Engie : analyse de risques EBIOS RM sur Azure
Une analyse de risques du Cloud du groupe, puis une démarche de sécurité intégrée aux projets applicatifs.
Deux missions successives pour la DSI du groupe ENGIE : l'analyse de risques EBIOS RM de la plateforme Cloud Azure en 2022, puis l'industrialisation d'une démarche de type EBIOS dans les projets applicatifs en 2023.
Contexte du projet
La DSI du groupe ENGIE souhaitait analyser les risques pesant sur la plateforme Cloud Azure de Microsoft : s'assurer qu'elle répondait aux besoins et aux enjeux des métiers, et qu'elle était conforme à la politique de sécurité du groupe.
Au-delà de cette première analyse, l'enjeu était d'industrialiser l'approche : intégrer une démarche de type EBIOS dans les projets applicatifs dès leur émergence, avec les architectes et les RSSI métiers.
Objectifs stratégiques
Besoins métiers
S'assurer que la plateforme Cloud Azure répond aux besoins et aux enjeux des métiers du groupe.
Politique de sécurité groupe
Vérifier la conformité de la plateforme avec la politique de sécurité du groupe ENGIE.
Analyse de risques industrialisée
Faire de l'analyse de risques Cloud une démarche reproductible, intégrée aux projets applicatifs.
Solutions déployées par Adservio
Adservio est intervenu en deux temps : en 2022 avec un delivery manager, un consultant senior ISO 27005 / EBIOS RM et un consultant sécurité du Cloud ; en 2023 avec un delivery manager, un consultant senior et deux consultants ISO 27005 / EBIOS RM.
Questionnaires et entretiens
Questionnaires de risques et entretiens avec les métiers, les RSSI et les fournisseurs, pour cerner les besoins et les enjeux de sécurité.
Analyse EBIOS RM du Cloud
Analyse de risques EBIOS RM de la plateforme Azure selon la norme ISO 27005, matrice des niveaux de risques et proposition d'un plan d'actions.
Conception de la démarche
Conception d'une démarche de type EBIOS pour les projets applicatifs, participation au groupe de travail chargé d'introduire la sécurité dans les processus projet du groupe et à la conception de l'outillage.
Déroulement en pilote
Démarche déroulée en mode pilote, avec la définition des besoins de sécurité dès la phase d'émergence des projets.
Critères DICT
Caractérisation des besoins de sécurité des projets en critères DICT (disponibilité, intégrité, confidentialité, traçabilité), en tenant compte des impacts métiers.
Mesures et risques résiduels
Analyse des risques techniques, mesures de sécurité intégrées aux architectures applicatives et formalisation des risques résiduels.
Une analyse de risques ponctuelle,
devenue une démarche de groupe.
Partie de l'analyse EBIOS RM de la plateforme Cloud Azure, la mission a abouti à une démarche de sécurité intégrée aux projets applicatifs dès leur émergence, portée par les architectes et les RSSI métiers.
Résultats
En deux ans, une analyse de risques ponctuelle est devenue une démarche de sécurité commune au groupe. Les risques de la plateforme Cloud Azure sont identifiés, classés dans une matrice et assortis d'un plan d'actions pour les réduire. Les zones de non-conformité sont repérées au niveau du groupe et de chaque direction. Et la sécurité entre désormais dans les projets applicatifs dès leur émergence, avec des besoins exprimés en critères DICT et des mesures intégrées aux architectures.
Autres réalisations
Modernisation SIAG via SAP Fiori
TIV Test & Reporting : maintenance ferroviaire
Projet GOC 2.0, audit architecture critique
Programme INES : contrôle dépositaire augmenté par IA
DSI Augmentée : GenAI dans la software factory data
DSI Augmentée : GenAI au cœur du SDLC
DSI Augmentée : socle IA souverain sur tout le SDLC
Modernisation flux interbancaires & SAP S/4HANA
Performance & Observabilité 360°
Dentaline : Deep Learning radios panoramiques
FastPass IA & Mobile Order
Analyse de risques EBIOS RM & RGPD
Centre de la Performance Applicative
DevOps Automatisation : Assurance vie
Création du SI associatif éducatif
Cinké Évolution : Pilotage Data Visualisation
DevOps & DataOps : Migration Cloud Azure
Refonte & TMA Digitale : Performance Web
Fabrik Digitale : Cloud-Native sur Azure
Transformation Digitale : Soon & Connect
SpeedBooking : une plateforme livrée pour 600+ hôtels
Un moteur de règles GTA refondu sans aucune régression
Un mapping de migration Workday accéléré par l'IA
Détection de fraude en temps réel et KYC accéléré
Sécurisez vos projets Cloud dès leur conception
Analyse de risques EBIOS RM, ISO 27005, sécurité intégrée aux projets : discutons de vos enjeux de cybersécurité Cloud. Un expert Adservio vous recontacte sous 24 h.