Services SaaS : l'externalisation de la sécurité ne fait plus peur

Par Thierry Lévy-Abégnoli - indexel.net

La protection des PC, des serveurs, de la messagerie, des flux web entrants, voire même de l'infrastructure web peut désormais être réalisée via des services SaaS que même les grands comptes ne renâclent plus à utiliser.

De nombreux prestataires, dont les principaux éditeurs spécialisés dans la sécurité, proposent désormais des services externalisés en mode SaaS qui se révèlent particulièrement polyvalents. Les ressources protégées et les types de protection sont en effet très étendus. De plus, la cible n'est plus cantonnée aux PME. "On constate un engouement des grands comptes, dû aux coûts maîtrisés, à la facilité d'administration, à l'engagement de résultats et à une protection des flux en amont du réseau de l'entreprise", explique Philippe Maury, responsable du développement commercial des offres de sécurité hébergées chez Websense.

Outre les entreprises, ces services sont également mis en œuvre par des intégrateurs. "Nous en utilisons certains dans le cadre de missions d'audits, par exemple pour analyser les vulnérabilités des infrastructures web de nos clients", explique ainsi Franck Dubray, directeur général d'Intrinsec.

Un vaste panel de ressources protégées

Proposées par F-Secure, WebSense, McAfee, Panda Security, les offres les plus classiques protègent en premier lieu PC et serveurs vis-à-vis des malwares. Certains adressent plus particulièrement les PC portables. "Hormis la lutte contre les malwares, nous travaillons aussi en mode proactif, avec des audits de sécurité habituellement réservés aux serveurs critiques", précise David Grout, ingénieur avant-vente chez McAfee.

Les offres qui ciblent les messageries reposent également sur des fonctions anti-malwares mais aussi antispam et y ajoutent souvent l'archivage ou la rétention des e-mails, afin d'assurer la continuité de fonctionnement en cas d'incident grave. Pour sa part, la navigation web est protégée des malwares et des différents types d'attaques (comme le phishing). La plupart des offres réalisent également un filtrage d'URL et de contenu.

Des fonctions moins classiques sont également proposées. Il s'agit par exemple de la prévention de fuites de données ou DLP (chez WebSense), de la protection de la messagerie instantanée (Symantec), du contrôle des périphériques de stockage via les ports USB (chez Trend Micro), de firewalls de PC avec prévention d'intrusion (F-Secure), du chiffrement des flux ou des e-mails (Websense et Symantec) ou encore de l'analyse de vulnérabilité (McAfee et Panda Security).

Enfin, quelques offres concernent non pas les systèmes clients du web, mais l'infrastructure web de l'entreprise. C'est le créneau de Bee Ware, dont le service Pro Web Serenity réalise un filtrage applicatif web, assure la conformité réglementaire ou encore, détecte les attaques et les robots. Avec son offre Web Vulnerability Scanner, Vupen Security s'en tient pour sa part à un audit de vulnérabilité.

Un déploiement sans serveur dans l'entreprise

Par nature, ces offres dispensent l'entreprise de déployer un serveur. La gestion des politiques de sécurité, la centralisation des alertes, ainsi que l'accès à des tableaux de bord ou le lancement d'une analyse, s'effectuent via un portail hébergé par la plate-forme de l'éditeur. Il faut toutefois déployer dans l'entreprise, sur les PC et les serveurs à protéger, des logiciels que d'aucuns appellent agents. Ils se chargent d'assurer la protection et le cas échéant, de remonter des alertes. La protection de la messagerie ou de l'infrastructure web ne nécessite pas forcément l'installation de tels logiciels. Une simple redirection des flux, vers le prestataire, s'avère généralement suffisante. L'installation d'un agent de synchronisation de l'annuaire peut en revanche s'imposer. "Le service SaaS récupèrent ainsi les modifications de l'annuaire LDAP ou AD de l'entreprise, telles que suppression ou ajout d'un employé", explique Philippe Maury.

L'administration peut être réalisée en interne, en accédant au portail hébergé par l'éditeur. Mais il est également possible de la déléguer à un prestataire tiers qui assurera toutes les tâches quotidiennes et alertera l'entreprise en cas de besoin. Par exemple, Risc Group propose d'assumer ce rôle, aussi bien pour les solutions SaaS de F-Secure que de McAfee.

Quelques services de sécurité en mode SaaS :

Nom de l'offre	Prestataire	Ressources protégées	Tarif (HT)
Pro Web Serenity	Bee Ware	Infrastructure web	À partir de 360 € par an (selon trafic)
-Secure Protection Service for Business	F-Secure	PC et serveurs	44 € par poste et par an (*)
McAfee Total Protection Extended	McAfee	PC, serveurs, messagerie	44 € par poste et par an
Microsoft Forefront Online Protection for Exchange	Microsoft	Messagerie Exchange	20 € par utilisateur et par an (*)
Panda Cloud Office Protection	Panda Security	PC (fixes et portables) et Serveurs	50 € par poste et par an (*)
Panda Cloud Email Protection		Messagerie	25 € par utilisateur et par an (*)
Web Security	ScanSafe	Infrastructure web	Environ 50 € par utilisateur et par an (pour les 3 services)
Web Filtering		Flux web
Anywhere +		PC portables
Symantec Hosted Services	Symantec	Flux web et messagerie	À partir de 24 € par utilisateur et par an
Worry-Free Business Security Services	Trend Micro	PC fixes et portables	55 € par poste et par an (*)
InterScan Messaging Hosted Security		Messagerie	35 € par utilisateur et par an (*)
SecureSite		Infrastructure web	450 € par an pour un domaine (tarif dégressif selon nombre de domaines)
Vupen WVS (Web Vulnerability Scanner)	Vupen Security	Infrastructure web	À partir de 990 €
Websense Hosted Email Security	WebSense	Messagerie	18 € par utilisateur et par an (pour les 2 services). (*)
Websense Hosted Web Security		Flux Web

(*) Tarif maximum et dégressif