondant à cette démarche est le plan stratégique. Hors, la démarche d’analyse informationnelle est le socle d’un plan stratégique tourné vers l’ère numérique. Les entreprises chargées de ce secteur estiment des risques potentiels ayant une portée sur la vision stratégique de l’entreprise.

Actuellement, les entreprises industrielles incluent la notion de risque dans toutes leurs divisions et directions internes. Le rôle dévolu à la personne ou l’organisme en charge de l’analyse sera, quant à lui, celui de mesurer la menace concurrentielle, mais nulle part il n’est prévu que son rôle soit, par définition, celui d’identifier les crises, d’anticiper leur gestion et d’assurer leur résolution. Cela implique que l’analyste doit rester dans son rôle, dans sa structure et qu’il n’intervient en aucun cas dans la prise de décision. Déroger à cette règle peut mener à des dérives ultérieures.

Le centre de commandement informationnel : Le danger, moteur de l’action stratégique

C'est uniquement le danger, dans son sens étymologique, le risque ou l'état catastrophique qui pousse l'homme à adopter des solutions capitales. L’analyse informationnelle relève de la même logique : Plus la situation évolue, du mouvement au risque, du risque au danger, plus elle se révèle nécessaire. Actuellement toutes les informations peuvent avoir des conséquences incalculables si elles ne sont pas réceptionnées, maîtrisées, comprises, ou si elles sont mal interprétées : coût du travail, des matières premières, des temps de développement, de l’environnement réglementaire, des modifications de taux de change,…la liste des menaces s’allonge de jours en jours.

A propos que se passe-t-il si vous mixez une méthode de résolution des problèmes avec les techniques du « benchmarking » ? Vous déclenchez l’innovation….et, dans un environnement technologique c’est bien l’innovation de rupture qui peut modifier et impacter durablement le marché.

Loris Morin

Coordinateur de projets
Spotter

source: http://spotter.com Accueil

L’atmosphère du site Webmarchand

2013-06-07T16:41:00.005+01:00

L’atmosphère d’un site Webmarchand permet de le différencier des sites Web concurrents. Nous commencerons d’abord par étudier le concept d’ergonomie et du design (1), ensuite nous aborderons le concept de la perception de l’atmosphère du site Webmarchand et son impact sur la réponse du econsommateur (2).

I. L’ERGONOMIE DU SITE WEBMARCHAND ET SON DESIGN

L'ergonomie d'un site Webmarchand peut être définie par sa capacité à répondre efficacement aux attentes des utilisateurs et à leur fournir un confort de navigation. Elle fait référence à la lisibilité de ses pages, à leur composition, à la structure globale du site et à son design.

1. La structure du site Webmarchand site Webmarchand

La structure choisie lors de la conception du site influence le degré de contrôle que l’internaute pourra exercer sur sa navigation.
La structuration du site Webmarchand permet de bien savoir où l’on se trouve sur ses pages et d’introduire une notion de hiérarchie entre rubriques, sous rubriques, pages principales et pages secondaires. Le but est qu’une information (rubrique, page, paragraphe) ait une relation subalterne avec la page permettant d’y accéder.

On distingue trois types de structures :

La structure hiérarchique : dans ce type de structure, les relations entre les pages reposent sur une organisation de type pyramidale. L’internaute peut accéder aux différentes rubriques à partir de la page d’accueil.
La structure en réseau : dans ce type de structure, les pages sont fortement interconnectées grâce à la présence de liens. Il est possible d’accéder d’une page à une autre sans qu’il ait de structure identifiable.
La structure mixte : dans ce type de structure, les sites utilisent rarement la structuration en réseau pure. Ils combinent bien souvent une structure pyramidale mais au sein de laquelle les pages sont connectées directement les unes aux autres, ce qui permet d’y accéder sans être obligé de remonter toute la pyramide.

2. La page d’accueil du site Webmarchand

La page d'accueil du site Webmarchand est celle qui demande le plus de travail. C'est la porte d'entrée du site et c'est elle que les visiteurs vont juger avant de décider de poursuivre ou non la visite des lieux. Il est impératif qu'elle soit étudiée, repensée, peaufinée et vérifiée plus que toute autre page. Pour ce faire, le Webmarchand ne doit pas :

Faire une page trop lourde : Si nous prenons l’exemple de Yahoo ou Google, nous remarquons que la page d’accueil se charge rapidement. Elle est relativement sobre et reste minimaliste au niveau des graphismes. Il est donc possible de faire une page agréable sans pour autant surcharger en poids. La taille maximale de la page doit être de 50 Ko (kilo octet), ce qui correspond à un temps de chargement d'une quinzaine de secondes avec un modem 56k (400 Ko par minute en théorie donc moitié moins en pratique). Quinze secondes est une longue durée quand nous attendons devant un écran vide !
Faire une page tunnel : Certaines personnes trouvent de bon ton d'avoir une page d'accueil qui ne sert à rien si ce n'est à demander aux visiteurs de cliquer sur le logo ! Il faut rejeter immédiatement cette idée pour un site ducommerce électronique.
Utiliser des technologies non-standard : il ne faut pas mettre d'applets Java sur la page d'accueil, ni de logo en Flash, parce que tout le monde n'a pas les plug-ins nécessaires installés et configurés.
Ne pas proposer de barre de navigation : la page d'accueil est celle qui doit informer les visiteurs des possibilités du site. Il faut donc s’assurer qu'elle décrive l'arborescence du site Webmarchand et que l'internaute sache où aller à partir de cette page.
Mettre trop de choix : une erreur que l'on rencontre souvent est qu'il y a trop de possibilités sur la page d'accueil. Il ne faut mettre des liens que vers les parties importantes du site afin de ne pas surcharger cognitivement l’utilisateur. Selon Marlène Villanova-olivier, la surcharge cognitive est définie comme l’effort d’attention et de concentration que l’utilisateur doit nécessairement produire pour explorer l’espace d’information mis à sa disposition.
Ne pas être à jour : la page d'accueil doit être dynamique ou du moins sembler dynamique. Elle doit être à jour afin de donner une bonne impression aux utilisateurs et aux moteurs de recherche également.

3. Le design du site Webmarchand

Le design d’un site Webmarchand fait référence à la richesse de représentation de l’environnement médiatisé, induite par ses caractéristiques formelles, c'est-à-dire, son graphisme et ses couleurs, l’utilisation d’images, d’icônes, d’animations, de vidéos, de fenêtres incrustées et de sons. Ces éléments contribuent à créer l’atmosphère virtuelle d’un site Webmarchand.

Un design adapté du site Webmarchand doit permettre de limiter les coûts cognitifs qui sont associés à l’exploration de l’offre et bien sûr son évaluation.
Pour optimiser une page Web, il faut veiller particulièrement à l’équipement des visiteurs, à la qualité des liens et à l’organisation de la page:

La prise en compte de l’équipement des internautes : tous les utilisateurs ne disposent pas du même équipement et on observe une forte hétérogénéité tant en ce qui concerne l’équipement matériel, qu’en ce qui concerne l’équipement logiciel. Ces paramètres ont des incidences considérables sur la visualisation des pages Web et le temps de chargement. Ce faisant, le concepteur du site Webmarchand ne maîtrise plus forcément l’affichage de la page chez le client. Des problèmes similaires sont rencontrés avec les tailles d’écrans, faute de quoi, on risque également d’obtenir des affichages qui ne présentent plus la cohérence et l’équilibre graphique nécessaire.

Dans cette perspective, le concepteur du site Webmarchand doit veiller à l’équipement des visiteurs du site Web ecommerce, afin de trouver le meilleur compromis entre la qualité graphique de la page et le potentiel d’affichage dont disposent les visiteurs. Il convient également de veiller à limiter le temps de chargement des pages Web qui dépendent bien évidement de l’équipement de l’internaute.

L’identification des liens : il y a différentes manières d’élaborer des liens. Les plus communs de ces liens sont basés sur la couleur et le soulignement. Le cas le plus simple consiste à souligner un mot ou une expression en une couleur différente que celle du texte.
L’organisation de la page et le découpage en unités signifiantes : pour être performante, toute page Web doit au moins contenir une zone de contenu et une zone de navigation afin de permettre à l’internaute d’opérer sur le site Webmarchand qui est généralement constitué comme un enchevêtrement complexe de nombreuses pages. La zone de navigation prend souvent la forme d’un sommaire qui pourra éventuellement varier d’une page à une autre.

II. LA PERCEPTION DE L’ATMOSPHÈRE DU SITE WEBMARCHANDET SON IMPACT SUR LA RÉPONSE DU ECONSOMMATEUR

1. La perception de l’atmosphère du site Webmarchand

Les études psychologiques menées sur l'Homme ont montré certaines aptitudes ainsi qu'un certain nombre de limites. L'objet de l'ergonomie est de tirer profit de ces éléments psychologiques afin de mettre en oeuvre une interface efficace et confortable à utiliser.

L'être humain, selon le modèle du processeur humain, perçoit son environnement à l'aide de son système sensoriel (5 sens : toucher, vue, ouïe, odorat, goût), mémorise et planifie des actions à l'aide de son système cognitif (cerveau) et enfin agit grâce à son système moteur et grâce au langage.
Parmi les 5 sens, la vue est le sens le plus développé, alors que le goût et l'odorat sont réputés pour être peu développés. Ainsi, dans la mesure où l'on considère que la perception visuelle peut représenter près de 50% de l'activité du cerveau, il s'agit du mode privilégié pour les interfaces utilisateurs.

2. L’impact de l’atmosphère du site Webmarchand sur le comportement du econsommateur

L’examen détaillé des comportements sur Internet révèle que les individus ont des pratiques qui sont récurrentes. On observe en effet que les individus ont significativement tendance à retourner sur les sites (Webmarchand) sur lesquels ils ont déjà été, et ne font de nouvelles explorations que de manière incrémentale. En effet, l’état psychologique du econsommateur pendant la navigation est susceptible d’influencer son comportement d’achat. Pour ce faire, la bonne perception de l’atmosphère du site influence positivement le comportement du econsommateur qui déciderait d’acheter, dans la plupart des cas, sur Internet.

Internet n’est pas perçu de la même façon par tous les individus, notamment en terme de finalité. La finalité perçue pourrait avoir un impact sur la propension à acheter en ligne. Certains internautes y voient un moyen de communication interpersonnelle, mais pour d’autres il s’agit avant tout un outil commercial par excellence.

Toutefois, l’effet de la pression temporelle peut influencer d’une manière ou d’une autre le comportement du econsommateur. Les temps de chargement longs (chargement des pages Web) limitent la recherche d’information. Une pression temporelle forte pourrait ainsi limiter le temps consacré à la recherche d’information avant l’achat et favoriser la recherche de routine telle que le recours à un site ecommerce déjà connu ou à l’achat d’une marque connue. D’où la nécessité de bien penser l’atmosphère de son site Webmarchand !

Sources :
1) Catherine VIOT, « Le e-marketing : la connaissance du marché et du cyber consommateur & le positionnement et le marketing mix d’un site de vente en ligne », Gualino éditeur, Paris, 2006
2) Maxime GRANDCHAMP, « Une page d'accueil qui accueille vraiment », <>.
3) Marlène VILLANOVA-OLIVER, « Adaptabilité dans les systèmes d’information sur le web: Modélisation et mise en œuvre de l’accès progressif », Thèse de Doctorat en Informatique, Institut National Polytechnique de Grenoble, 18 décembre 2002
4) Richard LADWEIN, « Ergonomie des sites Web et accessibilité de l’offre : quelques problèmes et enjeux pour le e-commerce », Décisions Marketing, N° 21, Septembre-Décembre, 2000.
5) Webmastering - Ergonomie d'un site web,
6) Richard LADWEIN, « L’impact de la conception des sites de e-commerce sur le confort d’utilisation : une proposition de modèle », 17ème congrès de l’AFM, Deauville, 22-23 Mai 2001

Accueil source: http://webmarchand.blogspot.com

Business model du commerce électronique et d'Internet

2013-06-07T16:23:00.002+01:00

Le business model ou Le modèle d’affaire est l'étape primordiale avant de lancer n’importe quel projet commercial. L’objectif cette étape est de fixer les règles de fonctionnement des flux financier entrant.
Le business model est une étude qui vient avant même le business plan. Le business plan définit votre projet, en décrit le potentiel, les investissements nécessaires, les clients et tente de prévoir les délais de rentabilité alors que le business model se contente de définir une stratégie globale sans rentrer plus avant dans le détail. La question à se poser à ce niveau est la suivante : quel principe faut-il adopter pour gagner de l'argent ?

1. LE MODÈLE TRANSACTIONNEL

C'est le business model le plus simple à comprendre, même s'il n'est pas forcément le plus évident à mettre en oeuvre. Il s'agit en fait d'une adaptation de la boutique vers le monde en ligne. Vous vendez des produits ou services par l'intermédiaire de votre site Webmarchand. La vente peut se faire avec des prix fixes ou avec des prix dynamiques, par exemple sous forme de ventes aux enchères. Les différentes déclinaisons possibles sont:

marchand virtuel proposant des produits traditionnels ou spécifiques (Amazon fait partie de cette catégorie).
L'adaptation d'une offre de vente par correspondance (VPC) au monde en ligne (La Redoute).
L'ouverture d'une boutique en ligne pour compléter une chaîne de magasins (FNAC).
Certains fabricants se mettent en ligne et font de la vente en direct au mépris de leur réseau de distribution (CompaQ). C'est une politique qui comporte certains risques évidents.

La plupart des entreprises qui ont du succès avec leur site Webmarchand, avaient déjà un service de vente par catalogue. Une des raisons de ce succès vient de ce qu’elles étaient déjà même de gérer les activités postérieures à la vente : l’entreposage, les achats et la livraison.

2. L'AFFILIATION

Selon C. VIOT « l’affiliation est la relation contractuelle qui lie un annonceur (affilieur) et le site Web de l’éditeur (affilié) et par laquelle le site Web éditeur accepte de faire la promotion du produit ou service offert par l’annonceur ». Il s'agit d'une déclinaison dusite Webmarchand et une version on-line d'un réseau de distribution. Ce modèle à pour but la création d’un réseau de revendeurs à qui l’affilieur confie la tâche de promouvoir ses produits et son enseigne, en contre partie d’une commission. Toute la logistique, que ce soit la facturation, l'encaissement ou l'expédition, reste à charge del’affilieur, l'affilié ne jouant que le rôle d'apporteur d'offre. Les différentes déclinaisons que l'on peut citer sont: l'échange de visibilité, le paiement au clic ou à la commission. Le plus grand des sites Web construits sur ce principe est Amazon.

3. LE MODÈLE PAR ABONNEMENT (SOUSCRIPTION)

Il s’agit ici de l'adaptation à Internet du principe de l'abonnement aux revues. Le client souscrit pour accéder au site Web pendant une période donnée. Ce modèle n'est efficace que si les documents présents dans la partie payante du site Webmarchand, généralement protégée par mot de passe, présente une vraie valeur ajoutée par rapport aux documents librement accessibles. Ce principe est utilisé par les fournisseurs d’accès à Internet (Itissalat Al Maghrib par exmple) et commence à être exploité par d'autres sites Web à contenu de forte qualité : journaux (http://www.lemonde.fr par exemple), magazines, etc.
L’entreprise qui adopte ce modèle par abonnement devrait, selon Maitre B et Aladjini G, « créer une identité forte sur le réseau et de s’établir comme une nouvelle marque de référence ».

4. LE MODÈLE PUBLICITAIRE

Le modèle publicitaire est le modèle le plus connu et le premier qui vient à l'esprit quand on parle de rentabilité d'un site Web. L'idée de base est de générer le maximum de trafic sur un site afin de pouvoir vendre de l'espace publicitaire. Le site se rapproche ainsi des médias traditionnels tels que la radio et la télévision. Ce modèle est très difficile à mettre en place, le problème majeur venant de mettre à disposition des visiteurs des services et des informations gratuites, sans cesse renouvelées, qui drainent de plus en plus de monde. L'augmentation du trafic impliquant d'ailleurs une augmentation des ressources techniques nécessaires et donc une hausse des frais. On distingue plusieurs voies possibles:

Portail généraliste comme le cas de Yahoo!
Portail personnalisé comme le cas de My Yahoo!
Portail spécialisé adressant une audience très ciblée, paiement des visiteurs en échange de leur venue, offres gratuites comme le cas de Multimania ou encore offres à tarif réduit où le site Webmarchand propose ses produits à très bas prix dans l'espoir de compenser les pertes par la publicité.

Un portail Web est un site Web qui sert de départ aux visiteurs. On trouve généralement dans un portail des moteurs de recherche, des annuaires, un courriel gratuit, des groupes de discussions et plusieurs autres services gratuits, destinés à attirer le plus grand nombre de visiteurs et à les fidéliser. Résultat incertain ! puisqu’il est très difficile de prédire si un site sera populaire auprès d’un marché cible en particulier, à moins que le site ne fasse la collecte d’informations démographiques que le visiteurs rechigne de plus en plus à fournir.

5. LE SITE WEB COMMUNAUTAIRE

Le site Web communautaire cherche à construire une communauté virtuelle de personnes partageant les mêmes intérêts. Ces intérêts partagés conduisent à une sorte d’auto sélection des visiteurs qui confère un caractère plus ou moins ciblé à l’audience du site Web.
Une communauté virtuelle, aussi appelé communauté Web ou communauté en ligne, est un lieu de réunion pour des individus et des entreprises, sans réalité physique. Ces communautés permettent aux entreprises, à leurs clients et leurs fournisseurs de planifier, de collaborer et d’effectuer des transactions pour le bénéfice de tous.
Un site Webmarchand n’a pas vocation à être un site Web communautaire mais certaines marques peuvent être à l’origine de la formation de communautés (exemple :Nintendo).
Toutefois, la viabilité du concept communauté repose sur la loyauté des utilisateurs plutôt que sur leur nombre. Les retours se font par l'apport des membres de la communauté. Ces apports peuvent prendre diverses formes: monétaire ou autre (apport de connaissance, dons matériels, échange de connaissances, etc.).

6. LES PLACES DE MARCHÉ ÉLECTRONIQUES

La place de marché est le lieu d'échange et de rencontre entre les acheteurs et les vendeurs.
Dans ce sens, Dominguez (2005) définit les places de marché électroniques en tant qu’intermédiaires entre fournisseurs et acheteurs, qui proposent des outils et services basés sur les technologies d’information et de la communication dont Internet, pour gérer les flux informationnels relatifs à tout ou une partie du processus d’échange interentreprises.

Le but de ce genre de sites Web est donc de mettre en relation les deux groupes en fonction de leurs besoins spécifiques, la rémunération se faisant sous forme de commission, fixe ou variable, sur les ventes. Parmi les places de marché électroniques existantes on distingue :

Les ventes aux enchères : eBay est considéré comme le cas d’école du modèle d’enchère sur Internet. Il est basé sur les échanges de consommateur à consommateur (C to C). La stratégie d’eBay peut être résumée autour des trois axes suivants : Accroître la communauté des utilisateurs et renforcer la marque, enrichir et compléter régulièrement la plateforme d’échange de l’entreprise afin de mieux gérer la croissance du trafic, améliorer le support client à travers le traitement rapide des réclamations, augmentation des charges de maintenance et de développement des infrastructures pour répondre à l’augmentation des transactions.
Petites annonces (le vendeur paie la publication).
Les ventes aux enchères inversées (l'acheteur fait une offre que le vendeur est libre de refuser).
Agent de recherche (un robot parcoure Internet à la recherche de la meilleure offre).
Galerie marchande virtuelle : plusieurs boutiques sont sur le même site Webmarchand et chaque vendeur paie son "emplacement" en échange de services gérés par le site Web comme le paiement sécurisé.
Achat de groupe comme sur le site Web http://www.letsbuyit.com .

Le choix d’un business model n’est pas par ailleurs un hasard ou le produit d’une illumination. Toutefois, il faut prendre en compte les possibilités en terme de type et de mode de revenu qu’offre le business model, la structure des coûts et l’importance des ressources et des moyens dont peut disposer le projet. Pour ce faire, le ecommerçant doit définir le type de relation ecommerce de son site afin de rentabiliser son modèle d’affaire.

Sources:
1) Allal MENNIS, Le commerce électronique: construction d'une approche d'évaluation et de conception pour la prise de décision de sa mise en œuvre, Thèse de Doctorat en Sciences de Gestion, Université Pierre Mendes, Grenoble, 2 juin 2005.
2) James T. PERRY et Gary P. SCHNEIDER, « E-commerce », Les éditions Reynald Goulet, Canada, 2002.
3) Catherine VIOT, « Le e-marketing : la connaissance du marché et du cyber consommateur & le positionnement et le marketing mix d’un site de vente en ligne », Gualino éditeur, Paris, 2006.
4) Moustafa AHARCHAOU, Stratégie cybermarketing : contribution à l’étude des pratiques de commerce électronique par les entreprises Marocaines, Thèse de Doctorat en Sciences Economiques, Université Sidi Mohammed Ben Abdellah, Fès, Avril 2005.
5) Oussama AMMAR et Mohamed Hédi CHARKI, L’introduction des enchères électroniques inversées dans les relations interorganisationnelles et la reconsidération des business model des fournisseurs.
6) J-P. DETRIE et al, Strategor : politique générale de l’entreprise, Editions Dunod, 4ème édition, Paris, 2005.

Accueil source: http://webmarchand.blogspot.com

Les aspects juridiques du ecommerce

2013-06-07T16:06:00.003+01:00

La distance physique qui sépare les parties, la nature internationale des contrats effectués en ligne et le processus tri dimensionnel qui accompagne leur formation distinguent les contrats électroniques des contrats sur support papier.
En effet, les ententes contractuelles effectuées par le biais du réseau Internet sont généralement conclues à distance. Alors que le contrat papier ou oral donnaient en bien des cas l’occasion aux partenaires de se rencontrer autour d’un stylo et d’une poignée de main, cette particularité met en exergue deux étapes bien identifiées en théorie du droit, soit l’offre et l’acceptation. Deux étapes et parfois même davantage.
Nous traiterons d’abord la question de l’environnement légal du commerce électronique (I), ensuite nous analyserons les considérations relatives à la mises en place d’un contrat électronique (II).

I. L’ENVIRONNEMENT LÉGAL DU COMMERCE ÉLECTRONIQUE

Les entreprises qui utilisent le Web comme base d’opération doivent se conformer aux mêmes lois et aux mêmes réglementations qui chapeautent toutes les autres entreprises. Si elles ne le font pas, elles devront faire face aux mêmes pénalités que toute autre entreprise. Celles-ci comprennent les amendes, les dédommagements, et parfois même des sentences d’emprisonnement pour les dirigeants et les propriétaires. Les entreprises qui utilisent des sites Web pour la conduite de leur commerce électroniquedoivent aussi adhérer aux mêmes codes d’éthique qui guident les autresentreprises. Si elles ne le font pas, les mêmes conséquences négatives les affecteront, en particulier perte de confiance des econsommateurs qui se traduit généralement par des pertes commerciales.
Toutefois, l’environnement légal du commerce électronique ne cesse de se développer dans les divers pays du monde (1) comme au Maroc (2), afin de faciliter les transactions marchandes sur Internet.

1. La juridiction internationale

Les problèmes de juridiction concernant le commerce international sont encore plus complexes que les règles qui affectent les juridictions provinciales à l’intérieur des frontières nationales des pays. Des traités entre les pays impliqués régissent l’application des juridictions transfrontalières.
Toutefois, les cours de justice étrangères trouveront très difficile d’exercer leur juridiction sur les personnes et les entreprises situées dans d’autres pays. Une tendance pourrait apparaître dans un avenir rapproché où les entreprisestrouvent des pays dont les lois et les règlements sont très tolérants à l’égard des activités du commerce électronique.
Les frontières entre les pays ont toujours eu donc un rôle très utile pour les gens et les entreprises : elles délimitent très clairement la sphère d’application de la culture de la loi. Pour ce faire, Divers pays du monde déclaraient leur engagement pour la réforme des environnements légaux du commerce électronique.

Au niveau de l’Union européenne, les deux instruments fondamentaux intéressant le commerce électronique, sont :

La directive 1999/93 sur la signature électronique du 13 décembre 1999. Celle-ci met en place un cadre juridique harmonisé en matière de signature électronique qui s’articule autour de 2 objectifs : la reconnaissance juridique des signatures électroniques et l’établissement d’un cadre juridique pour l’activité des prestataires de services de certification ;
La directive 2000/31/CE sur le commerce électronique du 8 juin 2000. Elle institue au sein du marché intérieur un cadre pour le commerce électronique garantissant la sécurité juridique pour les entreprises et pour les econsommateurs. Elle établit des règles harmonisées sur des questions comme les exigences en matière de transparence et d’information imposées aux fournisseurs de services en ligne, les communications commerciales, les contrats par voie électronique ou les limites de la responsabilité des prestataires intermédiaires. Par ailleurs, la directive 2001/29/CE du 22 mai 2001 sur l’harmonisation de certains aspects du droit d’auteur et des droits voisins dans la société de l’information ne concerne pas directement la question du commerce électronique, mais entraîne de nombreuses conséquences pour ce dernier.

Dans le cadre de la promotion du commerce électronique, la Tunisie par exemple a procédé à :
La promulgation des lois suivantes :

Loi n° 2000-83 du 9 août 2000, relative aux échanges et commerce électronique.
Loi n° 2004-63 du 27 juillet 2004, portant sur la protection des données à caractère personnel.
Loi n° 2000-51 du 27 juin 2005 relative au transfert électronique des fonds.
Loi d’orientation n° 2007-13 du 19 février 2007, relative à l’établissement de l’économie numérique.
Un ensemble de textes d’applications (décrets, arrêtés, Loi des finances...)

La modification des lois :

Loi n° 99-89 du 2 août 1999 : Code pénal (des infractions portant sur le commerce et l’industrie).
Loi n° 98-40 du 2 juin 1998 : techniques de vente et publicité commerciale.
Loi n° 2000-57 du 13 juin 2000 : Code des obligations et des contrats.

2. L’environnement légal du commerce électronique au Maroc

La mise en œuvre sécurisée du commerce électronique est une entreprise qui est à 80% juridique et à 20% technique, c'est-à-dire que la solution juridique est un préalable fondamental à l’utilisation des moyens électroniques de transmission de données commerciales. Au fait, le commerce électroniquecomporte des obligations juridiques. Ces obligations relèvent de l’aspect fiscal, de la sécurité des transactions, de la nature des contrats, des régimes douaniers et de change, etc.

a. Législation du commerce électronique au Maroc
Le droit marocain ne renferme pas à nos jours, de lois spécifiques sur le commerce électronique. Ce type de commerce continue, pour le moment, à être réglementé par le Code de commerce habituel et donc il est considéré comme la vente par correspondance ou les téléachats.
Cependant, la date du 29 octobre 2007 et celle du 30 novembre 2007, constituent respectivement, un tournant pour la pratique du commerce électronique au Maroc et pour la législation marocaine en la matière.

Depuis le 29 octobre 2007, les entreprises et les econsommateurs, peuvent payer leurs transactions par Internet moyennant une carte de crédit. Cette décision est celle adoptée par le système bancaire marocain, représenté par le Groupement Professionnel des Banques Marocaines. La gestion de ce mode de paiement a été confiée au Centre Monétique interbancaire (CMI). A noter que le nombre de cartes de paiement en circulation est de l’ordre de 3 Millions au fin juin 2007. Ce sont les cartes habituelles permettant les retraits GAB (guichet automatique bancaire). Par contre, les cartes de crédit, utilisées dans le paiement via Internet, sont de l’ordre de 200.000 cartes en circulation.
Un mois après la « permission » pour le paiement par Internet, il y eu l’adoption du Dahir n° 1-O7-129 du 19 Kaada 1428 (30 novembre 2007) portant promulgation de la loi n° 53-05, relative à l’échange électronique des données juridiques qui est publié au BO N° 5584 du 25 Kaada 1428 (6 décembre 2007). Le terme de « données juridiques » utilisé est « bizarre » et prête à confusion. Le lecteur peut comprendre (à première vue) qu’il s’agit d’un texte propre au Ministère de la justice comme on peut croire, d’un autre coté, qu’il s’agit uniquement des données de ce Ministère. Pourtant la portée de cette loi est plus générale est d’une grande importance, voir indispensable pour l’exercice du commerce électronique. En effet, la loi 53-05, a pour objet de fixer le régime applicable aux données juridiques échangées par voie électronique, à l’équivalence des documents établis sur papier et sur support électronique et à la signature électronique.
Elle détermine également le cadre juridique applicable aux opérations effectuées par les prestataires de service de certification électronique, ainsi que les règles à respecter par ces derniers et les titulaires des certificats électroniques délivrés.
Cette Loi institue une Autorité Nationale d’Agrément et de Surveillance de la Certification, l’ANRT (Agence Nationale de Réglementation des Télécommunications) en l’occurrence, qui aura pour mission notamment :

De proposer au Gouvernement les normes du système d’agrément et prendre les mesures nécessaires à sa mise en œuvre.
D’agréer les prestataires de services de certification électroniqueset de contrôler leurs activités.

Il faut rappeler ici que l’écrit électronique doit réunir toutes les conditions de forme nécessaires à sa validité, à savoir :

L’obligation de l’émetteur et du destinataire : l’émetteur s’engage à conserver le document électronique dans sa forme de l’émission. Le destinataire s’engage à conserver ce document dans sa forme de réception.
Les conditions de l’écrit à savoir : l’identification de l’émetteur et du destinataire, la durée de validité, l’intégralité du message et la date et le lieu de son émission ou de sa réception.

Ces deux actions majeures, constitueront un tremplin pour la promotion et le développement du commerce électronique au Maroc.

b. Structure d’accompagnement du commerce électronique au Maroc
La structure d’accompagnement du développement du ecommerce au Marocexistait depuis l’année 2001. Cette structure est composée de deux entités publiques (l’ANRT et l’Office des changes) et deux entités privées (Centre monétique interbancaire et Maroc Télécommerce).

L’Office des Changes est un établissement public, sous tutelle du Ministère de l’Economie et des Finances, doté de la personnalité civile et de l’autonomie financière. Il est chargé de trois missions essentielles :

Edicter les mesures relatives à la réglementation des opérations de change en autorisant à titre général ou particulier les transferts à destination de l’étranger et en veillant au rapatriement des avoirs obligatoirement cessibles (recettes d’exportations de biens et services …).
Constater et sanctionner les infractions à la réglementation des changes.
Etablir les statistiques relatives aux échanges extérieurs et à la balance des paiements.

L’Office des changes est sollicité au moment où les econsommateurs marocains veulent effectuer des achats sur des sites étrangers. Sur cette possibilité, l’Office des changes n’a, pour l’heure, exprimé qu’un accord de principe. Si la mesure est validée, l’Office devrait autoriser une dotation de 10.000 DH pour les achats des Marocains sur des sites marchands étrangers. Signalons ici que le système de perception des droits de douanes sur les transactions de commerce électronique est plus ou moins compliqué au point que ce système a soulevé beaucoup de débats au niveau des Instances commerciales internationales (OMC, CNUCED, OCDE, etc.).

II. LES CONSIDÉRATIONS RELATIVES À LA MISE EN PLACE DU CONTRAT ÉLECTRONIQUE

La mise en place du site Webmarchand implique une contractualisation des relations entre l’entreprise et ses clients à travers le respect des clauses decontrats électroniques.

D’une manière générale, il est possible de dire qu’il existe trois contextes relatifs à la mise en place d’un contrat électronique : celui où les deux parties concluent un contrat par le biais d’un échange de courriers électroniques, celui où l’acceptant répond par courrier électronique à une offre adressée par un autre moyen et, de manière plus courante sur Internet, celui où l’acceptant contracte par le biais d’une offre proposée sur le réseau.
Dans chacun de ces cas, plusieurs aspects méritent qu’une adaptation soit faite avant même que la signature ou la conclusion du contrat n’intervienne.

1. la qualité d’une offre sur internet

Dans une perspective juridique, la notion d’offre est appréciée en fonction de sa précision, de sa fermeté et de son caractère non équivoque. D’ailleurs, ces critères varient très peu d’un système de droit à l’autre. Elle comprend généralement les éléments essentiels à l’engagement, tels que le prix et l’objet du contrat. Toutefois, les capacités de lecture et de compréhension sont sensiblement atténuées lorsque le support électronique est utilisé. On reconnaît d’ailleurs l’attitude habituelle que l’usager ne manque pas de suivre face à un document électronique et finit par accepter l’entente sans forcément savoir ce à quoi il s’engage. À cet égard, le risque de faire des erreurs est moins élevé sur un support papier. Ce dernier est source de beaucoup moins d’imprécisions ou d’éventuels quiproquos.

Cette considération permet de comprendre, par exemple, les conséquences d’uncontrat électronique d’adhésion sur la validité de son acceptation par le cocontractant. En effet, la longueur du contrat, son caractère unilingue et les difficultés relatives à la lecture sont des conditions souvent incompatibles avec les critères de lisibilité, de clarté, d’intelligibilité, d’interprétation et de limitation des clauses externes généralement en faveur de l’adhérent. La rédaction de ces types de contrats devrait donc être adaptée en fonction de l’environnement dématérialisé. Or, la pratique actuelle relative à la rédaction de contrats électroniques n’a pas à ce jour été réellement modifiée. Plutôt que simplementnumériser le contrat existant sur support papier, le juriste qui élabore un contrat électronique aurait donc intérêt à tenir compte des éléments suivants :

Un texte plus court, limitant le défilement.
L’utilisation de phrases simples.
L’utilisation d’un plan.
L’utilisation de puces pour bien distinguer les éléments importants.
L’utilisation de caractère gras voire de majuscule pour mettre en exergue les points saillants.
L’utilisation modérée et contrôlée des liens hypertextes.
Le rejet de pratiques susceptibles d’occasionner des doutes ou de l’inconfort auprès de l’adhérent ou du cyberconsommateur, comme le cadrage (framing) et la programmation qui empêche le visiteur de consulter la page Web précédente.
Etc.

Il est toujours possible, d’imposer au cocontractant d’imprimer le contrat électronique. Dans ce cas, la problématique relative au support électroniquene se pose pas. En somme, le formalisme contractuel par Internetn’implique pas forcément l’abandon du papier.

2. L’offre et l’acceptation : formaliser les étapes du contrat électronique

Le contrat électronique est forcément conclu en un minimum de deux étapes : l’offre et l’acceptation. Un contrat est conclu au moment du consentement mutuel lorsqu’une partie accepte l’offre de l’autre partie.
Les contrats sont la base de la pratique commerciale traditionnelle et ils sont tout aussi importants sur Internet. Les offres et les acceptations peuvent avoir lieu lorsque les parties s’échangent des courriels, échangent de données informatisées (EDI) ou remplissent des formulaires contenus dans des pages Web. Ces communications Internet peuvent être combinées à des méthodes traditionnelles de formation des contrats, incluant l’échange de documents, de télécopies ou d’accords verbaux au téléphone ou en personne.

Dans une perspective juridique, ce constat n’est pas nouveau en soi mais diffère de la pratique relative à la formation des contrats sur support papier. Dans ce dernier cas, l’offre et l’acceptation prennent généralement forme dans un même document. Dans le cas des contrats électroniques, il s’agit de savoir si ces étapes peuvent être formées non pas par la succession classique de l’offre et de l’acceptation mais par la présence d’indices susceptibles de montrer l’intention des parties.

En conséquence, le besoin de formalisation des deux étapes est encore plus évident sur Internet, dans la mesure où les risques de fragmentation de l’offre et de l’acceptation sont inhérents au support. En somme, il importe que les parties évitent les complications et veillent à bien consacrer leurs intentions. L’envoi d’un accusé de réception reprenant l’essence du contrat et la mise en ligne de conditions de vente dans un document constituent des exemples. Bien que présentes sur Internet, ces pratiques sont pourtant loin d’être consacrées.

Sources:
1) James T. PERRY et Gary P. SCHNEIDER, E-commerce, Les éditions Reynald Goulet, Canada, 2002.
2) Ahmed MESKINE, Quelques difficultés de mesure du commerce électronique au Maroc, 12 février 2008, URL : http://www.jeunesdumaroc.com.
3) Vincent GAUTRAIS, l’exploitation d’un site Webmarchand : la formation des contrats en ligne, Le guide juridique du commerçant électronique, URL : http://www.jurisint.org
4) James T. PERRY et Gary P. SCHNEIDER, E-commerce, Les éditions Reynald Goulet, Canada, 2002.
5) http://www.anrt.ma
6) http://www.oc.gov.ma

ACCUEIL source: http://webmarchand.blogspot.com

Le système d'information de l'entreprise

2013-05-12T15:58:00.001+01:00

I. L’information dans l’entreprise

A.    Les formes d'information

B.    Les caractéristiques de l'information

1.     Le contenu sémantique de l'information

2.     Le coût et la valeur de l'information

C.    Les rôles de l'information

1.     L'information, outil de communication externe

2.     L'information, outil de communication interne

II. Le système d’information de l’entreprise (SI)

A.    La notion de système d'information

1.     Les informations

2.     Les moyens

B.    Les trois principales finalités du système d'information

1.     Le SI aide à la prise de décision

2.     Le SI permet de contrôler l'évolution de l'organisation

3.     Le SI permet de coordonner l'activité des différentes composantes de l'entreprise et notamment celles du système opérant

C.    Les quatre fonctions du système d'information

1.     Première fonction : recueillir l'information

2.     Deuxième fonction : mémoriser l'information

3.     Troisième fonction : exploiter l'information

4.     Quatrième fonction : diffuser l'information

D.    Les tendances d'évolution du système d'information

1.     L'informatique

2.     La bureautique

3.     La téléinformatique

Le système d'information de l'entreprise

L'approche systémique de l'entreprise a mis en évidence l'importance de la notion de flux et l'existence de trois sous-systèmes (système de décision, système d'information et système opérant).

Parmi tous les flux traversant l'entreprise, les flux d'information jouent un rôle majeur. Ils assurent la cohésion économique et sociale de l'entreprise en véhiculant une ressource essentielle : l'information.

L'information transite par le système d'information aux finalités et aux fonctions bien précises.

Si ces fonctions peuvent être assurées de manières très différentes selon le type de système d'information dont se dote l'entreprise, on constate aujourd'hui une nette tendance aux systèmes d'information automatisés.

I. L’information dans l’entreprise

L'information est tout ce qui forme de manière significative une représentation imagée de la réalité.

A. Les formes d'information

L'information peut-être écrite, picturale, orale…

Dans le cas où l'information résulte d'un traitement, on parle d'informations structurées (ou formalisées ou documentées).

L'information structurée est indispensable à l'entreprise car elle est plus concise, plus rapidement communicable, souvent plus fiable, et peut être traitée algorithmiquement afin d'obtenir de nouvelles informations.

B. Les caractéristiques de l'information

L'information a des caractéristiques de contenu, de coût et de qualité.

1. Le contenu sémantique de l'information

Une information est plus ou moins sélective (quantité de connaissances nouvelles apportées par l'information), synthétique et précise. De plus elle est positionnée dans le temps.

2. Le coût et la valeur de l'information

A) Le Coût De L'information

Le coût d'une information correspond à l'ensemble des sommes engagées par l'entreprise pour sa recherche, son traitement, son stockage et même sa destruction.

Exemple :

La mise en place d'une politique de veille technologique pour s'informer sur les produits que peuvent lancer les concurrents, l'exploitation des informations-clients provenant des représentants, la sauvegarde des données comptables, la destruction des données techniques d'un prototype qui ne sera jamais commercialisé, engendrent des dépenses en moyens humains, logistiques, technologiques, etc.

Ces coûts ne sont justifiés que s'ils sont inférieurs à la valeur que représente l'information.

B) La Valeur De L'information

Une information a de la valeur si elle permet de réduire l'incertitude, d'améliorer la décision et d'éviter de commettre des erreurs.

Cette valeur est appréciée sur la base de trois critères de qualité : la pertinence, la fiabilité et la disponibilité de l'information.

? Une information est pertinente si elle fournit des éléments de réponse aux questions que se pose l'entreprise. Elle réduit l'incertitude.

Exemple :

« Nos produits se sont mal vendus parce que les grandes surfaces leur accordaient une faible place dans leurs linéaires ».

? L'information est fiable si elle est exacte, précise, complète et à jour. Elle réduit l'incertitude et permet d'éviter des erreurs.

Exemple :

« Le mois dernier, une enquête de nos représentants dans toutes les grandes surfaces a permis d'apprécier le nombre de mètres linéaires accordés à nos produits. Il est inférieur à celui accordé aux produits concurrents. Un sondage auprès des clients a montré que la maniabilité du conditionnement de nos produits était appréciée alors que nous pensions qu'il fallait la revoir ».

? L'information est disponible si elle parvient au bon moment, au bon endroit et sous une forme directement exploitable. Elle réduit l'incertitude, permet d'éviter des erreurs et permet de prendre les décisions appropriées.

Exemple :

« Le rapport d'enquête des représentants a fourni des données chiffrées détaillées par région et par magasin ainsi que des données globales par région pour tous nos produits. Ce rapport est parvenu sur le bureau du responsable du marchandisage avant la réunion prévue avec le directeur commercial. La décision est prise de renforcer notre politique de communication et d'image auprès des grandes surfaces plutôt que de revoir notre politique de produit et de production des emballages ».

Coût et valeur permettent d'apprécier la rentabilité d'un investissement en matière d'information. Mais encore faut-il pouvoir mesurer la valeur d'une information !

C. Les rôles de l'information

Quel usage l'entreprise fait-elle de l'information ?

1. L'information, outil de communication externe

L'entreprise utilise l'information pour communiquer avec son environnement. L'information est un outil de communication externe répondant aux obligations légales (les déclarations de salaires, les déclarations de TVA, le compte de résultat, le bilan, etc) et aux nécessités de gestion de l'entreprise (l'entreprise doit rester en permanence à l'écoute des sollicitations de son environnement et doit apprécier l'importance des risques et des opportunités qu'il génère. Pour ce faire, l'entreprise diffuse et recueille de l'information).

2. L'information, outil de communication interne

L'information permet la communication des composantes internes de l'entreprise.

L'information est un outil de communication interne répondant à des obligations légales (droit du travail : le plan social et le plan économique en cas de procédure de licenciement) et à des nécessités de gestion (lien entre le système de décision et le système opérant).

L'information permet donc d'assurer la coordination fonctionnelle des différentes composantes internes de l'entreprise.

II. Le système d’information de l’entreprise (SI)

A. La notion de système d'information

Le système d'information (SI) est l'ensemble des informations circulant dans l'entreprise et des moyens mis en œuvre pour les gérer.

Remarque :

On utilise aussi le terme de "système d'information de gestion" (SIG) pour parler du système d'information de l'entreprise.

1. Les informations

Toutes les informations, quelle que soit leur forme, font partie du SI. Cependant, dans le domaine de la gestion, seules les informations structurées sont véritablement opérationnelles.

2. Les moyens

On distingue les moyens humains (Toutes les personnes d'une entreprise : les utilisateurs, les décideurs, etc), les moyens matériels (ensemble des machines recevant, manipulant et émettant de l'information) et les méthodes (l'ensemble des outils de travail et des règles permettant de résoudre les problèmes de gestion).

On peut citer comme méthodes :

- les modèles (mathématiques, de recherche opérationnelle, comptables, économiques, etc.),

- les algorithmes, les heuristiques,

- les plans, les normes,

- les fiches d'instructions, les modes opératoires,

- les procédures administratives, les règlements,

- les programmes informatiques, les logiciels d'ordinateurs,

- etc.

B. Les trois principales finalités du système d'information

1. Le SI aide à la prise de décision

Le SI met à la disposition des décideurs les informations nécessaires à la prise de décision. Il permet d'étudier les conséquences prévisibles des décisions et d'automatiser certaines décisions.

Pour atteindre cet objectif, le SI fournit aux décideurs des informations portant sur le futur.

Exemple :

Les prévisions de ventes et de CA pour les six mois à venir permettent d'apprécier les résultats attendus des décisions commerciales prises.

2. Le SI permet de contrôler l'évolution de l'organisation

Le SI permet de détecter les dysfonctionnements internes et les situations anormales.

Pour atteindre cet objectif, le SI doit être la "mémoire collective" de l'organisation en gardant une trace des informations portant sur le passé.

Exemple :

Les documents produits par la comptabilité générale (Bilan, compte de résultat, etc.) décrivent la situation de l'entreprise par rapport à son activité passée.

3. Le SI permet de coordonner l'activité des différentes composantes de l'entreprise et notamment celles du système opérant

Pour atteindre cet objectif, le SI fournit des informations portant sur le présent.

Exemple :

Lors du traitement d'une commande, le SI permet de coordonner l'activité du service comptable, du service commercial, du service livraison, etc. par le biais des flux d'information internes (commande reçue, commande enregistrée, commande livrée, etc.)

Pour assurer ces trois finalités, le SI doit remplir plusieurs fonctions.

C. Les quatre fonctions du système d'information

1. Première fonction : recueillir l'information

Le SI dispose de deux grandes sources d'alimentation en informations : les sources externes (les informations produites par l'OCDE, l'INSEE, les chambres de commerce et d'industrie, etc.) et les sources internes (documents comptables, documents commerciaux, etc.).

Face à ces sources d'information, le SI remplit des tâches d'écoute, d'analyse et de saisie.

L'information a de la valeur pour l'entreprise mais elle a aussi un coût, surtout quand elle est d'origine externe. La tâche d'écoute se double donc généralement d'une tâche d'analyse critique de la masse d'informations accessibles afin d'éliminer toute source d'information et toute information peu pertinente ou de qualité insuffisante.

La phase d'écoute identifie les informations jugées pertinentes pour l'entreprise. Il faut ensuite saisir ces informations. L'objectif est de structurer des informations d'origines et de formes diverses. Des moyens humains et techniques (notamment des matériels de saisie et des supports d'enregistrement) sont utilisés mais aussi des méthodes, notamment des méthodes de contrôle et de codification de l'information afin de disposer d'informations fiables et facilement exploitables.

2. Deuxième fonction : mémoriser l'information

Une fois saisie, l'information doit être stockée de manière durable et stable. Le SI met en oeuvre des moyens techniques et organisationnels (méthodes d'archivage, de protection contre le piratage ou la destruction, etc.).

Aujourd'hui la mémorisation des informations se fait au moyen de deux techniques principales les fichiers et les bases de données.

3. Troisième fonction : exploiter l'information

Une fois mémorisée, on peut appliquer à l'information toute une série d'opérations. Ces opérations de traitement consistent à :

consulter les informations : les rechercher, les sélectionner,
organiser les informations : les trier, les fusionner, les partitionner,
mettre à jour les informations : les modifier (sur la forme et le contenu), les supprimer, etc.
produire de nouvelles informations : informations calculées (suite à des calculs arithmétiques ou des calculs logiques), cumuls, etc.

4. Quatrième fonction : diffuser l'information

La diffusion consiste à mettre à disposition de ceux qui en ont besoin, au moment où ils en ont besoin et sous une forme directement exploitable, l'ensemble des informations qui leur permettront d'assurer leurs activités.

En ce sens, le système d'information assure la circulation des informations à destination du système de décision et du système opérant.

Les supports de cette diffusion sont multiples : oral, papier, électronique ou magnétique.

Même si tous les systèmes d'information doivent remplir les mêmes fonctions, il existe une grande variété de situations réelles. Pour apprécier cette variété plusieurs critères de classification sont utilisés.

D. Les tendances d'évolution du système d'information

Les systèmes d'information tendent à s'automatiser par le recours à des moyens informatiques, bureautiques et téléinformatiques. La diffusion de ces moyens est d'importance variable depuis une diffusion restreinte (système centralisé) jusqu'à une diffusion beaucoup plus large voire systématique (système réparti).

1. L'informatique

L'informatique est l'ensemble des méthodes scientifiques et techniques spécialement applicables au traitement de l'information effectué notamment par des moyens automatiques. Les systèmes informatiques sont composés d'éléments matériels (principalement des ordinateurs) et d'éléments logiciels (des programmes enregistrés, des logiciels d'application, des logiciels spécifiques, etc.).

L'informatique est utilisée dans tous les domaines d'activité de l'entreprise :

travaux comptables et administratifs,
aide à la décision (SIAD : systèmes interactifs d'aide à la décision, systèmes experts )
domaine industriel, production : pilotage de processus industriels, GPAO

Les systèmes interactifs d'aide à la décision (SIAD)

Les SIAD sont des outils informatiques d'aide à la décision dont la mise en œuvre passe par un dialogue entre l'être humain et la machine. Ils permettent aux décideurs d'avoir accès à un volume élevé d'informations, de faire des simulations, des tests, d'évaluer différentes solutions possibles, etc. Ils sont utilisables tant pour les décisions stratégiques que tactiques ou opérationnelles.

Exemple :

Les logiciels de type tableur ( MICROSOFT EXCEL par exemple) permettent de faire des prévisions à partir de données passées, de fournir des données calculées sur des choix d'investissement, de faire de la recherche d'information multicritère, etc.

Les systèmes de gestion de base de données (MICROSOFT ACCESS, par exemple) permettent, grâce à des langages de création et d'interrogation, de travailler sur de grandes bases de données, d'extraire des données synthétiques, d'archiver des séries statistiques, etc.

Les systèmes experts :

Les systèmes experts sont des logiciels informatiques qui simulent le raisonnement humain en produisant des solutions à partir d'une base de connaissances manipulée par un ensemble de règles. Ils mettent à la disposition des utilisateurs des connaissances, des diagnostics de situation, leur permettant d'analyser et d'interpréter des situations à l'instar des spécialistes.

Exemple :

Dans le domaine de la gestion, les systèmes experts permettent de réaliser des diagnostics financiers, des diagnostics comptables, des diagnostics de gestion stratégique, etc.

2. La bureautique

La bureautique est l'ensemble des outils (moyens, méthodes, procédures, etc.) tendant à automatiser les activités de bureau et principalement le traitement de la communication de la parole, de l'écrit et de l'image.

La bureautique fait appel aux techniques de l'informatique, des communications et de l'organisation administrative.

Parmi les principales évolutions, on peut citer celles liées au développement des machines et des logiciels de traitement de texte, au développement du courrier et agenda électronique.

3. La téléinformatique

La téléinformatique est l'ensemble des techniques qui utilisent simultanément l'informatique, les télécommunications et l'audiovisuel pour transmettre et traiter des données, des images et des sons.

Parmi les grandes évolutions liées au développement de la téléinformatique, on peut citer, l'apparition des services fournis à travers les réseaux de télécommunication (la télématique), les réseaux locaux d'entreprise, les réseaux publics, etc.

Les nouvelles technologies de l'information et de la communication qui portent sur l'usage du multimédia (traitement du son et de l'image) et sur toutes les technologies liées à Internet (liens hypertextes, visioconférence, messagerie électronique) sont en très fort développement.

L. Allemand - Professeur d'Eco - Gestion comptable

source : http://pagesperso.scola.ac-paris.fr

Accueil

Réussir le management de la connaissance

2013-04-23T12:49:00.002+00:00

Le management de la connaissance ne se décrète pas : il s'expérimente. Véritable travail de mise à plat pour l'entreprise, il nécessite beaucoup d'énergie pour briser tabous et résistances. La stratégie de la tribu, par initiatives locales, facilite cette mise en oeuvre.

GONZAGUE CHASTENET DE GÉRY

I have a dream.
Les directions générales s'interrogent :
- quels produits va lancer la concurrence dans les six prochains mois ?
- Quelles sont les principales réclamations de nos clients ?
- Pourquoi recommençons-nous cette étude ?
- Quelles sont et quelles seront nos compétences et comment les partager ?
- Comment augmenter la valeur ajoutée de nos collaborateurs ?

Et les directions générales font un rêve : « Si nous savions tout ce que nous savons, combien plus efficace nous serions », considérant que les réponses à ces questions existent un peu partout dans l'entreprise ou dans les sources d'informations externes et qu'il suffit d'en organiser l'accès.

Et pourtant, ce rêve d'un partage et d'une valorisation des connaissances et des savoir-faire, théoriquement simple, se heurte à de fortes difficultés de mise en oeuvre. Aujourd'hui, la question n'est plus tant « quoi faire ?» que « comment faire ?».

Vers l'entreprise apprenante

Deux scénarios sont envisageables pour conduire l'entreprise vers la valorisation de son capital intellectuel.

* Des processus au grand chaudron

Le plus simple, et le plus fréquemment observé, consiste en une compilation, dans des bases d'information, des travaux produits ou capturés par l'entreprise. Il s'agit de conserver la mémoire de l'activité et d'en renvoyer à l'ensemble de l'entreprise une image. Image brute et souvent floue.

Pour ce faire, la capture sera d'autant plus facile que les flux en amont seront structurés. Toutefois, remarquons que les flux gérés dans des processus structurés sont généralement porteurs de peu de connaissance. Par exemple : une facture suit un chemin prédéfini assez facile à maîtriser, mais porte peu de savoir ou de savoir-faire. A l'inverse, une note préalable à une croissance externe porte beaucoup de substances sur le marché, sur la démarche de rapprochement, sur la valeur de l'entreprise, mais suit rarement un circuit prédéfini.

Dans cette approche, le management de la connaissance est vu comme un processus de l'entreprise. Il est alors tentant de vouloir lui appliquer les recettes qui ont permis la modernisation des entreprises : analyser le processus de transfert du savoir et mettre en oeuvre ce cahier des charges en assemblant les briques logicielles proposées par le marché. Les fonctions à mettre en oeuvre sont maintenant bien analysées :
- capture de l'information ;
- codification, afin d'en faciliter la recherche ;
- maîtrise des évolutions ;
- recherche ;
- circulation, pour pousser l'information pertinente au bon endroit ;
- communication, pour réagir sur les ressources proposées.

Les réponses du marché existent :
- document management ;
- data warehouse ;
- moteur de recherche, jusqu'au raffinement de la recherche en langage naturel et des agents automatiques ;
- groupware.

A cet égard, l'intranet n'est qu'une couche technique. Dire que vous résolvez votre problème de connaissance avec un intranet est aussi pertinent que de dire que vous avez traité votre besoin en reporting avec un SGBD (1) relationnel.

Cette approche fonctionnelle, pilotée très rapidement par les technologies de l'information, présente plusieurs avantages : la démarche est connue des chefs de projets, elle rend visible rapidement les initiatives de management de la connaissance et propose un levier de démultiplication du transfert d'information. En revanche, elle risque de créer un « grand chaudron », où la quantité l'emporte sur la qualité, et de couper le lien entre celui qui fournit la connaissance et celui qui cherche à se l'approprier.

Soyons réalistes. Gérer un « grand chaudron » n'est pas aisé car, outre un effort technique d'intégration de ces technologies dans le système d'information de l'entreprise et avec ses mécanismes de sécurité, il suppose de créer deux nouveaux réflexes : contribuer régulièrement à l'alimenter, rechercher dedans avant de produire.

Aujourd'hui, la plupart des entreprises ayant lancé des initiatives de management de la connaissance visent cet objectif. Toutes n'y parviennent pas car, en définitive, l'approche fonctionnelle n'est pas suffisante pour réussir. Le management de la connaissance s'expérimente et ne se décrète pas, même si elle a besoin d'un sponsor fort. A l'instar des réactions en chaîne, le cercle vertueux du partage des connaissances n'est pas spontané et requiert de franchir un seuil qui nécessite, là aussi, une quantité certaine d'énergie pour dépasser les freins, enracinés essentiellement dans les comportements et les réticences au partage.

En outre, ce partage documentaire (car c'est le plus souvent de cela qu'il s'agit) apporte la connaissance à celui qui explore les bases de données dans le format de l'expert et non pas dans un format adapté à la compréhension de celui qui souhaite augmenter son expertise. A cet égard, les technologies de l'information fournissent peu d'aide, dans la capture de la connaissance (elles ne capturent que des containers) comme dans son appropriation. Les progrès les plus récents agissent essentiellement sur la précision de la recherche pour extraire du grand chaudron les sources les plus pertinentes.

Ce premier scénario - nous avons vu la difficulté de le mettre en oeuvre - permettra de partager plus aisément de l'information essentiellement publique et une connaissance explicite en vrac, peu structurée (le savoir-faire en fusion-acquisition d'un dossier de croissance externe est peu explicite)

. * Du carnet d'adresses aux bases d'expertise

Une vision plus ambitieuse reste nécessaire. Le transfert de connaissances s'opérait jusqu'à présent de personne à personne, que ce soit par le compagnonnage ou à travers un carnet d'adresses qui pouvait, très efficacement, remplacer les moteurs de recherche mais n'était réservé qu'à une minorité. Par l'interactivité d'une relation de personne à personne, le transfert de connaissances se structure. Qu'en est-il lorsqu'un média technologique s'intercale ?

La mise en oeuvre de la véritable entreprise apprenante suppose un effort d'extraction de la connaissance tacite vers une connaissance explicite et reformatée, utilisable par un tiers et accessible dans une base de données.

Cette approche plus ambitieuse de la connaissance partagée suppose plus de moyens : du temps et des facilitateurs. Prendre le temps de s'arrêter pour passer en revue son activité, faire l'effort de tirer les enseignements positifs ou négatifs, d'analyser ce qui s'est passé, puis formaliser ce qui a été appris. Et sous un regard extérieur qui en facilitera l'expression.

Jusqu'où peut-on espérer aller dans ce travail d'explicitation de la connaissance tacite, issue de l'expérience que chacun possède dans ses neurones ? Difficile à dire. Toutefois, des projets récents menés dans les domaines scientifiques et techniques montrent des avancées (aéronautique, automobile, génie nucléaire, construction navale, etc.).

La première bonne surprise est que, passé le stade des réticences naturelles, l'expert découvre qu'il est le premier bénéficiaire du travail obtenu (Cf. les témoignages de Jean-Louis Ermine, inventeur de la méthode MKSM (2) de modélisation des compétences). Chacun peut témoigner que l'exercice qui consiste à formaliser un savoir-faire, ne serait-ce que lors d'une présentation ou d'un article, lui apprend plus qu'il ne savait. Explicitée, la connaissance renvoie à son auteur, outre une image gratifiante, une forme structurée qu'il ignorait lui-même et dont il bénéficie. Dès lors, ce savoir formalisé et diffusé par la démultiplication possible de la technologie va rencontrer la connaissance tacite de son lecteur. De cette rencontre naîtront des idées innovantes qui alimenteront le cercle vertueux du management de la connaissance. Reste à créer un environnement qui favorise cette démarche.

La gestion en action

Des exemples récents de mise en oeuvre de démarches de partage de connaissances menées chez nos clients et au sein de notre cabinet témoignent qu'une démarche adaptée conduit à la réussite.

* Au siège d'une multinationale

Notre cabinet assiste le siège d'une multinationale dans le partage de ses sources d'information et de connaissance. Plaque centrale d'un réseau de plusieurs centaines d'établissements, ce siège regroupe des experts de tous les métiers et fonctions de supports apportés aux établissements. La production quotidienne de documents concentre les savoirs et les savoir-faire.

Cette démarche est associée à la rénovation du bâtiment. Ce projet bénéficie donc de deux sponsors au sein de la direction générale : un pour la suppression des mètres carrés et un pour le partage de l'information. Ce sont les mêmes outils qui apportent des réponses aux deux objectifs, mais pas toujours les mêmes documents. Par exemple, les masses de factures ou de dossiers administratifs ne contiennent que peu de connaissances mais occupent beaucoup de mètres carrés. Les notes du département juridique, des fusions-acquisitions ou les procédures de fabrication tiennent sur quelques rayonnages, mais concentrent un savoir-faire précieux.

Une démarche de déploiement par petits groupes, des « tribus », parfois plus petites qu'un service, a permis la mise en oeuvre du projet. Et de proche en proche, guidé par une équipe projet qui assure la cohérence des langages de chaque tribu, le partage fait tache d'huile.

* Chez Ernst & Young

Nous avons nous-mêmes expérimenté les limites des approches trop larges. Au contraire, des initiatives locales restreintes, dans un premier temps, aux seuls membres d'une même « tribu » ont montré des résultats très encourageants. Des contributions qui n'apparaissaient pas dans les bases globales se sont multipliées en quelques semaines dans les bases locales. Le cercle vertueux du partage est plus facile à lancer sur un petit groupe. Toute exploitation du fonds d'expertise créé est maîtrisée car l'usage en sera vite connu. La crainte du pillage est levée car l'information est traçable.

La stratégie de la tribu

Les exemples présentés ici illustrent le fait que le Knowledge management est certes un projet d'entreprise, mais qu'il se construit par déploiement d'initiatives locales, qu'intuitivement nous appellerons « stratégie de la tribu ».

Le concept de tribu cristallise les caractéristiques de cet échange :
- il suppose un climat de confiance entre personnes proches, confiantes dans l'usage de leur contribution et pouvant communiquer avec les auteurs ;
- il est animé par une autorité proche ;
- il soude et identifie la tribu ;
- il prend en compte une démarche de « troc » implicite ;
- il suppose des moments de rendez-vous ;
- il prend en compte la notion de territoire d'usage du Knowledge ;
- il s'appuie sur le besoin d'une reconnaissance par ses pairs.

La tribu devient un modèle pour guider une démarche plus large de mise en oeuvre du Knowledge management dans l'entreprise.

La difficulté vient de l'identification des tribus. Paradoxalement, c'est l'échange entre tribus proches qui pose problème. Il est plus facile de créer des bases Corporate sur un périmètre international que des bases alimentées par un site. La tribu défend un territoire. Quand il n'y a pas d'enjeu de territoire, le partage fonctionne. Ne voit-on pas sur le Web des informaticiens d'entreprises concurrentes s'échanger des trucs et astuces qu'ils ne fourniraient pas à leurs collègues ?

Une nouvelle ambition

La démarche par tribu nous rappelle qu'une vision mécaniste de l'entreprise, qui avait pu sembler suffisante pour développer les systèmes d'information, trouve ses limites pour mettre en oeuvre les systèmes de gestion des connaissances. Le Knowledge management requiert une approche unifiée, car il sera inutile sans les enjeux métiers, inefficace sans la gestion des ressources humaines et impossible sans les outils. Le Knowledge management requiert aussi une dynamique de groupe et une déontologie.

Donnant une nouvelle ambition à la gestion de l'information, le Knowledge management suppose de briser certains tabous. Intégrer la gestion de l'information dans son métier n'en est pas le moindre pour des banquiers, des médecins, des juristes, etc., qui pourront n'y voir que des tâches administratives. En son temps, l'introduction de la bureautique avait aussi dû casser des réticences de cet ordre, nécessitant une évolution de l'image que chacun se fait de son métier.

Ainsi, étrangement, l'entreprise, en prenant ce temps de pause et de réflexion, se regardant fonctionner pour tirer les enseignements de son action, se penchant sur son histoire pour améliorer son futur, tirer parti de ses échecs autant que ses réussites, réalise un véritable travail de mise à plat pour dégager du sens. De fait, elle s'inscrit, à sa mesure mais retrouvant là sa dimension humaine, dans une tradition séculaire d'écoles spirituelles préconisant des temps de « retraite » comme, par exemple, l'exercice de relecture de sa vie cher à Ignace de Loyola (1), contemplatif dans l'action.

(1) Fondateur des jésuites et auteur des Exercices spirituels. .
(2) MKSM : Method for Knowledge System Management.
(3) Fondateur des jésuites et auteur des « Exercices spirituels ».

Gonzague Chastenet de Géry

Gonzague Chastenet de Géry est directeur au sein d'Ernst & Young Conseil.

source: http://www.lesechos.fr

Accueil

Sécurité informatique dans les entreprises françaises : des enseignements qui surprennent et interpellent !

2013-04-21T13:25:00.001+00:00

Nous avons confié au cabinet Pierre Audoin Consultants une étude sur les grandes tendances de la sécurité informatique dans les entreprises françaises à l’aube de 2013 et les leçons que nous pouvons en tirer font apparaître de façon très encourageante que :

•    Même en période de crise, la sécurité informatique reste prioritaire, puisque moins de 10% des sociétés interrogées comptent réduire leurs dépenses en 2013 dans ce domaine. Il s’agit là d’une situation exceptionnelle à une période où les investissements IT sont, de manière générale, plutôt en baisse.
•    La Direction Générale est de plus en plus impliquée dans les projets de sécurité informatique et, dans les PME, ce sont majoritairement les Directions Générales qui sont à l’initiative des projets de cybersécurité.
•    Mais, de façon paradoxale, dans 40% des entreprises interrogées, la sécurité informatique est du ressort du seul service informatique !

Dès lors, des questions ne manquent de se poser :
•    La nécessité de faire de la sécurité informatique l’affaire de toutes et tous dans l’entreprise est-elle une préoccupation partagée ?
•    Le rôle de la DSI dans ce domaine doit-il être relayé par les Directions Générales ?

Le fait que l’Union Européenne préconise la mise en place d’une stratégie de cyberdéfense est un pas important qui vient d’être franchi. Il sera, à présent, demandé aux entreprises et organismes gouvernementaux de faire part des attaques dont elles seront victimes. Les recommandations de L’ANSSI, en France, vont aussi dans ce sens et nous ne pouvons qu’engager les chefs d’entreprises à s’y conformer.

En effet, au-delà des investissements technologiques, c’est la mise en place de processus, , de programmes d’éducation et de sensibilisation qui s’avère nécessaire. Ce sujet doit devenir un projet d’entreprise porté par les dirigeants afin qu’à tous les niveaux - techniques   et comportementaux - la cybersécurité devienne l’affaire de tous.

source: http://www.lecercle.biz

Problématiques éthiques et juridiques de la lutte contre les botnets

2013-04-21T13:23:00.001+00:00

L’augmentation du nombre de démantèlement de botnets vise principalement à juguler l’explosion des malveillances réalisées grâce à ces réseaux de machines compromises. Les ordinateurs infectés (appelés “bots”) représentent en effet une forme de « couteau suisse » du cybercriminel, tant directement (vol d’information, notamment à des fins de fraude) qu’indirectement (pour monétiser des « services » d’envoi de spam, de déni de service, d’anonymisation ou d’hébergement frauduleux, etc.).

La difficulté d’apporter une réponse judiciaire à la menace

des botnets favorise ainsi certaines démarches qui sortent du cadre de la pure réponse pénale : poursuite civile, « sinkholing », etc.

La pratique du sinkholing[1], consiste à prendre –normalement légalement- le contrôle d’un botnet, par exemple via l’enregistrement ou la récupération de noms de domaine utilisés par son serveur de commande.

Efficace pour obtenir une visibilité sur les machines infectées voire sur les cybercriminels, la revente d’intelligence obtenue par sinkholing est devenue aujourd’hui un marché à part entière. Mais « sinkholer » un botnet spécifique peut aller au détriment de l’intérêt d’autres entités, et surtout de forces de l’ordre, en train de mener des investigations ou constatations. Des éléments de preuve peuvent même être supprimés ou rendus inexploitables juridiquement.

Quand plusieurs sociétés agissent contre un même botnet simultanément, d’autres problématiques éthiques (par exemple erreur dans l’identification du détenteur du botnet, risque d’alerter le pirate du fait d’une activité « anormale », etc.) voire légales (un cas de corruption ayant par exemple été recensé) peuvent même survenir, dans un contexte juridique international peu clair sur le sujet.

Les recherches en SSI ne sont d’ailleurs à l’heure actuelle pas soumises à des autorisations d’un point de vue éthique comme peuvent l’être certaines recherches scientifiques. Mais différentes voix aux US[2] voire en France[3] militent pour un meilleur encadrement de ces pratiques. Les initiatives comme celles d’un individu qui s’est amusé à compromettre plus de 400 000 machines pour réaliser un scan de l’ensemble des adresses IPv4[4] vont apporter des arguments à ces réflexions.

Nettoyer les machines infectées représentant aujourd’hui un coût rédhibitoire, la tentation est grande, y compris pour les autorités, d’utiliser directement des faiblesses du code utilisé pour piloter un botnet afin de le rendre inoffensif. Des fonctionnalités inhérentes de désinstallation ou de propagation virale pourraient en effet être exploitées, mais ne le sont pas pour des raisons juridiques.

Les autorités hollandaises ont cependant mené une action inédite contre un botnet dont ils avaient pris la main en 2010 en alertant les victimes directement via le navigateur des machines infectées[5].

D’autres juges, en particulier américains, ont autorisé certaines actions similaires, mais souvent en limitant le périmètre à leur propre juridiction. En effet, une démarche autorisée localement peut demeurer répréhensible au sein d’un système judiciaire différent.

D’autres risques complexifient les fermetures de botnets par la récupération et/ou le blocage du dispositif de contrôle des machines compromises. Celles-ci ne peuvent donc plus être commandées, mais demeurent généralement infectées. Pire, si celles-ci étaient en train de mener une malveillance (exemple : un déni de service) à ce moment, cette dernière peut dans certains cas être impossible à arrêter !

Et dans de nombreux cas les auteurs (ou d’autres pirates) ont été en mesure de reprendre la main sur leurs botnets et les effets des fermetures se révèlent souvent au mieux temporaires.

Les cybercriminels ont dès lors introduit divers mécanismes, notamment cryptographiques, pour se protéger contre la récupération indue ou le démantèlement de leurs « outils de travail » par des concurrents, forces de l’ordre ou experts en SSI.

On assiste cependant à une réduction des efforts consentis par les cybercriminels pour garder la main sur leurs botnets.

D’une part, les botnets ont été de plus en plus fractionnés en réseaux plus petits. Un des objectifs est éviter d’attirer l’attention des autorités et des éditeurs de solutions de sécurité sur un seul botnet, et limiter l’impact sur leurs activités en cas d’action contre celui-ci.

D’autre part, les cybercriminels ne cherchent plus systématiquement à conserver ou reprendre la main à tout prix sur leurs réseaux de bots. Ils les considèrent pour ainsi dire comme jetables, du fait de la simplicité et du risque moindre de les recréer de zéro ou du faible coût pour racheter un botnet.

Il n’y a effectivement pas de pénurie de machines compromises, bien au contraire, en particulier grâce aux vulnérabilités applicatives de logiciels très répandus.

La « guérilla » contre les botnets ne fait donc que commencer. Un effort de coordination des actions entre acteurs public et privé doit cependant être mené à l’échelle internationale pour ne pas gaspiller nos forces inutilement ni menacer des actions en cours. Car les cybercriminels ont régulièrement un coup d’avance et déjà commencé à anticiper nos tentatives pour assécher les ressources à l’origine de leurs lucratives activités illicites.

[1] http://www.trendmicro.co.uk/media/misc/lessons-learned-virusbulletin-conf-en.pdf

[2] http://www.cyber.st.dhs.gov/wp-content/uploads/2011/12/MenloPrinciplesCORE-20110915-r560.pdf

[3] Proposition 4: http://www.strategie.gouv.fr/content/na324-cybersecurite-lurgence-dagir

[4] http://internetcensus2012.bitbucket.org/paper.html

[5] http://www.pcworld.com/article/208825/article.html

source: http://www.lecercle.biz

Accueil

Le rôle des ERP dans l’informatique bancaire

2013-04-17T15:31:00.002+00:00

L’objectif de cette rubrique, qui paraîtra désormais une fois tous les mois, consiste à comprendre les enjeux liés aux mutations engendrées par les SI dans le secteur bancaire, leur évolution, leurs acteurs et plus globalement l’écosystème des SI bancaires.

Dans un environnement concurrentiel et réglementaire contraignant, les banques sont constamment sous pression. Pour se démarquer de la concurrence et conserver leurs marges, elles ont été amenées à maîtriser leurs coûts par les systèmes d’information grâce à l’implémentation de progiciels de gestion intégrée (PGI ou ERP en anglais). De vrais outils intégrés pour fiabiliser la production des comptes consolidés et améliorer le pilotage de l’activité et la maîtrise des risques. Toute l’informatique, en back office des banques, repose sur ces progiciels intégrés devenus aujourd’hui incontournables pour les décideurs du monde bancaire qui disposent, via leurs outils, d’indicateurs et d’analyses précises pour les aider à la prise de décision stratégique.

L’externalisation permet à la DSI de sous-traiter la composante technologique afin de se concentrer sur son métier de base. Le pouvoir de gouvernance et la stratégie des schémas directeurs sortent de la DSI pour aller aux responsables métiers.

Le Core Banking System

Il existe autant de SI bancaires que de métiers dans la banque. Selon qu’il s’agisse de la banque de détails (particuliers et PME avec un réseau d’agences), de la banque commerciale (opération de commerce extérieur, remise documentaire, lettre de crédit, etc.), de la banque de gestion d’actifs (Asset Management, gestion des actifs d’investisseurs institutionnels et de particuliers plus ou moins fortunés), les problématiques changent en fonction des besoins. A chacun son propre système d’information interne ou back office spécialisé en fonction de ses métiers. Au sein de la banque universelle, regroupant les différents métiers de la banque, la plupart des systèmes d’information reposent sur un certain nombre d’applicatifs constituant ainsi leCore Banking System. Aujourd’hui, presque toutes les grandes banques ont bâti leurCore Banking System sur des progiciels de gestion intégrée bancaires fournis par des acteurs mondiaux comme Tememos, SAB, IFlex, ERI Bancaire, Delta Informatique, Vermeg, etc.

Des développements spécifiques aux solutions intégrées

Cette démarche de migration s’est opérée depuis le milieu des années 90. Ces systèmes d’information fournissent de vrais outils de pilotage permettant à la banque de gérer de façon fine l’intégralité de ses relations client ainsi que ses relations avec les autres institutions financières, pour traiter l’ensemble des opérations et autres transactions de la banque en temps réel. « Aujourd’hui, aucune banque ne peut survivre sans systèmes informatiques fiables. Nos chaînes de production sont les systèmes d’information sur lesquels repose notre cœur de métier qui consiste en la gestion de l’argent. C’est un domaine sensible dans lequel la moindre erreur ou omission peut engendrer des conséquences énormes sur la crédibilité de la banque. C’est la raison pour laquelle il est vital d’avoir une solution fiable permettant d’intégrer nos différents processus informatiques et de faire tourner notre infrastructure informatique de manière fluide », résume un manager IT d’une grande banque. Le choix d’un ERP correspond à une orientation stratégique majeure permettant d’aller vers un système d’information intégré, lequel rompt avec la logique purement comptable pour une logique orientée client en vue d’une fidélisation. Avec les ERP, les banques assurent le traitement de masse des millions de flux issus des opérations internes générés par le front office et sans perte d’information. « Pour sécuriser leurs opérations, les banques ont besoin de solutions pérennes et évolutives pour fiabiliser leurs systèmes d’information, car les ERP sont des outils de production au cœur des métiers de la banque », explique l’un des leaders français du secteur. Aujourd’hui, l’offre est arrivée à maturité, avec la migration de la quasi-totalité des grandes banques vers ces solutions intégrées. « La tendance actuelle est au renouvellement des solutions jugées obsolètes et/ou peu robustes par des solutions adaptées aux besoins complexes des banques », ajoute-t-il.

Les ERP bancaires deviennent crédibles

Si les évolutions dans les SI bancaires se sont beaucoup accélérées durant ces quatre dernières années, elles ont connu, dans le passé, beaucoup de développements spécifiques avec des technologies hétérogènes (voir encadré). Il s’agit de véritables chantiers de modernisation entrepris par les banques, avec des investissements colossaux pour mettre en place des systèmes bancaires au point. « Pourtant, ce n’est pas faute d’avoir des budgets conséquents que les banques n’ont pas lancé plutôt les chantiers de modernisation. C’est plus tôt une question de maturité du marché », remarque Philippe Bernard, directeur marketing communication de GFI Informatique. Cette maturité s’est matérialisée par l’apparition d’éditeurs spécifiques aux métiers bancaires, qui ont aussi beaucoup évolué dans leur offre, devenue désormais plus mature. « Les ERP bancaires sont devenus plus crédibles suite aux différents mouvements de consolidation entamés à partir de 2006, avec notamment le rachat de la société indienne I-flex par l’Américain Oracle en 2006, celui du Français Business Object par l’Allemand SAP, numéro un mondial des progiciels de gestion intégrée et plus récemment du Français Viveo par le Suisse Temenos », explique Philippe Bernard.

Les DSI perdent le monopole au profit des métiers

Pour Philippe Bernard, il y a une tendance forte vers la « progiciellisation » des systèmes d’information dans les banques, même si on note quelques réticences dans certaines grandes institutions. Ces réticences sont plutôt liées à la réorganisation des ressources humaines dans les SI bancaires suite à la forte poussée vers la généralisation des progiciels dans les banques. Pour gérer le surnombre en personnel, certaines banques ont mis en place des mécanismes transactionnels de sortie pour assurer la réorientation professionnelle de certains employés vers d’autres métiers. Les économies tirées de cette baisse consécutive à la réorganisation permettent d’augmenter les budgets d’investissement et de fonctionnement de la Direction des systèmes d’information (DSI). Ce qui se traduit par l’acquisition de nouveaux progiciels.

L’externalisation est aussi une autre tendance forte. Elle permet à la DSI de sous-traiter la composante technologique afin de se concentrer sur sa composante métier en interne. En clair, le pouvoir de gouvernance et la stratégie des schémas directeurs sortent de la DSI pour aller aux responsables métiers. C’est un changement fondamental qui rompt avec les anciennes organisations, qui étaient toutes sous le contrôle de la DSI. « Aujourd’hui, ce sont les directions de crédit à court ou à moyen termes ou de la compensation qui vont décider des choix stratégiques, des schémas directeurs et des outils », explique Philippe Bernard. Désormais, dans les banques, les chaînes de production sont les systèmes d’information et les usines sont les infrastructures informatiques sur lesquelles elles reposent. En vue de maintenir son avance ou de rattraper la concurrence, il est essentiel d’adapter son système d’information en innovant. C’est en tout cas l’option prise par la banque universelle pour faire face à la concurrence. « La concurrence étant devenue plus vive entre les banques, la fidélisation devient un enjeu majeur, les banques se mettent alors à la recherche d’outils de plus en plus performants pour mieux répondre aux besoins de la clientèle, et aussi pour se différencier de la concurrence », explique Philippe Bernard.

Il y a aussi les pressions exercées par les nouvelles réglementations, qui sont devenues plus « backofficecontraignantes » en matière de transparence, notamment sur les coûts cachés, et plus globalement sur la facturation de la banque. La combinaison de tous ces facteurs oblige les banques à maîtriser leurs coûts par les systèmes d’information.

Parmi ces outils de pilotage pour une meilleure performance figure notamment lescoring. Il s’agit d’un outil de notation qui permet de prédire le niveau de risque d’un client bénéficiaire d’un crédit, sur la base de la connaissance du passé. Il y a aussi le CRM, la gestion de la relation client, qui figure parmi les premières activités applicatives des banques.

MOHAMADOU DIALLO, AGENCE ECOFIN

source: http://www.lesafriques.com

Accueil

Comprendre l'informatique dans le secteur financier

2013-04-17T12:37:00.001+00:00

Questions-clés, définitions, liens utiles, acteurs et chiffres : l'essentiel de ce qu'il faut savoir en un coup d'oeil. (07/12/2005)

:: 5 questions-clés ::

Quelles sont les principales problématiques applicatives propres au monde de la finance ?Les banques font traditionnellement face à des enjeux importants dans le domaine de la gestion de la relation client. En vue de tirer au mieux partie des nouvelles technologies, elles se sont lancées depuis plusieurs années dans une refonte de leurs processus en la matière, se dotant notamment de nouveaux centres de contacts multicanal.

Reposant sur des bases de données centralisées, ces environnements consolident les demandes clients en provenance de divers supports de communication (téléphones, courriers, etc.), y compris les canaux de nouvelle génération (e-banking, e-mail, etc.), avec pour objectif d'assurer un suivi cohérent des demandes, de bout en bout.

Deuxième grand type de projet : la dématérialisation. Une démarche qui comprend à la fois la mise en place de systèmes d'intranet documentaire, en particulier sur le plan des procédures (très nombreuses dans le secteur), mais aussi le déploiement de dispositifs de traitement des courriers (entrants et sortants).

Enfin figurent les enjeux technologiques propres au monde du traitement financier en tant que tel. Un champ longtemps basé sur des systèmes centraux de type mainframe, dont les applications commencent à migrer vers des plates-formes client/serveur plus modernes.

Quels sont les principaux profils métiers ciblés ?Parmi les profils propres aux métiers de la banque, on distingue deux grandes populations : d'une part les traders, qui touchent principalement aux domaines des actions ou aux marchés monétaires, d'autre part les gestionnaires de comptes. Les traders accèdent à des services d'information financière, de type Bloomberg, et exploitent des outils d'analyse financière, conçus pour les aider à prendre les bonnes décisions. Ils s'appuient en outre sur des applications de gestion de règles métiers pour définir des tableaux de bord d'indicateurs (par exemple, si telle valeur dépasse tel montant, une alerte se déclenche).

Quant aux gestionnaires de comptes, ils bénéficient d'une pléiade d'outils de gestion généralement agrégés au sein d'un portail d'entreprise, leur permettant de réaliser les différentes actions demandées par le clients : ouverture de compte, souscription à des services tiers (assurance, etc.), mesure du risque de crédit et souscriptions, opérations diverses, etc.

Aux côtés de ces deux profils, des équipes dites de back office interviennent pour la mise en état technique et juridique des dossiers et opérations des clients. Dans ce domaine entrent par exemple le traitement des chèques, le plus souvent numérisés, ou encore les travaux de recherche nécessaires à la validation des dossiers de crédit.

Qu'en est-il des enjeux d'infrastructure ?Considérant le nombre d'applications et de systèmes en présence au sein d'une banque, les problématiques d'intégration applicative et de supervision des flux de données sont énormes. Ce point est d'autant plus vrai dans les banques s'inscrivant dans des mouvements de fusions/acquisitions.

A cela s'ajoute la gestion de la performance des systèmes qui doivent pouvoir rester accessibles en permanence pour beaucoup d'entre eux. Au-delà de l'exploitation des serveurs, le poste utilisateur est également un sujet important, sur le plan de l'administration, du support et de la maintenance, notamment lorsqu'on considère l'importance du parc de PC de certaines grandes branques.

Qu'est-ce que le groupement Swift ?Ce GIE (groupement d'intérêt économique) est chargé de gérer la maintenance du système de transactions financières mondial. Une plate-forme dessinée pour assurer l'échange de données touchant aux paiements, aux crédits documentaires ou aux titres, entre les différents acteurs financiers. Créé en 1973 par quelque 240 banques, Swift (pour Society for Worldwide Interbank Financial Telecommunication) entre en production à partir de 1977, en remplacement du dispositif utilisé à l'époque dans ce domaine pour gérer les échanges internationaux : le Telex.

En 2005, Swift rassemble plus de 7300 membres répartis dans 197 pays. Parmi eux, on compte des banques mais également des institutions financières, telles que des sociétés de bourse (comme Euronext) et un certain nombre d'organismes internationaux - les chambres de compensation par exemple.

Depuis 2004, Swift repose sur un nouveau socle, basé sur les technologies Internet : SwiftNet. Au centre de cette refonte figurent l'abandon du protocole réseau X.25 pour IP/XML, la redéfinition des applications de messagerie ainsi qu'un mode de sécurité renforcé (avec le passage à une infrastructure de PKI). Swift propose principalement deux services transactionnels : un système de messagerie d'une part, et un mécanisme de transfert de fichiers d'autre part.

Avec Internet, les banques font elles face à de nouveaux enjeux de sécurité ?Les banques restent très discrètes sur cette question. Traditionnellement, elles ont toujours déployé des architectures et des systèmes redondants en vue d'assurer la continuité de service de leurs systèmes critiques. Avec l'ouverture aux réseaux, elles ont élaboré des politiques de sécurité informatique étendues, sur le plan du contrôle des flux entrants et sortants, avec audit de sécurité à la clé.

Au-delà des attaques informatiques traditionnelles (virus, intrusions, etc.), elles font face à de nouveaux types de tentatives ou risques d'intrusion. Parmi les derniers en date : le phishing qui, pour un pirate, consiste à usurper les informations confidentielles d'un client (code, etc.) par le biais d'un e-mail de demande d'informations adressé à ce dernier, reprenant l'habillage graphique du portail de la banque.


:: Les acteurs en France ::

Editeurs de progiciels bancaires
BSB France CIBF Sopra Group Delta-Informatique Viveo Mainsys Engineering	ERI Bancaire SAB Ingénierie Informatique SAMIC Scenario Informatique Conseil Scenario Callatay & Wouters


:: Les indicateurs-clés ::

9 %	du budget IT est consacré au secteur de la finance en 2004 aux Etats-Unis. Source InformationWeek Research
5,46	milliards d'euros ont été dépensés dans le domaine IT par le secteur bancaire en France en 2004 (soit 12,5% de la dépense informatique totale du pays). Source IDC

source: journal du net

Accueil

Les méthodologies de management informatique De plus en plus utilisés, les référentiels de bonnes pratiques IT sont présentés comme un nouveau moyen d'optimiser les services et les projets au sein des DSI.

2013-04-16T16:07:00.003+00:00

Comment optimiser la gestion des services IT dans l'entreprise ? A l'heure de la rationalisation des coûts au sein des directions des systèmes d'information (DSI), cette question revêt une importance toute particulière. Dans le cadre des stratégies mises en oeuvre pour y répondre, les méthodes de gouvernance informatique figurent en bonne place. On constate même que leur application tend à devenir un point de passage obligé pour les DSI, en Europe et aux Etats-Unis notamment.
Du management de services à la gestion de projets en passant par l'optimisation de la sécurité, ils ont pour vocation d'assister à l'établissement de procédures documentées et de démarches d'amélioration couvrant les principales activités IT d'une entreprise (support technique, maintenance, déploiement, etc.).

ITIL: la référenceD'ores et déjà évoqué dans nos colonnes, le framework ITIL (pour IT Infrastructure Library) fait figure de référence dans ce domaine. Elaboré par l'agence centrale des télécommunications de Grande-Bretagne (CCTA) à partir de 1980, cet ensemble de bonnes pratiques issu de l'expérience de diverses sociétés anglaises est aujourd'hui appliqué par les plus grands cabinets de conseil, Ernst & Young ou PriceWaterhouse Coopers notamment. La démarche prônée par ITIL ? Prendre en compte l'ensemble des contraintes relatives à un service ou un projet (budgétaires, techniques, humaines, etc.) dans l'objectif de créer des plans d'organisation adaptés à une société donnée.

De nombreuses organisations ont opté pour ITIL comme standard de référence sur le terrain des services informatiques, Procter & Gamble, Caterpillar et le gouvernement de l'Ontario par exemple.

Les alternatives
Souvent évoqué comme principale alternative à ITIL, COBIT qui est notamment utilisé par Dell (dans le cadre de sa politique de gestion de la qualité) est dessiné pour gérer les risques associés au déploiement et à l'utilisation des applications, processus métier et infrastructures. Pour ce faire, il recommande notamment de rendre cohérent ces ressources avec les stratégies mises en place - dans les domaines financiers, marketing, commerciale, etc. Une approche qui semble finalement assez proche de celle d'ITIL.

Aux côtés du couple COBIT/ITIL, beaucoup d'autres infrastructures de travail existent sur ce segment. Le plus souvent de nature généraliste, comme ASL ou encore ITPM, certaines se cantonnent à des problématiques IT plus particulières. C'est notamment le cas de DSDM - qui se concentre sur les questions de développement de logiciels. Mais également de ISPL et de bITa - qui ciblent respectivement l'univers de la gestion de la relation fournisseur et celui des plans de continuité d'activité.

Enfin, on compte également des référentiels adaptés à des secteurs spécifiques, tels que eTOM (Telecom Operations Map). Une catégorie encore assez exploitée que nous avons choisie de ne pas aborder ici pour ne pas (trop) brouiller les pistes dans l'esprit du lecteur.

Les principales méthodes de management IT
Nom	Initiateur	Commentaire
ASL Application Services Library	ASL Foundation	Bonnes pratiques centrées sur la gestion d'applications et l'optimisation les processus métier.
bITa The Disaster Recovery Toolkit	Disaster Recovery Associates	Ensemble de conseils pour l'élaboration d'un plan de continuité d'activités après désastre.
BS 15000	BS15000 Associates Group	Méthode basée sur ITIL. Exemples de domaines couverts : implémentation de services IT, processus de fourniture de services et contrôle de processus.
CMM IT Service Capability Maturity Model	SERC	Modèle d'organisation pour une DSI (gestion matérielle et logicielle, support et maintenance de système d'information, etc.).
CobiT Control objectives for information and Technology	ISACA	Grand concurrent d'ITIL. Il est conçu pour prendre en charge la gestion des risques liés au domaine informatique.
Nom	Initiateur	Commentaire
DSDM Dynamic Systems Development Method	Dynamic Systems Development Method Ltd.	Méthodologie de travail collaboratif ciblant le développement de solutions. Elle propose un cadre impliquant utilisateurs et développeurs.
ITPM IT Process Model	IBM	Projet certifié "ITIL" issu d'une spécification IBM baptisée ISMA (pour Information Systems Management Architecture).
ISPL Information Services Procurement Library	ISPL (communauté)	ISPL s'attaque notamment à la gestion de la relation fournisseurs, l'externalisation de projets et la gestion de risques.
ITIL Information Technology Infrastructure Library	Bureau du commerce britannique	Framework d'assistance à l'optimisation de services informatiques et à l'élaboration de plan d'organisation . Fait figure de référence.
MOF Microsoft Operations Framework	Microsoft	Guide opérationnel dédié au déploiement et à l'utilisation d'applications Microsoft.
Prince 2 Projects in Controlled Environments	Bureau du commerce britannique	Méthode de management pour la conduite et le contrôle des projets informatiques.
Nom	Initiateur	Commentaire

source: http://www.journaldunet.com

Accueil

	Source : Wikipedia
virus	Programme se dupliquant sur d'autres ordinateurs
worm (vers)	Exploite les ressources d'un ordinateur afin d'assurer sa reproduction
wabbit	Programme qui se réplique par lui-même (mais qui n'est ni un virus, ni un ver)
cheval de Troie (trojan horse)	Programme à apparence légitime (voulue) qui exécute des routines nuisibles sans l'autorisation de l'utilisateur
backdoor	Ouvreur d'un accès frauduleux sur un système informatique, à distance
spyware (logiciel espion)	Collecteur d'informations personnelles sur l'ordinateur d'un utilisateur sans son autorisation, et en envoyant celles-ci à un organisme tiers
keylogger	Programme généralement invisible installé sur le poste d'un utilisateur et chargé d'enregistrer à son insu ses frappes clavier

management et technologie

la gouvernance des SIC bancaires: gestion des projets sic

la gouvernance des SIC bancaires: Dans le secteur bancaire, la sécurité de l'information est une préoccupation majeure.

la gouvernance des SIC bancaires : La conformité réglementaire est un élément clé de la gouvernance des SIC bancaires.

la gouvernance des SIC bancaires :La gestion des risques : une priorité pour la gouvernance des SIC bancaires

La gouvernance d'entreprise : l'intégration de la gouvernance des SIC bancaires

La gouvernance des systèmes d'information et de communication (SIC) bancaire

synthèse sur la sécurité de l'information

La sécurité de l'information vise à protéger tous azimuts l'accès aux données, dans quelque but que ce soit.

Sûreté ou sécurité ?

5 composantes du SI

les risques:

Causes humaines

Causes extérieures

Causes techniques

les moyen pour instaurer la sécurité:

Conception globale

Politique de sécurité

Plan de continuité d'activité

L’analyse de risque

L’analyse d’impact

la sauvegarde des données:

Objectifs de la sauvegarde

Ne pas confondre: sauvegarde et archivage

Critères de choix

Stratégies de sauvegarde

les actions correctives

Mesures préventives

Mesures curatives

Actions pour les utilisateurs

Actions pour les techniciens

Actions pour les responsables

19 IDÉES D’AFFAIRES POUR LES ÉTUDIANTS POUR GAGNER DE L’ARGENT

1) Les lettres de motivation et les CV:

2) L’enseignement :

3) Apprendre une activité :

4) Comptabilité :

5) Vendre des objets faits à la main (Handmade) :

6) Aide informatique

7) les blogs :

8) Vendre sur eBay :

9) Design les slogans de T-shirt :

10) Vendre des ebooks :

11) Donnez un Commentaire en ligne :

12) Faire des enquêtes en ligne :

13) Jouez aux jeux en ligne :

14) Rédiger des articles et Gagnez

15) Vendre des photos en ligne

16) Qualité capture des vidéos en direct :

17) Organiser des événements :

18) Un intermédiaire

19) Aider les entreprises dans les médias sociaux

التجارة الالكترونية في المغرب: رقم معاملاتها تجاوز 27 مليون دولار بداية العام وتستهدف 9.6 مليون حامل بطاقة ائتمان بنكي

تضارب الإحصاءات

قطاع تجاري "محصور"

"تراخي" بنك المغرب

إنفوجرافيك: التجارة الإلكترونية في الشرق الأوسط

تأثير تكنولوجيا الحوسبة السحابية Cloud Computing على قطاع التجارة الالكترونية

الأنواع المختلفة للسحابة بناءًا على الخدمات

على حافة تقنية الحوسبة السحابية مع المتاجر الإلكترونية

1. عامل الثقة

2. التوفير الهائل في التكلفة

3. النتائج السريعة

Une approche globale de la sécurité de l’information : théorie et pratique

1. Le processus de la sécurité de l’information

2. Ne pas réinventer la roue… de Deming

2.1. Classification des approches

2.2 Meilleures pratiques

2.3 Normes et standards

2.3.1 ISO 17799

2.3.2 BS7799-2

2.3.3 ISO 13335

Révision

3. Un système de management de la sécurité de l’information

3.1. Structure

3.1. Implémentation du système de management de la SI

5. Retours d’expériences

5.1 Engagement des dirigeants

5.2 Sensibilisation des utilisateurs

5.3 Classification selon les stades d’apprentissage