Sécurisation Une nécessité au quotidien

Aujourd'hui, les plus grands groupes, les plus grandes sociétés, depuis les assurances jusqu'aux groupements bancaires, en passant par les services de maintenance, recourent aux services de centres d'appels. Que ceux-ci soient gérés en interne ou confiés à des sous-traitants, il apparaît clairement que les enjeux financiers sont considérables. Pour qu'un centre d'appels soit rentable, il convient, c'est une tautologie, qu'il soit toujours joignable afin qu'il puisse recevoir des appels. L'activité, le chiffre d'affaires, les marges sont tous réalisés sur un seul et unique critère : la disponibilité. Dans nombre de domaines, qu'il s'agisse du secteur bancaire (avec le développement des banques à distance), de l'assurance (où les prospects entrent en contact avec l'entreprise pour diverses raisons), de l'informatique, le fait d'être inaccessible pendant quelques minutes peut avoir des conséquences tout bonnement dramatiques, notamment en termes de chiffre d'affaires et de mécontentement de la clientèle. Aussi, l'on comprendra sans peine qu'il est impensable qu'un centre d'appels ne multiplie pas les précautions pour anticiper les incidents. Pourtant, cette phase n'est pas simple à envisager dans sa globalité, et sa mise en oeuvre peut confronter les équipes techniques et les décisionnaires à des difficultés inattendues. Pour mieux cerner l'ensemble des questions qu'il convient de se poser, passons en revue toutes les problématiques possibles. Tour d'horizon d'un casse-tête technique et humain.

PRENDRE CONSCIENCE DES ENJEUX

Il n'est pas toujours simple, lorsque l'on est totalement immergé dans une activité, de saisir les tenants et aboutissants de tous les problèmes périphériques qui viennent se greffer au quotidien. La sécurité fait partie de ces aspects que, par le passé, trop de dirigeants ont eu le malheur de négliger. Ce n'est fort heureusement plus le cas aujourd'hui et chacun, même sans avoir les compétences techniques nécessaires à l'évaluation fiable des exigences sécuritaires d'un centre d'appels, fut-il de taille moyenne, comprend que la sécurisation des installations matérielles et logicielles est une priorité absolue. Pourtant, si cette certitude paraît évidente, les enjeux, dans l'ensemble, ne sont pas systématiquement et intrinsèquement maîtrisés. Imaginons, par exemple, une banque en ligne ou un courtier en bourse qui verrait ses installations flamber dans l'incendie de ses locaux. Comment ses clients vont-ils pouvoir passer leurs ordres ou décliner les opérations bancaires à appliquer ? Pour une entreprise qui traite plusieurs milliers d'opérations chaque jour, chaque minute d'indisponibilité représente un manque à gagner énorme. Imaginons maintenant le cas d'une société d'assurances comme Europ Assistance. Que dire de ses assurés qui, à l'autre bout de la planète, blessés, souffrants, ne peuvent joindre leur téléconseiller ? Comment leur expliquer qu'ils devront, en pleine brousse, rappeler ultérieurement ? Il est bien évident qu'une fois encore, l'accessibilité est une priorité qui, si elle n'est pas respectée, peut conduire à des dégâts d'image et de chiffre d'affaires conséquents. Tous les centres d'appels ne connaissent pas les mêmes enjeux et à chaque type d'activité correspondent des donnes spécifiques. Nous avons jusqu'alors évoqué les centres d'appels dont la vocation consiste à recevoir des appels. Mais qu'en est-il de ceux qui contactent des prospects ? Ces centres d'appels d'émission doivent percevoir tout manque de disponibilité comme une perte sèche de revenu d'activité. Les call centers qui vendent des produits en contactant la clientèle via le réseau téléphonique doivent pouvoir, à toute heure et à chaque instant, obtenir un rendement maximum, sous peine de perdre sinon des parts de marché, du moins une part de son chiffre d'affaires.

CERNER LES RISQUES ET LES POINTS FAIBLES

Enfin, il faut bien comprendre que la profession est en pleine évolution et que les problèmes techniques ou les catastrophes classiques, comme les incendies ou les inondations, ne sont plus les seules sources de risques pour les centres d'appels. En effet, avec l'informatisation grandissante de l'activité, de nouvelles sources de pannes ou d'attaques doivent être envisagées et certaines peuvent occasionner des dommages "physiques" sur le matériel. Ainsi, ce n'est plus seulement une perte de profit, mais un surcoût majeur pour réparer ou remplacer le matériel endommagé. Chaque responsable d'un centre d'appels peut se faire des frayeurs à la seule idée d'un impondérable. Pourtant, il est inutile d'échafauder des scénarios abracadabrants. Chaque centre d'appels possède ses points faibles, ses lacunes, et le plus simple est encore de passer en revue les éventualités les plus réalistes afin de cerner les risques. Le centre d'appels absolument infaillible n'existe pas et seule une action raisonnée au quotidien peut permettre d'assurer un fonctionnement serein et régulier de ses installations. Avant de s'interroger sur la salubrité du système informatique, c'est à la téléphonie que le destin du call center est suspendu. La sécurisation passera donc nécessairement par l'optimisation de cette installation. Directement après l'installation téléphonique, on doit s'interroger sur la qualité de l'autocommutateur qui doit, pour parer à toute éventualité, posséder deux processeurs et deux blocs mémoires indépendants. On multiplie ainsi les chances de ne pas succomber à une faillite de l'installation téléphonique. Lorsque l'on a cerné le cas de la téléphonie, on peut maintenant se tourner vers le problème informatique. Les sources d'ennuis sont de plusieurs types. Tout d'abord, il faut bien savoir que les PC qui permettent aux téléacteurs de mener à bien leurs activités fonctionnent sous des systèmes d'exploitation (Windows 9x ou NT) dont la stabilité est plutôt contestable et dont le niveau de sécurité est pour ainsi dire inquiétant. Aussi, il est nécessaire d'assurer une sauvegarde régulière des bases de données afin de ne pas réduire à néant l'activité du centre d'appels. Sur le plan logiciel, force est de reconnaître que les éditeurs ont consenti des efforts de créativité non négligeables puisque, désormais, nombre d'applications résistent aux pannes. En effet, les centres d'appels fonctionnant sous la forme de clients/serveurs, les machines sont indépendantes les unes des autres et avec des applications intelligentes, les données sont stockées au fur et à mesure et, lorsqu'une panne atteint le serveur, les clients continuent sans problème l'activité de saisie et d'enregistrement des données. Lorsque le problème est résolu sur le serveur, le logiciel commande lui-même les mises à jour sur les serveurs. L'activité est bien sûr ralentie, mais ne s'arrête pas ; un bon moyen de parer à l'urgence !

WEB CALL CENTER : RISQUES MAJEURS ET SOUS-ESTIMÉS

Mais la téléphonie et l'informatique ne sont pas les seuls à poser des problèmes de sécurisation. Nous verrons un peu plus loin que la meilleure parade contre les faillites techniques revient encore à doubler les installations. Pourtant, il en est une qui ne se double pour ainsi dire jamais, c'est le PABX. De ce fait, si l'incident se déroule dans le local qui accueille le PABX, l'ensemble du centre d'appels se trouve paralysé, contraignant le personnel au chômage technique et condamnant l'entreprise à perdre plusieurs heures, voire des journées entières d'activité. L'insécurité peut donc intervenir à différents niveaux de l'installation. Depuis la téléphonie, en passant par le PABX et jusqu'aux PC qui sont reliés entre eux par le réseau interne, nombreuses sont les sources d'ennuis potentielles. Pourtant, avec l'évolution des technologies, les incendies, dégâts des eaux, surtensions électriques et autres désagréments de ce genre ne sont plus les seuls à craindre. L'arrivée de la voix sur IP et de l'ouverture des installations à l'Internet par le biais des web call centers amènent de nouvelles questions. Tout le monde s'accorde sur ce point, les web call centers sont sans aucun doute le créneau émergent, celui qui fera prochainement l'avenir de la profession. Pourtant, à nouvelle opportunité, nouveau danger car, si le marché semble "juteux", Internet pose de nombreux problèmes de sécurité. Alors qu'il n'était question, jusqu'ici, que d'impondérables matériels ou logiciels, il est cette fois question de véritables attaques déterminées pour nuire à l'activité. Avant toutes choses, rappelons le principe. Les technologies actuelles permettent de faire transiter la voix via le protocole IP. L'avantage consiste en un bouton que des sociétés, comme La Redoute, par exemple, ont implanté sur leur site et qui permet au consommateur d'entrer en contact direct et vocal avec un téléconseiller. Cette innovation, qui laisse présager une arme redoutable dans la fidélisation du client du fait de la convivialité qui s'en dégage, laisse aussi augurer de graves et angoissantes perspectives en termes de sécurité. En effet, cette porte largement ouverte sur le réseau des réseaux autorise (potentiellement) tous les pirates, et autres hackers, du monde entier à infecter vos applications par des virus plus ou moins retors ou à piocher dans vos bases de données sans vergogne. Bien que les dangers inhérents au Web soient régulièrement et largement médiatisés, et que chacun se sente plus ou moins concerné par les problèmes de piratage d'Intranet via le réseau Internet, il n'en reste pas moins que la menace pèse sévèrement et que les solutions sont encore largement inadaptées aux réalités techniques du moment et ce, malgré les efforts des éditeurs de logiciels. En effet, ce sont, chaque jour, plusieurs dizaines de milliers de virus qui circulent sur le Net et, malgré des mises à jour régulières, il est impossible de parer à toute éventualité. Par conséquent, les centres d'appels qui sont et seront accessibles via Internet devront s'être dotés d'une infrastructure segmentée, protégée à plusieurs niveaux pour que, même en cas d'attaque grave, tous les compartiments de l'activité ne soient pas infectés et que, comme dans un navire, des portes étanches empêchent la propagation des agressions. Au-delà des contingences techniques basiques, les web call centers laissent encore perplexes les professionnels de la sécurité, à l'image de Gérard Galise (voir encadré). Ce responsable de Telindus CF6 n'hésite pas, sans pour autant se montrer pessimiste, à considérer « qu'avec la voix sur IP, nous ne sommes pas au bout de nos peines, il y a encore énormément de travail à abattre ! ». Puisque toutes les faiblesses envisageables au sein d'un centre d'appels ont été passées en revue, vous vous sentez maintenant armé, prêt à observer les aspects importants par où "l'enfer" peut arriver. Mais la sécu-rité reste une notion très fluctuante, qui évolue aussi en fonction de la vie du centre d'appels. En effet, lorsque vous avez diagnostiqué votre niveau de sécurisation et que vous pensez être désormais parfaitement au point, vous négligez le fait que vous allez continuer à installer de nouvelles applications, ajouter de nouveaux postes, modifier la configuration de votre PABX, et, par conséquent, fragiliser cette sécurité que vous vous étiez acharné à instaurer. En effet, il faut savoir qu'une sécurisation efficace n'a qu'une durée de vie limitée à quelques semaines, voire quelques mois. Ensuite, l'ensemble est à revoir pour s'assurer de la pérennité des mesures prises. Mais ce n'est pas tout. La meilleure sécurisation est encore celle à laquelle on n'a pas pensé et il convient de procéder à des tests réguliers, notamment des tests d'intrusion dans le réseau.

SONDER L'INSTALLATION EN AVEUGLE ET ÉTABLIR DES SCÉNARIOS

Il s'agit là d'un moyen très intéressant pour établir des scénarios et pour apprendre à réagir. Ces tests doivent être menés à l'aveugle, c'est-à-dire par quelqu'un qui ne connaît pas votre infrastructure dans le détail, quelqu'un qui va chercher à s'immiscer comme le ferait un véritable malfaiteur. C'est le seul et unique moyen de sécuriser correctement vos installations, en laissant agir le facteur humain et le quotient chance. En procédant autrement, il devient impossible de sécuriser vos installations, tant sur le plan logiciel que matériel. Pour mener à bien un processus de sécurisation d'un centre d'appels, il ne faut pas s'imaginer que tout sera extrêmement coûteux, même si, en effet, nombre d'investissements sont nécessaires, il suffit parfois d'un travail sur les ressources humaines pour que des progrès sensibles soient réalisés... Bien souvent, il apparaît que la plupart des centres d'appels disposent de l'équipement informatique adéquat, mais qu'il est généralement sous-exploité par des responsables de service qui doivent parfois changer leurs habitudes de travail afin de restaurer un niveau de sécurité plus élevé. La plus grosse erreur qui puisse être commise, c'est encore de tout miser sur la technologie en négligeant le facteur humain. Malgré une informatisation croissante, la plupart des centres d'appels n'exploitent qu'insuffisamment les outils dont ils disposent. Ainsi, les analyses de logs afin de détecter les intrusions, les protections physiques contre l'appareillage électronique, ainsi que les techniques de tracking des mouvements des collaborateurs au sein des locaux sont sous-exploitées. Or, compte tenu des enjeux techniques, de l'ampleur des investissements et des défauts d'image que peut impliquer une faillite du centre d'appels, il faut déplorer cet état de fait. La protection physique du matériel, qui est une vieille habitude dans le milieu informatique, fait très clairement défaut dans le monde des centres d'appels, dont les locaux sont plus ouverts et moins protégés. Avant d'investir dans des solutions matérielles ou logicielles, il faut, au préalable, recadrer l'activité de l'ensemble des équipes techniques et inculquer des principes simples de sécurité. Certes, il n'est pas toujours évident de faire évoluer les habitudes de travail de collaborateurs plus ou moins anciens dans le secteur d'activité, mais il apparaît clairement que la formation et la sensibilisation des équipes comptent parmi les solutions les plus efficaces et les moins onéreuses pour pallier les incidents internes à l'entreprise bien sûr, mais aussi pour contrer les attaques venues de l'extérieur, notamment avec le réseau Internet. Pourtant, il ne faut pas non plus imaginer que le travail sur l'humain est le palliatif suprême. Des solutions techniques existent pour parfaire la sécurisation du centre d'appels. Ces dernières peuvent s'appliquer sur deux autres niveaux. Le premier est bien évidemment matériel, le second est logiciel. Puisque la téléphonie demeure le point névralgique de tout centre d'appels, il convient de commencer la liste des recommandations techniques par une évidence : celle du doublement des lignes et des câbles à fibre optique. C'est le commencement de toute démarche de précaution. Puis, vient l'autocommutateur. Avant toutes choses, pensez à investir dans du matériel à la robustesse éprouvée, doté d'une carte-mère performante et fiable. L'idéal, lorsque l'on souhaite se préparer à toute éventualité, c'est encore d'opter pour une carte-mère dupliquée. C'est le cas notamment des ACD d'Alcatel qui possèdent deux cartes-mères qui doivent être synchronisées. Les données sont mises à jour sur l'une et l'autre des deux cartes. En cas de problème sur la première, il suffit d'opérer un basculement sur la seconde. Le problème qui demeure réside dans le diagnostic de la panne et dans la commande du basculement au bon moment... La sécurisation par redondance (méthode qui consiste à doubler toutes les installations) présente beaucoup d'avantages, mais jamais le problème du basculement n'est véritablement résolu, même si l'essentiel demeure encore qu'il se fasse le plus vite possible et de façon transparente pour les utilisateurs. Dans cette optique, Lucent a équipé son PABX Definity de nombreuses redondances (processeur, bus, etc.). Ce PABX est conçu sur un modèle modulaire qui permet d'intervertir certains composants sans pour autant affecter le fonctionnement global de la machine. Pour aller au comble de la redondance, certaines sociétés ont opté pour le dédoublement de toute l'infrastructure. Ces sociétés possèdent donc deux centres d'appels, dont un n'est destiné qu'à être utilisé en cas d'urgence. Cette politique, certes efficace, demeure coûteuse et certains ont mis en place des centres de secours mutualisés. Malheureusement, ces derniers peuvent être occupés au moment où vous en avez le plus besoin et, dans ce cas, vous vous retrouvez aussi dépourvu que par le passé. La redondance permet donc, en cas de problème, de recourir aux systèmes de secours. Cependant, il est difficile, dans cette optique, de maîtriser les coûts, et le fait de mobiliser du matériel demeure toujours ennuyeux car c'est, quoi qu'on en pense, une immobilisation de capitaux.

AGIR AU NIVEAU LOGICIEL

Sur le plan logiciel, il existe deux risques majeurs. Le premier d'entre eux, c'est bien évidemment l'ensemble des applications qui permettent aux PC clients des collaborateurs de fonctionner. Nous l'avons vu, la plupart d'entre eux fonctionnent sous Windows, dont les failles en termes de sécurité sont tout bonnement béantes. Il convient donc de s'assurer un minimum de protection soit par le truchement de logiciels antiviraux, soit par l'application de consignes strictes de sécurité. La seconde menace majeure est celle qui pourrait occasionner des dommages dans le fonctionnement du serveur lui-même. Le logiciel gérant les applications de ce dernier, ainsi que le logiciel de gestion de la base de données, les applications de sauvegarde doivent être configurés avec le maximum de soin. Aujourd'hui, beaucoup d'entre eux possèdent des modules spécifiques qui leur permettent de fonctionner indépendamment des serveurs ou des clients jusqu'à ce que les problèmes soient résolus. C'est le cas notamment d'un logiciel conçu par la société Applix. Le logiciel I-Enterprise est doté de ce module spécifique qui pourrait bien sauver la mise en cas de catastrophe. En effet, chacun sait que lorsque les clients sont coupés des serveurs, les opérations doivent être effectuées manuellement pour être ensuite réenregistrées quand les machines ont été réparées. Or, les opérations catastrophe sont très lourdes à gérer et impliquent un surcroît de travail. Pour ce qui est du domaine des sauvegardes, il est préférable de ne pas se contenter d'une sauvegarde quotidienne. De plus en plus, les centres d'appels optent pour des sauvegardes plus fréquentes, distantes de quelques heures, afin de limiter les pertes en cas de crash. Le second avantage de ces sauvegardes rapprochées, c'est qu'en cas de basculement vers un centre d'appels de secours, il suffit d'injecter dans le nouveau serveur, les données enregistrées pour que l'activité reprenne au plus vite et même de mettre en place des centres d'appels virtuels gérés à distance qui pourront, le cas échéant, résoudre les problèmes logiciels à distance... Une avancée considérable dans une profession qui s'informatise à une vitesse vertigineuse. Les centres d'appels sont, par essence, de par les technologies employées et en raison de leur importance dans l'économie actuelle, extrêmement vulnérables. Le moindre incident peut avoir des conséquences catastrophiques. La sécurité se doit donc d'être optimale car les transactions doivent s'effectuer dans une transparence totale afin que la confiance soit pleine et entière. Un défi à relever au quotidien.

Telindus CF6 : « Assurer la disponibilité avant tout »

Gérard Galise a plus de treize années d'expérience dans le domaine de la sécurité. Il exerce aujourd'hui des responsabilités fonctionnelles au sein de la société CF6, qui vient d'entrer dans le giron du groupe Telindus. « L'essentiel, c'est d'arriver à remonter assez haut dans la hiérarchie. En général, jusqu'à la direction générale car c'est elle qui est décisionnaire vis-à-vis des conseils que nous allons prodiguer, estime-t-il. Il est assez difficile de faire un bon diagnostic car à chaque activité correspond une réalité et il n'y a jamais de méthode formelle, jamais de solution globale. Concrètement, nous commençons toujours par analyser les enjeux, nous dressons ensuite une liste de menaces potentielles pour le centre d'appels, puis nous définissons des parades. Pour finir, nous réalisons des tests d'intrusion pour avoir une démonstration dans des conditions réelles. Il faut bien savoir qu'un système est sûr quand on l'installe, mais qu'au bout de trois ans, on est moins formel... » Au total, il convient de compter entre 20 et 30 jours pour réaliser un diagnostic complet pour un centre d'appels moyen d'environ 100 téléacteurs. « En règle générale, l'investissement est plutôt humain et les investissements matériels n'excèdent que rarement 10 à 15 % du montant global de la phase de sécurisation. Il faut former les équipes, changer leurs habitudes, voilà qui est souvent long et coûteux... », conclut-il.

En savoir plus sur www.centres-appels.com

- Comment sécuriser son centre d'appels ? - Protéger le coeur du centre d'appels : l'autocommutateur. - Une sécurisation à plusieurs niveaux.