S’ils sont omniprésents dans l’actualité, les rançongiciels ne représentent que 1% des pertes financières subies par les entreprises à la suite d’une cyberattaque, selon un rapport de Crane Hassold. Et notre homme sait de quoi il parle pour avoir été analyste au FBI durant plus de 11 ans et être aujourd’hui directeur de la Threat Intelligence chez Abnormal Security, spécialisée en protection des courriels. D’ailleurs, ce même FBI estime dans son rapport Internet Crime Complaint Center (IC3) que le coût total des attaques de type BEC représentait 26 milliards de dollars entre juin 2016 et juillet 2019. De son côté, le rapport State of the Phish réalisé par ProofPoint, autre spécialiste américain de la cybersécurité, a estimé que 65% des organisations ont été confrontées à un attaque BEC en 2020.

Types d’attaques

L’attaque BEC utilise un courriel visant à inciter une personne à verser de l’argent ou divulguer des informations confidentielles. Si les arnaques ne sont pas toutes identiques, il existe cinq types d’attaques:

1. Le vol de données pour obtenir des informations personnelles sur des employés de l’entreprise, données qui seront ensuite utilisées dans le cadre de futures attaques ou seront revendues ;
2. Les fausses factures : à partir d’une boîte mail compromise, les pirates contactent les clients de l’entreprise en demandant de réagir à des factures impayées à travers un virement bancaire sur un compte leur appartenant ;
3. L’arnaque au président : l’employé du service financier ou la personne autorisée à faire des virements est sollicitée par le compte piraté du président ou d’un dirigeant pour effectuer un virement irrégulier ;
4. L’attaque de la chaîne d’approvisionnement : en usurpant l’identité d’un avocat par exemple, le pirate contacte un employé expliquant être en charge de dossiers confidentiels. Celui-ci n’ayant généralement pas les connaissances nécessaires pour contredire l’avocat, il transmet des données susceptibles d’être exploitées ou revendues ;
5. La compromission de comptes : le pirate obtient un accès illégal à une boîte mail d’un employé, par exemple un responsable de comptes clients, pour demander ensuite d’effectuer des actions potentiellement dangereuses en bénéficiant de la crédibilité de l’adresse mail compromise. Par exemple, le compte compromis d’un chargé d’affaires peut envoyer au service comptabilité une facture liée à un outil utilisé dans une prétendue mission, la fausse facture présentant les coordonnées de paiement du pirate. Et comme il s’agit d’une demande interne, elle a plus de chances de ne pas subir de vérification additionnelle.

Cibles et protection

N’importe qui peut être cible par une attaque BCE, qu’il s’agisse d’une entreprise, d’une administration, d’une association ou d’une école. Cependant, les cadres et dirigeants, les employés du service financier ou des ressources humaines, ainsi que les collaborateurs nouveaux ou débutants sont particulièrement visés.

Pour se protéger au maximum, il importera de mettre en place différentes bonnes pratiques. Ainsi, utiliser une solution de courriel sécurisée est indispensable pour permettre de bloquer certains expéditeurs ou de signer des courriels indésirables, de même que de prévoir une protection avancée contre l’hameçonnage ou la détection de transferts suspects. Configurer une authentification multi facteur (MFA) est également nécessaire, en exigeant un code PIN ou une empreinte digitale en plus du mot de passe pour se connecter. De même, apprendre aux employés à repérer les signaux d’alerte se révèle judicieux afin que le collaborateur détecte des liens d’hameçonnage, une discordance de domaine ou d’adresse électronique ou tout autre signal alarmant. Définir des paramètres de sécurité par défaut permettra aussi de renforcer la sécurité, tandis que le recours aux outils d’authentification d’e-mails s’avérera important. Enfin, adopter une plateforme de paiement sécurisée permettra d’authentifier les paiements et donc d’éviter de payer une facture inappropriée.

Agir et réagir

Si les attaques BEC sont difficiles à identifier, c’est principalement parce qu’elles sont peu nombreuses et ne consistent souvent que d’un ou de deux courriels. Ce faible volume permet de changer régulièrement d’adresse IP, ce qui rend leur blocage difficile. De même, elles utilisent une source ou un domaine légitime (adresse IP ayant une réputation neutre ou bonne) ou recourent également à l’usurpation d’identité. Elles peuvent aussi provenir d’un compte de messagerie légitime, même si cela demande plus d’efforts de la part de l’attaquant. Enfin, elles passent les contrôles DMARC (domain-based message authentication, reporting and conformance), ce qui permet d’éviter l’usurpation d’identité d’un domaine.

Aprico ambitionne d’aider les entreprises à innover et à repenser leurs processus métier en mettant la sécurité au centre de leur réflexion stratégique. Nous pouvons partager les bonnes pratiques, technologies et modèles organisationnels qui permettront à l’organisation de s’ouvrir sur l’extérieur et de partager l’information en toute sécurité.

La gestion continue de l’exposition aux menaces (CTEM) est une approche proactive et systématique de la cybersécurité qui met l’accent sur la surveillance, l’identification, l’évaluation et la gestion continues des cybermenaces et des vulnérabilités . La solution se concentre donc sur la compréhension et la réduction de l’exposition d’une organisation aux cybermenaces en analysant constamment le paysage des menaces et en donnant la priorité à la correction des vulnérabilités identifiées.

Dès lors, la CTEM ne remplace pas la CTI (cyber thread intelligence ou renseignement sur les cybermenaces), ni l’EASM (external attack surface management ou gestion des surfaces d’attaque externes) ou encore la DRP (digital risk protection ou protection contre les risques numériques). En fait, elle intègre et améliore ces disciplines dans le but de fournir un aperçu continu et complet du paysage des menaces d’une organisation pour permettre une gestion proactive des risques. En d’autres termes, la CTEM joue un rôle essentiel dans l’identification des vulnérabilités, l’évaluation de leur impact potentiel et la priorisation des efforts de remédiation afin de minimiser la probabilité et l’impact d’une cyberattaque.

Étapes

Selon le cabinet Gartner, la mise en place d’un programme de CTEM nécessiterait une approche en cinq étapes.

1. Évaluation du périmètre d’exposition aux attaques (actifs et points d’entrée vulnérables) en fonction des indicateurs clés de performance (KPI) et des bénéfices business afin de mettre en place et de s’accorder sur un plan d’action. En l’occurrence, deux domaines d’action doivent être considérés : la surface d’attaque externe (qui combine un périmètre relativement étroit à un écosystème d’outils évolutif), et la posture de sécurité SaaS.
2. Développement d’un processus de découverte des actifs et leurs profils de risque. Le but est d’identifier les actifs visibles et invisibles, les vulnérabilités, les configurations erronées et tout autre risque. Gartner précise que faire la confusion entre évaluation du périmètre et découverte est souvent une première erreur dans un processus CTEM dans la mesure où il importe surtout de définir avec précision le périmètre sur la base des risques métier et de l’impact potentiel.
3. Priorisation des menaces les plus susceptibles d’être exploitées en prenant en compte les facteurs suivants : urgence, sécurité, disponibilité de contrôles de compensation, tolérance vis-à-vis de la surface d’attaque résiduelle et niveau de risque posé à l’organisation.
4. Validation du mode de fonctionnement potentiel des attaques et de réaction éventuelle des systèmes. Il s’agira de confirmer que des assaillants pourraient effectivement exploiter une vulnérabilité, d’analyser tous les chemins d’attaque potentiels et identifier si le plan de réponse mis en place est suffisamment rapide et efficace pour protéger le business. Autre point important : convaincre le métier de s’accorder sur les déclencheurs qui entraînent une remédiation.
5. Mobilisation des équipes et des processus. Plutôt que de faire confiance à une remédiation automatisée, il conviendra de communiquer le plan à l’équipe de sécurité et aux parties prenantes du métier afin de boucler la boucle (et éventuellement d’en revenir à la première étape du plan).

Bénéfices

Contrôler, découvrir et corriger des cyberattaques présente évidemment de bénéfices tangibles pour l’organisation. Ainsi, l’impact d’une attaque peut être sensiblement réduite quand bien même un assaillant aurait réussi à pénétrer votre infrastructure. De même, l’entreprise dispose désormais d’une surface d’attaque moins poreuse et se protège pour acquérir une position de force et de résilience.

Bien sûr, les coûts et les temps de réponse consécutifs à une attaque sont désormais réduits, que ce soit au niveau du versement d’une éventuelle rançon en cas d’attaque par rançongiciel, perte de clients à la suite d’une atteinte à la réputation, mise en service des sauvegardes, etc. En outre, la priorisation des efforts de remédiation permet une amélioration de l’affectation des ressources qui seront concentrées sur les vulnérabilités les plus critiques. Enfin, la surveillance et la gestion continues des cybermenaces contribuent à maintenir, voire garantir, la conformité aux normes réglementaires.

Afin d’aider le département informatique interne dans le déploiement de ses plateformes IT, Aprico s’appuie sur des méthodologies éprouvées, de même que des outils et référentiels technologiques. De même, nos spécialistes s’efforceront de faciliter le dialogue entre le département IT et les entités métier afin de mettre en place les solutions les mieux adaptées aux besoins du métier.

Qui ne se souvient pas, enfant, d’avoir été absorbé par la lecture d’un livre, par un jeu ou par une musique, au point de ne pas entendre son papa ou sa maman l’appeler pour le repas. Une vraie bulle dans laquelle on s’immerge totalement en perdant toute notion de temps et d’espace. C’est ce que le psychologue hongrois Csikszentmihalyi, père de psychologie positive, qualifie de ‘flow’ ou ‘état de flow’ et que l’on peut traduire en français par hyper-concentration.

Huit facteurs clés interviennent dans cet état de ‘flow’ : la clarté des objectifs et le retour d’information immédiat ; la capacité à se concentrer de manière intensive sur une seule tâche ; le juste équilibre entre la difficulté de la tâche et les compétences de la personne qui l’exécute ; la sensation d’être maître de soi et de contrôler la tâche ; la disparition de la conscience de soi réfléchie ; la perte ou l’altération de la notion du temps ; le sentiment de transcendance et la fierté du travail accompli ; et la sensation de vivre une expérience optimale.

Avantages…

L’hyper-concentration présente de multiples avantages : sensation de bien-être ; capacité à être en accord avec ses émotions (et les contrôler) ; satisfaction accrue ; motivation au travail accrue ; créativité renforcée ; concentration optimale sur l’activité concernée ; confiance dans la capacité à exécuter la tâche en question. Au final, l’hyper-concentration peut s’appliquer à pratiquement n’importe quelle activité qui demande une concentration intense, et donc spécifiquement à l’informatique et aux développements IT.

De même, l’hyper-concentration permet de trouver un meilleur équilibre entre défi et maîtrise, en veillant à ce que le projet soit adapté à votre champ de compétences. Par ailleurs, il conviendra de définir des objectifs clairs et de limiter les distractions ainsi que d’éviter de travailler sur plusieurs tâches simultanément. Toujours pour assurer une hyper-concentration optimale, il faudra veiller à laisser la concentration venir naturellement et à accomplir des tâches que vous aimez. Enfin, travailler en synergie avec une équipe sera une garantie supplémentaire de succès.

… et inconvénients

Reste que d’une part, l’hyper-concentration n’est pas une science exacte et ses conclusions ne sont donc pas valables partout et pour tous. D’autre part, elle ne peut se produire sur n’importe quel type d’activité. C’est ainsi qu’il faut préalablement avoir un cadre de travail rangé et structuré, avec un planning clair et des objectifs très précis. De même, l’individu devra être en confiance, frais et dispo, ce qui implique une hygiène de vie saine. Le travail doit également faire sens et nécessitera de se couper de toute distraction pour se concentrer à 100% sur la tâche en cours.

Si, selon certaines études, la créativité et la motivation peuvent augmenter de 400% dans une situation de ‘flow’, il faudra veiller à ne pas rester trop longtemps dans cet état et donc prévoir des portes de sortie.

Enfin, comme toute bulle, le risque d’explosion existe. Et comme il est difficile d’y revenir, toute phase d’hyper-concentration est précieuse. Ajoutons que les stratégies de productivité et de gestion du temps ne conviennent pas à tout le monde, ce qui vaut également pour l’hyper-concentration.

En pratique

Si le concept est séduisant en théorie, plusieurs critiques s’élèvent face au ‘flow’. Ainsi, le contexte culturel (notions de compétences, de défi ou même de perte de notion du temps) peut varier d’une culture à une autre. De même, l’évaluation de l’hyper-concentration se révèle délicate, tandis que l’absence d’émotions négatives peut apparaître comme problématique, notamment lorsque les défis dépassent trop largement les compétences.

Certains chercheurs remettent également en question l’applicabilité universelle du concept, de même que la dimension temporaire d’un tel état (dans quelle mesure l’hyper-concentration contribue-t-elle à une satisfaction à long terme ?). La définition des objectifs est évidemment subjective, même s’il s’agit d’une condition préalable à la réussite du ‘flow’. Enfin, des activités extrêmement exigeantes, même si elles correspondent aux compétences de l’individu, risquent de provoquer une surcharge cognitive qui pourrait nuire à l’état de ‘flow’.

Conclusion

Si l’hyper-concentration apparaît effectivement comme séduisante, notamment en termes de concentration intense, d’amélioration de la productivité ou de la motivation/satisfaction au travail, ou encore de stimulation de la créativité notamment, l’harmonie entre compétences et défis ainsi qu’entre maîtrise et lâcher-prise exige des conditions spécifiques et ne conviennent pas à tout le monde.

Aprico Consultants est une société de consultance de premier plan qui guide la stratégie et la transformation ICT dans le but de stimuler la performance, la productivité et la compétitivité de votre organisation. Nous combinons une expertise pointue à une parfaite compréhension du contexte et de l’expérience du client ainsi qu’une approche de bout en bout dans tous les secteurs, depuis la consultance jusqu’au déploiement de solutions.

DexEx est la juxtaposition de systèmes, technologies, processus et culture susceptibles d’influencer l’efficacité du développement de logiciels. DX entend s’intéresser à tous les composants de l’écosystème du développeur – depuis l’environnement jusqu’aux flux de travail en passant par les outils – en s’intéressant sur la manière donc ceux-ci contribuent à la productivité, la satisfaction et l’impact opérationnel du développeur.

Avantages

Globalement, la DevEx doit permettre de développer de travailler en toute confiance, d’avoir un impact plus important sur les projets et de s’épanouir davantage dans son travail. « Dans la plupart des cas, la capacité de développement de logiciels est le facteur limitant de l’innovation », estime ainsi Greg Mondello, directeur des produits chez GitHub, éditeur américain de logiciels. « Dès lors, toute amélioration de l’efficacité dans le développement de logiciels se révèle particulièrement précieux. »

Ces dernières décennies, les développeurs ont vu émerger de très nombreuses technologies, bibliothèques open source, langages et services, sans oublier les outils, API et autres solutions d’intégration, sans parler des approches DevOps et autres SecDevOps, qui ont contraint les développeurs à se former à de multiples produits. De plus, le développement se révèle toujours plus complexe et les environnements sans cesse plus distribués.

Selon le consultant McKinsey, une meilleure DevEx devrait permettre à la fois d’attirer et de retenir les meilleurs talents, d’améliorer la sécurité et d’accroître la productivité des développeurs. De son côté, le consultant Forrester cite des chiffres plus précis. Ainsi les entreprises enregistreraient 72% de gains de productivité pour les développeurs, 77% de réduction du délai de mise en production d’un logiciel, 85% d’impact supplémentaire sur les revenus, 75% d’augmentation de l’attraction et de la rétention de clients, et 82% d’amélioration de la satisfaction client.

Déploiement

Pour mettre en place le DevEx, trois aspects du cycle de vie du développement doivent être pris en compte. D’abord, l’onboarding qui concerne l’intégration du développeur et qu’il convient d’accélérer. Plutôt que d’engager un développeur, le former, lui faire écrire du code qui sera ensuite compilé puis contrôlé, un poste de travail automatisé peut être mis en place pour assister le développeur dans sa tâche. Ce poste proposera l’ensemble des logiciels concernés, les instructions de travail et des modules d’autoapprentissage, ce qui rendra le développeur plus rapidement productif.

Le second élément porte sur le travail au jour le jour du développeur en prévoyant un pipeline de travail optimal afin d’atteindre une intégration en continu et une mise en production en continu. Par ailleurs, il faudra s’assurer que le développeur dispose d’outils lui permettant de corriger rapidement un problème. Les tests de performance et de tuning ainsi que l’observabilité à chaque étape du processus seront par ailleurs prévus. D’autres étapes ne seront pas négligées, comme la vérification, le profilage (entendez les tests de performance), les tests de résilience, l’ingénierie du chaos (à savoir l’expérimentation sur un système distribué afin de renforcer la confiance dans la capacité du système à résister à des conditions turbulentes en production), le déploiement et enfin le monitoring de production.

Le dernier axe concerne le ‘refactoring’, un élément essentiel lorsque le code est très volumineux et doit être scindé en petits éléments à des fins de réécriture ou de mise à jour. Il est en effet important de ne pas apporter de nouvelles vulnérabilités au moment où le développeur se concentre sur la correction de ‘bugs’. A ce niveau, des contrôles de sécurité et de conformité sont indispensables et la disponibilité d’outils de débogage constituera un investissement nécessaire.

Lever des barrières

Il est clair que les organisations qui ne respectent pas la gestion du temps des développeurs et introduisent des processus, des outils et une culture qui freinent le flux de travail risquent de produire du logiciel de moins bonne qualité et à un rythme plus lent. De même, le DevEx ne doit pas être confondu avec l’expérience utilisateur (UX), même si celle-ci est l’un des aspects importants de cette approche. En effet, l’UX se concentre essentiellement sur l’interface utilisateur, alors que la DevEx couvre l’ensemble du trajet utilisateur.

Par ailleurs, dans le concept de DevEx, l’état flow (flow state) est un objectif majeur à atteindre. Cet état mental dans lequel un développeur est totalement immergé dans son travail se traduit en effet par une amélioration de la qualité, de la créativité et du rendement au travail.

En conclusion, le DevEx ne doit pas seulement être supporté et encouragé par le management, mais est de la responsabilité de l’ensemble de l’équipe de développement. Pas question donc de se contenter pour le CEO ou le CTO de prêcher en faveur du DevEx : tous les membres de l’organisation doivent considérer leurs collègues et équipes comme des utilisateurs et des clients, et travailler ensemble pour fournir des résultats de qualité.

Accompagner les entreprises : telle est la mission d’Aprico Consultants. Un accompagnement qui se veut à la fois stratégique et technologique. Pour supporter sa stratégie, Aprico a mis au point une méthodologie de travail originale articulée selon trois axes : smart, lean and agile. L’approche transversale d’Aprico, combinant métier, technologie et méthodologie, le tout associé à nos critères d’exigence, constitue l’un des facteurs clés de succès.

Protéger les données face au piratage, au vol ou à tout incident (inondation, intempérie, incendie, etc.) est certes aujourd’hui une priorité, voire une nécessité, pour toute organisation. Les solutions de sauvegarde et de reprise après sinistre sont d’ailleurs largement déployées dans les organisations. De même, le cloud peut apporter une réponse en déportant le stockage des données et des applications hors des murs de l’entreprise et en offrant ainsi une sécurité accrue.

Pourquoi ?

Selon différentes études près de 75% des entreprises interrogées n’ont pas d’estimation du coût horaire d’un arrêt de travail à la suite d’une panne de leurs systèmes informatiques. De même, parmi les entreprises touchées par une interruption de travail, près de 50% ont perdu des données. De même, malgré le succès croissant du cloud sous toutes ses formes (privé, public ou hybride), quelque 75% des entreprises déclarent ne pas disposer d’une protection à haute disponibilité et d’une reprise après sinistre dans le cadre du stockage de leurs données dans le nuage.

Or les solutions de résilience devraient permettre de faire face à ces problématiques. En pratique, la résilience fait référence à la capacité d’un système informatique de continuer à fonctionner en cas de panne, d’incident, de piratage ou de pic d’activité commerciale. Elle implique la mise en œuvre de mesures de ‘sauvegarde’ pour limiter au maximum l’impact d’un incident sur l’informatique.

Il ne s’agit donc pas uniquement de protéger les données, mais aussi de déployer des mesures et des processus visant à résoudre les problèmes potentiels. De telles mesures doivent dès lors être définies de manière préventive afin d’être mise en œuvre rapidement et efficacement.

Comment ?

Alors que la protection/reprise de données est réactive, la résilience se veut proactive. Dans un premier temps, l’entreprise définira une approche globale de la cybersécurité et de la protection des données. Ainsi, le NIST (National Institute of Standards and Technology) et l’ISO (organisation internationale de normalisation) proposent différents outils (standards, guides, bonnes pratiques, etc.) pour gérer les risques de sécurité. Et au-delà de ces mesures, l’entreprise se penchera sur l’évaluation des risques, la mise en place de contrôles d’accès et de cryptage, la sensibilisation du personnel, les outils classiques de sécurité (pare-feux, systèmes de détection et de prévention d’intrusion, etc.)

Par ailleurs, un plan global de reprise après sinistre sera mis au point afin de s’assurer qu’en cas d’incident, la durée de la panne sera limitée dans le temps, tandis que les délais de reprise seront optimisés dans le cadre d’une solution de sauvegarde et reprise. Au-delà de ce plan, l’entreprise veillera à déployer effectivement un tel plan et à en assurer la mise à jour régulière. De même, il conviendra de vérifier que les sauvegardes sont correctement réalisées et que les données pourront être lues et récupérées en cas d’incident.

Comme déjà indiqué, le cloud peut offrir l’évolutivité et la flexibilité souvent nécessaires dans les entreprises modernes. Encore faut-il s’assurer que les sauvegardes sont effectivement réalisées, car les contrats avec les prestataires cloud ne sont pas toujours transparents à cet égard. Et en cas de problème, il sera souvent trop tard pour se retourner (en justice éventuellement) contre le fournisseur du service.

Bénéfices

La résilience de données n’est pas une approche de type ‘one size fits all’. Au-delà en effet de la reprise des données et de la restauration des systèmes informatiques, la segmentation des données sera un élément déterminant afin de prioritiser et de classer les données selon leur urgence et leur criticité.

La résilience offre évidemment de nombreux bénéfices, dont les plus évidents sont bien sûr la protection optimale des données, l’amélioration de la fiabilité du stockage de données et la limitation des arrêts non-programmés. Mais la résilience permet aussi à l’entreprise de mieux gérer ses données et donc de se conformer aux réglementations en matière de rétention et de sécurité des données.

En outre, la réputation de l’entreprise et la crédibilité face aux clients et aux fournisseurs s’en trouveront améliorées puisque des mesures concrètes et efficaces auront été prises pour faire face aux cyberattaques et autres incidents potentiels. Enfin, une approche informatique résiliente permet de mieux gérer les situations imprévues ainsi que de disposer de méthodes et techniques pour atténuer les risques, ce qui garantira une informatique toujours disponible.

Aprico Consultants est une société leader sur le marché de la consultance et de la stratégie ICT pragmatique basée à Bruxelles (Belgique). Nous offrons des services à valeur ajoutée et des solutions en matière de stratégie, de transformation ICT et d’applications métier permettant de réduire les dépenses IT globales ainsi que d’améliorer les performances du business et la productivité opérationnelle.

L’approche Shift Left est apparue avec le développement de logiciels et décrit le déplacement, la vérification et le suivi précoces de tâches. Au sens littéral du terme, l’élément à développer et/ou tester est déplacé vers la gauche sur la ligne du temps du cycle de vie d’un logiciel. L’objectif de cette approche est de rendre les flux de travail aussi efficaces que possible et de rendre les connaissances du service d’assistance plus compréhensibles et accessible à l’ensemble des collaborateurs de l’organisation. En d’autres termes, les informaticiens peuvent mettre leurs connaissances à la disposition de leurs collègues moins expérimentés.

Cet échange de savoir-faire est documenté dans une base de données de connaissances et permet ainsi au personnel d’assistance d’aider à résoudre des demandes de clients de manière plus autonome ainsi que de faciliter à terme l’accès aux solutions en cas de demande similaire ultérieure.

Dans les développements…

Si la pratique du Shift Left ne s’exerce pas de la même manière dans toutes les entreprises, les avantages n’en sont pas moins multiples. Ainsi, le partage de connaissances par le biais d’un portail en libre-service, la visibilité au sein de l’organisation s’en trouve améliorée, tandis que les clients apprécient de pouvoir disposer de connaissances supplémentaires. De même, cette mise à disposition des solutions par les clients permet de mieux répartir les tâches. Ainsi, de nombreuses équipes informatiques effectuent encore des opérations que les clients pourraient très bien réaliser eux-mêmes grâce à différentes notifications.

Par ailleurs, cette approche Shift Left peut très bien être mise en œuvre au sein du département ICT proprement dit, la première ligne pouvant désormais effectuer des tâches qui ont été attribuées dans un premier temps à la seconde ligne, tandis que les experts ICT pourront se concentrer davantage sur des missions stratégiques et des problématiques complexes.

Toujours dans le cadre du Shift Left, la mise en place d’un ‘knowledge centered service’ (KCS) est une pratique courante au sein des départements. En effet, le partage de connaissances devient un service principal et une banque de connaissances permet d’augmenter l’autonomie des équipes.

Enfin, la pratique Shift Left met vos équipes ICT sous les projecteurs et donne une image positive du département. La motivation des collaborateurs s’en trouve augmentée, tandis que l’image du CIO ou directeur informatique est rehaussée. Dans la foulée, le recrutement de nouveaux informaticiens peut être favorisé et les budgets alloués à l’ICT peuvent profiter de ce nouvel attrait.

… et les tests

Mais l’approche Shift Left peut également s’appliquer aux tests. Il s’agira donc de « déplacer le test vers la gauche » dans le cadre d’un cycle en V, à savoir que les tests sont réalisés le plus tôt possible dans le processus de développement, une stratégie qui s’apparente aux tests en continu.

Cette approche s’inscrit parfaitement dans les méthodes de développement agile et le mouvement DevOps. En effet, en testant le code rapidement, les équipes de développement sont en mesure d’identifier les bugs très tôt, ce qui permet de prendre les mesures adéquates, sans avoir à modifier trop de code. D’où un gain de temps et de productivité. De même, le délai de mise en production d’une application s’en trouve réduit, tandis que la qualité du code est sensiblement accrue et que la satisfaction des utilisateurs est donc considérablement améliorée. De même, les équipes de développement ont un meilleur contrôle sur le développement logiciel et une meilleure visibilité sur l’état du code. Enfin, les coûts sont réduits dans la mesure où plus les anomalies sont découvertes tardivement, plus les modifications à apporter sont importantes, ce qui suppose des coûts supplémentaires en termes de main-d’œuvre, de délai de livraison, d’outils à utiliser, etc.

Autres avantages

Au-delà des avantages évoqués ci-dessus, le Shift Left rend le service desk de l’entreprise plus efficace puisque celui-ci peut résoudre plus rapidement les problèmes de manière indépendante, ce qui offre une expérience client améliorée. En outre, ce service desk devient moins saturé étant donné que les agents peuvent accéder plus rapidement à la base de données de connaissances et résoudre les problèmes plus simples sans l’aide du département informatique.

Au final, les employés deviennent plus indépendants puisqu’ils peuvent résoudre eux-mêmes certains problèmes et trouver des solutions adaptées de manière autonome. Encore faut-il que l’organisation structure la mise en place d’une telle base de connaissances et la mette à la disposition des collaborateurs de manière organisée…

Afin d’accompagner les entreprises dans leurs projets de transformation numérique à la fois de manière stratégique et technologique, Aprico a mis au point une méthodologie de travail originale articulée selon trois axes : smart, lean and agile. L’approche transversale d’Aprico, combinant métier, technologie et méthodologie, le tout associé à nos critères d’exigence, constitue l’un des facteurs clés de succès.

Nous n’allons pas dans ces colonnes nous pencher sur les potentialités qu’offrent l’intelligence artificielle (IA). Celles-ci sont évidemment gigantesques et impactent d’ores et déjà nos vies tant privées que professionnelles. Mais dans son ‘Top 10 Strategic Technology Trends for 2024’, le cabinet Gartner identifie la gestion de la confiance, des risques et de la sécurité l’IA (AI TRiSM) comme l’une des tendances à prendre à compte par les organisations.

Framework

Dès lors, le cabinet estime qu’il convient de mettre en place un cadre articulé autour de trois éléments : la confiance pour permettre la transparence et l’explicabilité, notamment sur la manière dont un modèle d’IA atteint un résultat donné ; la mise en place d’une gouvernance pour gérer les risques liés à l’IA, y compris les diverses étapes du développement et du déploiement pour garantir l’intégrité et la conformité du modèle ; et la gestion de la sécurité pour s’assurer que la sécurité est intégrée à chaque étape du processus et sur l’ensemble du cycle d’apprentissage machine, y compris la prise en compte d’anomalies et de vulnérabilités.

Toujours selon Gartner, ce cadre doit reposer sur quatre piliers. Primo, l’explicabilité et le monitoring du modèle afin que les décisions prises par l’IA soient transparentes et compréhensibles en décrivant le fonctionnement des modèles, en documentant leurs forces et leurs faiblesses, et en examinant les biais potentiels. Secundo, un ModelOps qui permet de couvrir la gestion des modèles d’IA sur l’ensemble de leur cycle de vie ainsi que de maintenir un fonctionnement optimal et des standards éthiques. Tertio, la sécurité de l’application d’IA vise à protéger les modèles contre les cyberattaques. Et enfin quarto, la vie privée qui garantit la protection des données en privilégiant la vie privée individuelle au cas où des données sensibles sont utilisées.

Défis

Clairement, la confiance est un élément clé du succès de l’intégration de l’IA. De même, la sécurité et le risque sont des notions capitales, sachant que les systèmes d’IA peuvent introduire de nouvelles vulnérabilités et menaces. En effet, il s’agit de préserver des informations sensibles, de protéger des actifs vitaux et de garantir la conformité à des réglementations et des standards du marché. Traditionnellement, ces éléments sont gérés de manière manuelle par des experts, mais une telle approche est chronophage, source d’erreurs et difficilement évolutive. Avec le développement de la technologie, l’automatisation devient un outil pertinent pour exploiter les systèmes à base d’IA.

Si un cadre d’AI TRiSM se révèle intéressant, plusieurs défis devront être surmontés avant leur déploiement sur le terrain à grande échelle. En cause, le fait qu’un tel framework nécessité d’être fiable et de s’appuyer sur des avancées dans les systèmes d’IA. Par ailleurs, la mise en place de ce cadre nécessitera une approche unifiée et globale du développement et du déploiement durable et responsable des systèmes d’IA, une stratégie adaptée en fonction des défis à venir et une acceptation des réglementations et de l’éthique du marché.

Déploiement

Plusieurs raisons peuvent pousser les organisations à intégrer l’AI TRiSM dans leurs modèles d’IA. Ainsi, cette technologie permet d’identifier et d’atténuer proactivement les risques associés aux modèles d’IA afin de s’assurer que ceux-ci sont honnêtes, conformes et sécurisés dans la protection de la vie privée. De même, elle garantit que les systèmes d’IA seront dignes de confiance, fiables et transparents afin d’améliorer la confiance dans de tels modèles et applications. Elle facilite en outre l’intégration de la gouvernance dès les premiers stades de développement, d’où une garantie de conformité aux régulations, standards et normes éthiques.

Un tel cadre aide aussi à établir des protocoles et des mesures de sécurité pour protéger les systèmes d’IA contre les cybermenaces et cyberattaques, ce qui permet de garantir la sécurité et la protection des systèmes d’IA, tout en respectant le droit à la vie privée des individus. Les organisations qui déploient l’AI TRiSM dans leurs opérations constatent une augmentation de 50% dans l’adoption de modèles d’IA du fait de la précision de ces modèles, ce qui améliore l’efficacité et l’expérience utilisateur. Enfin, comme les stratégies d’IA et d’automatisation peuvent réduire significativement les charges de travail et sont synonymes d’économies, les organisations s’ouvrent ainsi sur l’avenir en améliorant la fiabilité, la sécurité et la confiance dans les modèles et applications d’IA.

La conception et la mise en œuvre d’un framework d’AI TRiSM (Trust, Risk and Security Management) exige non seulement des connaissances technologiques, mais aussi et surtout une parfaite compréhension du métier du client. Or qui d’autre que votre partenaire informatique de confiance est en mesure de bien appréhender votre stratégie, vos besoins et vos objectifs. Aprico Consultants aide, guide, facilite et coordonne de tels projets dans le but de permettre une mise en œuvre plus rapide, de générer des gains d’efficacité et de réduire les coûts de vos projets.

Aprico Consultants is taking a big step into the future by joining the leading digital transformation group, Yuma. Together with its affiliate company Freedom of Dev, Aprico Consultants will strengthen the Yuma group with complementary services and extend its geographical footprint, especially in the south of Belgium.

Yuma is an integrated group of best-in-class companies in digital transformation, with M80, a Brussels-based private equity firm, as its majority shareholder. Their ambition is to become a leading European player in digital transformation. The group aims to offer solutions that cover the entire digital value chain, from strategy and ideation to execution and operation. With Aprico Consultants, Yuma will have more than 650 professionals across four countries, serving clients in various sectors such as finance, healthcare, education, energy and public services.

Next to Aprico Consultants, Yuma includes Luminis, XPLUS, Total Design and BPSOLUTIONS. Luminis is an advanced software and technology company focused on cloud and data solutions. XPLUS is an expert in enterprise IT architecture. Total Design has award-winning branding, communication and technology disciplines and BPSOLUTIONS helps organizations with Cloud, Managed Services, and Data Analytics so they can move forward smarter.

Christophe Delcorte, founder of Aprico Consultants and Freedom of Dev: “Joining Yuma is a great opportunity to accelerate our growth and expand our capabilities. We are excited to collaborate with the outstanding talents in the other Yuma companies, who share the same vision of delivering high-quality digital solutions that create value for our clients and society. Together, we can offer a comprehensive range of services and products that cover every aspect of the digital journey, from strategy and design to development and maintenance.”

Pascal Laffineur, Yuma CEO: “We are delighted to welcome Aprico Consultants and Freedom of Dev to the Yuma family. Aprico Consultants brings a wealth of expertise and experience in digital transformation, especially in the areas of software development, solution architecture, project and change management. This strengthens our capabilities and offerings in the Benelux to support our customers throughout their digital journey. Together, we deliver innovative and sustainable solutions that connect digital transformation with human nature.”

The transaction is expected to be finalized early April, upon receipt of the required approvals.

About Aprico Consultants

Aprico Consultants is a leading hands-on ICT strategy and management consultancy firm based in Brussels, Belgium. Aprico Consultants is specialized in information systems architecture and transformation. By resolutely accelerating the digital transformation process, Aprico Consultants provides customers with the flexibility, performance and required competitiveness to reinforce their market position and to improve their customer service. Freedom of Dev is an Aprico Consultants affiliate offering nearshore software development solutions with a short time to market.

About Yuma

Yuma is a European digital transformation player offering a range of services from Digital & IT-strategy to Cloud operations. Their mission is to enable digital transformations that genuinely resonate with people. Yuma acknowledges the undeniable power of technology, but also firmly believes that at its core, technology needs the human touch. Yuma combines the best-in-class expertise from a range of companies: all experts in their field. This combination allows for a sustainable, pragmatic and human approach to make digital transformations successful. XPLUS, Total Design, BPSOLUTIONS, Luminis and soon also Aprico Consultants are part of Yuma.

D’autant que, ajoute encore Gartner, d’ici 2025 – soit deux ans maximum – quelque 25% des centres de vente et de service des grandes organisations recevront des appels téléphoniques émanant de tels clients-machines ?

Définition

Un client machine est une entité non-humaine qui établit automatiquement des transactions telles que l’achat de biens et de services. Contrairement aux systèmes automatisés traditionnels, ces clients-machines ne suivent pas des règles strictement définies, mais peuvent prendre des décisions basées sur toute une série de facteurs et s’adapter au fil du temps. Elles peuvent établir des transactions pour le compte d’humains, mais aussi pour elles-mêmes. Jusqu’à présent, les organisations ont déployé des d’outils de self-service comme les IVR (interactive voice response) ou les chatbots (agents conversationnels). Mais force est de constater que les clients ne semblent pas particulièrement apprécier ce type d’interaction.

S’il faut toutefois en croire les experts, les clients-machines généreront des milliards de revenus à l’horizon 2030. D’ailleurs, Gartner croit savoir qu’en 2030 précisément, les CEO devraient tirer jusqu’à 20% de leurs revenus de clients-machines. Et d’ajouter que plus de 15 milliards de produits connectés auront le potentiel de se comporter comme des clients.

Trois phases

Gartner définit trois phases de développement de cette technologie. D’abord, le bound customer où l’humain dirige et la machine exécute (ce qui est le cas aujourd’hui). Ensuite, l’adaptable customer où l’humain et la machine co-dirigent, et ou la machine exécute (2026). Enfin, l’autonomous customer où la machine dirige et exécute (2036). Différentes technologies servent de fondement à l’émergence des clients-machines, et notamment l’IoT ou la reconnaissance de modèles d’IA.

Certes, il existe déjà des outils des machines capables de remplacer le client humain. Par exemple, les assistants numériques à fonctionnalité d’IA. C’est ainsi qu’il est possible de demander à Siri de définir une alarme ou au Google Assistant de vous remplacer, ou encore à Alexa de réorganiser vos accords de guitare.

Actuellement, il n’existe que deux types d’interactions entreprise/client : de personne à personne ou de personne à machine. Mais à terme, on verra apparaître des interactions de type ‘personne à machine’ (un assistant numérique ou robot qui appelle une entreprise pour le compte d’un humain et parle à un humain pour demander une action) et ‘machine à machine’ (par exemple un humain demande à son assistant numérique de changer la date de paiement d’une facture, après quoi l’assistant interagit avec le système téléphonique du fournisseur pour exécuter la tâche en toute autonomie, sans l’intervention d’un humain donc).

Défis

Certes, plusieurs défis devront encore être relevés. Le premier – assez évident – tient à la sécurité. Il conviendra en effet d’appliquer des processus de sécurité très stricts, notamment de la biométrique vocale ou encore de l’authentification à deux facteurs (2FA).

Cela étant, il importera de ne pas trop hésiter à déployer la technologie dans la mesure où les clients utiliseront de plus en plus un assistant numérique pour interagir avec le service client, ceci pour des questions de facilité (et, partant, de coût). Ainsi, les compagnies d’assurances, fournisseurs d’énergie et opérateurs de téléphonie par exemple ont tout intérêt à se pencher sur cette technologie, au risque de perdre un avantage concurrentiel.

Reste qu’il ne faudra pas non plus se précipiter et aller trop loin dans le déploiement de clients-machines. Car il n’est pas question de remplacer simplement une interaction de personne à personne par un tel client-machine, mais plutôt de l’utiliser en complément.

Enfin, il faudra repenser tous les processus internes à une organisation et redéfinir ce que signifie une bonne expérience client, notamment en termes d’empathie.

Préparez-vous !

Toujours selon le cabinet Gartner, on recensera en 2025 plus de 15 milliards d’objets connectés susceptibles d’interagir avec des clients. Et à l’horizon 2030, les machines-clients seront directement impliquées ou influenceront les achats pour un montant de 3.000 milliards de dollars.

Dès lors, le déploiement de la technologie ne sera pas uniquement de la responsabilité du CIO, mais de l’ensemble des cadres de niveau C. Car sans l’implication et la collaboration de l’ensemble des dirigeants, les progrès ne seront que partiels, inefficaces et non-inclusifs.

La collaboration devra porter sur la stratégie, le développement de produits, les ventes et le marketing. Il appartiendra au CIO d’analyser dans un premier temps ce que les clients-machines signifient pour l’organisation avant de formuler des scénarios d’opportunités de marché. Ce CIO devra également être attentif aux barrières liées à la mise en place de la technologie et bien communiquer avec les (autres) cadres dirigeants.

Enfin, il importera de se pencher sur les questions éthiques et juridiques ainsi que l’atténuation des risques dans un environnement où les machines agiront comme des clients.

Aprico Consultants est votre partenaire de la transformation numérique – Dans un monde caractérisé par la rupture des marchés et des technologies, nous vous assistons dans la transformation intelligente de vos activités pour vous permettre d’atteindre vos objectifs métier. Nous adoptons une approche différente, rapide et pragmatique afin d’identifier, d’aligner, de transformer et d’implémenter les leviers technologiques qui vous permettrons de gagner en efficience, de réduire vos coûts et de stimuler votre croissance.

GARTNER

Le cabinet Gartner a identifié dix tendances technologiques stratégiques pour cette année 2024 : la gestion de la sécurité, du risque et de la confiance dans l’IA (AI TRiSM), la gestion de l’exposition continue aux menaces (CTEM), la technologie durable, l’ingénierie de plateforme, le développement de l’IA augmentée, les plateformes cloud industrielles, les applications intelligentes, l’IA générative démocratisée, la main-d’œuvre connectée et augmentée et les clients-machine.

Chacune de ces technologies se réfère à trois grands thèmes métier. Primo, la protection et la préservation des investissements passés et futurs, le but étant d’arrêter toute expérimentation non-contrôlée dans une direction mal définie afin que les efforts soient intentionnels et produisent des résultats tangibles dans les opérations au jour le jour. Secundo, la mise en avant de forces productives en stimulant le potentiel créatif de différentes communautés qui développent des applications et des solutions en exploitant des technologies qui correspondent au secteur d’activité, en mettant au point des feuilles de route pour permettre aux non-spécialistes d’être créatifs et en travaillant étroitement avec les parties prenantes du métier pour définir le déploiement de logiciels et la gestion du cycle de vie du portefeuille applicatif. Tertio, la génération de valeur en redéfinissant et en accélérant la manière d’améliorer l’expérience pour les parties prenantes, tout en élargissant les options d’amélioration des revenus.

Gartner ajoute que pour exploiter ces technologies et atteindre les objectifs fixés par le CEO et le CIO pour 2024, il conviendra d’étudier le potentiel de ces tendances au regard de la situation spécifique de l’organisation, de l’intégrer dans le planning stratégique des prochaines années et d’adapter en conséquence les modèles organisationnels et les opérations. Le cabinet précise que ces tendances se renforcent mutuellement et ne doivent pas être isolées l’une de l’autre. « Combinez ces technologies pour concrétiser votre stratégie, vos objectifs de transformation et vos performance », conclut Gartner.

DELOITTE

De son côté, le consultant Deloitte a identifié dans son ‘Tech Trends 2024’ six grandes tendances et estime que l’IA bouleverse le rapport de l’humain à la technologie, « avec une technologie au service de l’homme et non plus un homme qui se plie aux processus d’un logiciel pensé en fonction de contraintes technologiques. »

Ainsi, le métavers (qui combine les technologies de réalité augmentée et de réalité virtuelle) va sortir du domaine ludique pour conquérir le monde industriel, avec des applications comme les jumeaux numérique et l’essor du travail augmenté. Par ailleurs, l’ère de l’IA et des applications très gourmandes en puissance de calcul va contraindre les entreprises à se tourner vers des infrastructures optimisées. D’où le succès par exemple des puces GPU (graphical processing unit ou processeur graphique) et le besoin croissant de grands hyperscalers (Google, AWS, Microsoft, Facebook, IBM et consorts) qui disposent de leurs propres accélérateurs. L’expérience utilisateur devient également au centre des préoccupations de toute organisation, de même que la volonté d’améliorer la productivité et la satisfaction des développeurs de logiciels dans le cadre d’une approche DevEx qui « souligne l’importance croissante du capital humain dans le développement technologique. »

Autre grande tendance mise en lumière par Deloitte, la nécessité d’adopter une approche plus holistique et proactive de la dette technique, évoquant le « bien-être technique », une démarche dans laquelle les entreprises optent pour une stratégie préventive en identifiant les domaines prioritaires pour les améliorations, tout en considérant l’ensemble de l’existant, plutôt que de se concentrer uniquement sur la correction des problèmes existants. En outre, après une année 2023 marquée par une explosion des cybermenaces, l’année qui vient exigera des entreprises de pouvoir détecter de nouveaux types de menaces liées aux deepfakes et aux nouveaux outils d’IA capables de faciliter l’usurpation d’identité et la tromperie.

Enfin, Deloitte considère que l’IA générative va non seulement augmenter la productivité des professionnels, mais également introduire un véritable changement de paradigme. « Trop de chefs d’entreprise considèrent l’IA générative comme une simple pilule amaigrissante – un moyen rapide de réduire les coûts en automatisant et en supprimant des emplois. Le fait de s’attaquer aux centres de coûts est une approche à court terme. Or l’IA générative doit plutôt être considérée comme le carburant des fusées », affirment Bill Briggs et Mike Bechtel, respectivement global chief technology officer et chief futurist de Deloitte.