En France, les projets de déploiement d’infrastructures à clé publique en sont encore souvent au stade embryonnaire.
“Toutes les grandes sociétés françaises ont, certes, un projet de PKI. Mais elles n’ont pas encore franchi le pas”, souligne Olivier Caleff, directeur technique d’Apogée Communications.
80 % d’organisation
À leur décharge, il faut bien avouer que la mise en place d’un tel système n’a rien d’aisé. Les technologies sont opérationnelles, mais elles ne représentent que 20 % de la réussite d’un déploiement PKI. Reste donc la partie la plus importante : l’organisation, que les experts en PKI considèrent comme fondamentale. “Si les entreprises sont encore frileuses à l’égard des infrastructures à clé publique, c’est bien qu’elles se demandent si les bénéfices qu’elles en retireront vont être supérieurs aux problèmes générés. En effet, elles ont parfaitement bien mesuré l’impact que va avoir un tel déploiement sur l’organisation de l’entreprise. Et, pour le moment, elles ne sont pas prêtes à s’engager”, poursuit Olivier Caleff.Les grandes entreprises ont bien prévu d’affecter un certificat numérique à la majorité des employés. Mais elles savent (ou pressentent) que les procédures de gestion des certificats – qui incluent la génération, l’affectation et la révocation de ces certificats – sont lourdes à déployer.La phase préalable de réflexion est donc incontournable. “Vouloir aller trop vite lors de cette étape, c’est courir à la catastrophe, affirme Guillaume Maldras, consultant chez CF6 (groupe Telindus). Il faut savoir très précisément ce que l’on souhaite faire avec une solution de ce type. Si l’objectif est de disposer d’une PKI pour renforcer la sécurité, cela risque de tourner très vite au cauchemar pour les équipes qui la gèrent”, insiste-t-il.
Une PKI, pour quoi faire ?
La première phase consiste donc à définir les applications qui vont faire partie de l’infrastructure à clé publique. Dans un second temps, l’entreprise devra définir sa politique de gestion pour les certificats. Elle aura, notamment, à déterminer si le certificat doit être lié à une personne physique, à une responsabilité ou aux deux. Il lui faudra aussi édicter une politique cohérente vis-à-vis des salariés cumulant plusieurs fonctions.Enfin, la réflexion doit également tenir compte du fait que l’entreprise doit garder une trace de toutes les transactions mettant en ?”uvre des certificats. L’objectif est alors de pouvoir suivre les opérations ainsi que les tâches revenant à chaque employé.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
