relations gagnants - European Lotteries

la Valeur aJoutée de la
séCurité de l’iNForMatioN
daNs le seCteur de la loterie
introduction
La sécurité de l’information tient évidemment
une place essentielle dans le secteur de
la loterie puisqu’elle est directement associée
à la confiance des clients et donc à la rentabilité
et à l’image de marque de la loterie, ainsi
qu’aux exigences légales et réglementaires
auxquelles ce secteur est soumis. Résultat, la
sécurité de l’information est généralement
perçue comme le meilleur moyen de gérer le
risque commercial en éliminant les menaces
de violation de la confidentialité, de l’intégrité
et de la disponibilité des informations.
Pourtant, cette perception de la sécurité de
l’information basée sur le risque n’est pas totalement
exacte.
L’évolution des normes, des modèles, des
cadres et des bonnes pratiques a transformé
la sécurité de l’information en un catalyseur
qui aide les entreprises, non seulement à limiter
le risque, mais également à devenir plus
compétitives, plus rentables et plus efficaces
grâce à une meilleure autosensibilisation et à
un meilleur contrôle dans la mise en œuvre
des processus commerciaux. En se basant sur
deux réussites concrètes, cet article explique
la valeur ajoutée que le respect des normes
de sécurité de l’information peut apporter au
secteur de la loterie.
Première réussite: la valeur de
l’intégrité des Processus commerciauX
Une des composantes clés de la sécurité
de l’information est l’intégrité, c’est-à-dire
la préservation de la fidélité et de l’intégralité
des ressources d’entreprise. Toutes les
ressources sont concernées, qu’il s’agisse
d’actifs, corporels ou non, de processus
commerciaux, de procédures, de personnel,
d’informations ou de technologies.
En 2008, INTRALOT SA a été le premier fournisseur
international à recevoir la certification
Security Control Standard (SCS) de la World
Lottery Association (WLA). La mise en œuvre
d’un système de gestion de la sécurité de l’information
conforme à cette norme a permis
à INTRALOT de mesurer et d’améliorer l’intégrité
de ses processus commerciaux. Pour
mieux comprendre ce qui s’est passé, nous allons
étudier de près un processus commercial
lié au test des systèmes de loterie.
Pour garantir l’intégrité (fidélité et intégralité)
du processus de test, INTRALOT a analysé le
processus afin d’identifier les menaces, les
risques et les vulnérabilités potentiels puis
d’évaluer l’impact commercial que représenterait
la concrétisation d’une menace. Toutes
les ressources associées ont été prises en
compte: personnel, connaissances, systèmes
de test, installations physiques, données de
test et relation entre le processus de test et
l’image de marque de la société. La procédure
de test a été analysée étape par étape pour
déterminer si chacune des tâches de test était
couverteparlaprocédureécrite,s’ilexistaitdes
documents consignant les tests réalisés sur les
systèmes de loterie et si des autorisations relatives
à certains points de contrôle spécifiques
étaient fournies par la direction. Chaque
phase de test, depuis la livraison du système
par les développeurs jusqu’à sa mise à disposition
des clients, a été contrôlée au moyen
d’un processus concis adapté au secteur de la
loterie. Les dispositions de la certificationWLA
SCS relatives à la prévention de l’utilisation
des données immédiates à des fins de test et à
l’utilisation des informations personnelles des
joueurs ont été prises en compte.
Les résultats obtenus suite au déploiement
du système de gestion certifié SCS WLA ont
été validés par une augmentation de la satisfaction
client, une amélioration des performances
du projet, une meilleure productivité
des employés qui avaient à leur disposition
un processus personnalisé, un suivi amélioré
de toutes les étapes de la procédure de
test, ainsi que la confiance des clients et des
actionnaires qui étaient ainsi assurés de la
conformité officielle du processus de test aux
dispositions légales de protection des données
personnelles.
deuXième réussite: maturation et
amélioration
Les systèmes de management de la sécurité
de l’information (SMSI) servent de cadre pour
gérer la sécurité de l’information, depuis la
planification jusqu’à l’amélioration, en passant
par la mise en œuvre et le contrôle. Pour
prouver la valeur commerciale de la mise en
œuvre de tels systèmes, nous avons étudié
l’exemple d’INTRALOT NEDERLANDS BV,
un opérateur de loterie des Pays-Bas qui a été
certifié ISO 27001 etWLA SCS en 2010.
Un des principaux processus commerciaux
liés à l’image de marque de l’entreprise
concerne la gestion du Contrat de niveau de
service. La disponibilité du service (dans le
Partenaires Premium
23 news 35 déceMbre 2010
cadre des plages horaires définies), qui est un
des principes de base de la sécurité de l’information,
ne concerne pas uniquement les
technologies des systèmes de loterie, tels que
les réseaux, les bases de données, les terminaux,
les systèmes de traitement des transactions
et les applications. Elle concerne également
le fonctionnement de la loterie dans
son ensemble. Pendant la phase de mise en
œuvre du SMSI, tous les aspects du processus
de gestion du niveau de service ont été analysés.
Les principes d’autres normes, telles
que la norme ISO 20000, ont également été
pris en compte. Le SMSI était utilisé comme
cadre d’amélioration continue, et des indicateurs
étaient mis au point pour mesurer
l’efficacité du processus, avec notamment la
répétition des événements, les commentaires
des clients, les résultats d’audit interne, la disponibilité
générale du système et la compétence
du personnel. Pour chaque indication
d’un dysfonctionnement possible du processus,
une analyse des causes profondes était
réalisée et une action de prévention proposée
à la direction. L’action de prévention décrivait
l’action concrète à exécuter (par exemple,
amélioration d’une étape du processus), les
ressources et le temps nécessaires à sa réalisation,
ainsi que les différents rôles et responsabilités
de chacun.
Ce processus d’amélioration continue et de
maturation a permis d’aboutir à un processus
commercial de pointe qui tient compte de
tous les paramètres et garantit la disponibilité
du service, la confiance des clients et donc la
réalisation des objectifs des dirigeants locaux.
conclusions
Il va sans dire que la confiance des joueurs et
des actionnaires est le principal objectif de
tout système de sécurité de l’information dans
le secteur de la loterie, de par la nature sociétale,
commerciale et légale de ce secteur. Mais,
la gestion de la sécurité de l’information va
beaucoup plus loin que cela et ne doit pas être
réduite à sa composante de gestion du risque.
Basée sur la gestion de la confidentialité, de
l’intégrité et de la disponibilité des ressources
d’entreprise, la sécurité de l’information doit,
pour être efficace et apporter de la valeur
ajoutée à l’entreprise, être considérée comme
un moyen d’améliorer le contrôle, la mesure
et l’amélioration de tous les paramètres favorisant
l’exécution de la stratégie commerciale
d’une loterie.