Des initiatives existent au niveau global (conférences fédératrices, événements internationaux comme le Security Expert Talk), comme au niveau local, sur les sites Devoteam.  Chaque fois que possible, un accès distant est proposé afin de permettre aux consultants en mission ou sur d’autres sites d’avoir accès à l’événement.  La présentation sera elle systématiquement mise à disposition pour tous.

Vous connaissez déjà les Telcosphères, la vitrine des savoir-faire Telecom du groupe, dont nous avons souvent parlé sur ce blog, ou les Sécusphères, l’événement phare de la Communauté Sécurité.  A l’échelle locale, on peut aussi citer les JITER (Jeudis de l’Info Telecoms Et Réseaux) chez Consulting, ou encore les  ”jeudis de l’info” de Lannion.  On ne peut tous les nommer ici, mais ces derniers ont par exemple donné lieu à d’intéressantes conférences sur les thèmes suivants au premier semestre 2009:

• Introduction à l’environnement et aux développements Flex
• Environnement de validation de SIP AS
• IPTV Content Delivery Architectures
• Introduction aux Télécoms/Réseaux fixes
• L’environnement de test automatisé IPTV conçu par Devoteam: MEVITA (Media Visual Test automation framework)
• Les mutations des services telecoms

Ces thèmes très variés reflètent bien la diversité des parcours d’échange proposés: sujets d’innovation ou anticipation, transmission de l’expérience entre consultants jeunes et expérimentés, maîtrise d’un environnement ou d’une technologie, savoir-faire métier comme la validation, sont autant d’occasions de mettre en pratique le principe maître de la collaboration (y aviez-vous pensé ?):

En temps de crise,  les activités de partage des connaissances et de collaboration s’adaptent à un environnement plus rigoureux, par exemple en termes de contrôle des coûts.  Elles n’en restent pas moins une activité stratégique pour le groupe, particulièrement pour les BU réparties sur de nombreux sites, car elles contribuent à l’efficacité que donne la masse critique qu’a atteint Devoteam à l’échelle Européenne.  De plus, par leur utilisation massive des outils collaboratifs, elles sont à l’avant-garde d’une stratégie de développement durable qui révèle toute sa pertinence.  Enfin, n’oublions pas leur rôle fédérateur en interne (transmission des savoir-faire entre générations de consultants, diffusion des dernières technologies et méthodes, culture de l’innovation), et leur rôle dans la “Passion”, une des trois valeurs clé de la charte Devoteam.

Les ETL sont devenus performants tout en gardant leur convivialité et ont supplanté les dévelopements d’alimentation spécifiques (PL-SQL, PRO*C,…)
L’alimentation temps réel est aussi en train de devenir une réalité.

Les outils de reporting sont désormais disposés à faire du reporting de masse et toucher des centaines d’utilisateur sans déploiement contraignant.

Il restait un dernier maillon de la chaine à optimiser.
Les besoins d’analyse croissants, croisés avec l’envolée des volumes des datawarehouses, fait exploser les modèles relationnels classiques.

Les technologies OLAP sont lourdes à mettre en oeuvre et peu flexibles, même si elles sont performantes en requêtage.

A travers la solution illuminate, je veux mettre l’accent sur une des prochaines voies d’avancée technologique pour la BI.

La solution illuminate propose une technologie révolutionnaire permettant, selon les dires de l’éditeur, d’allier performances extêmes et flexibilité des dimensions : la “Correlation Database”.

Voici le principe : les données ne sont pas stockées en tables ni en colonnes, mais en cellules autonomes.
Plus de schéma prédéfini, on peut donc lancer des requêtes suivant des axes d’analyse dynamiquement sans lancer un projet d’ajout de dimension au cube existant.

Plus de détails sur le site

http://www.i-lluminate.com/

et sur cet article decideo :

http://www.decideo.fr/Un-petit-pas-pour-les-donnees,-un-grand-pas-pour-la-BI_a3300.html

Cette approche est intéressante à plusieurs titres :

- Beaucoup de grands acteurs du marché de la BI se sont tournés vers les appliances (IBM notamment avec IBM Performance Server) pour résoudre le problème de volumétrie croisante. Cette solution prend le contrepied des choix du “plus de puissance dédiée” au profit d’une approche nouvelle.

- A part Sybase IQ (qui ne perce pas sur le marché, sans doute à cause du manque de poids de sybase sur le marché des bases de données) , il n’y a pas d’offre.
Il reste néanoins selon moi un certain nombre de questions à élucider pour que cette technologie prometteuse puisse percer :

1/ Elle est destinée à un marché de niche, l’analyse et l’exloration de données. Ce marché sera-t-il suffisant? Ou faudra-t-il trouver de nouveaux marchés à occuper pour assurer la pérennité de l’éditeur? Quand on sait que Teradata se positionne sur le marché du MDM, cette question prend tout son sens.

2/ Comme toute technologie nouvelle, les personnes maitrisant illuminate doivent se compter sur les doigts d’une main en Europe.
Quelle sera la politique de l’éditeur pour faire adopter le produit par les DBA des entreprises? SAS avait initié le programme SAS Academic Program, programme permettant à des étudiants d’obtenir des licences SAS temporaires pour se familiariser avec le produit, et ainsi démultiplier le nombre d’utilisateurs potentiels de ses solutions. Quelle sera la politique de l’éditeur? Ceci est pour moi un point critique pour l’adoption de la solution.

3/ A l’heure de la rationnalisation du SI et de l’interopérabilité ( démarches ITIL, urbanisation avec l’architecture SOA) comment va s’inscrire ce produit dans cette nouvelle organisation du SI?

4/ Quelle sera la réponse d’Oracle, l’acteur majeur du marché des bases de données? La logique issue du rachat de Sun est qu’Oracle propose à terme des appliances machines Sun-Oracle, mais Oracle n’est historiquement pas un constructeur de machines. Oracle cherche aussi à améliorer le stockage des bases au travers d’une option de compression disponible en V11. Quelle voie sera finalement choisie?

Cette solution offre en tout cas de belles perspectives, au même titre que l’Open source. A suivre.

Guillaume Busson

Certains projets SOA (Service Oriented Architecture) n’ont pas réussi à répondre à toutes les attentes en termes de réutilisation et d’agilité. Nombre de ces projets se sont cantonnés à de l’intégration classique avec une touche de web service leur donnant l’étiquette SOA sans aborder une approche de service. Ce phénomène a sans doute été amplifié par la course au référencement pour conquérir un marché qui ne demandait que de d’être conquis.

Tout cet emballement autour de la SOA à complètement fait oublier aux acteurs du marché l’essentiel : l’agilité du SI (Système d’Information) et son alignement sur le métier. Bien que ce slogan fut mis en avant au plus haut niveau de prise décision, il a changé de sens selon la perception des différents acteurs et leurs positionnement dans l’organisation. Il faut noter également que la profusion d’articles et de papiers sur le sujet n’ont fait qu’ajouter de la confusion à la confusion. Au niveau des architectes techniques, le slogan à tout un autre sens. Il n’est donc pas étonnant que ceux-ci se rabattent sur leur pratiques classiques confortant plus ou moins la trajectoire divergente du SI.

La zone la plus sensible, souvent sous estimée et mal abordée par nombre de projets SOA, est la zone d’accostage entre le domaine métier et le domaine technologique. C’est à ce niveau que l’on constate une rupture claire entre la sémantique des fonctions métier et la sémantique des services applicatifs qui les exécutent. Cette discontinuité, se transforme en gouffre au fur et à mesure d’autant plus qu’elle est alimentée par la différence de culture du monde des architectes métier et du monde des architectes techniques.

La discontinuité sémantique est généralement sous estimée à tort, pourtant elle participe à la divergence du SI par rapport au métier. Comment un problème d’apparence aussi simple et anodin peut-il contribuer au désalignement du SI par rapport au métier ?

Pour tenter de répondre à la question nous montrerons dans une première partie comment la SOA participe à la continuité sémantique. Dans une seconde partie nous exposerons deux exemples de paradigmes d’échanges mettant en œuvre le même service, l’un introduisant la rupture sémantique et l’autre assurant sa continuité. Enfin, nous conclurons par des propositions de bonnes pratiques.

2. SOA et continuité sémantique

2.1 Éléments de vocabulaire

2.1.1 Le service

Un service est une prestation, répondant à un besoin et produisant un résultat, réalisée par une entité logicielle dite fournisseur à l’attention d’une entité logicielle dite consommateur. Fournisseur et consommateur sont des rôles interprétés par les entités logicielles dans une relation de service. La prestation de service réside dans l’ensemble des résultats exploitables de l’activité du fournisseur (Information, gestion d’état ou production d’effets de bord)

2.1.2 Le contrat de service

Une relation de service entre un fournisseur et un consommateur est régentée par un contrat de service qui s’inspire directement du modèle des contrats professionnels de service. Il s’agit d’un document structuré et formel comportant des articles et des clauses couvrants les périmètres suivants:

ü L’identification des acteurs du contrat de service (humains et/ou logiciels).

ü La description de la fonction du service (objectifs, actions, informations et règles).

ü La description de l’interface d’accès au fournisseur du service (interface abstraite et concrète)

ü Description de la qualité du service (périmètre de la prestation, qualité de fonctionnement, sécurité, robustesse …).

ü Description des modalités de gestion du contrat (durée du contrat, mécanisme de reconduction, règles de sortie des acteurs).

2.1.3 L’interopérabilité

L’interopérabilité est un ensemble de technologies mises en œuvre par une entité logicielle afin de communiquer avec d’autres entités logicielles. Ces technologies couvrent les fonctions d’identification (ex : URI, JNDI, IOR), de description (ex : WSDL, IDL, Interface Java), de messagerie (ex : SOAP, RMI) et de transport (ex : TCP/IP, HTTP, JMS, IIOP).

Remarque :

Il est souvent fait usage de l’expression « services inter opérables ». Il s’agit d’un abus de langage dû à une confusion entre la notion de service et la notion d’entité logicielle. L’interopérabilité est une propriété inhérente à une entité logicielles et non pas à une prestation de service. L’interopérabilité de prestations de service n’a pas de sens. En revanche, la décomposition d’une prestation de service en unités de prestation à un sens. Cette fragmentation correspond à une relation de composition entre la prestation et les unités de prestation. Ainsi, la relation entre le service et les services unitaires qui le composent est une relation de composition et non pas d’interopérabilité.

2.1.4 La granularité de service

La granularité de service est une caractéristique affectée à un service, laquelle traduit explicitement son niveau systémique. Par niveau systémique nous entendons le niveau de profondeur au sein du système dans lequel l’activité du service à un sens.

Remarque :

La granularité de service fait souvent l’objet de désaccords sans doute à cause de l’utilisation de vocabulaires différents pour exprimer des niveau de granularité équivalents. L’essence de la granularité de service ne se situe pas dans le vocabulaire, bien que celui-ci doit être tout de même choisi judicieusement, mais plutôt dans le niveau systémique auquel le service appartient. C’est pourquoi, il serait prudent d’énumérer clairement les niveaux de profondeur du système informatique puis de leur affecter un vocabulaire communément adopté au sein de l’organisation.

2.1.5 La SOA

D’un point de vue métier, la SOA est un mode de structuration du parc applicatif se focalisant sur la création et à la mise à disposition d’un ensemble de fonctions sous forme de services que l’organisation pourra réutiliser et combiner afin de créer de nouvelles fonctions.

D’un point de vue technologique, la SOA est une architecture d’applications logicielles réparties organisées en réseau de relations de services régenté par des contrats.

figure 1

2.1.6 La continuité sémantique

La continuité sémantique est une unification du sens de deux concepts appartenant à des domaines différents et exprimés selon des vocabulaires différents. Celle-ci se réalise par l’adoption d’une définition commune qui exprime explicitement un même sens pour les deux concepts.

La continuité sémantique permet la connexion entre deux domaines différents ayant chacun ses composants, ses modes de combinaison et ses règles propres. C’est une forme d’abstraction qui permet de passer d’un domaine à l’autre en supprimant les détails non nécessaires. La continuité sémantique permet de connecter deux niveaux systémiques adjacents.

Il est également possible de pousser la continuité sémantique jusqu’au niveau de la représentation visuelle. Les modèles actuels de part et d’autre des deux domaines sont encore fondamentalement divergent bien qu’il existe des techniques de correspondance. Ceci étant dit, nous nous contenterons par la suite de la continuité sémantique en termes de vocabulaire.

2.2 Continuité sémantique entre métier et système informatique

Typiquement, la définition de la SOA exprime une continuité sémantique entre le domaine métier et le domaine technologique en donnant un sens commun à la prestation du système informatique et à la fonction métier, et ce, via le concept de service. Ainsi, une fonction métier se réalise par l’exécution d’un service fourni par une application logicielle du système informatique. Le mode de liaison entre les concepts du monde métier et ceux du monde des systèmes informatiques s’inspire du modèle de service du monde professionnel. Du point de vue métier, le système informatique devient donc un prestataire au même titre que d’autres prestataires partenaires de l’organisation. Du point de vue du système informatique, le métier devient un partenaire client. Ce modèle simple et éprouvé fourni les éléments nécessaires et suffisant pour une continuité sémantique entre le métier et le système informatique.

Pour illustrer nos propos, nous exposerons par la suite une mise en œuvre d’un exemple de fonction métier via un service implémenté selon deux paradigmes d’échanges : le premier assurant la continuité sémantique entre le domaine métier et le domaine technologique, le second marquant une rupture sémantique.

3. Exemples de paradigmes d’échange

3.1 De la fonction métier au service

Une organisation utilise une application logicielle de gestion de contenu dite ECM (Entreprise Content Management) pour définir, gérer et conserver ses documents. Cette organisation utilise également un progiciel de gestion de ressources dit EAM (Entreprise Asset Management) pour définir et gérer ses ressources matérielles. Une contrainte de traçabilité impose d’associer à chaque resource une documentation impactant ainsi les processus métier de gestion de resources qui doivent dorénavant intégrer les phases de validation des documents. En d’autres termes, la contrainte impose des chorégraphies entre les processus de gestion de ressources et les processus de gestion de documents. Plus précisément, un processus de gestion de ressource en cours d’exécution, réagit en fonction de l’état d’un document qui suit en parallèle un circuit de validation via un processus de gestion de document. Ces chorégraphies permettent d’identifier la fonction métier Etat du document qui consiste à informer du changement de statut d’un document.

La fonction métier étant identifiée, il ne nous reste qu’un pas pour parler d’un service car qui dit informer et gérer des états, dit prestation de service (cf. vocabulaire). Ainsi la fonction métier Etat du document se concrétise par le service Informer du statut du document dont il reste à définir les rôles.

Concernant le fournisseur il ne peut s’agir que de l’application ECM car celle-ci porte entièrement le processus de validation du document ce qui en fait le propriétaire exclusif de l’objet document. L’application ECM est seule à pouvoir changer son état; elle est donc la mieux à même d’informer de ce changement d’état. En ce qui concerne le consommateur, tout dépend du niveau d’automatisation requis pour les processus de gestion de ressource. Dans notre cas, ces processus sont entièrement portés par l’application EAM qui a besoin de connaître l’état d’un document, ce qui lui confère le rôle de consommateur. Si d’autre processus automatisés font intervenir la fonction métier Etat du document, les applications logicielles implémentant ces processus peuvent être intéressées par l’information, et donc en bénéficier en tant que consommateur … la réutilisation n’est pas très loin.

figure 2

Nous noterons également que plus la fonction métier sera impliquée dans les processus de l’organisation et plus il sera nécessaire de se poser des questions sur la qualité du service qui l’exécute.

La nature fonctionnelle du service étant définie d’un point de vue métier, la mise en oeuvre technologique peut se faire de plusieurs manières respectant ou non la conservation des rôles et prérogatives des entité logicielles dans la relation de service.

3.2 Paradigme avec continuité sémantique

Une première manière de mettre en œuvre le service Informer du statut du document est un système de notification événementiel. Le jeux de rôle des applications est conservé et identique à celui du point de vue métier :

Le protocole peut être le suivant :

ü Le consommateur souscrit à la réception de messages du fournisseur (si et seulement si celui-ci n’est pas déjà souscrit)

ü Le consommateur est à l’écoute d’un éventuel message de notification du fournisseur

ü Le fournisseur émet un message de notification au consommateur

ü Le consommateur reçoit le message de notification du fournisseur

ü Le consommateur traite le message de notification

La mise en œuvre du protocole peut être réalisée via un mécanisme de souscription et publication (publish and subscribe) analogue à celui d’une mailing-list ou l’émetteur émet un message sur une destination unique à laquelle sont souscrit les destinataires qui recevrons le message :

figure 3

En termes d’interopérabilité, le choix peut se faire sur le quadruplet (URI, WSDL, SOAP, JMS-Topic). Le message émis par le fournisseur est une notification qui doit être vue comme une réponse à une requête implicite. Le message SOAP est une réponse contractualisé par un document WSDL comme suit :

ü Mode Out-Only dans le cas d’une contractualisation par le formalisme WSDL 2.0 (cf. section 2.3.5 de la spécification WSDL 2.0)

ü Mode Notification Operation dans le cas d’une contractualisation par le formalisme WSDL 1.1 (cf. section 2.4.4 de la spécification WSDL 1.1)

Exemple :

Remarque :

Ce paradigme est analogue au paradigme Observer (cf. paradigmes GoF) où le consommateur joue le rôle d’observateur et le fournisseur d’observable. Généralement ce paradigme est implémenté directement au sein d’un système à technologie homogène (Java ou C++ ou C# …), mais il peut très bien être implémenté à l’échelle du système informatique.

3.3 Paradigme avec rupture sémantique

Une seconde manière de mettre en œuvre le service Informer du statut du document est un appel par l’ECM d’une procédure EAM de mise à jour du statut du document au sein de l’application EAM. La procédure est un service de mise à jours fourni par l’EAM. Dans ce cas la sémantique du service est complètement transformé. Le jeux de rôle des applications est modifié puisque il s’agit d’un service fourni par l’application EAM sensé être consommateur du service Informer du statut du document :

Comment un consommateur d’un service peut il se transformer en fournisseur ?

La réponse est qu’il s’agit tout simplement d’un service différent, et qui dit service différent dit rôles différents. En effet, il ne faut pas oublier que fournisseur et consommateur sont des rôles interprétés par les entités logicielles dans une relation de service (cf. vocabulaire). Ors dans ce cas, il s’agit d’une relation de service différente de celle du service Informer du statut du document. Il est question plus précisément du service Mettre à jour le statut du document qui défini une relation de service où l’ application EAM joue le rôle de fournisseur et l’application ECM de consommateur.

figure 4

Ce service doit être vu comme une forme particulière d’implémentation du service Informer du statut du document. En effet, le service Mettre à jour le statut du document n’a pas de sens à l’échelle du SI car la mise à jour du statut du document se fait uniquement dans l’application EAM. Du point de vue du SI lorsque ce service s’exécute, le statut du document change dans l’application EAM, mais en aucun cas cela n’implique son changement à l’échelle du SI. En revanche, lorsque le service Informer du statut du document s’exécute, c’est du point de vue de tout le SI que ce document change de statut.

En d’autres termes, la granularité du service n’est pas la même car le périmètre couvert est différent. Celui du service Informer du statut du document est à l’échelle du SI, tandis que celui du service Mettre à jour le statut du document est à l’échelle uniquement de l’application EAM.

La mise en œuvre peut se faire selon deux protocoles au choix :

Protocole requête-réponse synchrone

ü Le consommateur émet un message de requête directif au fournisseur

ü Le consommateur bloque et attend la réponse du fournisseur

ü Le fournisseur reçoit le message de requête du consommateur

ü Le fournisseur traite le message de requête

ü Le fournisseur émet un message de réponse assertif au consommateur

ü Le consommateur reçoit le message de réponse du fournisseur

ü Le consommateur traite le message de réponse

Protocole requête à sens unique asynchrone, dit également « fire and forget »

ü Le consommateur émet un message de requête directif au fournisseur

ü Le consommateur continue son activité

ü Le fournisseur reçoit le message de requête du consommateur

ü Le fournisseur traite le message de requête

Remarque :

Il ne faut surtout pas confondre le protocole requête à sens unique asynchrone avec le protocole de Notification cité dans la section précédente car la sémantique est complètement différente. En effet la requête à sens unique est une requête d’appel de service tandis que la notification est une réponse à une requête implicite. La différence est très loin d’être anodine notamment pour la sécurité, la gestion transactionnelle et le monitoring.

En termes d’interopérabilité, pour le protocole requête-réponse synchrone, le choix peut se faire sur le quadruplet (URI, WSDL, SOAP, HTTP) ce qui correspond à un service web classique.

figure 5

En ce qui concerne le protocole requête à sens unique asynchrone le choix peut se porter sur le quadruplet (URI, WSDL, SOAP, JMS-Queue) ce qui correspond à un service web type « One-Way ».

figure 6

Le mode de transport est une Queue JMS :

figure 7

4. Conclusion

Nous avons proposé dans une première partie un vocabulaire permettant d’outiller la continuité sémantique entre le domaine métier et le domaine technologique. Les concepts SOA permettent de faciliter cette continuité car ils sont usuels et simples à appréhender de part et d’autre par les architectes métier et par les architectes techniques.

Nous avons proposé une définition de la granularité de service adaptée à une approche systémique récursive. Cette aproche nécessite de définir des niveaux de granularité reflétant les niveaux systémiques du SI. Il est recommandé d’énumérer clairement ces niveaux de manière partagée par les différents acteurs de l’organisation.

Nous avons également vu que le choix du paradigme de mise en œuvre d’un service peut avoir un impact important sur la continuité sémantique entre le monde métier et le monde technologique. Il est recommandé de mettre en œuvre les paradigmes qui assurent la continuité sémantique.

Pour reprendre notre exemple, la fonction Etat du statut du document est une fonction à forte granularité car lorsque le document change d’état, il l’est à l’echelle de toute l’organisation. Le premier paradigme concerve ce principe, tandis que le second ne le conserve pas.

D’autre part, la fonction Etat du statut du document est impliquée dans plusieurs processus métier, ce qui en fait un élément commun factorisable. Le premier paradigme permet de mettre en oeuvre cette factorisation de manière beaucoup plus simple, agile et moins coûteuse que le second. En effet, le premier paradigme permet à d’autres applications de bénéficier du service Informer du statut du document par simple souscription sans aucun impact sur le fournisseur. En revanche, le second paradigme, mettant en oeuvre le service Mettre à jour le statut du document, impose à l’application appelante d’implémenter un appel pour chaque application qui voudrait exploiter le statut du document.

Ainsi, le choix du paradigme de mise en œuvre d’un service est tout sauf anodin, il ne s’agit pas d’un détail technique, loin de là. Ce choix peut marquer ou pas une rupture sémantique entre le domaine métier et le domaine technologique. En fonction de ce choix, il sera possible ou pas de projeter sur le système informatique les principes d’Architecture d’Entreprise que l’organisation s’est fixée. Il est donc recommandé de choisir le paradigme adéquat permettant d’assurer la continuité sémantique afin de favoriser l’alignement du SI sur le métier.

———–

Glossaire

Sigle	Libellé
SOA	Service Oriented Architecture
SI	Système d’Information
URI	Uniform Resource Identifier
JNDI	Java Naming and Directory Interface
IOR	Interoperable Object Reference
WSDL	Web Service Description Langage
IDL	Interface Description Language
SOAP	Simple Object Access Protocol
RMI	Remote Method Invocation
TCP/IP	Transmission Control Protocol/Internet Protocol
HTTP	HyperText Transfer Protocol
JMS	Java Message Service
IIOP	Internet Inter-Orb Protocol
EAM	Entreprise Asset Management
ECM	Entreprise Content Management
GoF	Gang Of Four, acronyme utilisé en particulier pour désigner le groupe de quatre auteurs de référence dans le domaine des paradigmes d’architecture

Bibliographie

Auteur(s)	Ouvrage
J.L Austin	How to things with words, Oxford University Press, 1962
J.R Searle	Speech Acts, Cambridge University Press, 1969
T. Winograd & F. Flores	Understanding Computers and Cognition, Albex Publishing Corporation, 1986
D.P Siewiorek & C.G Bell & A Newell	Computer Structures : Principles and Examples
Xavier Fournier-Morel & Pascal Grojean & Guillaume Plouin & Cyril Rognon	SOA, Le guide de l’architecte, Editions Dunod, 2006

Remerciements

Nous tenons à remercier Khalil El Idrissi pour ses précieuses remarques et sa contribution à la reflexion sur la sémantique.

Auteur

Anas Taud, Responsable d’Offre, Architecte d’Entreprise.

L’enquête « La gestion de l’information et de ses services» a permis d’identifier :

•  Le niveau de maturité autour de la complexité de l’information,

•  Le positionnement en terme de relation de services,

•  L’organisation autour des processus,

•  La connaissance et la gouvernance de l’information,

•  Les challenges, priorités et budgets pour 2009.

Pour recevoir cette étude :  cliquez ici

La présentation de Nicolas Ruff a fait un constat pessimiste (et polémique) sur le faible niveau de sécurité des entreprises pour lesquelles il intervient. Le problème principal qu’il relève est l’utilisation de mots de passe comme (faible) moyen d’authentification. Avec les techniques d’attaques locales ou à distance, il est (trop) souvent possible de récupérer des bases de comptes et les techniques de cassage modernes permettent de découvrir les mots de passe (même complexes) très rapidement. L’autre problème relevé est l’explosion du nombre de virus et autres malwares, ce qui rend de plus en plus difficile leur détection par les anti-virus. La solution passe par le contrôle systématique de la signature des logiciels par les systèmes d’exploitation. La résolution de ces deux problèmes nécessite la mise en oeuvre des techniques de chiffrement, de gestion de clé (PKI) et ces techniques sont loin d’être déployées à large échelle.

Alexandre Fernandez-Toro a posé plusieurs questions sur l’utilité de la norme ISO27001. La bonne nouvelle pour les RSSIs et plus généralement pour les personnes qui mettent en oeuvre cette norme, c’est que cela sert en général leur carrière. La mauvaise nouvelle qu’il constate est qu’en général la conformité à la norme n’améliore pas la sécurité globale des entreprises. Les entreprises qui améliorent effectivement leur niveau de sécurité n’ont en général pas besoin de la norme pour mener leurs actions.

L’introduction de Pascal Andrei a mis l’accent sur l’évolution des techniques mises en oeuvre par Airbus pour accompagner les mutations de technologies dans l’informatique embarquée. Il a exposé les différences entre les notions de safety (sécurité de fonctionnement) et de security (sûreté de l’environnement). La première fait référence à la conception des systèmes pour limiter les impacts liés à une anomalie ou une panne. La deuxième s’intéresse à la protection des systèmes contre des actes malveillants (physique ou logique). Si on fait une analogie avec un système d’information plus classique, un RSSI doit travailler sur la disponibilité des systèmes nécessaires à la vie de l’entreprise, mais il doit également mettre en oeuvre des contre mesures contre des actes malveillants (internes ou externes). La difficulté supplémentaire dans le cas d’un avion est le peu de temps disponible pour la maintenance (difficile voir impossible à faire en vol). Depuis l’A380, le SI embarqué intègrent une PKI qui assure l’intégrité des logiciels et de tous fichiers sensibles via des contrôles de signatures. Dans un système embarqué c’est une nécessité absolue, mais ce type de contrôle, déjà en place dans l’informatique mobile, devrait se généraliser au monde du logiciel entreprise (à plus ou moins long terme).

Les techniques d’attaque montrées par les différents intervenant ne sont pas nouvelles mais le constat est que ces techniques fonctionnent encore pour plusieurs raisons. Dans le cas des attaques de type fuzzing, tant qu’il y aura des bugs, il sera possible de les rechercher et de tenter de les exploiter. La bonne nouvelle est néanmoins que les outils de plus en plus sophistiqués peuvent être utilisés pour améliorer la qualité des logiciels développés. Mais est ce vraiment le cas ? Concernant les attaques (plus triviales) de type XSS, les statistiques montrées par Pierre  Gardenat sont très inquiétantes (85% des sites web sont vulnérables - source OWASP). Le moindre manque de contrôle d’une entrée d’un formulaire peut rendre un site vulnérable. Cela concerne tous les sites, y compris les sites de réseaux sociaux comme facebook, avec dans ce cas, des conséquences sur la vie privée des internautes. Le manque d’éducation des développeurs et des maîtres d’oeuvre est la seule explication à une statistique aussi élevée. Enfin les techniques d’attaques bas niveaux sur les mécanismes de gestion mémoire et de gestion des bus PCI sont bien plus difficile à mettre en oeuvre mais elles restent terriblement efficaces. Dans le cadre d’une entreprise, il est difficile à expliquer à un DSI qu’il faut supprimer les extensions type bus PC CARD des portables de l’entreprise car il est possible de se connecter sur un poste sans mot de passe en utilisant une PC CARD “malveillante”, comme l’on montré Guillaume Vissian et Christophe Devine. La sécurité du SI d’une entreprise reste liée à son environnement, comme au contrôle d’accès physique aux bâtiments (par exemple).

La virtualisation a été montré comme un moyen de renforcer la confiance dans un système d’exploitation. L’ANR a lancé le projet SEC&SI en 2008 et les 3 soumissionnaires ont pu présenter leurs travaux. Il est à noter que 2 solutions mettent en oeuvre la virtualisation comme couche supplémentaire de contrôle et de cloisonnement entre les espaces privilégiés (matériel, système) et les espaces utilisateur. Cette présentation a été l’objet de multiples discussions avec d’autres participants et les avis sont partagés. Tous les participants (ou presque ?) sont cependant impatients de tester les résultats et curieux de connaître le vainqueur de ce défi. Dans le monde de l’entreprise, la virtualisation semble de plus en plus utilisée aussi pour le gain de sécurité qu’elle apporte. Cependant la virtualisation est en général utilisée pour les serveurs et pas pour les postes de travail.

En conclusion, ce papier ne traite pas volontairement de tous les sujets présentés (cf programme), ni des rump sessions (sujets libres de 4 minutes) car les actes sont (ou seront) disponibles sur le site. Même si les sujets présentés sont  techniques et parfois du domaine de la recherche, il est important de suivre les évolutions de ces techniques et donc des menaces. De ce point de vue, l’édition 2009 du SSTIC a encore une fois tenu toutes ses promesses et gageons que les places de l’édition 2010 seront aussi rapides à être vendues. La difficulté après ces trois jours est de faire la part des choses (risques) et de ne pas sombrer dans la paranoïa.

Patrick Chataignier

You want to learn about recipes to succeed in Internet?  Look carefully how this major actor of Internet built its success!

The Early years 1998-2005(1/3)

Is it really possible to write articles for one’s consultants’ agency on the Internet subject and not write about the most important actor…which is Google? “Definitely not” seems to be the correct answer to the former question.

So, time is ripe to make up for this. There are so many interesting facts and figures together with analyses to perform on Google that I invite you on a “Trilogy” travel to be spread on the next months.

On this first article, let’s have a look on the start of Google.

In the IT environment, good stories always start in a garage. That was the case with these two students from Stanford University, Larry Page and Sergey Brin who claimed in 1998 they could build a company able to “organise World information and make it reachable and useful for all“. The initial capital base was 1 million $ thanks to friends, relatives and private funds.

In 1999, they raised additional investments (25 million $) to improve their research engine, capable of cross finding information between sites better than Yahoo or Altavista were doing. At a time when competitors choose to propose multiple services on their portal, Google was only focusing on the research tools and decided to keep a free service for companies eager to be referenced on their portal.

In retrospect it seems so obvious but that was a bright move which is still at the heart of Internet today and these now famous “economic models” to be found I looked upon last month in this blog. Because, guess what? Altavista and some others went for a paying service at the end of 2001. If you want to learn about what happened to Altavista, I invite you to type Altavista on Google and find out about their story…

In 2002 Google launched Google Labs to increase innovative services and Google news dedicated to research in “News” area. The next big step towards success for Google was the launch of Adwords in 2002 enabling companies to display adverts adapted to the content delivered by the search engine. AdWords ads are displayed along with search results on Google and there are costs for advertisers only when people click on them (Cost per Click). When you create a Google AdWords ad, you choose keywords for which your ad will appear and specify the maximum amount you’re willing to pay for each click. This ad ecosystem aiming at satisfying both advertisers and users is managed thanks to an auction rule that can not been described simply by words. But you really should have a look at this video where Hal Varian (chief economist at Google) explains this brilliant policy.

Up to now, you easily understand that Google became an advertising agency on top of an Online research company. In 2003 it extended the Google Adwords for web publishers with Google Adsense, enabling the display of Google adwords on other web sites. Google provides web publishers with AdSense HTML ad code to place on their web pages on which these latter can display AdWords ads.

In March 2004, Google starts to dig at Microsoft with the launch of Gmail. New services followed suit such as Gtalk (IM service), Gsms (sms sending).

Since 2001, Google also bought companies (8 until 2003) to grow even more and propose new services. In 2004 they swallowed five other firms, with among them Picasa (photo management), Keyhole (Google earth) and Where 2 (Google maps).

I suggest we follow the story next month to see what became the strategy of Google from year 2005. What should be remembered so far? The major Actor of Internet built it first successes on a free model sponsored by a brilliant management of advertising, while never stopping to innovate and expand. Internet is not an environment where you can sleep on your original strategy.

by Patrick Chataignier

[polldaddy poll=1592261]

Badredine Ladjemi

A recent report from the BI Norwegian School of Management has found that those who download music illegally are also 10 times more likely to pay for songs than those who don’t. On the same time, the percentage of french P2P users has fallen from 23% to 18% between 2008 and 2009.

In my last article : Digital content sharing: Beyond good and evil… I explained that from the business position we should not care if digital content sharing is good or bad. What matters is the revenue you can make from it. So let’s explore how revenues could be made from P2P users…

P2P will disapear soon because of a flood of trials and fees?

P2P killed by Justice?

People may think that PirateBay is now under troube since its founder has been convicted of illegal sharing.  But it has been disclosed that the judge in the trial is a member of two pro-copyright groups, including one whose membership  includes entertainment industry representatives who argued in the case.

French governments was thinking that HADOPI would defintively put an end to P2P. Instead some geeks published a tutorial explaining how to “Hijack HADOPI in 27 seconds”. There were also some documentation made for Identifying P2P users using traffic analysis. They were made to punish and block P2P users.  But what if we identify P2P users not to punish them but to collect data on them and propose them the best legal music offer service?

P2P users are the present and future legal music offers customers.

We consequently need studies to profile this type of people and adress their need.  Legal music offer websites should focus more on satisfying the P2P users and giving them the best user experience possible. Since now mainstream legal music offer havn’t been made for P2P users. They focus mainstream internet users and many of them sell DRM protected music which are targeting against, and not for, P2P users. Let’s have a look on how many people does P2P users represent nowadays.

Addressable market of P2P users. Source: Yankee Group, 2005

In a research made by Thomas Beauvisage from OrangeLabs explore the use of computer at home. He categorized massive P2P users as “Multimedia”. These users represent 15% of computer users. Another study from ipoque company on Internet for 2008/2009 shows that P2P generates most traffic in all regions and Streaming is taking over P2P users for video content. BitTorrent is still number one of all protocols, HTTP second and the proportion of eDonkey is much lower than last year.  We need more of these kind of studies! They help drawing a concrete idea of what P2P users do represent.

Another study commissioned in 2006 by the Canadian branch of the RIAA, the Canadian Record Industry Association shows that people are buying music after downloading it on P2P. Three out of four P2P users admitted to purchasing music after downloading it online, with 21 percent of P2P users saying that they have bought tracks they have also downloaded on more than 10 occasions. 25 percent admitted to purchasing previously-downloaded tracks only once or twice, while an additional 27 percent claimed to have done it less than 10 times, but more than twice. The industry has failed to recognize the marketing-like effects of P2P. It’s the role of the IT Industry to recognize revenue potential of P2P.

Pirate Bay user

A study on british youth conducted by British Music Rights and researchers at The University of Hertfordshire in 2008, shows that 80% of P2P users are prepared to engage with a legal file-sharing service, and place a considerable monetary value on it. They ask for a service that let them trial, swap, and recommend, music for arange of tariffs. And according to a poll 86% of Swedes would pay for legal P2P.

PirateBay, the famous bittorrent digital content sharing search engine, issued a study on its users. It appears that they were 54 392 french users per minute. It means, for me, that PirateBay reach an audience of almost 55 000 potential french online music buyers per minute. Imagine if just 1% of these almost 55 000 potential customers per minute turned into real ones? So my bet : advertizing for legal music offer on these P2P platform and softwares can convert a lot of pirates into customers only if the service is designed for them.

Real life initiatives

And it seems that the BBC had the same analysis. Indeed the EU and a conglomerate of major industrial players including BBC agreed to develop a next generation Peer-to-Peer (P2P) content delivery platform.

If this seems too utopic to you, I have some real life exemples. In the USA, some legal P2P services have already been launched like Qtrax. In exchange of advertising they let you search, download and preview music for free. In China, Google China Signs Big Music For Free MP3 Search Engine.

by Badredine Ladjemi

[polldaddy poll=1592248]

Yann Desjardins

Based on recent statistics and companies results, this article shows that French traditional media companies meet effective results in their attempt to raise online audience. However these players leverage poor online benefits and their global revenues tend to decrease. Let’s examine what development initiatives can be activated to reshape the media business model toward more profitability.

According to recent estimations published by Microsoft, internet usage in Europe should outstrip traditional TV in 2010, with an average time spent of 14,2 h/week against 11,5 for TV. Advertising revenues are following this trend, with investments on traditional channels (TV-press-radio) currently flattering or even decreasing.

Main traditional media companies have understood these market dynamics as they proceed to organisational and technological efforts toward online audience development. In France, the Médiamétrie // Netratings website ranking shows that traditional media companies are efficiently competing with a large array of pure players, content aggregators and UGC (User-Generated Content) platforms. For example in february French leading TV group TF1 was the 4th most visited French group behind Orange, PagesJaunes and Ilias (Free) thanks to about 15 million unique visitors, which covers 50% of Google’s unique visitors.

Most visited groups online in France in February 2009 (in millions of unique visitors) Source: Médiamétrie // Netratings

Content and channel diversification as key trends

Influenced by successful UGC models like Youtube or Facebook, news content portals are building substantial audience by integrating video content and web 2.0 features such as microblogging, widgets or social mapping. TF1 for example has recently launched a new version of its web portal that provides catch-up TV services, news contents, social features, and specific highlights on their UGC video platform WAT. Besides TV channels that have well integrated these features, press companies such as Le Figaro are moving away from traditional text contents to integrate videos and interactive features to their portals.

Another key trend is channel diversification, which goes toward mobile usage. Mobile terminals and networks evolutions offer opportunities to develop on-the-move audience, and a new channel for innovative advertising. Le Monde application for iPhone is an example of a success story as it brought up more than 400 000 downloads through the App Store.

Limited impact of an ad-based model

Traditional media are following usage evolutions, but they still face difficulties in terms of profits. They have built a revenue model mainly based on online advertising, which will not go beyond 20% of global advertising investments before 2012, says ZenithOptimedia.

Le Monde, in spite of its digital efforts, lost 43 million € in 2008 and is not optimistic about 2009, as key investors like car companies are highly affected by the crisis and consequently tend to reduce advertising budgets (-6,4% in the last two months in France, source: TNS MI).

These days an online consumer generates five to ten times less ad revenue than an offline consumer. This figure is raising concerns among media players that highly need to diversify their business model.

Audience development strategies need to be combined with diversified revenue models

Traditional media online revenues are currently dominated by advertising. TF1 group, that forecasts a turnover fall of 9% in 2009, gets 2/3 of its online benefits through advertising. It provides us an example of a model that needs to seek further diversification.

With the knowledge of these current issues affecting traditional media players, here are a few business development recommendations based on existing initiatives and experts advices designed toward a diversified revenue model:

- Fee based BtoC services and e-commerce

By contrast with online advertising, the e-commerce market is mature and maintains a steady growth rate. Players could use their offline sales experience (eg magazines, newspapers,…) to develop fee-based B2C online services through subscriptions bundles (archives, special editions,…) or even physical products.

- Cross media and mobile strategies

One key interest for the media is to provide content through several channels according to a 3-screen approach (PC-TV-mobile). Such a strategy could leverage new advertising opportunities. However, monetization of mobile audience is still pending on the development of a fine mobile audience measurement solution which is currently developed by GFK in a few European countries.

- B2B services

Main Media groups that have managed to build (or acquire) online development expertise have the capability to provide portals design or audience development services to external players.

- Strategic partnerships

Partnerships especially between content providers and broadcasters can provide 2 main advantages: the capability to bring faster strategic moves on both sides and international size.

These initiatives can be combined differently depending on company’s core business and audience. They are being investigated with scrutiny by media players in their transition from a single to a multi-sided business model.

For more details:

• Classement des sites d’information : effondrement du Figaro.fr
• 24/24 Actu, l’information vue par Orange
• Tf1.fr, nouvelle version du site
• TF1 se prepare à une année difficile
• IDATE - Media companies’ e-Commerce Strategies (March 2009)
• Le Monde : perte nette de 43,7 millions d’euros
• CNC -  Baromètre du marché publicitaire (janvier 2009)
• Conférence EBG  ”stratégie des portails d’informations”
• Médiamétrie // Netratings - L’Audience de l’Internet en France en Février 2009
• IDATE : Publicité - Médias, Internet, Télécoms -  nouveau nerf de la guerre (Feb 2009)

by Yann Desjardins

[polldaddy poll=1592570]

Frédéric Abella

The first real change of internet is its countless capacity of media distribution.

step 4 - everything is reachable…

Since the beginning of humanity to now, the number of pipes between a content and a person has increased, with a good acceleration in the second half of the XXth century. With Gutenberg, books number has increased. Radio was created and the number of radios increased. Cinema was invented , then movie theaters built . TV appeared and TV channels were overflowing. But at the end, they were not that many.

If Paul had created something, a piece of information, a song, a film, the number of pipes to go from him to someone else was fairly skimpy compared to the number of Pauls who create things, and to the number of Maries who can be interested. 60 millions only in France. How many can have an article published in Le Monde? How many can be signed on Virgin label? How many can talk on TF1 channel? Very few.

Today, an old pipe is just one pipe amongst billions of others.

Imagine a world with 1 pipe, the Pipe.

Talking about creators, on one side, you have Paul and Vincent distributed by this unique Pipe. On the other side, you have a millions of sad creators not distributed. Paul and Vincent are happy as they won the competition to be in the Pipe. The Pipe is happy. It makes money from people who want to access to this unique content offer, as there is nothing else.

Now let’s change the rules in one day and add enough new pipes to make the millions of sad creators reachable. The creators are happy as they are reachable by anyone. And a lot of people abandon the old Pipe to new ones to see those unknown creators and their fresh contents. Even several pipes at the same time, switching from one to another in an instant. The old Pipe doesn’t understand what is happening and why it is loosing money. It is not unique and mandatory anymore, just one next to others. And Vincent and Paul? Ditto. Even if they still make money with the old Pipe, they make less and they need to find other ways to people. Meaning other pipes. Moreover they are now again in competition with the other creators. The old Pipe, Vincent and Paul are just drops in the ocean.

That’s why the newspapers are fighting to survive and press agencies are not unique news producers anymore. MySpace, Twitter , Facebook are pipes and creates millions of pipes. Justin.tv offers more than 400 000 live video TVs, and even Le Monde is now a TV producer. That’s why knowledge is under everyone’s thumb and not only in libraries or museums.

step 5 - … but everything is not reached.

Here is George, one of the ex-sad creators of the Pipe world. He creates a song, records it on his computer and upload it on his MySpace page. The song is reachable by anyone anywhere in the world. George payed nothing to be reachable. No, he has earned nothing yet. Nobody comes to listen to the song, because noone knows it exists. But it is reachable. If Marie wants to listen to it, she can. But this futur fan has not a clue it is here. And Marie has not enough time to search or listen to George’s song. So what?

The competition now is not to be reachable anymore, but to be reached. What is the difference between a pipe-drop and another pipe-drop? between a content-drop and another content-drop? So how to be a different drop?

As a pipe, to be close to the person. Marie has a limited capacity of attention or choice. I remind you the whole story is to lead a content to her. So this content needs to be in the funnel to her attention. And as the funnel end is close to Marie, the winners need to be as closely as possible from Marie. Long time ago, in a theater. Today in the house with TV and computer and tomorrow in the pocket, with mobile.

Here is Zillion TV. As a pipes’ owner, Lagardère invests in mobile. Yahoo, a portal-pipe, wants to be mobile. Everyone wants to be on the Iphone, as SFR TV or Orange TV.

As a content, to have a reputation. If Marie knows the George’s song exists, it is because she heards about it, amongst a billion of other songs, as it is reputed. Reputation can be build by being promoted by a lot of people (social recommandation with tags or as Susan Boyle), or by one reputed person. And there is already deals between reputed contents and reputed pipes  (Sony and Youtube , Disney and Youtube).

Yes old few pipes are still there, close and reputed, and specially TV. But for how long….

by Frédéric Abella

[polldaddy poll=1592558]

Mac-Coy Pham

ARCEP Lettre n°66

This month, you have the great opportunity to update your general knowledge on the B2B activity thanks to the ARCEP lettre #66, particularly focusing on the followong points :

• General trends on the B2B market (page 1-2)

ToIp, VoIP, Mobile messaging, unified communications, blogs, wikis, social networking are increasingly deployed within companies. Traditional integrators slightly but surely modify their business strategy (Also Read the article concerning Nextira One) moving away from their original services portfolio.

• IP migration  - (Pages 4- 9) : Major  Expectations and stakes : Quality of Service, Security, and new usages
• Carriers market point of view (BT, Verizon, Completel, Colt, Orange, SFR, Bouygues Telecom)

Stéphanie Meyer

[polldaddy poll=1592579]