Les usages issus du web 2.0 mettent les DSI sous pression

Xavier Biseul, Olivier Discazeaux, Erick Haehnsen et Eliane Kan

01 Informatique

le 03/07/2008 à 00h00

envoyer
par mail

imprimer
l'article

Blogger, Dailymotion, Facebook, Linkedin, Netvibes, Second Life, Viadeo, Youtube… Depuis quatre ans, les réseaux sociaux du web 2.0 remodèlent notre rapport à l'information et à l'informatique. Preuve que, pour la première fois, le grand public innove plus que l'entreprise. Les ténors les plus visionnaires ne s'y sont pas trompés, tel Google qui a racheté Youtube pour 1,6 milliard de dollars en 2006. Côté entreprises, il aura fallu attendre juin 2007 pour qu'Alstom, Areva, Capgemini, L'Oréal et Unilog organisent leur recrutement dans l'univers virtuel de Second Life. Les sociétés cherchent également dans le web 2.0 des méthodes alternatives pour traquer les nouvelles tendances de consommation et innover. Autre avatar, si l'on peut dire, les salariés mécontents d'IBM se sont regroupés au sein de Second Life sous la bannière de l'UNI (Union Network International) et ont ainsi mené des actions de protestation salariales en septembre 2007.

Du recrutement 2.0 à la grève tout autant 2.0, de quelle manière le DSI peut-il redéfinir le périmètre de l'entreprise avec les réseaux sociaux, blogs et wikis ? Comment peut-on ouvrir à la fois le système d'information de l'entreprise aux flux RSS, mashups et autres widgets, et assurer sa sécurité ? Selon Forrester Research, toutes les questions que se posent les DSI vont amener les entreprises, au niveau mondial, à dépenser 4,6 milliards de dollars d'ici à 2013 dans les applications web 2.0. Un investissement destiné à renforcer les interactions avec leurs environnements, qu'ils soient économique, commercial, partenarial, social ou culturel. “ La mutation s'opère dès lors qu'on réconcilie les données structurées issues des applications transactionnelles (PGI, décisionnel, annuaires Olap) avec les données non structurées ”, estime François Bourdoncle, PDG fondateur du moteur de recherche tricolore Exalead.

Réconcilier l'information structurée et non structurée

Désormais, les facteurs de différenciation les plus stratégiques ne résident pas seulement dans les cubes décisionnels. L'information vitale circule aussi au cœur des réseaux sociaux, blogs, wikis et flux RSS. Les grandes entreprises ont conscience du besoin de cette réconciliation. Et elles mûrissent cette approche au moment d'entamer les grands chantiers SOA (architectures orientées services) qui décloisonnent leurs applications transactionnelles. Mais cela reste insuffisant. “ Les DSI ont modélisé des données informatiques. Or l'utilisateur a besoin qu'on lui redonne du pouvoir sur l'information elle-même. Il se moque des données ”, poursuit François Bourdoncle. Techniquement, l'éditeur considère les sites médias, les blogs, les wikis et les flux RSS de la même façon. Il s'agit de les référencer, puis de collecter, d'analyser et de structurer l'information qui cible, par exemple, l'attente des utilisateurs. Bien sûr, celle-ci est comparée à celle contenue dans les applications transactionnelles (GRC, PGI, décisionnel, SGBDR). Précisons que l'exploitation massive des informations non structurées se standardise dans le cadre d'un projet de logiciel au sein de la communauté Eclipse.org où l'on retrouve, entre autres, Google et Exalead. Une bonne nouvelle qui fait envisager l'industrialisation d'un middleware capable de gérer la réconciliation de l'information structurée et non structurée.

En attendant, la pression culturelle du web 2.0 monte chaque jour d'un cran en entreprise. Surtout chez les grands comptes nord-américains et européens : 51 % d'entre eux s'équiperont cette année, selon Forrester Research. En revanche, plus la taille de l'entreprise baisse, moins les intentions sont nombreuses. Ainsi, parmi les sociétés employant de 6 à 99 personnes, ce score tombe-t-il à 20 %. “ C'est tout le paradoxe. Les gens utilisent le web 2.0 dans leur vie privée mais ils en ont encore une grande méconnaissance pour leur entreprise ”, reconnaît Christophe Toulemonde, directeur du cabinet d'analyse Jemm Research, qui vient de publier une étude sur le web 2.0 dans les entreprises françaises pour le compte d'IBM.

De leur côté, les directions marketing, ventes et R&D perçoivent bien l'intérêt du web 2.0. Il les aide à mieux cerner les tendances du marché et à observer la stratégie des concurrents. “ Ces directions manifestent de fortes envies de partage des connaissances et des bonnes pratiques mais ne savent pas comment s'y prendre, enchaîne Christophe Toulemonde. Lorsqu'on demande aux utilisateurs quels outils ils aimeraient avoir, ils rejettent blogs et wikis, les accusant d'être chronophages et de faire doublon avec les rapports qu'ils ont déjà rédigés. ” En revanche, les mêmes plébiscitent l'annuaire étendu (coordonnées, profil, compétences, domaines d'expertise…) et les outils collaboratifs classiques : partage de documents et de calendrier, gestion de tâches…

De nouvelles menaces sur la sécurité

C'est dire si le DSI dispose d'un large champ de manœuvre pour accompagner le mouvement. A condition de surmonter les atteintes liées à la sécurité. “ Le risque essentiel des réseaux sociaux, c'est le Cross Site Scripting (CSS). Au lieu de poster un texte, la personne malintentionnée injecte un script qui va s'exécuter sur le poste d'un autre utilisateur, avance Philippe Rondet, directeur technique chez Checkpoint, un éditeur de logiciels de sécurité. Avec cette technique, le hacker récupère l'information sur le poste de l'employé. Il sait alors sur quels sites se rend le salarié – notamment celui de sa banque. Et quelles opérations il y effectue. Cela permet de lancer des attaques de phishing très ciblées. ” Pour s'en protéger, il suffit simplement d'installer un pare-feu applicatif ou avec option applicative comme on en trouve chez Beeware, Checkpoint, DenyAll ou Imperva. Quant à la gestion des flux RSS, elle ne présente pas de menace particulière pour une entreprise déjà organisée en matière de sécurité informatique. A ceci près : si c'est l'entreprise qui fournit le flux, elle doit s'assurer de son innocuité avant de le délivrer. Il n'y a pas d'outils dédiés à cela. Autre cas, lorsque l'entreprise reçoit des flux externes, elle rentre dans la problématique classique du filtrage des URL.

Néanmoins, avec les mashups et les widgets les risques sont beaucoup plus nombreux et confus. Car ces composants logiciels font intervenir un grand nombre de petits morceaux de code dont il est parfois difficile d'identifier les sources. “ Afin de ne pas se laisser déborder par l'ajout sauvage de composants, le DSI doit qualifier les mashups ou les widgets comme pour n'importe quel logiciel. Il faut savoir qui en est l'éditeur, quelles en sont les vulnérabilités et en assurer la maintenance ”, reprend Philippe Rondet. “ Il faut se méfier des widgets de l'univers grand public car on ne sait pas toujours d'où ils viennent ni ce qu'ils renferment ”, avertit Olivier Picciotto, cofondateur de Twinsoft. Cette société aide les entreprises à éditer leurs applications métier sous la forme de ces petites applications de façon non intrusives, même si ces dernières ne sont pas explosées sous forme de services dans le cadre d'une SOA.

Un univers qui impose ses propres règles

A ces menaces du web 2.0, l'entreprise étendue doit ajouter celles dues à la mobilité – à savoir le télescopage entre les usages professionnels et personnels de l'ordinateur portable et du téléphone mobile lors des connexions au réseau de l'entreprise. Un phénomène qui risque de s'accroître avec les machines de type EeePC et autres iPhone. “ Si le DSI n'accompagne pas ce mouvement, il ne pourra pas tenir bien longtemps, prophétise Laurent Heslault, directeur des technologies de sécurité pour l'Europe de l'Ouest chez Symantec. Dans l'univers du 2.0, la sécurité informatique doit donner de la liberté aux usagers au lieu de limiter les usages. ” Si on la prépare.

A cet égard, tous les spécialistes (Checkpoint, McAfee, Symantec…) conseillent de sécuriser d'abord le poste mobile avec une suite complète de sécurité. Laquelle autorise ou non, en fonction de règles surveillées par une console centralisée, le déplacement de fichiers après chiffrement vers une clé USB, un smartphone ou un graveur. En situation de mobilité, ils prônent également aux nomades de passer d'abord par le réseau privé virtuel sécurisé de l'entreprise avant de se connecter à l'extérieur. Vers les réseaux sociaux, par exemple. Le DSI peut aussi privilégier des outils comme le scanner d'empreintes digitales du Français Everbee, grâce auquel n'importe quel PC connecté s'utilise avec les mêmes niveaux de sécurité que dans l'entreprise. Une fois ces précautions prises, le DSI est paré pour accompagner la création des mashups et widgets les plus innovants.