Comment Pfeifer & Langen IT-Solutions KG élimine le Shadow IT et rend la conformité KRITIS démontrable

En tant que prestataire de services informatiques interne de Pfeifer & Langen Industrie- und Handels-KG, un fabricant leader dans l'industrie agroalimentaire, l'équipe est notamment confrontée au défi de garantir la conformité des systèmes décentralisés. Avec LocateRisk, l'entreprise identifie et évalue en permanence sa surface d'attaque externe. Cela aide à la défense quotidienne ainsi qu'aux audits.

L'interconnexion de l'IT et de l'OT ainsi que les infrastructures croissantes augmentent la complexité de l'environnement IT. Parallèlement, les introductions de systèmes décentralisés et les connexions de prestataires de services rendent la transparence totale de l'empreinte numérique de plus en plus exigeante. C'est précisément le défi auquel a été confronté Jörg Marczinek, responsable de la gouvernance informatique chez Pfeifer & Langen IT-Solutions KG. „Grâce à la mise en réseau et à l'agrandissement, nous avons beaucoup plus de prestataires de services externes à coordonner“, explique Jörg Marczinek. Les départements spécialisés font appel à des agences, enregistrent des domaines ou mettent en place des serveurs pour rester agiles. Or, ces systèmes ne sont pas toujours répertoriés dans la gestion informatique centrale. „Il y a déjà quelque part un serveur qui n'est pas sécurisé, mais sur lequel nous n'avons aucune souveraineté“, explique Jörg Marczinek pour décrire le défi.

Des contrôles sporadiques à une vue d'ensemble continue

Avant l'utilisation de LocateRisk, il n'existait pas de vue d'ensemble structurée de la surface d'attaque informatique externe. Des commandes sporadiques auprès de fournisseurs de services informatiques ne fournissaient que des instantanés. L'idée de faire appel à LocateRisk est venue lors d'un événement informatique à Düsseldorf, lorsque la jeune start-up s'est présentée de manière professionnelle et compétente. 

L'objectif premier était la transparence. „Il s'agissait d'établir une systématique et d'obtenir une vue d'ensemble des serveurs et des domaines vulnérables aux attaques et de mettre en évidence les failles de sécurité“, explique Jörg Marczinek. Les premières analyses ont permis de mettre en lumière des systèmes qui, bien que nommément attribués à l'entreprise, n'étaient pas sous son contrôle direct ; une étape importante pour la clarification des responsabilités et le nettoyage des actifs.

„Nous pouvons présenter le rapport aux contrôleurs et aux auditeurs et prouver que nous effectuons des analyses de risques régulières pour l'infrastructure informatique externe“.“ —  Jörg Marczinek, responsable de la gouvernance informatique chez Pfeifer & Langen IT-Solutions KG

Soutien en matière d'audits et de questions d'assurance

Aujourd'hui, l'analyse trimestrielle fait partie intégrante de la sécurité informatique. La solution s'avère particulièrement utile pour la communication avec les contrôleurs et les auditeurs. „Nous pouvons présenter le rapport aux contrôleurs et aux auditeurs et prouver que nous effectuons des analyses de risques régulières pour l'infrastructure informatique externe“, explique Jörg Marczinek. Cela crée un climat de confiance et accélère le traitement des demandes. Certes, les scans ne remplacent pas la documentation interne complète, mais ils fournissent les points de données nécessaires pour étayer objectivement l'état actuel de la sécurité.

Les risques de conformité en ligne de mire : NIS-2 et RGPD

Outre l'inventaire technique, l'équipe utilise le Cartographie de la conformité de LocateRisk. Cette fonction permet de visualiser dans quelle mesure les serveurs et les domaines se trouvant dans la portée sont bien positionnés par rapport aux normes telles que le RGPD et NIS-2. „Je suis responsable des thèmes réglementaires, il est donc utile d'obtenir directement des indications sur les points faibles sans devoir effectuer des recherches manuelles“, explique Jörg Marczinek. Même si les visualisations dressent parfois un tableau optimiste, elles aident à se concentrer sur les domaines où il est réellement nécessaire d'agir.

Conclusion : Des processus automatisés en réponse à l'expansion des infrastructures informatiques 

Pour Pfeifer & Langen IT-Solutions KG, le passage d'audits sporadiques à un suivi continu a fait ses preuves. L'avantage central réside dans la validation de sa propre perception par une perspective extérieure objective. „Pour nous, l'identification et l'évaluation continues de notre présence numérique externe sont impératives pour combler l'écart entre l'informatique documentée et l'exposition réelle sur le réseau“, résume Jörg Marczinek. Les prochaines étapes sont déjà définies : Les résultats seront à l'avenir intégrés de manière plus automatisée dans la gestion des incidents afin de rationaliser davantage les processus et de réduire les temps de réaction.

Les avantages pour Pfeifer & Langen IT-Solutions KG

---