La s\u00e9curit\u00e9 technique est en ordre ? Oui. Mais qui est responsable de quoi ? Quels risques passent sous le radar ? Que se passe-t-il si un fournisseur externe commet une erreur ? Xpo Group voulait une r\u00e9ponse claire et formellement document\u00e9e \u00e0 ces questions. Cingulum les a aid\u00e9s \u00e0 y voir clair, et a pos\u00e9 les bases d’une approche qui va au-del\u00e0 des outils et des syst\u00e8mes.<\/p>\n\n\n\n
Xpo Group est une organisation de taille moyenne, avec environ 140 collaborateurs, active dans le secteur de l’\u00e9v\u00e9nementiel. Elle organise des foires et des expositions, sur son propre site \u00e0 Courtrai et \u00e0 l’international. Son environnement informatique est donc particulier : pendant un \u00e9v\u00e9nement, tous les syst\u00e8mes doivent fonctionner parfaitement. Avant et apr\u00e8s, la pression est moins forte. Cette charge variable rend l’environnement plus complexe qu’il n’y para\u00eet.<\/p>\n\n\n\n
L’\u00e9quipe IT interne est restreinte. Pour la gestion informatique quotidienne, Xpo Group travaille avec un managed service provider. Pour les nouveaux syst\u00e8mes, elle s’appuie de plus en plus sur des fournisseurs externes ou des d\u00e9veloppements sur mesure, dans et en dehors de son propre environnement cloud. Cette d\u00e9pendance augmente, et l’organisation voulait en prendre conscience et y r\u00e9pondre de fa\u00e7on structur\u00e9e.<\/p>\n\n\n\n
C’est pourquoi Xpo Group applique une habitude bien ancr\u00e9e : tous les deux \u00e0 trois ans, elle fait r\u00e9aliser un audit complet de son environnement, en alternant entre volet technique et volet politique et processus. Trois ans auparavant, elle avait test\u00e9 sa r\u00e9silience technique via un pentest. Il \u00e9tait d\u00e9sormais temps de s’int\u00e9resser \u00e0 l’autre c\u00f4t\u00e9 de la m\u00e9daille.<\/p>\n\n\n\n
Xpo Group a r\u00e9alis\u00e9 ce trajet gr\u00e2ce au VLAIO Cybersecurity Verbetertraject, un dispositif de subvention du gouvernement flamand permettant aux PME de financer jusqu’\u00e0 50 % de leur trajet cybers\u00e9curit\u00e9. Elle a opt\u00e9 pour le package MEDIUM : une analyse approfondie de l’ensemble de l’environnement de s\u00e9curit\u00e9, suivie de journ\u00e9es de conseil et d’impl\u00e9mentation sur mesure.<\/p>\n\n\n\n
Les premi\u00e8res conversations ont r\u00e9v\u00e9l\u00e9 que la s\u00e9curit\u00e9 technique des syst\u00e8mes critiques \u00e9tait bien en place. Xpo Group avait elle-m\u00eame conscience qu’il y avait de la marge pour progresser sur le plan des politiques et des processus. C’est pr\u00e9cis\u00e9ment cette prise de conscience qui l’a conduite \u00e0 faire appel \u00e0 Cingulum.<\/p>\n\n\n\n
Les principaux points d’am\u00e9lioration se situaient \u00e0 trois niveaux : la structure interne, la collaboration avec des tiers et la sensibilisation des collaborateurs. Qui est responsable de quoi ? Comment les accords avec les fournisseurs sont-ils formalis\u00e9s et suivis ? Et comment faire en sorte que la s\u00e9curit\u00e9 ne repose pas uniquement sur le d\u00e9partement IT ?<\/p>\n\n\n\n
Une attention particuli\u00e8re a \u00e9t\u00e9 port\u00e9e \u00e0 la migration cloud en cours. De nouveaux syst\u00e8mes sont d\u00e9velopp\u00e9s par des parties externes, chacune avec sa propre approche. Xpo Group voulait mettre en place une structure claire pour pouvoir suivre et ajuster ce processus \u00e0 l’avenir.<\/p>\n\n\n\n
Cingulum a r\u00e9alis\u00e9 un Security Maturity Assessment bas\u00e9 sur la norme ISO 27001, compl\u00e9t\u00e9 par une gap-analyse approfondie. Au cours de sept \u00e0 huit entretiens, toutes les parties prenantes concern\u00e9es ont \u00e9t\u00e9 r\u00e9unies : le CEO, le managed service provider, le responsable IT interne, le facility manager, le gestionnaire ERP et les RH. Le fait que toutes les parties, y compris les externes, aient particip\u00e9 de fa\u00e7on constructive d\u00e8s le d\u00e9part, a fait toute la diff\u00e9rence. Cette vision d’ensemble a permis d’obtenir un tableau complet et fid\u00e8le de la situation.<\/p>\n\n\n\n
Tous les entretiens ont eu lieu sur site, chez Xpo Group. L’approche a \u00e9t\u00e9 adapt\u00e9e \u00e0 leur contexte sp\u00e9cifique, avec une attention particuli\u00e8re pour la strat\u00e9gie cloud et la collaboration avec des parties externes. Ces \u00e9changes ont rapidement mis en lumi\u00e8re que plusieurs domaines techniques \u00e9taient bien ma\u00eetris\u00e9s : de la segmentation r\u00e9seau \u00e0 la configuration d’Active Directory, en passant par les sauvegardes. Une visite des lieux a confirm\u00e9 par ailleurs la qualit\u00e9 de la s\u00e9curit\u00e9 physique.<\/p>\n\n\n\n
Les constats ont \u00e9t\u00e9 partag\u00e9s directement, comme base pour des actions cibl\u00e9es. La direction n’a pas \u00e9t\u00e9 surprise, mais a appr\u00e9ci\u00e9 le niveau de d\u00e9tail et de profondeur de l’analyse.<\/p>\n\n\n\n
\u00c0 l’issue de l’assessment, Xpo Group a re\u00e7u bien plus qu’un score par section de la norme ISO : un plan d’action complet, avec des \u00e9tapes concr\u00e8tes class\u00e9es par ordre de priorit\u00e9. Le tout a \u00e9t\u00e9 adapt\u00e9 \u00e0 leur contexte sp\u00e9cifique :<\/p>\n\n\n\n
Chaque constat a \u00e9t\u00e9 associ\u00e9 \u00e0 une mesure concr\u00e8te : ce que l’on traite maintenant, et comment \u00e9viter que cela ne se reproduise.<\/p>\n\n\n\n
Xpo Group dispose d\u00e9sormais d’un registre des risques clair et prioris\u00e9, d’une politique de s\u00e9curit\u00e9 formalis\u00e9e et d’un point de d\u00e9part solide pour g\u00e9rer ses risques. Les bases sont pos\u00e9es, et c’est pr\u00e9cis\u00e9ment ce que ce trajet devait accomplir.<\/p>\n\n\n\n
Que ce trajet se soit d\u00e9roul\u00e9 de fa\u00e7on aussi fluide est aussi le m\u00e9rite de Xpo Group. D\u00e8s le d\u00e9part, la direction a clairement indiqu\u00e9 vouloir savoir o\u00f9 elle en \u00e9tait, et a port\u00e9 cet engagement \u00e0 travers toute l’organisation. Tout le monde a collabor\u00e9 de fa\u00e7on ouverte et constructive, ce qui a rendu une approche approfondie possible.<\/p>\n\n\n\n
L’organisation a ainsi identifi\u00e9 les prochaines \u00e9tapes et les priorit\u00e9s sur lesquelles agir en premier. C’\u00e9tait l’objectif du trajet, et cet objectif est atteint.<\/p>\n\n\n\n
Au fil des entretiens, plusieurs quick wins ont \u00e9galement \u00e9merg\u00e9, des points relev\u00e9s sur le moment gr\u00e2ce \u00e0 la pr\u00e9sence des bonnes personnes autour de la table. Ce dialogue \u00e9largi entre toutes les parties prenantes a fait la diff\u00e9rence.<\/p>\n\n\n\n
\u00ab Nous accordons une grande importance \u00e0 la s\u00e9curit\u00e9. Gr\u00e2ce \u00e0 Cingulum, nous savions o\u00f9 nous en \u00e9tions et nous avons re\u00e7u un plan clair qui nous a permis de poser les bons gestes. \u00bb<\/em> Vincent Windels, IT & Digital Innovation Manager, Xpo Group<\/p>\n\n\n\n