Sécurisation de l'écosystème d'identité chez Clarios

Je suis responsable de la sécurité des systèmes d’information chez Clarios. Je suis également en charge de l’infrastructure informatique. Je travaille chez Clarios depuis environ six ans maintenant. Clarios est le plus grand fabricant mondial de batteries — et quand je parle de batteries, je fais référence aux batteries basse tension qui équipent toutes les voitures. Nous sommes une entreprise d’envergure mondiale. Nous disposons de plus de 50 sites à travers le monde qui fabriquent ces batteries, et nous en produisons environ 155 millions par an. Nous avons donc cette entité principale qui se consacre à la fabrication des batteries. L’essentiel est de protéger cette activité. Nous devons garantir la continuité des opérations et de la production, car l’ensemble de l’industrie automobile dépend des batteries que nous lui fournissons. Sinon, vous le savez, les grands constructeurs automobiles ne pourraient pas faire sortir leurs voitures de leurs chaînes de montage. Nous nous lançons dans les systèmes de gestion de batterie, c’est-à-dire des logiciels qui peuvent être intégrés à ces batteries pour les rendre plus intelligentes, n’est-ce pas ? Ces demandes émanent justement de ces mêmes constructeurs automobiles. Nous passons donc de la fabrication à une activité de société de logiciels, ce qui pourrait nous amener à proposer également des services. Imaginez que nous gérions l’écosystème de toutes les batteries des flottes et autres applications similaires : il s’agit là d’une activité de services majeure. Mon défi consiste donc à trouver un équilibre entre la protection du cœur de métier de l’entreprise — qui représente encore aujourd’hui 80 % de notre chiffre d’affaires — et la préparation de l’organisation, de l’infrastructure et de la sécurité pour ces nouveaux domaines qui se profilent. C’est le défi auquel je suis confronté chaque jour. Quel serait l’impact si Clarios venait à cesser ses activités ? Les véhicules ne sortiraient plus des chaînes de montage. En effet, chaque véhicule qui sort de la chaîne de montage — voitures, camions, poids lourds, etc. — doit être équipé d’une batterie basse tension pour fonctionner. Ainsi, si nous sommes à l’arrêt, eux aussi le sont, et ce n’est pas souhaitable. Pourquoi Semperis ? Lorsque nous mettions en place nos initiatives pour notre programme de cybersécurité et tout ça, nous avions ce slogan qui disait : « Nous voulons être bons et protéger », en suivant le modèle du NIST. Mais ensuite, nous nous sommes dit : « Nous voulons être bons et protéger, mais nous voulons être excellents en matière de détection, de réaction et de reprise. » La logique derrière cela est que nous ne pouvons protéger que dans une certaine mesure. Et je pense que les organisations les plus avisées sont celles qui disposent de bonnes capacités de réaction et de reprise. Ainsi, en examinant ces différents aspects, il est très vite apparu que la majeure partie de nos efforts se concentrait sur les applications : la redondance, les différents fournisseurs de SaaS, les méthodes de sauvegarde et autres sujets de ce genre faisaient tous l’objet de discussions. Mais lorsque nous avons mené un exercice, en suivant pas à pas le processus lors d’une répétition en conditions réelles, nous avons réalisé que nous faisions beaucoup de suppositions concernant Active Directory, n’est-ce pas ? Mon patron m’a demandé : « Que faites-vous quand Active Directory est hors service ? » Le scénario change radicalement lorsque des attaquants prennent le contrôle de votre Active Directory et le rendent inutilisable, ou lorsque vous ne pouvez plus vous fier à aucune identité. C’est donc là que la discussion a commencé, et nous nous sommes mis à la recherche de solutions. C’est au cours de nos recherches que nous avons découvert Semperis, et nous avons entamé les discussions. Aujourd’hui, nous utilisons Semperis pour la restauration de notre forêt, pour notre outil « DSP » qui assure la détection, ainsi que pour le DRET. Je ne sais pas si nous utilisons l’intégralité du portefeuille de Semperis, mais nous disposons d’une grande partie, voire de la majorité de leurs produits. Nous nous intéressons également au produit « Ready1 », principalement parce que, comme je l’ai dit, la résilience est primordiale. Nous réalisons certains investissements dans la gestion de crise et la continuité d’activité, car nous ne voulons pas avoir à réinventer la roue en cas de crise. Comment pouvons-nous donc nous assurer de disposer d’un ensemble de procédures que les collaborateurs savent suivre et de procéder à des tests de manière périodique ? Nous sommes donc également très intéressés par cette capacité. Je ne saurais trop insister sur les compétences techniques que l’équipe de Semperis apporte. Vous savez, nous considérons l’AD comme un élément parmi d’autres d’une stratégie de reprise plus large, mais je pense que nous oublions souvent qu’il s’agit d’un élément absolument essentiel de celle-ci, et si nous pouvons simplifier cela, c’est exactement ce qu’il faut. Ainsi, qu’il s’agisse de participer à leurs événements, d’inviter un collaborateur de Semperis au sein de notre organisation pour animer une discussion sous forme d’atelier ou une démonstration de produit, j’ai été très impressionné par leurs compétences. Mon équipe a été très satisfaite non seulement de leur expertise technique, mais aussi de la vision plus large qu’ils apportent, n’est-ce pas ? Même si l’on parle souvent d’Active Directory, c’est l’écosystème d’identité au sens large qu’il faut prendre en compte. De nombreuses organisations disposent non seulement d’Active Directory, mais aussi d’autres outils IGA, d’outils de gestion des accès privilégiés, etc. L’étendue des compétences que l’équipe de Semperis apporte sur un aspect crucial de la sécurité des identités est donc très appréciée, et nous avons toujours eu de bonnes expériences avec eux.