La digitalisation de la relation client n’est aujourd’hui plus un concept. D’après un rapport réalisé par Wix, le nombre de ventes réalisées en ligne a augmenté de 140 % par rapport à 2019, pour un chiffre d’affaires total de + 114 %. En France, le e-commerce représente aujourd’hui 13,4 % du commerce de détail selon la Fevad, contre 9,8 % en 2019. Travail, achat, loisirs, … de nombreuses activités sont désormais déportées en ligne, avec les avantages que l’on connaît (accessibilité, disponibilité, praticité, …) mais aussi une plus grande distanciation. C’est pourquoi, les marques cherchent des moyens pour renouer des interactions solides et durables avec leurs clients. 

Voici quatre grands bénéfices liés à l’utilisation de la visioconférence :

Améliorer le traitement des demandes entrantes du service client

Si les services clients fonctionnent toujours majoritairement par téléphone, ajouter l’option visioconférence peut faire toute la différence. En effet, si votre client est victime d’un sinistre ou qu’il a reçu un produit endommagé, un appel vidéo permet de constater directement les dégâts, de les enregistrer à l’aide de captures d’écran et de lancer plus rapidement une procédure de réparation ou de remplacement.

De même, en cas de dysfonctionnement d’un appareil ou d’un logiciel, pouvoir ajouter la caméra ou partager son écran peut avoir un impact considérable quant à la compréhension du problème et sa résolution en ligne. On dit souvent qu’une image vaut mille mots. Ce qui est sûr, c’est que visualiser le problème en direct sera toujours plus parlant que d’en entendre la description par une personne, experte ou non. Et si l’intervention d’un expert technique est nécessaire, il sera bien plus simple de le faire intervenir au sein de la visioconférence et réaliser un dépannage à distance en direct plutôt que de transmettre les informations de manière asynchrone. Ainsi, l’usage de la visioconférence dans les services clients peut permettre d’accélérer le traitement des demandes et réclamations entrantes, améliorant d’autant la satisfaction client.

Renforcer les arguments de vente par la visioconférence

Lorsque le service client se fait par téléphone, la relation commerciale peut manquer de spontanéité, et la confiance, plus difficile à établir. La vidéo peut constituer un atout précieux pour améliorer la relation commerciale et booster le taux de transformation. En effet, la visioconférence permet d’accompagner le client avant l’achat, de le rassurer sur la qualité d’un produit ou service, son fonctionnement, les modalités d’échange ou de remboursement, … Le vendeur disponible en visioconférence peut répondre en direct aux hésitations de l’acheteur et présenter le produit ou service en situation réelle, ce qui renforce le sentiment de confiance et encourage la décision d’achat. Les clients sont rassurés par un contact visuel qui humanise la relation, ce qui est d’autant plus important pour un produit ou service à haute valeur ajoutée par exemple. Et pour les commerciaux, la visioconférence offre des informations en or pour décrypter l’état d’esprit du client et pouvoir y répondre de manière adaptée.

Humaniser les relations clients

Au-delà de la relation commerciale ou du service client, la visioconférence permet de créer des relations humaines avec les clients. La visioconférence permet aux entreprises de faire preuve de plus d’empathie vis-à-vis de leurs clients ou prospects et de prendre en compte la dimension émotionnelle inhérente de la relation. Elle permet d’offrir en ligne la même qualité de conseil qu’en présentiel, tout en offrant la flexibilité et la disponibilité du distanciel.  Gage d’une relation client satisfaisante, les visioconférences permettent aux entreprises de dynamiser leur image et d’entretenir des relations à distance humaines avec leurs interlocuteurs.

Augmenter son accessibilité

La législation a récemment évolué pour renforcer l’accessibilité des services clients à tous, et notamment aux personnes présentant des déficiences auditives. La vidéo offre une solution pour répondre à ces nouvelles obligations, à condition de la coupler à un module de chat ou de sous-titrage automatique, ou bien de recruter des conseillers formés à la Langue des Signes Française (LSF).

Par Ludovic RATEAU, Chief Technical & Product Officer chez Ringover

La décision à laquelle sont confrontées les entreprises aujourd’hui n’est pas de savoir si elles doivent déplacer les applications et l’infrastructure dans le cloud, mais quel cloud utiliser. Dans son rapport 2021 sur l’état du cloud, Flexera a constaté que 92 % des utilisateurs du cloud ont une stratégie multi-cloud. 

Cependant, ces mêmes décideurs reconnaissent que passer au multi-cloud s’accompagne de nombreux défis. Plus précisément, le rapport de Flexera note que 81 % de ces décideurs considèrent la sécurité et la conformité comme le principal obstacle à l’obtention de tous les avantages du cloud public.

Qu’on le veuille ou non, ces décideurs ont raison. À mesure que les clouds deviennent plus complexes et que Kubernetes devient plus omniprésent, les réseaux deviendront ingérables sans automatisation de la sécurité. À l’heure actuelle, la sécurité est perçue comme le maillon faible de la chaîne DevOps, et non sans raison. Le développement d’applications agiles nécessite des changements continus, notamment des modifications des contrôles d’accès. S’il faut des jours aux équipes réseau et sécurité pour examiner et approuver (ou refuser) ces modifications, le processus tombe en panne. Et c’est exactement ce qui se passe dans les entreprises du monde entier.

La solution n’est pas de contourner la sécurité. Et ce n’est certainement pas pour limiter les investissements dans le cloud. Les entreprises ont initialement adopté le cloud pour réduire leurs coûts, mais ont réalisé au fil du temps que même s’ils ne réalisaient pas d’économies significatives, le cloud pouvait offrir un avantage concurrentiel en accélérant la mise sur le marché, en améliorant la satisfaction des clients grâce à des réponses plus rapides et en répondant à l’évolution du marché. À une époque où la plupart des entreprises se considèrent comme étant avant tout numériques, elles ont besoin de l’agilité du cloud, mais elles doivent également reconnaître que le cloud s’accompagne de nouveaux défis en matière de sécurité.

Concilier l’agilité avec la sécurité

Au fur et à mesure que le réseau s’étend dans le cloud, la surface d’attaque augmente également. Traditionnellement, les entreprises ont déployé davantage de pares-feux pour sécuriser les points du réseau ainsi que, plus récemment, la segmentation du réseau. Mais cette approche entraîne une complexité et des coûts de gestion supplémentaires.

Une solution de gestion de politique de sécurité centralisée et automatisée peut concilier sécurité et agilité dans un monde multi-cloud hybride. Avec une couche de gestion de la sécurité centralisée qui se trouve au-dessus de toute l’infrastructure, les entreprises peuvent facilement visualiser, analyser, créer et mettre en œuvre des politiques de sécurité sur l’ensemble du réseau hybride. Une fois automatisées, les politiques de sécurité peuvent être intégrées au processus de modification du réseau et intégrées aux flux de travail ITSM, de sorte que les modifications de sécurité puissent être examinées et approuvées/refusées en seulement quelques minutes.

Les avantages de l’automatisation des politiques de sécurité

1. Apporter de l’agilité à la sécurité, qui change la donne pour les entreprises qui luttent pour réaliser la transformation numérique et souffrent de changements complexes à mettre en œuvre.

2. Fournir une meilleure visibilité de la sécurité dans l’ensemble de l’entreprise, qu’une application soit hébergée dans un datacenter ou sur l’une des nombreuses plateformes cloud.

3. Autoriser les équipes réseau et sécurité à intégrer la sécurité dans le processus DevOps sans compter sur les développeurs pour configurer les paramètres.

4. Faciliter le concept de conformité continue, où les politiques de sécurité peuvent être rapidement mises à jour et appliquées de manière cohérente pour répondre à l’évolution des exigences réglementaires et commerciales.

À l’heure actuelle, la plupart des entreprises sont coincées entre le marteau et l’enclume : sécurisées, mais lentes, ou agiles, mais risquées. Il faut créer un terrain qui équilibre sécurité et agilité grâce à l’automatisation. L’objectif de chaque organisation devrait être d’apporter la sécurité dans ses processus de développement agiles, où que ces processus se déroulent : dans le Datacenter, dans un cloud privé ou dans les clouds publics.  

Par Stéphane HAURAY chez TUFIN 

Depuis le 1er février 2022, l’authentification multifactorielle (MFA) est contractuellement obligatoire, même si une tolérance d’ordre technique perdurera jusqu’en 2023. L’activation de la MFA relève de problématiques à la fois techniques et organisationnelles. Un tel projet est l’occasion de repenser l’authentification voire la cybersécurité dans son ensemble, à l’échelle du SI de l’entreprise. 

Salesforce impose progressivement l’authentification multifactorielle 

Salesforce a annoncé en 2021 un plan d’activation de l’authentification multifactorielle (MFA), déjà techniquement disponible depuis l’an dernier. Une étape cruciale a été franchie le 1er février 2022. Depuis cette date, les entreprises qui ne l’ont pas activée ne sont plus en conformité avec le nouveau contrat d’utilisation. Salesforce n’effectuera d’abord aucune vérification. Mais courant 2022, la plateforme procèdera à une activation automatique de la MFA, de façon progressive, service par service. Dans un premier temps, les administrateurs auront la possibilité de la désactiver. Mais dès mars 2022 pour certains produits, et surtout à partir de mai 2023 pour l’ensemble des services, le processus sera irréversible et la MFA deviendra de facto obligatoire. Les entreprises ont donc le temps de la mettre en place, même si la non-conformité contractuelle peut présenter un risque juridique, notamment en cas d’attaque. 

Des problématiques techniques et surtout organisationnelles et économiques 

Dans un monde 100 % Salesforce, l’activation de la MFA est techniquement simple. Il suffit de la déclencher et de déployer l’application mobile Salesforce Authenticator. Le projet est plus complexe si l’on décide d’intégrer la MFA à l’échelle de plusieurs applications, SaaS ou sur site, via une solution de SSO. On pourra alors s’appuyer sur des solutions tierces de méta-annuaires, d’authentification forte et de SSO comme Thalès STA, Azure AD, Okta ou Onelogin. 

Mais la véritable difficulté est davantage organisationnelle et économique, et elle augmente en fonction du nombre d’utilisateurs. Car il s’agit d’équiper ces derniers de dispositifs permettant de renforcer l’authentification. On peut opter pour des smartphones accueillant une app comme Salesforce Authenticator, Google Authenticator, Microsoft Authenticator ou encore Authy. Elle sera installée soit sur des appareils dédiés à l’usage professionnel, ce qui aura un coût, soit sur les smartphones personnels, ce qui nécessitera l’accord des utilisateurs. En général, aucune de ces deux solutions n’est réaliste à grande échelle. L’alternative consiste à équiper les employés de dispositifs biométriques ou de clés sécurisées comme YubiKey de Yubico ou Titan de Google. Dans tous les cas, le déploiement nécessite un important effort d’accompagnement au changement – démarche qu’il s’agit d’adapter à chaque type de population. 

L’occasion de repenser la sécurité au-delà de l’authentification 

Que l’on s’en tienne au monde Salesforce ou qu’on étende la MFA à toutes les applications critiques, il est conseillé d’en profiter pour refondre la sécurité du SI, dont l’authentification n’est qu’une brique. Même avec la MFA, l’entreprise n’est en effet pas à l’abri d’une cyberattaque. La panoplie des solutions s’étend alors aux VPN, au chiffrement des données et aux sauvegardes, associées à un plan de récupération et de redémarrage. Sans ces mesures, la reprise d’activité après une attaque se compte généralement en semaines. 

Des projets de quelques jours à plusieurs mois selon le contexte et l’ambition 

La mise en place de la MFA Salesforce est un projet à part entière qui comprend les traditionnelles étapes de préparation, de déploiement, de gestion du changement et de support. L’effort est fonction des contraintes organisationnelles, de la taille des populations concernées, du périmètre et de la solution choisie. Selon que le projet est limité à Salesforce ou étendu au SI, sa durée peut varier de quelques semaines à plusieurs mois. 

Lamine Hadj-Arab, consultant manager chez Almavia CX
Cyril Louis, CEO et cofondateur de Mavericx, Salesforce MVP
Philippe Le Thomas, practice leader, annuaires et identités chez Anetys

Par Gaëlle TILLOY, Avocate à la Cour, exerçant principalement dans le domaine des nouvelles technologies et des données personnelles, et Jérôme BEAUFILS, Président de la société SASETY, expert des infrastructures numériques

Le secteur de la santé et du médico-social constitue une cible privilégiée des cyberattaquants. En 2020, l’Agence du Numérique en Santé indiquait que 250 établissements de santé avaient déclaré 369 incidents dont 60 % associés à des actes malveillants et 34 avec mise en danger de patients. Cette tendance s’est confirmée en 2021 avec, en moyenne, une cyberattaque par semaine sur un établissement de santé. La nécessité de protéger et de sécuriser les données à caractère personnel et plus particulièrement celles relevant de la santé devient donc une réelle préoccupation pour le législateur. Pour exemple, on peut citer l’article L.1111‐8 du code de la santé publique issu de l’ordonnance n° 2017‐27 du 12 janvier 2017 relative à l’hébergement de données de santé à caractère personnel qui exige la détention par les hébergeurs de données de santé d’une certification spécifique ou encore le Règlement de protection des données à caractère personnel qui considère qui définit les données de santé comme étant des données sensibles répondant à un régime spécifique.Pour autant, et malgré les obligations existantes, une multiplication des actes malveillants portant atteinte à la confidentialité, à l’intégrité et/ou à la disponibilité des données à caractère personnel a été observée et les données de santé, loin d’être épargnées par ce phénomène, font face à une recrudescence des cyberattaques contre des hôpitaux ou des laboratoires.

Qu’est-ce qui motive les cybercriminels à s’attaquer autant aux données ?

C’est très simple. Les données de santé ont une valeur marchande. D’abord pour les laboratoires de recherches pharmaceutiques qui en étudiant des lots de données acquis auprès de data-brokers réduisent le Time-to-Market de leurs produits. Ensuite, pour les GAFAM qui nourrissent leurs algorithmes de ces données afin de les rendre plus prédictifs et ainsi les commercialiser à des centres de recherche. Enfin, les données usurpées peuvent faire l’objet d’une rançon, de la part de l’organisme de santé affecté, mais également directement des patients concernés. Lorsque l’on sait qu’un dossier patient contenant le séquençage ADN peut valoir plus de 5 000 €, on comprend mieux l’engouement que représentent nos établissements de santé pour les cybercriminels.

Est-ce si simple de s’attaquer à nos établissements de santé ?

L’explosion des services numériques de santé associée à la vétusté ou à l’obsolescence des systèmes existants a contribué à accroître considérablement la surface d’attaque des établissements de santé ces dernières années. Ce phénomène s’est encore accéléré avec l’augmentation massive des capacités d’accès à distance en réponse aux confinements. Une fois pénétrés au cœur du système d’information de l’établissement, les cyberattaquants peuvent progresser latéralement et introduire leurs codes malveillants sur les organes névralgiques. Dans un secteur sous tension où la priorité réside dans les soins apportés aux patients, la disponibilité du système d’information – donc sa sécurité – doit être considérée d’importance vitale pour le fonctionnement des unités de soins. 

Quel modèle type de protection mettre en place ?

Chaque entreprise ou établissement ne réalise pas les mêmes traitements. Les données concernées, l’architecture technique et les moyens de sécurisation ne sont jamais identiques. Les traitements confiés à des tiers varient et les risques qui en découlent sont différents et susceptibles d’évoluer dans le temps. Au regard des différentes parties prenantes et des spécificités propres à chaque projet de traitement de données à caractère personnel, la conclusion d’un contrat est essentielle,  lequel constituera le référentiel de conformité auquel les parties se référeront en cas de litige ou d’attaque. Il décrira par exemple le périmètre sous-traité au prestataire, la description des prestations et des responsabilités, la nature et la finalité des traitements de données à caractère personnel confiées aux prestataires. Le contrat devra également contenir un certain nombre de documents évolutifs prenant en compte la réalité opérationnelle, la gouvernance, les engagements de niveaux de services… C’est le cas par exemple du Plan d’Assurance Sécurité (PAS) qui précisera les protocoles suivis en cas d’incident informatique, les délais que l’entreprise s’accorde pour y remédier ainsi que les mesures de détection, de prévention et d’analyse qu’elle institue afin d’en limiter autant que possible les effets et éviter qu’ils ne se (re)produisent.Pour garantir le respect de ce PAS, des audits de sécurité et les modalités y afférents sont préconisés.  

À l’issue de l’établissement de la cartographie, il convient également de s’attacher à la meilleure manière de sécuriser le réseau. Une étape essentielle dans une démarche de cybersécurité consiste à réduire la surface d’attaque du système d’information en limitant ses points d’entrée depuis l’extérieur. Plus le nombre de points de connexion est important, plus la surface d’attaque du système d’information est élevée.

Comment réduire la surface d’attaque ?

Avec l’explosion des services Cloud et de la mobilité, l’Internet est devenu le premier réseau de production pour les organisations. De fait, les applications, les données et les utilisateurs se retrouvent exposés au risque cyber. Compte tenu des enjeux de transformation digitale du secteur de la santé, il serait contre-productif de chercher à internaliser les services numériques qui pour nombre d’entre eux consistent à partager des informations avec le patient tout au long de son parcours de soins. Les efforts doivent donc se porter sur la performance et la sécurité d’actifs numériques. Une réponse possible à cet enjeu est apportée par un nouveau modèle conceptualisé par le cabinet Gartner en 2019 : le Secure Access Service Edge ou SASE.

Qu’est-ce que c’est le SASE ?

Ce modèle considère que pour assurer performance et sécurité aux usages numériques, il est pertinent de faire converger les fonctions de transport avec celles de sécurité au sein d’une solution flexible, délivrée en mode Cloud et qui unifie toutes les actions de management et d’analyse. Par définition, les instances de traitement SASE sont déployées géographiquement au plus proche des utilisateurs et interconnectées au travers d’un réseau mondial à très haut débit et à très forte disponibilité.Dans ce modèle, quelle que soit la localisation des utilisateurs et des applications, les échanges sont sécurisés et garantis en termes de performance. Pour ce faire, le modèle SASE embarque toutes les fonctionnalités de transport qui permettent de profiter du haut débit et du coût attractif des technologies d’accès Internet (fibre optique dédiée ou mutualisée, technologies cuivre ou radio type 4G/5G) sur les sites comme au domicile des personnels de santé. Associé aux fonctionnalités SD-WAN qui permettent aux sites d’accéder directement à Internet et aux applications Cloud, le modèle SASE garantit la redondance des accès, la priorisation et l’optimisation des flux jusqu’à l’application souhaitée.

À la différence des technologies SD-WAN, les sites connectés par une solution SASE ne sont pas visibles depuis Internet. Il n’existe donc aucune porte d’entrée directe entre Internet et les sites, ce qui réduit sensiblement la surface d’attaque de l’établissement concerné. Le modèle SASE intègre toutes les fonctions de sécurité, à commencer par un pare-feu applicatif, à la fois pour sécuriser les flux entrants et sortants vers Internet que les flux entre les sites de l’établissement de santé, permettant de circonscrire l’impact d’un incident de sécurité à un site et d’éviter les phénomènes de propagation par rebonds successifs.

Les fonctions de passerelle Web et d’accès au Cloud (CASB) permettent de définir précisément les politiques d’accès à Internet et aux applications Cloud pour les utilisateurs. Concernant la gestion des identités, le modèle SASE repose sur le principe de la confiance zéro (Zero Trust). Ainsi, l’accès aux applications depuis l’interne ou en situation de mobilité ou de télétravail repose non pas sur l’adresse IP obtenue par l’utilisateur lors de sa connexion, mais sur son identifiant couplé à une authentification forte. Enfin, les capacités d’analyse des flux chiffrés permettent de se prémunir des intrusions et des logiciels malveillants, notamment des nouvelles attaques, communément appelées « 0-day ».

Quels sont les bénéfices du SASE pour les établissements de santé ?

En synthèse, la mise en œuvre du modèle SASE au sein des établissements de santé apporte les bénéfices suivants : réduction de la surface d’attaque, performance et sécurité des accès externes et sécurité des applications Cloud à travers des politiques d’accès, de surveillance et du chiffrement des échanges

Le déploiement complet du modèle SASE au sein des établissements vient se substituer à toutes les briques technologiques existantes. À ce titre, la transformation est rarement réalisée en mode « big bang ». Pour bien engager la trajectoire de transformation SASE, il est nécessaire de compléter la cartographie réseau et sécurité établie lors de la phase d’analyse par une vision financière et contractuelle complète. Une fois ces informations rassemblées et la cible d’architecture finale définie, la trajectoire de transformation pourra être jalonnée avec, à l’issue de chaque étape, les objectifs de performance et le niveau de sécurité à atteindre ainsi que les objectifs financiers associés.

D’une façon générale, la mise en œuvre technique consiste à identifier un site « pivot » entre l’infrastructure existante et la solution SASE. Bien souvent, ce site correspond au centre névralgique du système d’information, tel qu’un centre d’hébergement. Une fois l’interconnexion du site pivot mise en place, les sites et les utilisateurs peuvent être migrés au rythme des échéances opérationnelles, financières et contractuelles.

Souvent, les organisations démarrent par la migration des utilisateurs mobiles dans l’optique de supprimer les passerelles d’accès distants particulièrement exposées et de mettre en place une gestion des identités reposant sur une authentification multi-facteurs. Vient ensuite la migration progressive des sites physiques synchronisée avec la fin des contrats opérateurs ou anticipée afin, par exemple, d’orienter tous les flux Internet et Cloud vers la solution SASE et limiter l’usage du réseau existant aux flux à destination du site central. À l’issue de ces étapes de transformation, tous les sites et tous les utilisateurs mobiles utilisent exclusivement la solution SASE pour accéder à leurs applications de façon garantie et sécurisée.

Conclusion

Protéger l’informatique du système de soins est une priorité nationale pour laquelle les moyens techniques et financiers existent. L’enjeu consiste à en accélérer l’adoption par les établissements de santé en partant d’une bonne connaissance de l’existant et en définissant des objectifs court terme à la fois ambitieux et atteignables. Associées à une organisation resserrée, les actions techniques doivent viser à réduire la surface d’attaque du système d’information en rationalisant les points d’accès à Internet et en adoptant une politique de confiance zéro sur les connexions.

D’un point de vue opérationnel, la cyber-sécurisation de notre système de soins ne pourra passer que par une connaissance et une application stricte de la part des acteurs concernés des règles applicables et par une vigilance devant s’exercer à chaque étape, à savoir :

·        Dès la conception d’un projet impliquant un traitement de données à caractère personnel (privacy by design),

·        Pendant la durée du traitement en mettant à jour et en adaptant les mesures techniques et organisationnelles prises en fonction de l’évolution des risques,

·        À l’issue du traitement en respectant les règles relatives à la durée de conservation des données,

·        Et enfin en ayant des procédures en place permettant d’avoir les bons réflexes en cas d’attaque pour en minimiser les impacts.

À propos des auteurs

Gaëlle TILLOY : Avocate au Barreau de Paris, elle accompagne principalement ses clients dans la rédaction et la négociation de leurs contrats informatiques et dans la mise en conformité RGPD. Elle assure également des formations sur la sécurisation des contrats informatiques en marchés privés et publics. Elle a par ailleurs exercé pendant dix ans en tant que juriste puis responsable juridique au sein d’une entreprise de services numériques dans laquelle elle a notamment travaillé sur des projets de télémédecine. 

Jérôme BEAUFILS : Ingénieur en Télécommunications de formation, il contribue depuis 25 ans au développement des infrastructures numériques et télécoms au sein d’opérateurs et d’entreprises de services numériques. Il est le président de la société SASETY, spécialisée dans la transformation des infrastructures réseau et sécurité des entreprises afin de répondre aux nouveaux modes de consommation de l’informatique et aux enjeux de cybersécurité associés.

Sources

ANS : Cybersécurité dans le secteur de la santé et du médico-social : une priorité nationale pour réussir la transformation numérique

France Info – Coralie Lemke : Pourquoi nos données de santé sont-elles si convoitées ?

ANSSI : Guide d’hygiène informatique

Les Echos : Cancer du sein : l’intelligence artificielle de Google meilleure que les médecins ?

CNIL : Violations de données de santé : la CNIL sanctionne deux médecins

https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044239566 : Délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé

Article L. 1111-8 du Code de la santé publique

   Règlement 2016/679 de protection des données à caractère personnel du 27 avril 2016