On peut dire sans se tromper que Dan Ronco est toujours sous pression. Il est le responsable informatique chargé de gérer des milliers de terminaux disparates au sein de Service Logic, une entreprise spécialisée dans le chauffage, la ventilation et la climatisation dont la taille ne cesse de croître (grâce à des fusions-acquisitions) ; et, en raison de la multitude d'acquisitions réalisées ces dernières années, il est chargé d'intégrer chaque nouvelle société rachetée au sein du groupe, sur le plan de la sécurité.
« Ce n'est pas le modèle classique de fusion-acquisition », explique Ronco.
Dans le domaine des fusions et acquisitions d'entreprises , Service Logic – la plus grande entreprise privée d'Amérique du Nord spécialisée dans les services énergétiques et de CVC – pratique un mode de gestion que l'on pourrait qualifier, pour ainsi dire, d'exactement à l'opposé de la « parentalité hélicoptère ».
Contrairement à de nombreuses sociétés cotées en bourse, Service Logic adopte une approche sur mesure en matière d'acquisitions, ce qui permet aux entreprises qu'elle acquiert de préserver leur héritage. Si ce mode de fonctionnement favorise les acquisitions et semble porter ses fruits sur le plan financier (Service Logic compte désormais 119 sites, et ce chiffre ne cesse d'augmenter), il soulève toutefois certains défis en matière de cybersécurité.
Depuis son siège social situé à Charlotte, en Caroline du Nord, Service Logic acquiert ou investit dans des entreprises régionales spécialisées dans le chauffage, la ventilation et la climatisation (CVC) et les aide à se développer tout en conservant une certaine autonomie, afin qu'elles puissent poursuivre leurs activités comme auparavant. Ces entreprises peuvent aller de la petite entreprise familiale au prestataire de services de chauffage, ventilation et climatisation (CVC) dominant sur un grand marché ; cela signifie que M. Ronco, en tant que directeur de l'architecture de sécurité d'entreprise, est confronté à des niveaux très variés sur l'échelle de maturité en matière de sécurité.
M. Ronco nous a expliqué comment il gérait ce nombre sans cesse croissant de terminaux afin que toutes les entreprises du groupe Service Logic puissent se concentrer sur le refroidissement des centres de données en été et le chauffage des bureaux en hiver.
(L'entretien suivant est adapté d'une conversation intitulée « » menée avec Ronco dans le cadre du podcast Tanium « », , produit par Tanium, éditeur de ce magazine.) (Ce texte a été raccourci et reformulé pour des raisons de concision et de clarté.)
Tout d'abord, Service Logic se distingue par ce modèle économique décentralisé particulièrement intéressant. Pourriez-vous m'en dire un peu plus à ce sujet ?
Bien sûr. Nous procédons donc à l'acquisition d'entreprises spécialisées dans le secteur des services de chauffage, de ventilation et de climatisation (CVC) à usage commercial et industriel, aux États-Unis et au Canada. Nous comptons actuellement environ 52 unités opérationnelles et plus de 100 sites.
«Notre modèle diffère quelque peu du modèle d'acquisition classique… » Nous leur offrons un soutien financier, mais nous leur donnons également les moyens de renforcer leur sécurité. »
Notre modèle diffère quelque peu du modèle d'acquisition classique, qui concerne généralement des entreprises dont les performances sont insuffisantes ou qui nécessitent un investissement en capital important. Nous acquérons des entreprises très performantes, de manière à ce qu’elles puissent continuer à mettre en œuvre les facteurs qui ont fait leur succès, et nous leur apportons un soutien financier, mais nous leur offrons également un moyen de renforcer leur sécurité en matière d’ , de manière à protéger notre investissement tout en leur fournissant un tremplin vers la prochaine étape de leur réussite commerciale.
Cela doit poser des défis particuliers en matière d'exploitation et de sécurité, n'est-ce pas ?
Dans un modèle décentralisé, vous êtes confronté à des phénomènes tels que l’ , l’informatique fantôme, où les collaborateurs ne s’alignent pas toujours sur la stratégie de l’entreprise concernant les outils autorisés, les pratiques à adopter ou les licences à acquérir, ainsi qu’à des logiciels sous-utilisés, entre autres.
[À lire également : Le guide de survie du RSSI en matière de fusions-acquisitions]
Il est donc important pour nous d'identifier ces lacunes de manière à pouvoir engager une réflexion sur les moyens de [maîtriser] cette situation, tant d'un point de vue opérationnel que d'un point de vue financier.
Et cela commence par…
Nous organisons un bref entretien téléphonique de présentation pour nous présenter, vous présenter l'équipe ; notre directeur informatique se joint à nous, puis nous commençons [par une vue d'ensemble de et de la gestion des terminaux]. Nous devons avoir une vue d'ensemble de tous les actifs… comprendre en quoi consistent ces actifs, identifier les vulnérabilités associées et élaborer un plan pour y remédier.
«Dans un modèle décentralisé, vous êtes confronté à des phénomènes tels que l’informatique parallèle, où les collaborateurs ne s’alignent pas nécessairement sur la stratégie de l’entreprise concernant les outils autorisés. »
Nous les acceptons en quelque sorte tels qu’ils sont [en termes de niveau de sécurité], sachant que nous disposons d’un plan d’intégration très solide pour pallier chacune de ces lacunes.
Vous souhaitez tout de même qu'ils continuent à fonctionner à leur manière et à servir leurs communautés à leur manière.
Nous souhaitons leur permettre de continuer à faire ce qui a fait leur succès, et leur assimilation ne facilitera pas cela ; ce n'est donc pas notre priorité… Nous effectuons de nombreux contrôles de conformité. Nous sommes une entreprise affiliée au CIS [Center for Internet Security]. Nous respectons les contrôles CIS [un cadre de l' , comprenant 18 bonnes pratiques , visant à renforcer la cybersécurité].
En réalité, il s'agit simplement d'une discussion sur leur situation actuelle et sur la manière dont nous pouvons les aider à atteindre leurs objectifs. Cela nous aide à orienter ces discussions dans la bonne direction. Par exemple, nous avons rencontré des intégrations dans lesquelles nous voyons un ordinateur sous Windows 97 …
Oh, waouh.
…en attente sur le réseau. Et cela peut s'expliquer par toutes sortes de raisons. Peut-être s'agit-il simplement d'une machine qui facilite certains processus métier, et la mise à niveau de ce processus leur coûtera 100 000 dollars. Ils ne peuvent donc pas mettre hors service cet appareil sous Windows 97 . Le simple fait de pouvoir présenter cela à l'entreprise comme un risque [permet à celle-ci] d'être mieux informée, ce qui lui permet de prendre une meilleure décision en matière de risque.
Qu'en est-il de l'automatisation, de l'apprentissage automatique et de l'IA ? Selon vous, quel impact cela aura-t-il sur l'activité ?
Je pense que ce phénomène ne fera que prendre de l'ampleur. En ce qui concerne l'informatique,... J'aimerais beaucoup voir apparaître une avancée permettant une certaine automatisation de l' … notamment en ce qui concerne les IOC () – indicateurs de compromission. [Je souhaiterais] indiquer [à une plateforme de cybersécurité] précisément quels indicateurs de compromission nous recherchons, puis élaborer un processus ou un guide d’ autour de cela, par exemple : « Si vous constatez cela, quelles sont les réponses attendues ? »
«Si un système fonctionne à son niveau de référence 90 % du temps, l’IA est-elle capable de détecter un changement par rapport à ce niveau de référence et de proposer ensuite une solution corrective ? »
En effet, du point de vue de la sécurité et de la gestion des incidents, il existe un ensemble de fonctions essentielles qui doivent être mises en œuvre en cas d'incident. L'isolement serait immédiat : quelle que soit la nature de la faille, votre première mesure consiste à isoler tout ce qui a été compromis. Et puis, vous disposez d'une certaine marge de manœuvre : si vous savez que ce système est compromis et qu'il ne se propage plus sur le réseau, vous avez le temps de mener une enquête plus approfondie.
La plupart des responsables technologiques avec lesquels nous nous sommes entretenus se réjouissent des perspectives que l'IA peut offrir à leur entreprise, tandis que les professionnels de l'informatique craignent qu'elle ne prenne le pas sur certains emplois.
Je ne vois pas cela précisément. Je constate un grand enthousiasme… pour des applications telles que la surveillance améliorée ou la maintenance prédictive. Ainsi, si un système fonctionne à son niveau de référence 90 % du temps, l’IA d’ peut-elle détecter un changement par rapport à ce niveau de référence, puis proposer une solution corrective ? Ou peut-être s'agit-il d'un problème d'espace disque ou d'utilisation de la mémoire. Ces informations peuvent-elles être mises en avant pour permettre une réponse ? Ou peut-être pourrions-nous mettre au point une réponse de base. Donc, si vous voyez ceci, faites cela. Nous pouvons donc identifier ce guide stratégique.
Ce qui peut alors vraiment aider les gens à accomplir leur travail plus rapidement et plus efficacement.
Tout à fait. Et en réfléchissant à d’autres applications possibles de l’IA, en analysant par exemple le comportement des utilisateurs afin, disons, d’identifier des cas d’ , ou encore les risques liés aux initiés. Imaginons qu'un utilisateur et son ordinateur exécutent un ensemble de fonctions à 90 % du temps, puis que, tout à coup, vous constatiez… qu'il télécharge des fichiers ou qu'il envoie un e-mail volumineux contenant une pièce jointe très lourde : cela peut constituer un indicateur de compromission. Ainsi, le fait que l'IA vous fournisse ces informations au bon moment vous aiderait à protéger encore davantage votre entreprise.
