Qualys met la conformité de la sécurité en boîtier

Stéphanie Renault

01net.

le 13/06/2008 à 11h40

laisser un avis

envoyer
par mail

imprimer
l'article

Philippe Courtot est convaincu de la pertinence de son modèle. Le PDG de Qualys, qui est aussi un entrepreneur emblématique de la Silicon Valley, ne jure que par les logiciels sous la forme de service, ou Software as a Service (SaaS). Il prédit même que “ dans deux ans, il n'y aura plus une seule application qui ne sera pas délivrée sous forme de service ”.

La société procède toutefois à sa manière puisque, si le logiciel est bien hébergé sur ses propres serveurs, une entreprise qui veut l'utiliser devra installer en interne un boîtier chargé de l'audit. QualysGuard Policy Compliance est en effet un outil qui permet de contrôler la mise en conformité des systèmes de sécurité de l'entreprise. Les domaines couverts par le service sont la gestion de la sécurité, l'authentification, les contrôles d'accès, la sécurité des services réseaux, les antivirus, le contrôle et le chiffrement des applications.

Pas d'installation logicielle

QualysGuard Compliance Suite est installé sur le même boîtier que l'offre d'audit de la vulnérabilité du système informatique de Qualys (QualysGuard Vulnerability Management). Ce serveur tout-en-un se positionne dans le réseau local de l'entreprise.

L'audit (de vulnérabilité ou de conformité) va être réalisé à partir de ce matériel, sans aucune installation logicielle nécessaire, que ce soit sur les serveurs de l'entreprise ou sur les équipements à analyser. La périodicité et les systèmes à contrôler sont définis par l'utilisateur. L'audit va permettre de vérifier si les règles définies par l'entreprise ou dictées par des régulations (CobIT, Sarbanes-Oxley, HIPAA, GLBA, Basel II, etc.) ou si des normes (ISO, CIS, NIST,etc.) sont bien respectées.

“ Par exemple, l'entreprise peut auditer et vérifier la longueur des mots de passe utilisés dans le réseau et sur les différentes applications. L'outil alertera alors sur ceux qui n'ont pas une longueur suffisante et ne respectent pas les règles de sécurité définies par l'entreprise ”, explique Philippe Courtot.

Quant au prix, il est facturé sous forme d'abonnement annuel. “ Il faut compter entre 2 et 50 dollars [1,28 et environ 32 euros, NDLR] par équipement audité et par an auxquels s'ajoute l'abonnement à l'appliance qui est d'environ 2 000 dollars annuels [1 285 euros, NDLR]. Ce sont les même prix que pour l'audit des vulnérabilité ”, précise Philippe Courtot. Les principaux concurrents de ce produit sont Enterprise Security Manager de Symantec et Risk and Compliance Manager de McAfee, mais ceux-ci ne sont pas, à notre connaissance, disponibles sous forme de service.

Dans les cartons de l'éditeur/fournisseur de services, d'autres projets se dessinent. En particulier, le scan des applications Web. Toujours en mode Saas. Evidemment.

agrandir la photo