Transmettre et innover, deux missions vitales pour l’INA qui préserve un vaste fonds audiovisuel de 3 Petaoctets et délivre aux journaux TV les séquences choisies en moins de 30 minutes.
« L’institut national de l’audiovisuel est une grosse PME de 1000 personnes avec des problématiques de grands comptes ; nous avons plusieurs Petaoctets de données à gérer et à protéger », résume Ludovic Bey, le RSSI de l’INA. Les activités de l’établissement public à caractère industriel et commercial (EPIC) sont, en partie, héritées de l’ORTF depuis 1975. Elles couvrent l’archivage, la formation et la recherche autour des métiers de l’image et de l’audiovisuel. L’INA gère aussi les droits d’auteurs professionnels. Son PDG Laurent Vallet, nommé pour cinq ans en mai 2015, a défini des objectifs stratégiques, en particulier autour de la transformation numérique.
Archivage massif et diffusion à haut débit
Le système d’informations figure au cœur de tous les métiers de l’INA. Il occupe, à lui seul, près de 200 personnes. En soutien, deux datacenters et un réseau à très haut débit diffusent les contenus riches vers les équipes internes et vers les organes de presse. « Nos archives étaient analogiques. En 1999, nous nous sommes lancés dans une phase de digitalisation. Il a fallu restaurer et numériser l’ensemble du fond », précise Ludovic Bey. Bilan de l’opération, plus d’un million d’heures numérisées ciblent les professionnels, soit plus de 100 ans de visionnage, et quelques 50 000 heures sont destinées au grand public. A présent, il s’agit de ne pas perdre ce fonds et d’en préserver l’intégrité, faute de quoi l’image et le business de l’INA seraient entachés. « Une séquence d’images INA peut atteindre 1 000 euros la minute. Et nous devons les livrer en moins de 30 minutes aux journaux TV ainsi qu’aux producteurs d’émissions, en France et à l’étranger. C’est notre cœur d’activité », souligne le RSSI.
La virtualisation en cours du réseau vise à faciliter le basculement de charges applicatives d’un datacenter à l’autre, de façon transparente. Les solutions de sécurité doivent désormais s’intégrer à cette architecture.
Accès sécurisés pour le télétravail
Le travail à domicile s’est récemment étendu à la quasi-totalité des employés, avec un délai de mise en œuvre très court. « Suite à l’analyse de risques menée sur ce projet, il a fallu sécuriser l’accès au système d’informations puisqu’on ouvrait une porte depuis le domicile de l’employé vers le réseau de l’INA », explique Ludovic Bey. Deux dispositifs de sécurité cloud d’origine française ont été retenus, à savoir la gestion d’infrastructure PKI d’IDnomic et l’authentification à double facteur délivrée en mode SaaS par InWebo Technologies. La première garantit que le terminal connecté est bien un poste de travail de l’INA, la seconde fournit un jeton logiciel au téléphone portable (iOS ou Android) du salarié.
« Nous voulions en finir avec les faiblesses des mots de passe traditionnels. A présent, un mot de passe temporaire est transmis directement, via un système de push, au portail d’accès. Aucune saisie n’est requise côté utilisateur », apprécie le RSSI. Ce système doit être étendu aux partenaires de l’établissement, son adoption tenant à sa simplicité et à son installation rapide, en une demi-journée à l’INA. Un autre bénéfice concerne la traçabilité des accès : « En phase d’analyse de risques, nous redirigeons les traces d’accès vers notre SIEM d’origine LogPoint, où un système de corrélations détecte les comportements anormaux et aide à identifier les incidents de sécurité. Côté Web SSO, nous déployons le logiciel open source Shibboleth qui respecte les protocoles CAS (Central Authentication Service), et SAML 2.0 (Security Assertion Markup Language), importants pour l’ouverture du système d’informations vers le cloud », conclut le RSSI.
Des mesures adaptées à chaque risque
L’INA retient un schéma directeur de sécurité établi sur cinq ans. La gouvernance de la sécurité informatique est fondée sur des processus éprouvés de gestion des risques : « Nous déployons un niveau de sécurité suffisamment mature vis-à-vis des risques identifiés et par rapport à la cible du schéma directeur. Ensuite, une phase d’audit et de contrôle permet de vérifier si la politique définie est correctement mise en place. Enfin, le maintien en conditions opérationnelles s’effectue via notre centre de sécurité (SOC) où nous avons défini dix processus distincts et évalué le besoin humain à trois personnes », précise Ludovic Bey, le RSSI de l’INA.
Auteur : Olivier Bouzereau
