Global Security Mag : Qu’allez-vous présenter à l’occasion des Assises de la Sécurité ?

Fabien Tanguy : Nous allons présenter Qualys AssetView, c’est un nouveau service gratuit d’inventaire des actifs. Il permet de garantir un niveau de sécurité global pour les applications et les infrastructures, car les équipes sécurité ont toujours eu besoin de connaitre à chaque instant l’état de leur parc informatique, de s’assurer de sa bonne mise à jour et conformité.
Or avec l’accélération de l’innovation, l’émergence de nouvelles technologies comme les services cloud et la mobilité, cette tâche est devenue très complexe et coûteuse. Le service AssetView permet de réaliser un inventaire en temps réel de tous les actifs (virtuel, mobile, cloud, serveur) et de leur localisation (dans le réseau entreprise, au domicile de l’utilisateur ou en déplacement dans un hôtel) et de réaliser des requêtes complexes pour rechercher une information importante, telle que la liste des applications installées ou les services exécutés sur une machine. AssetView est efficient, quelle que soit la taille du parc et son implantation géographique (jusqu’à plusieurs millions d’assets à travers le monde).
Ce service Cloud est gratuit et ne nécessite aucune infrastructure, ni serveur complexe et coûteux à déployer et à maintenir. Quelques secondes suffisent à l’identification des actifs, via un inventaire actualisé en permanence.
Ce nouveau service se base notamment sur le nouveau Qualys Cloud Agent. C’est un agent ultra léger qui collecte l’information de l’asset dès qu’il y a un changement et met à jour en temps réel le service AssetView. Cet agent ne nécessite aucune maintenance, configuration ou administration et son installation et exécution sont transparentes sur la machine, avec une utilisation mémoire, CPU et réseau minimales.

GS Mag : Quel va être le thème de votre conférence cette année ?

Fabien Tanguy : Dans la continuité de cette approche, Philippe Courtot, CEO de Qualys, proposera une Keynote intitulée : « le Cloud sans frontières : cap sur une sécurité et une con ?dentialité globales ».
A l’image de l’organisation mondiale “médecins sans frontières” qui permet d’apporter sur le terrain un support médical indispensable aux populations de territoires en crise, les professionnels et l’industrie de la sécurité doivent réaliser que la menace est globale et que les attaquants ont les moyens, les connaissances et la technologies pour cibler tout type d’organisation avec des conséquences pouvant être désastreuses. L’actualité ne cesse de nous le rappeler chaque jour.
C’est pour cette raison que les agents légers et la nouvelle architecture de Qualys s’intègrent dans la fabrique des nouvelles architectures réseaux et des clouds, au lieu d’ajouter des briques supplémentaires de sécurité sur une architecture réseaux dépassée. Cette nouvelle architecture “Cloud Oriented Security Architecture (COSA)” colle nécessairement avec les nouveaux mondes informatiques où le périmètre a disparu.

Par ailleurs, l’un de nos clients, issu d’un grand groupe industriel français, viendra partager son expérience utilisateur lors d’un atelier : « Comment contrôler l’application des politiques de sécurité ? » dans un environnement complexe.

GS Mag : Comment va évoluer votre offre pour 2015/2016 ?

Fabien Tanguy : L’année 2015 a été une année majeure pour notre plateforme Next Generation. Nous avons développé de nouvelles alliances en France afin de proposer une offre de « Cloud privé » avec deux partenaires : « Airbus Defence & Space » et « Orange Cyberdefense ». Cette nouvelle offre de cloud souverain va nous permettre d’aider les OIV et leurs sous-traitants.
Nous avons une feuille de route dense pour les mois et années à venir afin de continuer à intégrer de nouveaux services dans notre plateforme Cloud Next Generation, la liste est longue mais correspond aux attentes de nos clients : « AssetView avec des tableaux de bord entièrement personnalisables, Cloud Agent V2 avec File Integrity Monitoring et indicateur de compromission (IOC), généralisation du support IPv6 natif, renforcement de l’offre sécurité applicative avec une nouvelle version de Web Application Firewall donnant plus de visibilité sur la gestion des attaques avec une remédiation simplifiée et intégrée à WAS. En outre, un module de gestion des logs (LM) permettra d’identifier les menaces latentes (signaux faibles), d’apprendre le comportement des utilisateurs pour déterminer une « baseline » afin de repérer les comportements non standard provoqués par les attaques. LM sera le support des équipes opérationnelles dans le cadre d’analyses post mortem.

Par ailleurs, avec nos équipes d’ingénieurs basés en France, nous développons une nouvelle technologie pour détecter et intercepter les APTs. Cette nouvelle offre complétera les capacités de Qualys à découvrir les actifs de type Smartphone et autre objets connectés (IoT) qui génèrent du trafic sur le réseau, en proposant une technologie de passive scanning.

Concernant les modules de gestion de vulnérabilités et de conformité, nous ajoutons de façon continue le support de nouvelles technologies et vulnérabilités. A ce propos nos chercheurs ont découvert une faille majeure dans Linux en début d’année (GHOST). Nous continuons à proposer à nos clients toujours plus de nouvelles politiques de sécurisation des configurations, disponibles par défaut et sans surcoût.

Nous travaillons aussi à renforcer nos alliances stratégiques avec d’autres constructeurs majeurs de l’industrie, notamment Splunk et ServiceNow pour lesquels nous développons des connecteurs natifs.

Enfin, nous somme heureux d’annoncer à nos clients Azure, la disponibilité prochaine de l’offre Qualys avec le support natif de cette offre Cloud IaaS (infrastructure as a service) à l’image de ce que nous proposons déjà pour Amazon EC2.

GS Mag : Quelle sera votre stratégie commerciale ?

Fabien Tanguy : Plus concrètement les entreprises ont de plus en plus de difficultés à recruter des experts en sécurité, sans parler des budgets nécessaires pour maintenir les équipes opérationnelles pour le RUN, c’est à ce moment que nous opérons notre collaboration avec les DSI et les RSSI, en leur donnant de la visibilité sur leur niveau de sécurité et en les accompagnant sur les axes de remédiation.

Grâce à nos services unifiés dans le cloud, nous pouvons immédiatement mettre en avant un faible TCO car nos clients n’ont plus besoin de maintenir d’infrastructures complexes pour ce type d’outils, et peuvent uniquement se focaliser sur la remédiation et leur cœur de métier.

Notre stratégie est d’avoir des clients formés sur nos solutions pour qu’ils soient pleinement opérationnels. Nous délivrons nos formations et certifications gratuitement dans nos locaux à Paris la Défense. L’avantage pour nos clients d’avoir un TCO maitrisé et faible.

Nous sommes aussi en plein renforcement de l’équipe commerciale. Simon Azzopardi vient de nous rejoindre comme VP pour la région Europe et nous recrutons actuellement un Directeur pour la région Europe du sud, ainsi que d’autres postes de « technical account manager ».

L’Espagne et l’Italie sont deux pays à fort potentiel que nous souhaitons développer commercialement.

GS Mag : Quel est votre message aux RSSI ?

Fabien Tanguy : Nous sommes à la croisée des chemins, le métier de RSSI est en pleine mutation et les attentes de l’entreprise en font un homme clé et transverse, mais le manque de moyens freine considérablement son champ d’intervention et sa vélocité.

Plus globalement, on observe encore trop souvent une adhésion tardive et réactive, à défaut d’être proactive, de la sécurité par les dirigeants. Les éléments déclencheurs d’une prise de conscience restent principalement des incidents de sécurité impactant le business ou des sanctions de la part du législateur et des régulateurs. Or, il est plus efficace et économique d’intégrer la sécurité en amont.

Qualys permet aux RSSI et DSI d’appréhender et de se réapproprier la sécurité du SI sous un angle différent, en amenant une vision transverse du niveau de risque et de conformité de l’infrastructure et des applications.

Au travers de nos solutions, les organisations sont en capacité de reprendre le contrôle en ayant des KPI pour valoriser et justifier les activités de sécurité opérationnelle comme étant un axe de plus-value pour les métiers (ex : réponse à appel d’offre).

Nous constatons une course à l’armement chez nos clients avec un empilement de solutions, mais au final peu de solutions innovantes pour consolider et piloter la sécurité comme Qualys le propose.