Projets

Casino est doté d'une Force d'action rapide et d'un CSOC contre les cybermenaces

Au groupe Casino, le RSSI est un DSSI et dépend du DRH

Pour sa cybersécurité le groupe de distribution Casino a industrialisé en deux ans ses process et sensibilisé toute l'entreprise.

PublicitéParmi les nombreux retours d'expérience présentés lors des Assises de la sécurité, celui du groupe de distribution Casino a montré comment la sécurité d'un groupe pouvait évoluer rapidement. Cyrille Elsen, Directeur de la sécurité des systèmes d'information (DSSI) a d'abord montré que son recours à Thales n'est en aucun cas le fait d'une attaque ciblée, mais la conclusion d'une réflexion sur le contexte sécuritaire. Il a observé plusieurs éléments : un problème de lisibilité, de cartographie, de qualité des indicateurs disponibles. « Tout cela ne nous permettait pas d'arriver sereinement le matin et le darknet nous remontait des choses assez précises sur le ciblage du retail, en particulier sa partie logistique ».

En 2014, après une première intervention ponctuelle, Thales a installé une force action rapide auprès du système d'information de Casino avec des experts de niveau 3 capables d'intervenir très vite à Saint Etienne, siège du groupe de distribution. L'industriel a également mis en place une supervision au plus près des équipes, composée de sondes dites souveraines utilisées pour détecter et qualifier les menaces. L'an passé, le groupe de distribution est passé à une deuxième phase avec un appel d'offres pour installer un SOC (Security operation center). C'est à nouveau Thales qui a été choisi pour installer ce qu'il nomme un CSOC (Cybersecurity operation center) qui fonctionne en 24/24 et 7/7 avec des outils de gestion des incidents et de corrélation propres à Thales.

La cybersécurité est au niveau de la D.G.

Les informations recueillies permettent au DSSI de Casino d'avoir une bonne vision de la sécurité dans tout le groupe et d'imposer en interne de bonnes règles de sécurité. « C'est un changement de pratiques, note Cyrille Elsen. J'ai fait comprendre au management que tout le monde a de bonnes raisons de ne pas faire de sécurité, mais qu'il fallait en mesurer les conséquences ». La cybersécurité est donc placée au niveau de la direction générale, les décisions sur ce sujet vont plus vite, avec un changement de gouvernance. « J'aime bien le concept de e-prudence, de prudence numérique, note Cyrille Elsen, avec des consignes qui peuvent paraître puéril, mais sont très efficace, comme réfléchir trois fois avant de cliquer, on dit bien tourner trois fois sa langue dans sa bouche ! La sécurité n'est pas une raison d'être, mais une façon d'être ».

Les gens ne font plus n'importe quoi explique encore Cyrille Elsen, qui dépend de la DRH Groupe. En supprimant certains droits d'accès, les effets sont immédiats, les failles se réduisent. Les équipes internes chez Casino se sont prises au jeu de l'amélioration continue de la sécurité, 30 000 utilisateurs partageant une cinquantaine de règles nouvelles de sécurité. « Et les incidents et la non-conformité ont beaucoup chuté grâce aux différents services mis en place par Thales ».