Bernard Ourghanlian, direction technique et sécurité de Microsoft
La nouvelle vision de la sécurité de Microsoft (1ère partie)

mardi 22 janvier 2008

20080122 Dans cet entretien consacré à la sécurité, Bernard Ourghanlian, directeur technique et sécurité de Microsoft France, revient sur la vision présentée en février 2007 par Bill Gates et Craig Mundie visant à proposer une nouvelle architecture de sécurité.

Il explique les raisons qui amènent aujourd'hui Microsoft à promouvoir une nouvelle approche qui permette de dépasser les limitations du paradigme fondé sur le modèle du pare-feu.

Cet entretien, publié en trois parties, traite successivement des changements survenus chez Microsoft à la suite du lancement de l'initiative « Informatique de confiance » en 2002, des interrogations concernant la légitimité de Microsoft à commercialiser des solutions de sécurité et plaide enfin pour une nouvelle architecture qui permette de dépasser un modèle de sécurité dont Bernard Ourghanlian pense qu'il devient progressivement aussi illusoire que l'était la ligne Maginot.

Propos recueillis par Hugo Lunardelli.

Depuis les crises de sécurité du début des années 2000, le nombre d'alertes de sécurité liées aux logiciels Microsoft a connue une décrue sensible au point que Windows apparaît désormais comme mieux protégé que d'autres systèmes. Pouvez-vous expliquer les changements qui ont suivi le lancement de « Trustworthy Computing » ?

Bernard Ourghanlian : Pour aborder la question de la sécurité, il est nécessaire de se rappeler d'où l'on vient. On vient d'un environnement où la sécurité n'était pas une priorité majeure de Microsoft. Vous avez fait allusion au lancement par Bill Gates de l'initiative « informatique de confiance » qui remonte au 15 Janvier 2002. On en est maintenant au-delà de la cinquième année sur ce sujet et il est indéniable que cette initiative a eu un impact assez profond, à la fois sur la façon dont Microsoft développe ses produits et, au-delà, sur la culture de l'entreprise. Si je ne retenais qu'un aspect de la chose ce serait probablement celui là.

Je pense que ces remises en question ont fait beaucoup de bien à Microsoft par rapport à un certain nombre de sujets sur lesquels je reviendrai. Cela nous a un peu appris l'humilité, ce qui ne fait jamais de mal. L'histoire retiendra que cette initiative a été lancée essentiellement à la suite d'un certain nombre de grandes catastrophes à l'échelle de l'Internet qui portaient le nom de Nimda ou de Code Red. Ces crises font partie des claques qu'il faut se prendre de temps en temps pour comprendre qu'il y a des choses qui ne vont pas et qu'il est nécessaire de les corriger. Si l'on essaye de voir ce que l'initiative de confiance a eu comme impact, il faut rappeler son ambition initiale et, pour être très franc, on est encore très loin de la réalisation de cette ambition. L'ambition annoncée visait à faire de l'informatique quelque chose d'aussi simple à utiliser que peut l'être l'eau, le gaz, l'électricité dans nos vies quotidiennes. Cette initiative reposait sur quatre piliers : sécurité, respect de la vie privée, fiabilité du système et qualité des relations commerciales que peut avoir Microsoft et ses clients, ses partenaires et son écosystème.

Il y a certainement eu des progrès sur chacun de ces domaines et il est probable que le pilier qui s'est le plus développé c'est celui de la sécurité, mais ce n'est pas pour autant les autres piliers ont été ignorés. En ce qui concerne le respect de la vie privée, il s'agit d'un élément essentiel et fondamental à la confiance sur Internet. Si on ne respecte pas la confidentialité des échanges ...

Comme dans la lecture des emails ?

BO : Oui, c'est un sujet sur lequel il y a beaucoup de tiraillements. Si on fait un aparté sur cette question, on se rend compte que le marché de la publicité en ligne se définit comme un marché sur lequel on échange une partie de sa privée contre l'accès à des services plus ou moins gratuits. Donc, quand on regarde le modèle économique sur lequel sont fondés aussi bien « Live » chez Microsoft que Google dans leurs approches, ce modèle, tous ces modèles sont fondés sur cet échange. Je dirais que ce modèle est poussé à l'extrême sur des réseaux sociaux comme Facebook où on va mettre en ligne une série d'informations personnelles comme son CV, ses goûts qui vont permettre d'enrichir son réseau d'amis et on le fait dans un contexte où, que l'on le veuille ou non, on échange un morceau de soi.

Ce qui est problématique sur un plan sociétal, c'est que les termes de cet échange aujourd'hui ne sont pas clairs. Autrement dit, on échange quelque chose mais on ne sait pas très bien comment ce quelque chose sera utilisé dans le futur. Dans un monde où tout serait parfait, toutes les intentions seraient louables, cela ne poserait pas de problèmes. Dans un monde un peu plus complexe, où il y aurait une version plus policière de la réalité, plus proche de 1984, on pourrait se poser des questions très sérieuses. Ce qui est compliqué sur Internet c'est que potentiellement à travers sa vie numérique on accède à l'éternité, au sens où l'on existe toujours de manière électronique mille ans après sa mort, en raison des traces numériques que l'on a laissé. La question qui se pose par rapport à ça est simple : comment faire disparaître une trace en tant qu'auteur, comment détruire son manuscrit en tant que personne qui a eu un passé trotskiste ou à l'inverse plutôt fasciste (pour prendre deux exemples extrêmes et bien connus du monde politique) et qui s'est repenti ? Ce qui est difficile sur Internet, c'est le remords.

Ce qui, à mon sens, pose problème c'est qu'à partir du moment où on a mis en ligne une information, celle-ci peut nous suivre, suivre nos enfants, nos petits enfants et, en fait, rester gravée pour l'éternité. Ce qui normalement devrait être du ressort de la vie privée, c'est-à-dire la possibilité à tout instant de pouvoir accéder à des informations sur soi, d'avoir le droit à un retrait, n'existe pas de facto sur l'Internet. Je pense que c'est un sujet de réflexion à part entière sur lequel tous les acteurs ont encore besoin de mûrir.

Je pense que paradoxalement le 11 septembre 2001 a eu un effet extrêmement significatif sur un certain nombre de pratiques en permettant de formuler l'informulé. A savoir qu'à partir du moment où on a eu peur et où règne encore une part importante d'anxiété, on a de facto accepté pour améliorer notre sécurité de renoncer à une partie de notre vie privée. Quand on accepte de transférer aux Etats Unis, parce que c'est rendu obligatoire par la législation américaine, les informations sur les passagers qui embarquent sur des vols transatlantiques, on réalise quelque chose qui n'aurait pas été envisageable avant le 11 septembre.

Est-ce une évolution positive ?

BO : Je ne suis pas sûr que ce soit une évolution positive, je dis simplement qu'il y a un lien entre le fait d'avoir peur et d'accepter, de facto, de sacrifier une partie de sa privée parce que l'on a l'impression que cela va permettre de mieux se protéger. A partir de ce moment là, la dérive vers des exploitations marchandes et commerciales de sa privée est assez naturelle. Or, chacun a le droit à son intimité et au respect de sa vie privée. Je me pose même la question - politiquement incorrecte s'il en est - de savoir si les succès commerciaux de Google ou d'autres Facebook ne sont pas dus, indirectement, au 11 septembre, puisque ce bien triste événement nous a conduit à céder à peu de frais une part de notre vie privée en échange d'un monde plus sûr (ou soi-disant tel).

Pour en revenir à l'initiative de confiance, on a également travaillé sur les aspects liés à la fiabilité des systèmes et notamment au sein de Windows Vista...

Sur Dynamic Systems Initiative (DSI) ?

BO : Oui, mais pas seulement. On a travaillé par exemple sur un Framework de développement de drivers pour lequel on a fait appel pour la première fois aux preuves formelles afin d'en démontrer mathématiquement la robustesse. Ce sont des progrès assez significatifs qui vont dans la direction de l'amélioration de la fiabilité des systèmes, surtout quand on considère les statistiques dont on dispose sur les crashs enregistrés notamment sur Windows XP puisque probablement entre 70 et 75 % de ces crashs sont liés à des problèmes de drivers.

Même chose sur les relations apaisées que l'on cherche à établir avec nos partenaires et nos clients. Les démarches que l'on a eues sur l'interopérabilité vont ainsi dans cette même direction.

D'une façon générale, ces quatre piliers ont eu pour Microsoft des impacts extrêmement importants. Cela ne veut pas dire que les choses se sont passées du jour au lendemain, ou non plus qu'il ne reste rien à faire. On dit très souvent que « la sécurité est un voyage, pas une destination » et je pense que quels que soient les progrès que l'on pourra faire dans ce domaine, quelles que soient les avancées technologiques que l'on pourra faire, il faudra toujours se préoccuper du fait que la sécurité parfaite n'existe pas et se souvenir que la sécurité ce n'est pas que de la technologie. Comme beaucoup de choses en informatique, la sécurité est un triptyque dans lequel on trouve à la fois de la technologie, des processus et des hommes. Tant que l'on pourra exploiter la crédulité des gens, même si on a des supers moyens informatiques derrière, on arrivera toujours à perturber et induire en erreur un utilisateur qui sera trop crédule et qui sera tombé dans une arnaque trop bien faite.

Si on regarde ce que l'on a fait depuis 2002, l'élément le plus important en ce qui nous concerne, c'est certainement la refonte de nos procédés de développement. Un mois après le lancement de cette initiative pour l'informatique de confiance par Bill Gates, Microsoft a pris la décision d'arrêter tous les développements en cours parce qu'on s'est rendu compte, en considérant la racine du mal, que nos développeurs ne savaient tout simplement pas écrire du code sécurisé. Et la raison pour laquelle ils ne savaient pas, c'est tout simplement qu'on ne leur avait jamais appris. Quand je dis on, c'est au sens collectif du terme car, écrire du code sécurisé, c'est quelque chose qui nécessite à la fois de la théorie et de la pratique et que cela n'est pas enseigné dans les universités, les établissements scientifiques, et c'est encore le cas très largement aujourd'hui.

Nous avons pris la décision de monter des formations en urgence qui nous ont servies à reformer pendant un mois et demi tous nos développeurs, ce que l'on a fait au début de l'année 2002 et ce qui a eu pour conséquence d'arrêter tous les développements en cours, notamment celui de Windows 2003. Petit à petit les choses se sont structurées. On a mis une année pour mettre en place un nouveau processus de développement mais également un certain nombre de mesures permettant en interne de faire en sorte que ces processus soient d'un usage obligatoire, c'est-à-dire qu'ils puissent donner lieu à un certain nombre de dispositifs d'incitation et de sanctions où l'on va mesurer les développeurs sur des critères qui sont liés à la présence ou à l'absence de bugs de sécurité dans le logiciel qu'ils développent.

Autre élément mis en place : la systématisation de la formation. Chaque développeur, lors de son entrée chez Microsoft, a cinq semaines obligatoires de formation. Chaque année, tout développeur à une « piqûre de rappel », qui peut durer une semaine, lui permettant de se mettre à jour à la fois sur l'évolution de la méthodologie qui s'appelle aujourd'hui SDL (Security Development Lifecycle) et, en même temps, sur l'évolution des menaces.

C'est probablement l'élément le plus important qui a affecté en profondeur ce que l'on pourrait appeler « l'usine de fabrication » des logiciels de Microsoft. On a refondu le développement sur la « chaîne d'assemblage » pour faire en sorte que ce nouveau processus SDL soit utilisé en permanence sur tous nos nouveaux développements logiciels. Quand on conçoit un logiciel, on va passer par un certain nombre d'étapes obligatoires où la sécurité n'est plus simplement quelque chose que l'on rajoute a posteriori, un peu comme à regret, comme cela se pratiquait de manière courante dans le passé. On va intégrer dans toutes ces étapes la sécurité comme composante et obligatoire du processus de développement. Ainsi on va systématiquement planifier le temps que représentent les étapes de sécurité. On a injecté de façon formelle dans ce processus, de manière systématique lors de la phase de conception, une obligation de réaliser une modélisation des menaces. Cette modélisation est institutionnalisée. On a développé des outils aidant à représenter ces menaces, utilisables sur Internet en libre disposition. L'idée de cette modélisation des menaces c'est d'identifier sur tous les modules logiciels les sources potentielles de danger et de voir comment le design de ces composants va être affecté pour parer ces menaces.

Ces menaces peuvent découler du fait que l'utilisateur va saisir des informations qui ne sont pas nécessairement correctes. Il s'agit d'une erreur commune dans les bugs de sécurité. Par exemple, on demande à l'utilisateur de rentrer son âge et on considère a priori que cela ne sera pas sur 3 digits ou plus, par ce que personne ne vit si longtemps. Mais si l'utilisateur a envie de rentrer 9999 et que l'application n'a pas été écrite pour l'accepter, cela peut potentiellement engendrer un dépassement du format des entiers, provoquer une exception dans l'application qui sera ensuite utilisée par du code malfaisant. Cela veut dire que quels que soient les domaines, en input ou en output, il faut être capable de modéliser toutes les menaces associées. Une fois que cela est fait, on va renseigner une base de données qui va suivre l'évolution de ces composants logiciels pendant toute leur vie : conception, développement, test, bêta, support...

Il va falloir s'assurer que lorsque l'on fait des modifications, que l'on apporte des éléments nouveaux dans la brique logicielle, on s'assure que les menaces identifiées au départ restent pertinentes.

L'intérêt de ce dispositif est de réaliser une traçabilité à la fois en terme de qualité de développement pour s'assurer que les personnes qui ont pensé au module en question ont bien recensé tous les problèmes potentiels, mais également qu'ils ont fait tout ce qui était dans leur pouvoir en matière de programmation pour que les principes de précaution élémentaires soient respectés. Par exemple, quand une application lit un format de document, il faut partir du principe que le format peut avoir été « bidouillé » de telle sorte que le logiciel qui va lire ce document provoque une défaillance. Un des phénomènes que l'on a observé au cours des derniers mois est une augmentation considérable des failles de sécurité, non plus au niveau du système d'exploitation, mais à celui des applications. Ceci découle probablement des avancées en matière de sécurité apportées par Vista ou le service pack 2 de Windows XP qui font que le système en tant que tel est mieux protégé et que les attaques se portent au dessus, sur les éléments les moins sécurisés. Office a ainsi été énormément attaqué ces derniers temps, à travers des technologies qui commencent à se démocratiser, qui portent le nom de « file fuzzing » et qui ont pour objet de bricoler tout ce qu'il est possible de faire sur un format de fichier donné afin d'essayer de faire apparaître des erreurs dans le logiciel utilisé pour lire ce format de fichier. On a vu des problèmes sur les formats d'Office, Flash, PDF, Real Audio... Ces formats, pour la plupart d'entre eux ont été conçus il y a longtemps, avant la généralisation de l'Internet. La dernière modification importante des formats binaires d'Office remonte à 1997 et, à cette époque, Internet tel qu'on l'imagine aujourd'hui n'existait pas et personne n'imaginait qu'il puisse y a voir quelqu'un qui puisse avoir envie de bidouiller un format de fichier binaire pour lui faire faire des choses douteuses.

C'est une illustration du fait que l'on a mieux sécurisé la plateforme, mais en même temps qu'il faut en permanence remettre l'ouvrage sur le métier et que l'attitude qui consiste à ne jamais croire ce que l'utilisateur nous fournit (comme information, comme fichier,...) est un comportement de programmation défensif que tout développeur doit avoir.

Pour en revenir à SDL, à combien peut-on estimer l'overhead associé à ce processus ?

BO : C'est probablement autour de 10 et 15 %, ce qui est assez considérable quand on l'applique à des milliers de développeurs. Cela a même été plus que ça dans les phases de démarrage.

Dans les mesures que l'on a incorporées de manière native dans SDL figure toute une série d'étapes obligatoires dans le cycle de vie du logiciel. Par exemple, avant de livrer la première version bêta du logiciel, on a l'obligation de passer par une première phase d'audit qui va être réalisée par une autre équipe. On va faire une revue de code croisée entre deux équipes, on va utiliser les services d'auditeurs extérieurs pour relire le code. On va faire appel à des « chercheurs en sécurité » ou « hackers éthiques » car on ne fait pas appel à des « brigands ».

De la même façon, il y a un certain nombre de pratiques que l'on réprouve de manière extrêmement ferme. On ne va pas, par exemple, aller chercher à acheter des découvertes de vulnérabilités. J'ai à plusieurs reprises été approché par des individus qui prétendaient avoir découvert une faille de vulnérabilité dans nos produits et qui menaçaient de la rendre publique si nous n'acceptions pas payer. Entrer dans ce genre de logiquedevient extrêmement problématique. Rappelons-nous l'épisode des casinos en ligne en Angleterre qui ont été attaqués en déni de service par des truands. Un certain nombre d'entre eux ont payé et maintenant c'est devenu une véritable plaie pour tous les casinos en ligne. Ces dernières années, on est passé de menaces qui provenant d'adolescents en mal d'ego qui diffusaient des virus ou des vers ayant pour objet de rendre pénible la vie des utilisateurs, à un mode professionnel, criminel où l'objectif essentiel est de faire de l'argent. Dans ce mode, les profils d'attaque sont différents. On n'a plus les phénomènes viraux que l'on a connus avec Blaster, Sasser, I love you ni la médiatisation. On a des attaques beaucoup plus ciblées dont l'objectif est le vol d'identité, le déni de service, l'arnaque, le craquage de clés de chiffrement, le vol de logiciels... Moins médiatisées, ce genre d'attaques a pour finalité de faire gagner de l'argent d'une façon ou d'une autre. Ce phénomène est très peu médiatisé car ces attaques portent sur des sociétés, des marques plus que sur des milliers de machines anonymes (même si ce sont des milliers de machines anonymes qui participent souvent, à leur insu, à ce genre d'attaque).

A l'échelle de l'Internet il faut comprendre qu'il y a une continuité qui va de l'entreprise au particulier, la raison en étant que la plupart de ces attaques aujourd'hui sont le fait de machines zombies, regroupées au sein de Botnets, qui sont des machines usurpées, qui de facto n'appartiennent plus à leurs propriétaires même si ceux-ci l'ignorent. On fédère ainsi des dizaines, des centaines de milliers de machines de ce genre et le « berger » du Botnet, selon une expression somme toute assez poétique, va pouvoir contrôler et fédérer l'ensemble de ces ordinateurs pour, par exemple, provoquer une attaque de type déni de service. La capacité de mobilisation des Botnets est absolument gigantesque parce que cela prend en compte tellement de machines qu'aujourd'hui on a la possibilité de faire tomber tout réseau qui ne se serait pas très bien préparé à cette éventualité. C'est la raison pour laquelle depuis quelques années Microsoft a mis sur pied une « Botnet Taskforce », dont une réunion se tiendra d'ailleurs d'ici peu dans les locaux d'Interpol en France. Régulièrement nous avons des échanges avec les forces de police et de gendarmerie partout dans le monde pour définir des moyens de lutte contre ce phénomène sachant que, de notre côté, on cartographie les Botnets à l'échelle de l'Internet pouravoir une vision la plus exhaustive possible.

Pour finir sur le processus SDL, avant de sortir un logiciel, on passe par une étape qui s'appelle FSR pour Final Security Review, qui est une étape de revue obligatoire avant la mise sur le marché. Cette revue est effectuée par une équipe de spécialistes qui dépend de Bill Gates [GH5] et qui à le pouvoir de dire que le logiciel n'est pas prêt à être commercialisé si les critères du SDL ne sont pas respectés. Il n'est, par exemple, plus possible de sortir un logiciel qui présente un bug de sécurité critique connu. Cela n'existait pas avant 2002.

A combien de machines peut-on estimer le nombre de zombies ?

BO : C'est assez difficile à dire mais, à travers des statistiques comme celles que nous remontent chaque mois les outils d'analyse et d'éradication de logiciels malveillants dans Windows, on a une idée sur le nombre de PC infectés par telle ou telle classe de malwares, par pays, en se fondant sur l'adresse IP (cf. http://www.microsoft.com/downloads/details.aspx?familyid=4EDE2572-1D39-46EA-94C6-4851750A2CB0&displaylang=en).

Par rapport aux pays de la zone EMEA (Europe Middle East and Africa), la France représente une population de PC normalisée de 2,5 % infectés. On ne dispose pas de ce type de données sur les PC en entreprise puisque les données y sont filtrées. Dans d'autres pays, en Allemagne la proportion tombe à 1,4 %, l'Angleterre est à 1,8 %. Les seuls pays qui sont moins bons que la France aujourd'hui, parmi les grands pays européens, sont le Portugal et l'Espagne. L'Italie est à 1,1 %. Dans certaines régions comme l'Amérique latine ou certains pays d'Europe de l'Est, c'est pire, plutôt aux alentours de 7 à 8 %. Un rapport[GH6] réalisé par Microsoft sur la base de ces analyses montre d'ailleurs une corrélation très nette entre le niveau de développement de ces pays et le pourcentage de machines infectées. Cela prouve simplement que la pédagogie joue un rôle fondamental et c'est la raison pour laquelle nous avons toujours essayé de faire progresser les choses dans ce domaine, même si nous avons conscience de l'immensité de la tâche, par exemple en animant deux années de suite une semaine nationale de la sécurité informatique aux côtés de nombreux partenaires ou bien en contribuant au lancement du site http://www.protegetonordi.com/.

Pour en revenir à mon point de départ, il y a un lien incontournable entre la sécurité de l'Internet au sens « utilisateur à la maison » et la sécurité en entreprise. Ainsi, si à la maison, les utilisateurs ne sont pas correctement protégés, leurs machines deviendront des zombies et ces machines seront, à leur tour, utilisées pour attaquer les serveurs des entreprises. Ce phénomène milite pour l'établissement de partenariats avec des acteurs comme les forces de police mais également avec l'éducation nationale pour aller former les futurs utilisateurs dans les écoles.

Il y a également d'autres phénomènes pénibles comme le spam dont on peut considérer qu'il représente aujourd'hui 90 % du trafic de messagerie sur Internet. Sur Hotmail on doit filtrer aux alentours de 2,5 milliards de spam par jour. C'est absolument démentiel et c'est un phénomène contre lequel il est difficile de lutter car l'Internet a été conçu pour « un monde ouvert ». SMTP en tant que protocole est hélas une catastrophe absolue dans ce domaine. N'importe qui peut forger des messages pour le compte d'un utilisateur ou d'un nom de domaine sans aucune difficulté et c'est la raison pour laquelle nous avons fait une proposition sur ce sujet qui porte le nom de SenderID à l'IETF, proposition d'ailleurs finalement adoptée avec un statut de RFC expérimental. Pour l'implémenter il suffit d'aller modifier les enregistrements DNS sur les serveurs de messagerie concernés, cela ne nécessite donc pas d'intervention lourde. Il y a aujourd'hui un très large pourcentage des acteurs de l'Internet (13 millions de domaines l'ont adopté, représentant quelque 47 % de tout le trafic email légitime) qui ont déployé ce type de technologie mais beaucoup reste à faire.

Tout ceci a eu un impact sur les équipes de développement mais cela a eu aussi un impact très fort sur les filiales comme la filiale française. Un exemple que je cite volontiers, car très emblématique, est ce qui s'est passé lors de l'apparition de Blaster. Dans cette crise, on avait en France, par rapport à beaucoup d'autres pays, deux avantages. Le premier était qu'on avait pris le soin de recenser tous les RSSI (responsable de la sécurité des systèmes d'information) dans une base de données avec leurs coordonnées. On avait échangé ces informations contre la promesse de les contacter au cas où un problème de sécurité majeur viendrait à se présenter. Cela nous a permis, trois semaines avant l'éclatement de Blaster, de les prévenir. Certains ont choisi de patcher, d'autres ont choisi hélas de ne pas le faire et ils en ont payé le prix de façon extrêmement lourde. L'autre facteur qui nous a avantagés par rapport à d'autres pays, c'est le fait que pendant les vacances 2003 - cela se passait en Août 2003 - les utilisateurs sont rentrés par vagues, week-end après week-end. Et donc, contrairement à ce qui s'est passé en Allemagne où la filiale a reçu 150 000 appels le même jour, on a reçu le premier jour « seulement » 20 000 appels à comparer aux 400 appels que nous recevons en temps normal sur la sécurité par semaine.

Evidemment cela a été une catastrophe absolue, il a fallu monter en urgence un centre d'appels et on avait un tel déficit de capacité de réponse aux utilisateurs qu'on a été obligés de mobiliser tous les employés de Microsoft France. On a eu très peu d'incidents graves en entreprise, la majorité des problèmes se situaient au niveau des particuliers. Le problème c'est que, à la maison, on peut seulement appeler les gens tôt le matin ou tard le soir. On a été obligé de décaler les horaires de nos collaborateurs, cela a été extrêmement pénible. On a, de fait, dû pratiquement cesser les opérations courantes chez Microsoft pendant cinq semaines. J'ai convoqué par exemple tous les ingénieurs commerciaux, les équipes commerciales et je leur ai expliqué qu'ils devaient cesser leurs activités courantes pour assister les clients. Nous avons organisé plusieurs conférences en amphithéâtre pour expliquer à nos employés ce qui se passait et les former à l'assistance qu'ils devraient ensuite fournir à nos clients. Pour les employés de Microsoft qui étaient présents il y a quatre ans, cela a été très formateur. L'avantage c'est que cela a appris à l'ensemble des collaborateurs la gravité du phénomène et que cela pouvait mettre en péril la société. Cela nous a fait perdre beaucoup d'argent. L'impact sur le plan business d'une crise comme celle là est absolument considérable. D'ailleurs avec le recul, si j'avais su, j'aurai alerté la presse et les médias pour les avertir du caractère catastrophique de la situation et de la nécessité de prévenir l'ensemble des utilisateurs à la maison en leur donnant les mesures à prendre. C'est hélas toujours facile de réécrire l'histoire et il est très difficile d'alerter les utilisateurs d'une crise dont on ne connaît pas à l'avance la gravité.

Tout ça pour dire que depuis cette époque la culture de l'entreprise a changé de façon nette. Cela ne s'est pas fait du jour au lendemain. Il faut beaucoup de temps, plusieurs années. SDL lui-même est un processus en développement perpétuel. Nous avons cependant publié le processus pour pouvoir en faire bénéficier nos entreprises clientes. En effet, ce que l'on constate également, c'est que celles-ci sont confrontées aux mêmes problèmes à savoir que les applications qu'ils développent en interne sont susceptibles d'être attaquées de la même façon que les applications commerciales.

_________________
_{Hugo Lunardelli est titulaire d'un DEA en économie ainsi que d'un Mastère en Management des Technologies de l'Information. Passionné par les nouvelles technologies, il a occupé différentes fonctions marketing au sein de Microsoft France et de Microsoft Europe avant de démarrer une activité de consultant et journaliste.}

Imprimer l'article

Transférer par mail

Réagir à cet article

Les commentaires

Les deux liens existants dans La nouvelle vision de la sécurité de Microsoft (1ère partie)sont-ils actifs et peuvent-ils être utiles pour un particulier ? Le 2ième me semble utilisable (http://www.protegetonordi.com/). Est-ce également le cas du 1ier ?(http://www.microsoft.com/downloads/details.aspx?familyid=4EDE2572-1D39-46EA-94C6-4851750A2CB0&displaylang=en)

Par LUEZ le 02/02/2008 à 21:27