RSD

Sécurité des systèmes d'information

Le CLUSIF a publié la semaine dernière son rapport biennal quant aux entreprises et à la sécurisation de leur système d'information.
S'appuyant sur les réponses de 350 sociétés de plus de 200 salariés, et sur l'analyse des 11 thèmes de la norme ISO 27002 (relative à la sécurité des SI), ce rapport souligne les failles actuelles ainsi que les améliorations mises en œuvre par les entreprises.

Restons optimistes

Nous retiendrons que les entreprises, reconnaissant leur dépendance vis à vis de informatique, sont de plus en plus nombreuses (73%, soit +14% par rapport à 2008)à formaliser leur politique en la matière (67 % confirment l'existence d'une charte Sécurité SI, + 17 % par rapport à 2008.

Une évolution qui s'explique sans doute par l'implication de plus en plus forte de la direction générale dans la politique de sécurité IT de l'entreprise. "La politique de sécurité de l'information des entreprises est massivement soutenue par la direction générale, qui a contribué pour plus de la moitié à son élaboration", constate le CLUSIF.

Il est également intéressant de relever que chez 47% des répondants, la fonction RSSI (responsable de la sécurité du système d'information) existe même si ces responsables sont un peu isolés dans l'entreprise.

Cette fonction est plus souvent liée à la DSI (36%) ainsi qu'à la direction générale (34%). Un second rattachement qui s'inscrit néanmoins en recul comparé à 2008 (45%).
Pour le CLUSIF, "ceci peut s'expliquer par l'arrivée plus nombreuse de RSSI au sein d'entreprises de tailles moyennes ayant un niveau de maturité en sécurité IT encore faible".

Des budgets épargnés

Les budgets restent très serrés, mais par rapport à 2008, la sécurité apparaît comme  une catégorie de dépenses plutôt épargnée.
Poutant le CLUSIF constate des disparités selon les secteurs d'activité. "61% des entreprises du secteur BTP et 43% des Transport et Télécoms ont augmenté leur budget en 2010 parfois de manière très importante : 15% des entreprises du BTP ont noté une augmentation de plus de 10% de leur budget"

Peut mieux faire

Le CLUSIF a ajouté dans son enquête le thème ISO 27002 numéro 9 (sécurité physique), et les résultats montrent pour 41% des entreprises, le responsable des « données papier » n’est pas clairement identifié.

33% (-7% vs 2008) des entreprises ne disposent toujours pas d’un plan de continuité d’activité pour traiter les crises majeures !…
Enfin, les aspects « conformité », pour lesquels des progrès restent à faire, au travers :

• des « obligations CNIL » : en légère progression (68% « conforment », 20% « conforment pour leurs traitements sensibles », respectivement +4% et +1% vs 2008),
• des audits de sécurité : 25% des entreprises n’en font toujours pas !…,
• du tableau de bord de la sécurité informatique : 34% seulement en dispose (malgré les +11%).

A noter également, le sentiment de danger concernant la protection de la vie privée qui augmente (73% « mise en danger de la vie privée - fortement ou un peu », vs 60% en 2008).

Téléchargez l'intégralité des présentations faites par le CLUSIF autour du rapport 2010 sur les Menaces Informatiques et Pratiques de Sécurité en France.

8ème Conférence européenne sur l'archivage digital - Genève 28-30|04|2010

Le centre de conférence international de Genève abritait du 28 au 30 avril, la 8ème conférence européenne sur l'archivage digital.

Un nombre impressionnant de participants ont fait honneur aux speakers et il était bien difficile de faire son programme sans avoir l'impression de manquer une présentation ou un atelier important.

Avant de parler des thèmes, nous voudrions partager avec vous notre satisfaction quant à l'organisation de l'évènement et notre coup de coeur pour le travail de signalétique fait par des étudiants de la Haute école des arts de Berne (Hochschule der Künste - Bern) sous la houlette de Jimmy Schmid.  Bravo pour leur créativité et leur sens pratique !

Les thèmes

Les présentations étaient organisées autour de 4 thèmes :

• Profil professionnel : nouvelles compétences à l'ère numérique
• Constitution des fonds : comment documenter la société de l'information
• e-Archivage : réorganisation des processus et des modèles d'entreprise
• accès en ligne : solutions et implications.

e-Archivage

A défaut de pouvoir suivre toutes les présentations, nous avons privilégié l'e-Archivage et la réorganisation des processus et des modèles d'entreprises. La plupart des contributions étaient très intéressantes et nous avons retenu celle de Monsieur Alexander Samarin à propos de la synergie entre BPM (Business Process Model) et archivage électronique [www.improving-bpm-systems.com].
Nous avons également suivi avec intérêt les retours d'expérience du CNES, des Archives nationales de France (le rôle structurant des référentiels), de la Poste française ou encore de de l'AFSSAPS (Agence Française de Sécurité Sanitaire des Produits de Santé) et le projet d'archivage électronique des autorisations de mise sur le marché des médicaments.

L'importance des standards

Les normes et les standards sont au cœur des réflexions, des projets et des expériences. Nombreux sont les pays ou les organisations qui ont choisi le PDF/A comme standard d'archivage pour les documents et plus globalement le contenu non structuré.
Moreq2 et l'annonce de Moreq2010 couplé à un appel à contribution fait partie de ces normes et l'approche plus "verticalisée" de la présentation des exigences de Moreq2 ne peut qu'en faciliter la mise en oeuvre.

Aujourd'hui, la définition des référentiels se fait au regard du respect des standards tels PRONOM [formats de fichiers], IANA [types MIME], ICA, ISO 639, OAIS, Moreq2 et des l'exigence d'interopérabilité.

Enfin, nous retiendrons également le projet d'émulation DIOSCURI présenté par Nationaal Archief of the Netherlands en alternative à la migration par ainsi que SIARD, la solution  d'archivage de bases de données relationnelles développée et mise à disposition gratuitement par les ingénieurs des Archives fédérales suisses.

Il ne nous est malheureusement pas possible de rendre compte de toutes les présentations, aussi merci d'utiliser les commentaires pour partager vos impressions et réactions au contenu de cette note ou à celui des séances auxquelles vous avez pu participer.

Cordialement,

Claude SUPER

Records and Data Privacy – Should You Be Worried?

During the last few months, we heard of several high profile stories about data theft and privacy issues. While most of the recent cases we hear about involve banks or financial services – this can occur in any industry. For example, the BBC just reported the medical records of 2,000 patients were lost at Haywood Hospital. The records are of 2,000 patients who had physiotherapy at Haywood Hospital in 2006 and have since been discharged and may have been destroyed in error, under what it calls "confidential conditions".

This is just one of the reasons why information governance is a top priority at most of organizations worldwide. An information governance program allows companies to implement the correct security controls, data privacy rules, proper encryption methodologies and audit facilities.

Security controls – Who needs access to what? What should the user be allowed to do once they have access to the information (i.e. download or print)? How is the security being enforced across all the information silos?

Data privacy rules – The legal protection of the right to privacy in general - and of data privacy in particular - varies greatly around the world. Who in your organization is monitoring these laws? How are these laws being implemented and enforced in your records management and electronic content management system? Does any information in the document (such as social security number) need to be redacted?

Encryption methodologies – There are dozens of different encryption methods and programs available. I am not an expert on encryption but do know some are good, some are not. What’s important is that when information gets archived, your organization utilizes the proper encryption tool so if data does leak out, it’s unreadable.      

Audit facilities – Most applications create an audit trail. Often times, these audit trails do not get analyzed or shared with the compliance team or auditors. Companies must keep track of who, what, when, where, and how.  Who accessed what?  When did they access it?  Where did they access it from? How did they access it (internal application versus CRM system)?

Bottom line, information within the organization must be treated as an asset but also as a liability. So the next time you open a bank account and provide a significant amount of personal data to a total stranger – just hope they have a well defined information governance program in place.

{picture courtesy of rpongsaj from Flickr}

Des données, des données, encore des données !

Le 25 février dernier, The Economist publiait un article sur la gestion de l'information illustré par des exemples qui permettent de mieux comprendre l'ampleur du problème, s'il en est !

Et de citer le cas Wal-Mart, un géant mondial de la grande distribution qui enregistre plus de 1 million de transactions à l'heure générant ainsi plus de 2.5 petabytes de données stockées (soit 167 fois le volume des livres conservés dans la bibliothèque du Congrès!).
Facebook, à lui seul, héberge 40 milliards de photos, l'accélérateur de particules du CERN (LHC) génère quant à lui plus ou moins 40 terabytes de données par seconde qui font l'objet d'analyses et/ou de stockage pour certaines.

Tout ceci montre à quel point il est possible maintenant d'utiliser le capital que constitue l'information pour améliorer ses affaires, planifier, anticiper, prévoir, protéger, etc.

Mais cette réalité n'est pas sans créer de nouveaux challenges.

• Comment et ou stoker ces données ?
• Comment assurer la sécurité, la confidentialité de ces informations ?

Nombreux sont ceux qui s'interrogent.

Alex Szalay, astrophysicien à l'Université Johns Hopkins souligne que la multiplication des données les rend encore plus inaccessibles. Joe Heelerstein (Université de Berkeley) parle de "révolution industrielle de l'information/ou des données" (the industrial revolution of data).
Les effets de cette prolifération se font sentir partout, du monde des affaires à celui des sciences, des milieux politiques aux cercles artistiques, faisant que les scientifiques et les informaticiens se sont accordés pour inventer un nom pour ce phénomène :"big data".

Ainsi, à côté des responsables informatiques, de nouvelles fonctions émergent pour des profils sachant combiner des compétences informatiques, des connaissances statistiques et des talents d'extraction, d'analyse et de présentation de la "substantifique moelle" de cet incroyable capital d'information.

Nous sommes dans une phase de transition et le passage de la rareté de l'information à sa surabondance est une incroyable source opportunités.
Les données deviennent une nouvelle matière première pour l'entreprise: un apport économique presque sur un pied d'égalité avec le capital et le travail.

Mais "BIG DATA" est source de crises.

Au cours de la récente crise financière, il est devenu clair que les banques et les agences de notation s'étaient appuyés sur des modèles qui, bien que nourris d'une énorme quantité de renseignements et de données, ne permettaient pas d'anticiper totalement le risque financier encouru dans le monde réel.
Il s'agissait de la première crise déclenchée par "BIG DATA" et ce ne sera pas la dernière!

La façon dont l'information est gérée touche tous les domaines de la vie.
Au tournant du 20e siècle de nouveaux flux d'information au travers du télégraphe et du téléphone ont soutenu la production de masse. Aujourd'hui la disponibilité de données en grand nombre permet aux entreprises de répondre à certains segments de marché partout dans le monde. La production économique était habituellement basée dans une usine où les gestionnaires travaillaient à rendre plus efficaces chaque machine et chaque processus. Maintenant, les statisticiens exploitent toutes les informations produites à tous les niveaux de l'entreprise pour trouver de nouvelles idées.

«Une économie basée sur les données est en train de naître", admet M. Mundie de Microsoft. "Vous pouvez en dessiner les contours, mais les implications techniques, d'infrastructure et même les modèles commerciaux ne sont pas encore bien compris".

----------------------------------------------------------------------------------

L'original des articles sur The Economist en ligne :
A special report on managing information: Data, data everywhere ///All too much - Monstrous amounts of data

RSD annonce l’ouverture d’une filiale à Madrid

"En cette période, nous souhaitons manifester notre volonté d’aller de l’avant sur le marché ibérique en nous engageant encore plus auprès de nos clients espagnols et en leur apportant notre qualité de services ainsi que des solutions qui vont les aider à répondre aux nombreux défis, notamment de gestion de l’information, qui se présentent à eux" annonce Pierre Van Beneden, Directeur Général de RSD

Lire le communiqué

RSD and Alfresco Announce Strategic Partnership

RSD and Alfresco today announced a new partnership, which will bring a proven, enterprise-class information governance solution to the growing Alfresco user base.

From our press release:

"As a result of the partnership, RSD will integrate its proven archiving technology and its report and output management solutions with Alfresco ECM software.  The product, RSD ArchLive for Alfresco, will help Alfresco customers retire Alfresco content to an enterprise-grade archive as required, and assist in the delivery of large data center application output seamlessly to Alfresco users."

Pierre Van Beneden, RSD's CEO, stated:

“We are very pleased to announce our new partnership with Alfresco.  Alfresco’s open source content management solutions have created an exciting disruption in the ECM market, and their growth has been impressive.  RSD has been delivering robust information governance solutions for over 30 years – and we believe that Alfresco is a strategic enterprise repository that can benefit from our technology.  With ArchLive for Alfresco, we can bring robust, reliable, and compliant archiving infrastructure to support Alfresco users at later stages in the document lifecycle.  We can also extend the Alfresco collaboration space to include important business information once locked up in the data center.  And unlike costly and complex enterprise archiving products, ArchLive is a small footprint solution which can be deployed quickly and easily, and at reasonable cost.”

John Powell, Alfresco CEO, added:

“We’re very excited to have RSD join our team as a Gold partner.  They bring a proven archiving solution to Alfresco – which is particularly important for customers with terabytes or petabytes of historic documents.  RSD also has decades of experience managing large business application data streams, which are often out of reach of Alfresco users.  RSD ArchLive for Alfresco offers an elegant solution to both of these challenges.”

As RSD continues to evangelize the urgency around establishing enterprise information governance strategies and solutions, we believe content management environments like Alfresco will become critical repositories of corporate records -- which must be managed in accordance with enterprise policy in order for companies to improve their compliance posture.

A very exciting day for Alfresco.  What do you think?  Please share your comments with us!

Here is a link to a flash movie that describes the solution.

Un entrepôt d’archives papier en feu à Lausanne.

Depuis le jeudi 24 septembre, un incendie ravage à Lausanne (Suisse) un bâtiment contenant des archives : 3000 m3 de classeurs rangés dans des armoires au deuxième sous-sol du bâtiment dans des locaux où sont stockées les archives de quelques 150 entreprises sont en danger et seront probablement entièrement détruites.

Cet incendie (toujours pas maitrisé à l’heure où nous écrivons ces lignes) est malheureux et il met en exergue la délicate question de l’archivage des documents émis ou reçus par les entreprises.

Tant que le papier a été l’un des principaux support des affaires et des contrats, l’archivage d’une copie papier de tous les documents était indispensable pour toutes les raisons que nous connaissons (obligations légales, protection de contrats, contrainte administrative, etc.).
Aujourd’hui, l’économie vit une transition accélérée par la dématérialisation et la mutation vers un monde numérique est en cours.
La plupart des échanges et des documents constitutifs des actes de commerce ou simplement des « affaires » est dématérialisée sous la forme de fichiers informatiques.
A l’heure du « Green IT », la matérialisation par l’impression de ces documents n’est ni souhaitable ni même nécessaire.
Par contre, qu’il s’agisse de contrats, de lettres, de bons de commande ou encore de courriers électroniques, il est plus que jamais indispensable pour les entreprises d’archiver tous ces documents.
Ceci est d’autant plus vrai que les volumes de données «explosent» : en 2006, ce sont 161 milliards de gigaoctets d’informations numériques qui auraient été créées et copiées, d’après une étude du cabinet IDC.D’après la même étude publiée en mars 2008, en 2007, ce chiffre a été évalué à 281 milliards de gigaoctets, soit 10 % de plus que ce qui avait été annoncé.
Les contraintes légales (gouvernance de l’information) viennent s’ajouter à cette réalité pour créer un nouveau défi pour les entreprises : comment archiver ces documents en toute sécurité, en toute conformité tout en pouvant les utiliser dans la conduite des affaires ?

L’archivage des contenus numériques dit également répondre aux problématiques de confiance.

Un système d'archivage électronique doit donc :

• Assurer la conservation des fichiers dans leur format d'origine (afp, pdf, pdf/a, TIFF, courriers électroniques, messages, images, vidéos, etc.)
• Supporter tous les environnements de production de documents (mainframes, systèmes ouverts)
• Garantir sa robustesse et sa capacité à ingérer des gros volumes
• Permettre une restitution rapide et fidèle des documents archivés (gestion des index et metadata, interface intuitive, filtres de sécurité, etc.)
• S'intégrer dans un espace sécurisé (gestion des accès et des droits, traçabilité, gestion des sauvegardes, etc.)
• Fournir un socle indépendant des applications et contribuer à la souplesse de l'entreprise
• Se connecter aux outils HSM ou supports d'archivage Hardware
• Participer aux standards (ISO -TC46/SC11, ISO 15489-1et15489) et aux normes (ex.: AFNOR - NF Z 43-400 et la NF Z 42-013) ou architectures d'interopérabilité
• Contribuer à la valeur probatoire (scellement, support de la signature électronique, etc.)
• Gérer avec granularité et automatiquement les cycles de vie des documents et des données
• Appliquer le référentiel de conservation et la politique d'entreprise afin d'en garantir la conformité

Le dommage subit par les entreprises dont les archives ont disparu en fumée ou sous les tonne d'eau des pompiers ne sont peut-être pas importants, et ce serait tant mieux!

Mais, il faut que tout à chacun au niveau du management  réfléchissent aux risques que peut représenter la destruction des "actifs documentaires" des entreprises.

Cette réflexion encadrée par les responsables juridiques doit, avec le concours des équipes informatiques, conduire à la mise en œuvre d'un système souple, simple, efficace, évolutif et garant de la conformité de l'entreprise au regard de ses besoins, de ses droits et de ses devoirs.

Merci et à bientôt.

Mainframe revival continues: report from System z Technical Conference

I registered early this morning at IBM System z Technical conference 2009 in Brussels. As I already attended last year, I was very keen to discover how IBM progressed in its strategy for system z.

After general usage recommendations for the week, I get very enthusiastic at half past 9, when Mark Anzani - IBM System z platform Vice President - talked about progress of system z in 2008: 54 new system z customers in the world, of which 22 bought it for z/Linux -- meaning 1300 system z customers using z/Linux.

In 2008, 537 schools in the world are training 50000 students to system z technologies compared to 24 schools in 2003. The IBM strategy for system z started in 2003  and it is now clear that IBM has dthis plan strongly, unerringly, (with no doubts nor hesitations) in order to reinforce and rejuvenate mainframe market thanks to the "mainframe consolidation" concept. IBM will not leave the mainframe dying off; it's now sure. Strengthened by this idea while building my training agenda, I decided to focus on z/VM and z/Linux conferences and labs for this first day. 

The first conference I attended was on z/VM basics. I discovered how z/VM which is a concept launched with Mainframe in 1960's  would be now able to answer to the "dynamic strategy" for System z envisioned by IBM.  z/VM is the base technology to consolidate on system z, "dynamic" technologies under Linux.

At 1.30 after a quick lunch, I observed in the common hall a few changes from last year: some attendees coming from Lebanon or Saudi Arabia. A few IBMers from India. On the other hand, as last year, Jean-Michel Rodriguez from IBM Montpellier is here to present again the "Green data center" which became a reality with first production workload.

Tomorrow I will try to retrieve more informations and photos on this subject as well as the link to the demonstration in "Second life."

According to Mark Anzani this morning we are faced with physical limits with CPUs; that means that chip performance will not increase as it has for the past 20 years. Mark said we must now search for performance and then cost savings everywhere in software with better workload management, resource sharing,  as well as better cooling for energy savings. I suppose that many RSD system Z customers would be interested in knowing how with a particular disposition of hardware in the room you can save money.

To be continue after day 2...