Les deux principaux projets cyber de l’année 2025 concernent la refonte de la plateforme IAM (gestion des identités et des accès), et le SOC (Security Operations Center) hier externalisé, bientôt hybride, aligné sur la stratégie de migration cloud.
« Les applications critiques sont en premier lieu les encaissements et tout ce qui accompagne nos vendeurs et collaborateurs, la logistique en back office par exemple. Nous devons produire des accès, puis les supprimer dès que les employés quittent l’entreprise, le plus rapidement possible, » souligne le RSSI Laurent Théry.
Il pilote près d’une dizaine d’experts aujourd’hui, la DSI comptant quelques 200 informaticiens et le groupe environ 9 000 collaborateurs et 335 points de vente au détail.
Plusieurs référentiels, une seule source de vérité
En back office, l’annuaire d’entreprise est composé de trois parties : une structure LDAP, un annuaire Active Directory et le référentiel d’accès de la suite collaborative. Ces trois sources de comptes stockent des authentifications distinctes, fédérées par un mécanisme de SSO (Single Sign-On) pour fluidifier les usages.
« Les fichiers des ressources humaines constituent la source unique de vérité, » rappelle le RSSI. Logiquement, le service RH est impliqué dès la création des badges confiés aux salariés et aux collaborateurs externes. Selon les missions attribuées au collaborateur, son badge lui permet d’entrer dans les magasins, les réserves, les entrepôts.
La plateforme IAM SaaS de l’éditeur français Memority permet de gérer le cycle de vie de l’ensemble des identités devant accéder au système d’information. Elle améliore la visibilité, la conformité des habilitations, les règles et contrôles réduisant les risques d’usurpation. Au groupe Galeries Lafayette, la plateforme Memority assure la gouvernance et l’administration des identités.
Bloquer les activités suspectes
Lorsqu’elle est associée à une gestion du cycle de vie des certificats numériques, l’authentification multifacteur peut réduire les menaces de type phishing et infostealer. A terme, cette partie pourrait être centralisée sur la plateforme Memority fournie en mode SaaS, afin d’industrialiser la fourniture d’accès aux nouvelles applications, qu’elles soient hébergées sur site ou dans un cloud.
« Notre mission consiste à sécuriser l’ensemble des magasins, des entrepôts, le siège social, les services Internet et à renforcer aussi le SI de nos sous-traitants. Au total, une liste de 34 exigences de sécurité nous aide à identifier là où peuvent être les risques et quelles contre-mesures il faudrait mettre en place, avec chacun d’eux », conclut le RSSI.
Visualisez l’interview de Laurent Théry lors de l’événement LA25 :
