Country manager France chez à Sophia Antipolis chez Fortinet, un des leaders mondiaux de la sécurité réseau haute performance, Stéphane Pitavy donne des clés pour améliorer la sécurité des e-commerçants. Voici son avis d'expert qui s'intitule "Le shopping en toute sécurité" (les intertitres sont de la Rédaction)
"Au niveau mondial, le secteur de la distribution figure parmi les trois premiers secteurs d’activité victimes des cybercriminels. En effet, en raison du grand nombre de commerçants acceptant les cartes de paiements, du niveau relativement faible de sécurité et des nombreux vecteurs d’attaques disponibles, le nombre de brèches est important et en augmentation constante. L’utilisation croissante des appareils mobiles associés à l’introduction de la technologie sans-fil et des applications Near Field Communication (NFC) telle que la réalité augmentée ne font qu’exacerber le problème.
Les exemples les plus connus en matière de cyber-vols dans le secteur de la distribution viennent des US. Parmi eux, on peut citer TJX, Subway et Barnes & Noble. La violation des réseaux sans-fil des magasins, des systèmes de points de vente (PDV) et des lecteurs de cartes de crédit ont donné lieu à des dizaines de millions de cartes de crédit compromises et à la perte d’informations personnelles, en plus des pertes financières subies par ces commerçants. Ces cas de cyber-vols à grande échelle soulignent la nécessité pour les commerçants de mieux sécuriser leurs opérations.
Vers une sécurité moderne des commerçants : les quatre composantes de base
Traditionnellement, les commerçants ont sécurisé leurs magasins en utilisant soit des routeurs avec des fonctionnalités de sécurité basiques, soit en ajoutant une solution de sécurité indépendante, connectée au réseau du magasin, ou encore en déployant un WAN privé pour ramener tout le trafic au centre de données afin de l’inspecter. Chacune de ces méthodes a ses limites: manque de fonctionnalités, incapacité à évoluer ou bien coûts excessifs.
Au lieu de cela, les commerçants devraient examiner chacune des quatre principales composantes de base d’un environnement distribué sécurisé et prendre les mesures nécessaires pour résoudre les problèmes rencontrés par leur organisation à chacun de ces niveaux.
1. Accès – Alors que les magasins étendent l’accès aux employés et aux consommateurs utilisant des appareils mobiles, sécuriser cet accès devient essentiel. Le contrôle d’accès sécurisé grâce à la détection de faux points d’accès, à l’authentification, aux services WiFi fournis aux clients, ainsi qu’au contrôle de la bande passante et à la répartition des charges sont importants.
2. Magasin – Chaque magasin a besoin de sécurité et de connectivité pour une large gamme de fonctions dont le WiFi, la voix et la connexion traditionnelle réseau. Avec l’arrivée de la connectivité au grand public, chaque magasin doit également être en mesure de fournir des fonctions de sécurité, comme l’anti-malware et le contrôle des applications.
3. Regroupement – Ce niveau représente la destination de toutes les données. Il s’agit généralement du siège social du commerce. Des fonctions essentielles de sécurité telles que le pare-feu, le contrôle des applications et le VPN doivent être déployées à ce niveau.
4. Gestion – Etant donné que les commerces d’aujourd’hui sont largement distribués, la capacité à gérer de manière centralisée et à mettre à jour rapidement les différentes appliances de sécurité protégeant l’organisation est essentielle. Bénéficier d’une plateforme de gestion qui couvre l’ensemble de la sécurité de l’entreprise permettra que cela soit fait de manière efficace.
Les critères à prendre en compte pour une meilleure sécurité réseau
Dans le cadre de cette stratégie de sécurité, les commerçants devraient sérieusement considérer leurs options pour la mise en œuvre d’une solution de sécurité réseau qui soit à la fois complète et rentable. Afin de répondre à la complexité actuelle de la sécurité en magasin, les critères à prendre en compte incluent :
1. Une performance élevée pour améliorer l’expérience client
Avec le nombre croissant de terminaux et d’applications ainsi que des volumes de données plus élevés, chaque réseau situé en magasin doit fournir de hautes performances pour traiter en continu les cartes de crédit et la connectivité du PDV, le tout afin de maximiser l’expérience et l’interaction avec le client. Une performance élevée et un flux de trafic à faible latence sont particulièrement importants durant les fortes périodes de transaction.
2. Une protection en profondeur pour le LAN sans-fil des magasins
Il est de plus en plus fréquent que la force commerciale en magasin utilise des tablettes sans-fil pour augmenter l’interactivité avec les clients, alors que certains commerçants cherchent à différencier leurs services par des bornes Internet, de l’affichage numérique et l’accès client à travers leurs propres appareils. La solution de sécurité doit donc être en mesure de fournir les mêmes niveaux de sécurité à la fois aux parties sans-fil et filaires du réseau.
3. Une Migration vers des Réseaux Publics à Moindre Coûts
L’adoption de la connexion haut-débit à moindre coût dans les magasins et/ou l’utilisation d’un VPN sécurisé dans les réseaux publics offre aux réseaux WAN privés des alternatives opérationnelles à faible coûts. Toutefois, tirer profit des réseaux publics pour la connexion des magasins peut exposer les commerçants à des menaces de sécurité supplémentaires. Il est donc important que ces connexions soient sécurisées et que le trafic crypté ne subisse pas de dégradation des performances lors de son passage à travers les appareils de sécurité.
4. L’adoption de services innovants en magasin
L’utilisation de technologies avancées rend l’environnement de la vente au détail plus vulnérable en matière de menaces. Supporter des applications clients à la pointe de l’industrie − telles que les applications de réalité augmentée utilisées alors que les clients se déplacent au sein du magasin et/ou l’accès WiFi en magasin pour accéder à la vente multicanales ou à des programmes de fidélité − deviendra monnaie courante dans les cinq prochaines années. Les systèmes de sécurité devront pouvoir évoluer pour protéger des centaines voire des milliers de terminaux sans imposer d’importants coûts.
5. Le support de la conformité PCI-DSS
Alors que des transactions bancaires se font sur les réseaux de distribution, il est indispensable que les exigences de conformité PCI soient remplies. Le suivi de la sécurité et la détection de points d’accès non autorisés sont des exigences précises de la norme PCI. Il est donc impératif que les commerçants soient en mesure d’analyser le comportement de l’utilisateur et de l’appareil connecté au réseau du point de vente et qu’ils puissent faire face à toute menace. Les fonctions d’enregistrement des événements, d’analyse et de reporting sont indispensables aux entreprises qui souhaitent démontrer leur conformité au PCI-DSS et autres réglementations.
Comment définir la stratégie de sécurité
Afin de rester compétitifs dans un monde en pleine évolution, les commerçants doivent trouver des solutions innovantes pour créer de la valeur, réduire radicalement les coûts opérationnels et réduire les risques à tous les niveaux de leurs activités. Pour les commerçants disposant de nombreux magasins dispersés géographiquement, la connectivité réseau sécurisée reliant tous les sites au siège social est essentielle. Lorsque le réseau est violé, les services IT peuvent devenir indisponibles et les données peuvent être perdues, provoquant de graves conséquences pour l’entreprise.
Les commerçants doivent donc définir une stratégie de sécurité qui répond aux principales composantes de base de leur environnement distribué et doivent s’assurer que leur infrastructure de sécurité est non seulement robuste, mais également évolutive, facile à gérer et rentable. Ce n’est qu’à ces conditions que l’organisation pourra mettre en place de manière sécurisée des services innovants permettant d’améliorer l’expérience utilisateur et d’assurer la croissance de l’entreprise, sans que cette sécurité entraine une forte augmentation des coûts de déploiement ou de charges du personnel.
Stéphane Pitavy