Babou au rythme des projets de sécurité

Tout s’accélère à partir de cette date. Retour sur cette profonde transformation.

Augmenter la sécurité

Avec 68 magasins et 650 caisses en 2009, l’objectif est bien d’accroître la sécurité, d’éviter l’inconnu, d’informatiser le siège, l’entrepôt de 5 hectares et tous les magasins.

A partir de là, différentes étapes s’enchaînent, « il a donc fallu câbler les magasins, créer des baies et connexions, installer des terminaux de paiement électroniques en IP et caisses tactiles informatiques, introduire le Gencode pour la traçabilité des articles, le suivi, l’analyse et la gestion des stocks, intégrer le Wifi et créer un Datacenter en 2012 pour héberger l’ensemble des données » commente David Legeay.

Et le tout, grâce aux six collaborateurs de l’équipe IT et aux prestations externes.

Etre proactif

Il ne faut surtout pas subir une attaque ou un problème qui mettrait en péril l’IT. L’informatique ayant été intégrée assez tardivement, il est évident, outre la conduite au changement sur les humains, que la priorité est la protection contre tout type de malversations, arnaques au téléphone, phishing, attaques ciblées, et les utilisateurs, « un utilisateur est potentiellement aussi dangereux qu’un virus ».

En effet, les utilisateurs doivent être formés que ce soit au niveau des mots de passe et d’internet, « la conduite au changement est essentielle afin de se prémunir, une attaque coûtant très cher lors d’un arrêt de système, nous parlons de 250 000 euros de l’heure » souligne David Legeay.

Au vu du contexte et de tous ces volumes, en 2013 tout est opérationnel. Fin 2013, un audit financier est réalisé, suivi d’un audit sécurité assuré par le Docteur Patrice Guichard, expert Sécurité et expert à la Cour d’Appel de Paris. Le but étant de lancer des attaques internes et externes contre l’infrastructure pendant 15 jours, et de recevoir un rapport détaillé des erreurs à corriger. Selon l’expert, l’architecture auditée est plutôt remarquable dans son évolutivité.

Vérification et suivi

Tout est donc mis en œuvre pour corriger les quelques points défaillants. Dans le cadre de cette vérification et ce suivi, un IPS et IDS afin d’automatiser l’analyse des logs sont requis. Le DSI, n’ayant pas les moyens humains de détacher une personne spécifiquement pour cette tâche, décide de travailler avec son partenaire historique, depuis 2010, Trend Micro, « la grande différence, c’est dans les hommes, si les solutions techniques sont presque similaires, Trend Micro a su établir une vraie communication et un réel suivi technique pour la mise en place de l’IPS – IDS en conformité avec notre SI ».

La virtualisation des postes de travail et des serveurs étant déjà réalisée, finis les problèmes de clés USB perdues. L’accès aux postes se fait donc à distance via des agents de sécurité SSL. Alors, l’attention se porte évidemment sur la fuite de données et début d’été 2014, la mise en place d’un IPS – IDS au travers de la solution Deep Discovery a permis d’automatiser ces attaques.

Pour la protection de l’ensemble des 800 caisses, la mission est remplie par OfficeScan, et pour la virtualisation, l’analyse en temps réel de tous les flux des machines virtuelles (serveurs du siège et des magasins, postes de travail) est réalisée par Deep Virtual Patching. En parallèle, le DSI se lance dans la mise en place d’une solution anti-virus sur tablettes et mobiles. Les tablettes utilisées dans les magasins s’interconnectant sur le Wifi présent, il est donc indispensable de garantir une haute sécurité, de même, pour les acheteurs présents à la SAS Babou et utilisant ces devices.

De plus, avec le lancement de la carte de fidélité en février 2014 et le stockage d’informations utilisateurs confidentielles, garantir sans cesse une totale sécurité envers les 550 000 clients possédant déjà cette carte est primordial.

De nouveaux objectifs

Si les priorités 2014 sont donc atteintes à savoir les attaques ciblées et la sécurité des terminaux mobiles avec Trend Micro, David Legeay ne s’arrête pas là et prévoit d’ores et déjà un nouvel audit sécurité au premier semestre 2015, toujours dans cette approche de préserver le patrimoine de l’entreprise.

Dans ce nouveau monde numérique, que ce soit pour les particuliers ou les entreprises, il faut tenir compte des attaques ciblées que les anti-virus standard ne voient pas passer, « la formation auprès des utilisateurs est donc essentielle, tout passe par la communication, le suivi, l’explication agrémentée d’exemples de risques et la mise en avant de leur responsabilité. Il ne faut surtout pas subir, mais anticiper et poursuivre la veille concernant la sécurité » insiste David Legeay. Le tout, dans une démarche constante d’amélioration du fonctionnement, d’évolution et d’anticipation.