Nous avons demandé à nos lecteurs de partager les secrets informatiques les plus inavouables qu'ils avaient rencontrés au travail — des mensonges issus des zones grises et du côté obscur de la technologie, que d'autres ignorent totalement. Après avoir trié les contributions, nous avons confié ces « secrets » à des experts de domaines connexes pour analyse. Certains ont reçu la reconnaissance des experts, mais d'autres n'ont pas été confirmés.
Les professionnels de l'informatique propagent souvent des mensonges gris et jouent à des jeux politiques sombres dans le secteur technologique comme si de rien n'était.
Les professionnels de l'informatique savent souvent exactement ce qui se cache derrière un problème—et parfois, ce sont eux-mêmes qui sont à l'origine du problème.
Nous avons demandé à nos lecteurs de partager les secrets informatiques les plus inavouables qu'ils avaient rencontrés au travail — des mensonges issus des zones grises et du côté obscur de la technologie, que d'autres ignorent totalement. Après avoir trié les contributions, nous avons confié ces « secrets » à des experts de domaines connexes pour analyse. Certains ont reçu la reconnaissance des experts, mais d'autres n'ont pas été confirmés.
Le pouvoir détenu par les administrateurs système est-il suffisant pour devenir le pire cauchemar d'un CIO ? Les employés informatiques prennent-ils encore le matériel de l'entreprise ? Les données que nous stockons dans le cloud peuvent-elles vraiment s'évaporer dans les airs ? Les prix des services d'assistance technique sont-ils déraisonnablement élevés ?
À travers l'article d'aujourd'hui, nous découvrirons les points de vue des deux parties impliquées et des experts concernés.
Secret inavouable n°1 de l'IT : les administrateurs système tiennent l'entreprise à leur merci
La fouine de l'IT est en fait devenue la gardienne du poulet dodu—les données.
Tous ceux qui ont suivi l'histoire d'Edward Snowden comprendront sûrement les dommages qu'un administrateur système peut causer. Mais même les professionnels de l'informatique eux-mêmes n'imaginent peut-être pas à quel point le pouvoir et le danger d'un administrateur sans contrainte sont stupéfiants.
"Pour les professionnels de l'informatique, il n'y a pas de secret", a déclaré Pierluigi Stella, CTO du fournisseur de services de sécurité gérés Network Box USA. "Je peux installer des outils de détection sur mon propre pare-feu pour capturer chaque paquet de données entrant et sortant d'un ordinateur spécifique. Je peux voir ce que les gens écrivent dans leurs messages, quels sites Web ils visitent et ce qu'ils publient sur Facebook. En fait, la moralité est le seul facteur qui empêche les professionnels de l'informatique d'utiliser à mauvais escient ou d'abuser de ce pouvoir. Les professionnels de l'informatique sont essentiellement une NSA miniature qui existe juste à côté de nous."
Cette situation est assez courante, et la plupart des CIO en sont déjà conscients, a fait remarquer Tsion Gonen, chef de la stratégie chez la société de protection des données SafeNet.
« J'estime que plus de 90 pour cent des entreprises font face à ce type de crise », a-t-il déclaré. « La fiabilité de la sécurité des entreprises est étroitement liée à la fiabilité des administrateurs informatiques. Il est très difficile de savoir exactement combien d'administrateurs système abusent de leurs privilèges d'accès — mais une chose est certaine : leur nombre est suffisamment élevé pour faire la une des journaux chaque semaine. Le plus effrayant, c'est que les risques de sécurité proviennent souvent des personnes mêmes chargées d'attribuer les autorisations d'accès aux employés. »
David Gibson, vice-président du fournisseur de solutions de gouvernance des données Varonis, convient également que les administrateurs ont généralement la capacité d'accéder aux données sans que personne ne s'en aperçoive, mais il avance un chiffre plus précis : 50 %. Il ajoute que ce problème ne se limite pas aux administrateurs : la plupart des utilisateurs ont la capacité d'accéder à bien plus de données que leur travail ne l'exige.
Selon lui, la solution à ce défi peut se résumer en deux volets : utiliser un modèle de « moindre privilège » pour limiter les capacités d'accès des employés, et surveiller en continu ceux qui accèdent aux données.
« Les entreprises doivent pouvoir voir quels employés ont accédé à quelles données, à qui appartiennent les données et qui a déjà accédé à quels fichiers », a-t-il déclaré. « Sur cette base, les services informatiques pourront dialoguer directement avec les propriétaires des données, ce qui permettra de trouver un équilibre entre la réduction des accès et le maintien d'une expérience utilisateur acceptable. »
Secret inavouable de l'informatique #2 : Les employés ramènent probablement l'entreprise chez eux
Ces actifs informatiques « retraités » connaîtront probablement une seconde vie de manière inattendue.
Les équipements technologiques obsolètes sont rarement réellement jetés à la poubelle ; ils trouvent souvent rapidement un nouveau foyer — et parfois, ce « nouveau foyer » se confond avec le domicile même des employés informatiques.
« Le vol d’équipements mis hors service par des employés n’a rien de nouveau », a déclaré Kyle Marks, PDG de Retire-IT, une entreprise spécialisée dans les questions de conformité en matière de fraude et de confidentialité liées aux actifs informatiques. « Je n’ai jamais rencontré un professionnel de l’informatique qui n’ait jamais pris de biens de l’entreprise pour son usage personnel. Pour la plupart des gens, prendre un peu de matériel obsolète n’est pas bien grave. Beaucoup de gens n’y voient pas une menace pour la sécurité : une fois le matériel mis au rebut, ils le considèrent comme quelque chose dont on peut disposer à volonté. »
Le plus gros problème lorsqu’on récupère du matériel dans la poubelle ou la benne de recyclage est qu’il peut encore contenir des données sensibles. Si ces données sont exposées, cela pourrait causer d’énormes pertes à l’entreprise, a fait remarquer Marks. Bien sûr, même en l’absence de problèmes ultérieurs, l’acte lui-même équivaut toujours à un vol de biens de l’entreprise.
« Le vol et la fraude sont des situations très graves qui pourraient facilement déclencher un incident de confidentialité à grande échelle », a-t-il ajouté. « Si cet état de fait est autorisé à perdurer, des employés informatiques peu scrupuleux pourraient pousser toute une entreprise au bord de l’effondrement. Pourtant, dans la plupart des cas, la personne chargée de veiller à ce que tous les actifs soient correctement éliminés—c’est-à-dire que toutes les données soient effacées—est souvent un membre du service informatique. Les entreprises doivent mettre en place un processus d’“approvisionnement inversé” pour garantir que les actifs quittent l’entreprise de manière appropriée. »
Mais est-ce que chaque employé de l’informatique tend une main avide vers du matériel obsolète ? Un praticien chevronné de la gestion des actifs informatiques en fin de vie, qui a refusé de donner son nom, affirme que la situation réelle est loin de ce que Marks a déduit.
« Je ne dis pas que le vol n’existe pas », a-t-il expliqué. « Je dis simplement que je n’ai jamais rencontré un seul praticien ayant un schéma fixe de traitement du matériel obsolète. »
Il a également ajouté que la plupart des appareils disparaissent principalement en raison de pertes ou d’autres raisons difficiles à expliquer—par exemple, avoir été expédiés au mauvais endroit.
"Cela ressemble un peu à un déni généralisé. En fait, de nombreuses entreprises sont fières de fournir des services de sécurité de manière totalement honnête et fiable et de respecter leur propre façon de faire."
Secret inavouable de l'IT #3 : Stocker des données dans le cloud — plus dangereux que vous ne le pensez
Si des dispositions légales entrent en jeu, aucun mécanisme de sécurité au monde ne pourra nous protéger.
Stocker des données dans le cloud est certes pratique, mais nous pourrions bien devoir payer un prix élevé pour cette commodité : dans un litige juridique aussi emmêlé qu'une pelote de fil, nos données risquent de disparaître.
"La plupart des gens ne réalisent pas que lorsque leurs données sont stockées sur les systèmes de quelqu'un d'autre dans le cloud, voisinant les données d'autres entreprises, si l'autre partie rencontre des ennuis juridiques, nos données peuvent aussi être affectées et contraintes d'être exposées," a déclaré Mike Balter, président de la société de support informatique CSI Group.
En d'autres termes, vos données dans le cloud risquent d'être entraînées dans des ennuis à cause d'enquêtes visant d'autres personnes — la malchance est la seule raison. Du simple fait que vous partagez un serveur avec une partie suspecte, une entreprise peut subir de lourdes pertes.
Un cas typique s'est produit en janvier 2012, lorsque les autorités américaines et néo-zélandaises ont fermé le service de stockage de fichiers MegaUpload de Kim Dotcom. En plus d'un grand nombre de fichiers de films qui étaient effectivement soupçonnés de piratage, les autorités ont également saisi des données appartenant à des milliers de clients respectueux des lois et ont refusé de les restituer. À ce jour, ces pauvres utilisateurs ordinaires ne peuvent toujours pas être sûrs que leurs données pourront un jour être récupérées.
« Le risque de saisie de données est bien réel », a confirmé Jonathan Ezor, directeur du Business, Law, and Technology Research Center au Touro Law Center. « Si les forces de l'ordre ou d'autres responsables gouvernementaux disposent d'un quelconque fondement juridique, ils peuvent saisir des dispositifs ou des systèmes de stockage — dans certains cas particuliers, l'obtention d'une autorisation peut être nécessaire — et les données présentes sur ces systèmes, qu'elles fassent ou non l'objet de soupçons, peuvent être emportées. En bref, lorsque les données d'une entreprise sont stockées en dehors de son propre contrôle, elles seront inévitablement exposées à un certain degré d'indiscrétion — au minimum, d'autres personnes ont accès au même matériel. »
Pour se protéger de ce scénario catastrophe, les utilisateurs doivent savoir exactement où leurs données sont stockées et quelles dispositions légales s'appliquent à la situation, a déclaré David Campbell, PDG de l'entreprise de cloud JumpCloud.
« Notre conseil est de trouver un fournisseur de cloud capable de fournir des assurances sur l'emplacement physique des serveurs et des données, comme Amazon, afin que chacun puisse adopter une position proactive dans le contrôle des risques inconnus », a-t-il fait remarquer.
Ezor a également ajouté que le chiffrement des données peut effectivement empêcher ceux qui les obtiennent de déchiffrer avec succès leur contenu. Autre bonne idée : garder toujours une sauvegarde de vos données à portée de main. On ne peut vraiment pas savoir quand cela pourrait devenir la dernière bouée de sauvetage de l'entreprise.
Sale secret informatique n° 4 : les employés se serrent la ceinture, mais le patron signe des chèques en bois
Ce sont les gens de la finance qui sont les plus mal lotis.
Pour presque toute entreprise de taille moyenne ou grande, le processus d'approbation des achats peut être exécuté de deux façons, a fait remarquer Mike Meikle, PDG de Hawkthorne Group — un cabinet de conseil en direction générale et en informatique. D'abord, il y a le processus officiel d'approbation des achats — extrêmement chronophage, qui nous oblige à franchir un « cercle de feu » d'approbation après l'autre comme des chats et des chiens dans un cirque. En outre, il existe un « canal diamant express VIP » spécial, bien sûr réservé à quelques « personnes spéciales ».
« Les cadres dirigeants ont tous leurs propres circuits d’approvisionnement », a-t-il expliqué. « Des processus d’approbation qui prendraient huit mois au personnel informatique sont souvent achevés par ces dirigeants en quelques semaines seulement — et c’est une estimation très prudente. J’appelle cela le “canal VIP express diamant”. Parmi toutes les agences gouvernementales et entreprises privées avec lesquelles j’ai eu affaire, aucune n’a pu échapper complètement à cette voie d’approvisionnement secrète qui existe dans l’ombre. »
Le processus officiel complique délibérément les choses pour les employés parce que les entreprises ne veulent pas qu’ils dépensent l’argent de l’entreprise, a fait remarquer Meikle — à moins, bien sûr, qu’ils puissent trouver un moyen d’accéder à ce canal secret. Il a également souligné que, malheureusement, les CIO ne sont souvent pas admissibles à ce club VIP, ce qui signifie que les achats technologiques majeurs sont souvent finalisés sans analyse rigoureuse des coûts ni examen de la stratégie informatique.
« Ils vont déjeuner ensemble, et le fournisseur leur murmure des mots doux à l’oreille ; et avant qu’on s’en rende compte, des centaines de milliers de dollars sont généreusement jetés par les fenêtres pour une autre solution de gestion des applications mobiles — ces gars-là ne réalisent même pas que l’entreprise en a déjà une », a-t-il dit avec indignation. « Maintenant, nous avons deux solutions de gestion des applications mobiles — à quoi bon en avoir autant, pour les manger ? »
Mais ce n’est pas nécessairement le cas, a objecté une source anonyme provenant du secteur militaire et d’entreprises du Fortune 100. Si de nombreuses entreprises ont peut-être bel et bien contourné les processus d’approvisionnement standard, ce qui est souvent en jeu est quelque chose dont le service informatique a un besoin urgent — la raison étant d’éviter de perdre du temps avec la paperasse, a-t-il déclaré.
« Les dirigeants non techniques ne disposent tout simplement pas des connaissances informatiques nécessaires pour prendre des décisions majeures en matière d’approvisionnement », a-t-il ajouté. « Si un cadre supérieur contourne le processus d’examen des achats, insiste pour signer le bon de commande et exige que le fournisseur livre, alors toutes les défaillances techniques ultérieures devraient être attribuées à cette personne par des mécanismes de responsabilité et de traçabilité. C’est comme la kryptonite pour Superman : leur plus grand ennemi juré. »
Secret inavouable de l’IT n° 5 : se trouver du côté faible dans l’équilibre du support client
Les techniciens ne font que suivre des scripts
Je suis sûr que tout le monde connaît ce scénario : nous communiquons par téléphone avec du personnel de support technique à l’autre bout du monde, mais après quelques mots, nous nous rendons compte que leur niveau technique est faible et qu’ils ne font que lire un script au client. Devinez quoi ? C’est probablement exactement ce qui se passe.
« Le support informatique est un produit de base », a déclaré Tim Singleton, président de Strive Technology Consulting, une entreprise de support technique haut de gamme desservant des clients de petite et moyenne taille. « La plupart des outils qui peuvent aider sont gratuits, et les ordinateurs n’exigent plus autant de connaissances techniques de la part des utilisateurs qu’auparavant. La petite fille d’à côté est probablement tout aussi capable qu’un expert qualifié de résoudre vos problèmes informatiques comme le ferait une société informatique. »
Mais certains estiment que cette conclusion est trop arbitraire. Bien que certains problèmes simples puissent ne pas démontrer la nécessité d’une équipe de support technique, des conseils professionnels restent indispensables pour les problèmes complexes, a fait remarquer Aramis Alvarez, vice-président principal des services et du support chez Bomgar, un fournisseur de solutions de support informatique à distance de niveau entreprise.
« Le problème avec le fait de qualifier le support informatique de produit de base, c’est que nous ne pouvons pas traiter tous les problèmes techniques de la même manière », a déclaré Alvarez. « Certains problèmes simples peuvent effectivement être diagnostiqués avec précision par des utilisateurs ordinaires avertis en informatique, mais des situations plus complexes comme les infections virales ne le peuvent pas. La fille d’à côté a peut-être en effet de nombreuses connaissances techniques, mais elle pourrait finir par causer de graves dommages aux données de l’ordinateur. »
Enfin, nous devons payer un prix plus élevé pour réparer les dégâts, a ajouté Joe Silverman, PDG de New York Computer Help — un problème qui survient souvent lorsque les entreprises lésinent sur les aspects techniques ou lorsque les services informatiques internes sont surchargés.
« Dans notre travail quotidien, nous constatons que de nombreuses organisations de bureau et directions fonctionnelles de New York adoptent une attitude négligée à l’égard des travaux de réparation informatique ou des postes informatiques — en faisant appel à des personnes d’autres entreprises, en faisant intervenir des membres de leur famille, ou en recrutant des amis à la compétence approximative », a-t-il noté. « Parfois, des employés du service financier interviennent aussi pour résoudre des problèmes informatiques, mais ils sont souvent trop occupés ou pas assez expérimentés pour réparer des disques durs, des cartes mères ou des blocs d’alimentation défaillants. Si le réseau ou le serveur plante, prévoyez-vous vraiment de compter sur un employé de la finance pour faire le travail, ou préférez-vous faire confiance à un ingénieur réseau senior avec vingt ans d’expérience ? »
Secret inavouable de l’informatique #6 : Nous en savons beaucoup plus que vous ne le pensez
Collectez des données de manière exhaustive, ayez une vue d’ensemble complète
Vous pensez être sous une surveillance intense de la NSA ? Comparée aux entreprises de marketing grand public et aux courtiers en données, la NSA n’est vraiment qu’un petit acteur.
Le plus grand coupable, ce sont les casinos, a déclaré J. T. Mathis, un ancien gestionnaire de base de données de casino qui a écrit et publié “Take It All: Through the City of Prosperity” d'après son expérience personnelle. “Quand vous entrez dans un casino, le pari que vous placez est bien plus que de l'argent—vous jouez en réalité avec vos données personnelles.” Selon les estimations de Mathis, la base de données marketing de son ancien employeur contenait environ 100,000 noms de joueurs actifs ou inactifs, voire plus.
“Dès l'instant où vous entrez dans le casino, chacun de vos mouvements est surveillé”, a fait remarquer Mathis. “Si vous vous asseyez à une machine à sous, la direction du casino connaît votre emplacement actuel, combien de fois vous avez actionné le levier, combien de pièces vous avez insérées ; elle sait que vous aimez manger à 4:30 et que vous préférez le plateau de homard. Elle connaît vos marques préférées de cigarettes et d'alcool, et si vous regardez des programmes pour adultes dans votre chambre. Et lorsque vous revenez en été, elle peut immédiatement discerner que la femme qui vous accompagne n'est pas votre épouse d'origine, de sorte que le personnel peut l'accueillir par son prénom 'Cindy' plutôt que par le prénom de votre épouse 'Barbara'.”
Michael Simon, un ancien cadre de casino aujourd'hui à la Louisiana State University, a confirmé le récit de Mathis. Mais il a ajouté que la façon dont les casinos collectent les données n'est pas très différente de celle de CVS, PetSmart ou Amazon.
« Le cours de MBA que j’enseigne actuellement porte sur l’analyse de bases de données et l’exploration de données, et toutes les entreprises que nous avons interrogées collectent des informations sur les clients et fournissent des services en fonction des habitudes personnelles des clients », a-t-il déclaré. En tant qu’auteur de « Ma vie de joueur : le point de vue personnel d’un ancien cadre de casino », Simon a ajouté : « C’est devenu une pratique commerciale courante aujourd’hui, pas un secret. Par exemple, j’amène mon chien chez PetSmart pour des produits et services spéciaux, et les programmes qu’ils proposent correspondent tout à fait à mes habitudes de consommation personnelles — j’en suis très satisfait. D’un autre point de vue, PetSmart fournit en réalité ce que je veux de manière très efficace, plutôt que de perdre du temps à préparer des choses que je n’accepterais jamais — comme de la nourriture pour chat en promotion ou des poissons tropicaux. »
Mais une seule chose est différente : Mathis a été licencié par le casino en mai 2012, mais à l’époque il avait encore une copie de la base de données. Et lorsqu’il a tenté de rendre la copie au casino, sa chance a été plutôt mauvaise — ils ont refusé de répondre à ses appels — alors il a décidé d’utiliser les données qu’il avait pour parler de sujets liés aux jeux d’argent.
Source : http://developer.51cto.com/art/201311/415064.htm