Comment la suite d’encaissement rPos intègre la cybersécurité dès la conception ?

Asten Retail édite rPos, une suite logicielle de gestion de magasin qui couvre notamment l’encaissement, le back-office et la fidélité. Pour en assurer la sécurité, les équipes s’appuient sur Asten Cyber, qui intervient sur plusieurs volets : tests d’intrusion annuels, durcissement du système d’exploitation des caisses selon le référentiel CIS, suivi du patch management, antivirus, et déploiement possible d’un EDR et d’un système de collecte de logs. Aimery, Responsable du Pôle Asten Cyber, et Jean-Yves, Responsable études et développement chez Asten Retail, détaillent cette collaboration, les risques propres au secteur du retail et les mesures mises en œuvre pour garantir la continuité d’activité des enseignes.

Qu’est-ce que la suite rPos et à quel type d’enseignes s’adresse-t-elle ?

rPos est une suite d’outils informatiques dédiés à la gestion des magasins. Elle comprend le système d’encaissement, la gestion du coffre et le back-office magasin, qui permet notamment de gérer les réapprovisionnements. Elle intègre aussi des outils d’animation commerciale et de fidélisation des clients, dont le système de fidélité. D’autres outils sont directement utilisés en magasin, comme la supervision des caisses qui permet de suivre l’activité des caissiers et de leur accorder certaines autorisations à distance. Par exemple, un responsable peut autoriser la suppression d’une ligne article ou l’annulation d’un ticket sans se déplacer jusqu’à la caisse. C’est particulièrement utile dans les grands magasins, qui peuvent compter une trentaine de caisses.

La suite s’adresse principalement aux enseignes disposant d’au moins une cinquantaine de caisses au total et peut aller jusqu’à plusieurs milliers de caisses pour les plus grands réseaux.

Pourquoi avoir choisi Asten Cyber pour sécuriser la suite rPos ?

Cela permet de travailler dans la durée avec des équipes qui connaissent déjà l’environnement et la solution, plutôt que de faire appel à un prestataire extérieur. Cette proximité facilite les échanges, notamment sur les sujets sensibles de confidentialité et de protection des informations technologiques. Le travail a commencé par des tests d’intrusion, puis s’est étendu au durcissement du système d’exploitation qui supporte la solution. Un antivirus a également été mis en place et une solution EDR peut être déployée selon l’usage des caisses. L’ensemble a été réalisé sur plusieurs semaines, avec une collaboration étroite entre les équipes, ce qui aurait été beaucoup plus complexe avec un prestataire extérieur. S’appuyer sur Asten Cyber permet aussi d’accompagner la solution dans la durée et d’en améliorer progressivement le niveau de sécurité.

Quels sont les risques cyber spécifiques au secteur du retail ?

Les caisses sont généralement moins exposées qu’un poste informatique classique. Elles servent principalement à l’encaissement, exposent peu de services, et l’opérateur n’a en principe pas vocation à naviguer sur Internet ni à installer des logiciels. En revanche, les conséquences d’une attaque peuvent être très importantes. L’infrastructure étant mutualisée, la compromission d’un système peut se répercuter sur l’ensemble des magasins. Elle peut entraîner une interruption de l’activité et un impact direct sur le chiffre d’affaires. Des cas de ce type ont déjà paralysé certaines enseignes pendant plusieurs semaines.

La protection des données est un autre enjeu. Les systèmes peuvent contenir des données clients et des historiques d’achat. Leur sensibilité dépend du secteur d’activité : selon les cas, ces informations peuvent révéler des éléments personnels, voire des informations sensibles sur les habitudes ou les centres d’intérêt des clients.

Enfin, la sécurisation doit tenir compte des contraintes du magasin. Le chiffrement complet des postes, par exemple, protège les données en cas de vol, mais peut compliquer le redémarrage des caisses après une coupure de courant, notamment dans les grands magasins.

Comment les équipes Asten Retail et Asten Cyber travaillent-elles ensemble sur le maintien de rPos ?

Asten Cyber assure la sécurité de la solution sur deux axes : en aval, des tests d’intrusion sont menés sur les serveurs et les caisses et en amont, un travail porte sur le durcissement du système d’exploitation des caisses. Un travail important a été réalisé lors de la mise en place de ces mesures, puis un suivi régulier vérifie que le niveau de sécurité reste conforme à ce qui a été défini. Ce suivi comprend la supervision des mises à jour et du durcissement des caisses. Des points réguliers sont également organisés avec les clients pour faire le bilan de la situation et échanger sur les éventuels incidents ou sujets de sécurité.

Quels outils de sécurité peuvent être mis en place ?

Un EDR peut être déployé sur les caisses, mais sa pertinence dépend de leur usage. Une caisse uniquement dédiée à l’encaissement présente une surface d’attaque limitée. Une caisse également utilisée pour naviguer sur Internet est plus exposée, et l’installation d’un EDR y prend davantage de sens.

Un système de collecte des journaux, de type SIEM, peut aussi être mis en place. Les caisses et les serveurs remontent leurs logs vers un serveur centralisé et ces informations peuvent ensuite être consultées en cas de compromission pour comprendre ce qui s’est passé. Ce dispositif donne une vision de la sécurité de la solution et facilite l’analyse en cas d’incident.

Vous avez mené des pentests sur l’applicatif rPos et sur les serveurs : en quoi cela consiste-t-il concrètement, à quelle fréquence, et qu’ont-ils permis d’améliorer ?

Des tests d’intrusion sont réalisés chaque année sur l’applicatif rPos, les serveurs et les caisses. L’objectif est de simuler une attaque pour identifier les vulnérabilités et les points à améliorer. La méthodologie est assez générique et ne se limite pas à l’écosystème rPos. Les testeurs se placent dans la position d’un attaquant et cherchent à accéder au système depuis différents points d’entrée. Ils peuvent aussi tester directement certaines briques, comme le serveur ou les caisses, pour évaluer leur niveau de protection. Cela met en évidence les vulnérabilités, les mauvaises configurations et les failles qui pourraient permettre de contourner les protections en place.

Ces tests ont avant tout permis d’améliorer le niveau de sécurité de la solution. La particularité de la cybersécurité est que les mesures sont souvent invisibles quand tout fonctionne. Leur efficacité se mesure lorsqu’une tentative d’attaque est bloquée, ou qu’une vulnérabilité est identifiée puis corrigée.

Un test d’intrusion n’est pas une validation définitive car la solution évolue. Le code de rPos a beaucoup changé depuis les premiers tests réalisés il y a plusieurs années, tout comme les méthodes de développement et les outils. Les tests doivent donc être renouvelés régulièrement pour tenir compte de ces évolutions.

Un travail de durcissement (hardening) a été fait sur l’ensemble des caisses : quelles sont les mesures concrètes mises en œuvre ?

Le durcissement s’est appuyé sur le référentiel CIS (Center for Internet Security), qui regroupe des recommandations et bonnes pratiques de sécurisation des systèmes. Ce référentiel comprend plusieurs centaines de mesures. L’objectif n’était pas de toutes les appliquer, chacune a été étudiée pour déterminer si elle était pertinente pour rPos et compatible avec les contraintes de production. Il fallait trouver le bon équilibre entre le niveau de sécurité recherché et les besoins de fonctionnement des caisses. Certaines mesures ont été appliquées parce qu’elles apportaient un réel bénéfice et d’autres ont été écartées parce qu’elles risquaient de perturber la solution, ou parce qu’une autre mesure couvrait déjà le risque. Au total, environ trois quarts des recommandations ont été appliquées.

Plusieurs mesures visent concrètement à réduire la surface d’attaque des caisses. Certains périphériques et usages, comme la connexion d’équipements en USB, ont été désactivés. Les emplacements depuis lesquels il est possible d’exécuter des programmes sont limités et contrôlés, ce qui empêche qu’un attaquant ayant compromis une caisse puisse facilement y déposer et exécuter de nouveaux programmes. Le nombre de logiciels installés a enfin été réduit au strict nécessaire, le système d’exploitation ayant déjà été allégé en amont par les équipes Retail, qui avaient supprimé les composants et services inutiles. Cela réduit le nombre de points exploitables en cas de compromission.

Vous avez aussi mis en place un monitoring du patch management : comment cela fonctionne-t-il, et qu’est-ce que cela permet de détecter ou d’anticiper ?

Ce dispositif donne une vision globale de l’état du parc de caisses : plutôt que de suivre individuellement les caisses d’un parc pouvant compter des milliers d’équipement, on s’appuie sur un échantillon représentatif. Cela fonctionne bien parce que toutes les caisses utilisent le même système d’exploitation et les mêmes logiciels. Une solution de supervision identifie les patchs manquants sur les applications et le système, elle peut par exemple signaler qu’une application utilise une version vulnérable et qu’un correctif est disponible.

À terme, l’objectif est un patch management continu, avec des mises à jour déployées régulièrement. Pour limiter le risque qu’une mise à jour perturbe une caisse, le déploiement est progressif, selon un système de « rings ». Les patchs sont d’abord déployés sur un environnement de préproduction, puis sur un nombre limité de caisses ou de magasins. Si les tests sont concluants et que le fonctionnement reste normal, le déploiement est ensuite étendu à l’ensemble du parc. Les vulnérabilités sont ainsi corrigées rapidement, tout en vérifiant à chaque étape que les mises à jour n’ont pas d’impact sur les caisses.

Pour une enseigne qui utilise rPos, qu’apporte concrètement cette sécurité en coulisses, et les clients vous interrogent-ils souvent sur le sujet ?

Pour une enseigne, la sécurité autour de rPos doit avant tout garantir la continuité de l’activité en limitant les risques de compromission et en évitant qu’un incident ne perturbe les magasins. Elle permet à l’enseigne de continuer à encaisser et à faire fonctionner ses magasins dans de bonnes conditions. Dans le meilleur des cas, ces mesures sont peu visibles pour les équipes en magasin. Elles peuvent parfois entraîner des contraintes, notamment lorsque des ports ou des accès doivent être ouverts pour un besoin opérationnel, mais ces situations restent limitées et sont prises en compte dès la conception.

La cybersécurité revient de plus en plus souvent dans les échanges avec les enseignes et les prospects. Ce n’est pas nécessairement la première question abordée, mais il devient difficile d’envisager une solution d’encaissement sans s’interroger sur les mesures de sécurité. L’enjeu pour rPos est de montrer que la sécurité a été pensée dès la conception, et non traitée après coup, et qu’elle fait l’objet d’un suivi dans le temps. C’est un gage de sérieux pour les enseignes.