{"id":1270,"date":"2026-10-29T11:49:21","date_gmt":"2026-10-29T10:49:21","guid":{"rendered":"https:\/\/www.groupe-asten.fr\/?p=7908"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2026-10-29T11:49:21","slug":"securite-caisses-retail-rpos","status":"publish","type":"post","link":"https:\/\/www.groupe-asten.fr\/retail\/securite-caisses-retail-rpos\/","title":{"rendered":"Comment la suite d’encaissement rPos int\u00e8gre la cybers\u00e9curit\u00e9 d\u00e8s la conception ?"},"content":{"rendered":"\n

Asten Retail \u00e9dite rPos, une suite logicielle de gestion de magasin<\/a> qui couvre notamment l’encaissement, le back-office et la fid\u00e9lit\u00e9. Pour en assurer la s\u00e9curit\u00e9, les \u00e9quipes s’appuient sur Asten Cyber<\/a>, qui intervient sur plusieurs volets : tests d’intrusion annuels, durcissement du syst\u00e8me d’exploitation des caisses selon le r\u00e9f\u00e9rentiel CIS, suivi du patch management, antivirus, et d\u00e9ploiement possible d’un EDR et d’un syst\u00e8me de collecte de logs. Aimery, Responsable du P\u00f4le Asten Cyber, et Jean-Yves, Responsable \u00e9tudes et d\u00e9veloppement chez Asten Retail, d\u00e9taillent cette collaboration, les risques propres au secteur du retail et les mesures mises en \u0153uvre pour garantir la continuit\u00e9 d’activit\u00e9 des enseignes.<\/p>\n\n\n\n

Qu’est-ce que la suite rPos et \u00e0 quel type d’enseignes s\u2019adresse-t-elle ?<\/strong><\/h2>\n\n\n\n

rPos est une suite d’outils informatiques d\u00e9di\u00e9s \u00e0 la gestion des magasins. Elle comprend le syst\u00e8me d’encaissement, la gestion du coffre et le back-office magasin<\/a>, qui permet notamment de g\u00e9rer les r\u00e9approvisionnements<\/a>. Elle int\u00e8gre aussi des outils d’animation commerciale<\/a> et de fid\u00e9lisation des clients<\/a>, dont le syst\u00e8me de fid\u00e9lit\u00e9. D’autres outils sont directement utilis\u00e9s en magasin, comme la supervision des caisses qui permet de suivre l’activit\u00e9 des caissiers et de leur accorder certaines autorisations \u00e0 distance. Par exemple, un responsable peut autoriser la suppression d’une ligne article ou l’annulation d’un ticket sans se d\u00e9placer jusqu’\u00e0 la caisse. C’est particuli\u00e8rement utile dans les grands magasins, qui peuvent compter une trentaine de caisses.<\/em><\/p>\n\n\n\n

La suite s’adresse principalement aux enseignes disposant d’au moins une cinquantaine de caisses au total et peut aller jusqu\u2019\u00e0 plusieurs milliers de caisses pour les plus grands r\u00e9seaux.<\/em><\/p>\n\n\n\n

Pourquoi avoir choisi Asten Cyber pour s\u00e9curiser la suite rPos ?<\/strong><\/h2>\n\n\n\n

Cela permet de travailler dans la dur\u00e9e avec des \u00e9quipes qui connaissent d\u00e9j\u00e0 l’environnement et la solution, plut\u00f4t que de faire appel \u00e0 un prestataire ext\u00e9rieur. Cette proximit\u00e9 facilite les \u00e9changes<\/strong>, notamment sur les sujets sensibles de confidentialit\u00e9 et de protection des informations technologiques. Le travail a commenc\u00e9 par des tests d’intrusion<\/a>, puis s’est \u00e9tendu au durcissement<\/a> du syst\u00e8me d’exploitation<\/strong> qui supporte la solution. Un antivirus a \u00e9galement \u00e9t\u00e9 mis en place et une solution EDR peut \u00eatre d\u00e9ploy\u00e9e selon l\u2019usage des caisses<\/strong>. L’ensemble a \u00e9t\u00e9 r\u00e9alis\u00e9 sur plusieurs semaines, avec une collaboration \u00e9troite entre les \u00e9quipes, ce qui aurait \u00e9t\u00e9 beaucoup plus complexe avec un prestataire ext\u00e9rieur. S’appuyer sur Asten Cyber permet aussi d’accompagner la solution dans la dur\u00e9e et d’en am\u00e9liorer progressivement le niveau de s\u00e9curit\u00e9.<\/em><\/p>\n\n\n\n

Quels sont les risques cyber sp\u00e9cifiques au secteur du retail ?<\/strong><\/h2>\n\n\n\n

Les caisses sont g\u00e9n\u00e9ralement moins expos\u00e9es qu’un poste informatique classique. Elles servent principalement \u00e0 l’encaissement, exposent peu de services, et l’op\u00e9rateur n’a en principe pas vocation \u00e0 naviguer sur Internet ni \u00e0 installer des logiciels. En revanche, les cons\u00e9quences d’une attaque peuvent \u00eatre tr\u00e8s importantes. L’infrastructure \u00e9tant mutualis\u00e9e, la compromission d’un syst\u00e8me peut se r\u00e9percuter sur l’ensemble des magasins<\/strong>. Elle peut entra\u00eener une interruption de l’activit\u00e9 et un impact direct sur le chiffre d’affaires<\/strong>. Des cas de ce type ont d\u00e9j\u00e0 paralys\u00e9 certaines enseignes pendant plusieurs semaines.<\/em><\/p>\n\n\n\n

La protection des donn\u00e9es<\/strong> est un autre enjeu. Les syst\u00e8mes peuvent contenir des donn\u00e9es clients et des historiques d’achat. Leur sensibilit\u00e9 d\u00e9pend du secteur d’activit\u00e9 : selon les cas, ces informations peuvent r\u00e9v\u00e9ler des \u00e9l\u00e9ments personnels, voire des informations sensibles sur les habitudes ou les centres d’int\u00e9r\u00eat des clients.<\/em><\/p>\n\n\n\n

Enfin, la s\u00e9curisation doit tenir compte des contraintes du magasin<\/strong>. Le chiffrement complet des postes, par exemple, prot\u00e8ge les donn\u00e9es en cas de vol, mais peut compliquer le red\u00e9marrage des caisses apr\u00e8s une coupure de courant, notamment dans les grands magasins.<\/em><\/p>\n\n\n\n

Comment les \u00e9quipes Asten Retail et Asten Cyber travaillent-elles ensemble sur le maintien de rPos ?<\/strong><\/h2>\n\n\n\n

Asten Cyber assure la s\u00e9curit\u00e9 de la solution sur deux axes : en aval, des tests d’intrusion sont men\u00e9s sur les serveurs et les caisses<\/strong> et en amont, un travail porte sur le durcissement du syst\u00e8me d’exploitation des caisses<\/strong>. Un travail important a \u00e9t\u00e9 r\u00e9alis\u00e9 lors de la mise en place de ces mesures, puis un suivi r\u00e9gulier<\/strong> v\u00e9rifie que le niveau de s\u00e9curit\u00e9 reste conforme \u00e0 ce qui a \u00e9t\u00e9 d\u00e9fini. Ce suivi comprend la supervision des mises \u00e0 jour et du durcissement des caisses. Des points r\u00e9guliers sont \u00e9galement organis\u00e9s avec les clients pour faire le bilan de la situation et \u00e9changer sur les \u00e9ventuels incidents ou sujets de s\u00e9curit\u00e9.<\/em><\/p>\n\n\n\n

Quels outils de s\u00e9curit\u00e9 peuvent \u00eatre mis en place ?<\/strong><\/h2>\n\n\n\n

Un EDR peut \u00eatre d\u00e9ploy\u00e9 sur les caisses<\/strong>, mais sa pertinence d\u00e9pend de leur usage. Une caisse uniquement d\u00e9di\u00e9e \u00e0 l’encaissement pr\u00e9sente une surface d’attaque limit\u00e9e. Une caisse \u00e9galement utilis\u00e9e pour naviguer sur Internet est plus expos\u00e9e, et l’installation d’un EDR y prend davantage de sens.<\/em><\/p>\n\n\n\n

Un syst\u00e8me de collecte des journaux, de type SIEM, peut aussi \u00eatre mis en place<\/strong>. Les caisses et les serveurs remontent leurs logs vers un serveur centralis\u00e9 et ces informations peuvent ensuite \u00eatre consult\u00e9es en cas de compromission pour comprendre ce qui s’est pass\u00e9. Ce dispositif donne une vision de la s\u00e9curit\u00e9 de la solution et facilite l’analyse en cas d’incident.<\/em><\/p>\n\n\n\n

Vous avez men\u00e9 des pentests sur l’applicatif rPos et sur les serveurs : en quoi cela consiste-t-il concr\u00e8tement, \u00e0 quelle fr\u00e9quence, et qu’ont-ils permis d’am\u00e9liorer ?<\/strong><\/h2>\n\n\n\n

Des tests d’intrusion sont r\u00e9alis\u00e9s chaque ann\u00e9e sur l’applicatif rPos, les serveurs et les caisses<\/strong>. L’objectif est de simuler une attaque pour identifier les vuln\u00e9rabilit\u00e9s et les points \u00e0 am\u00e9liorer. La m\u00e9thodologie est assez g\u00e9n\u00e9rique et ne se limite pas \u00e0 l’\u00e9cosyst\u00e8me rPos. Les testeurs se placent dans la position d’un attaquant et cherchent \u00e0 acc\u00e9der au syst\u00e8me depuis diff\u00e9rents points d’entr\u00e9e. Ils peuvent aussi tester directement certaines briques, comme le serveur ou les caisses, pour \u00e9valuer leur niveau de protection. Cela met en \u00e9vidence les vuln\u00e9rabilit\u00e9s, les mauvaises configurations et les failles qui pourraient permettre de contourner les protections en place.<\/em><\/p>\n\n\n\n

Ces tests ont avant tout permis d’am\u00e9liorer le niveau de s\u00e9curit\u00e9 de la solution<\/strong>. La particularit\u00e9 de la cybers\u00e9curit\u00e9 est que les mesures sont souvent invisibles quand tout fonctionne. Leur efficacit\u00e9 se mesure lorsqu’une tentative d’attaque est bloqu\u00e9e, ou qu’une vuln\u00e9rabilit\u00e9 est identifi\u00e9e puis corrig\u00e9e.<\/em><\/p>\n\n\n\n

Un test d’intrusion n’est pas une validation d\u00e9finitive car la solution \u00e9volue. Le code de rPos a beaucoup chang\u00e9 depuis les premiers tests r\u00e9alis\u00e9s il y a plusieurs ann\u00e9es, tout comme les m\u00e9thodes de d\u00e9veloppement et les outils. Les tests doivent donc \u00eatre renouvel\u00e9s r\u00e9guli\u00e8rement pour tenir compte de ces \u00e9volutions.<\/em><\/p>\n\n\n\n

Un travail de durcissement (hardening) a \u00e9t\u00e9 fait sur l’ensemble des caisses : quelles sont les mesures concr\u00e8tes mises en \u0153uvre ?<\/strong><\/h2>\n\n\n\n

Le durcissement s’est appuy\u00e9 sur le r\u00e9f\u00e9rentiel CIS (Center for Internet Security)<\/strong>, qui regroupe des recommandations et bonnes pratiques de s\u00e9curisation des syst\u00e8mes. Ce r\u00e9f\u00e9rentiel comprend plusieurs centaines de mesures. L’objectif n’\u00e9tait pas de toutes les appliquer, chacune a \u00e9t\u00e9 \u00e9tudi\u00e9e pour d\u00e9terminer si elle \u00e9tait pertinente pour rPos et compatible avec les contraintes de production. Il fallait trouver le bon \u00e9quilibre entre le niveau de s\u00e9curit\u00e9 recherch\u00e9 et les besoins de fonctionnement des caisses. Certaines mesures ont \u00e9t\u00e9 appliqu\u00e9es parce qu’elles apportaient un r\u00e9el b\u00e9n\u00e9fice et d’autres ont \u00e9t\u00e9 \u00e9cart\u00e9es parce qu’elles risquaient de perturber la solution, ou parce qu’une autre mesure couvrait d\u00e9j\u00e0 le risque. Au total, environ trois quarts des recommandations ont \u00e9t\u00e9 appliqu\u00e9es.<\/em><\/p>\n\n\n\n

Plusieurs mesures visent concr\u00e8tement \u00e0 r\u00e9duire la surface d’attaque des caisses<\/strong>. Certains p\u00e9riph\u00e9riques et usages, comme la connexion d’\u00e9quipements en USB, ont \u00e9t\u00e9 d\u00e9sactiv\u00e9s. Les emplacements depuis lesquels il est possible d’ex\u00e9cuter des programmes sont limit\u00e9s et contr\u00f4l\u00e9s, ce qui emp\u00eache qu’un attaquant ayant compromis une caisse puisse facilement y d\u00e9poser et ex\u00e9cuter de nouveaux programmes. Le nombre de logiciels install\u00e9s a enfin \u00e9t\u00e9 r\u00e9duit au strict n\u00e9cessaire, le syst\u00e8me d’exploitation ayant d\u00e9j\u00e0 \u00e9t\u00e9 all\u00e9g\u00e9 en amont par les \u00e9quipes Retail, qui avaient supprim\u00e9 les composants et services inutiles. Cela r\u00e9duit le nombre de points exploitables en cas de compromission.<\/em><\/p>\n\n\n\n

Vous avez aussi mis en place un monitoring du patch management : comment cela fonctionne-t-il, et qu’est-ce que cela permet de d\u00e9tecter ou d’anticiper ?<\/strong><\/h2>\n\n\n\n

Ce dispositif donne une vision globale de l’\u00e9tat du parc de caisses<\/strong> : plut\u00f4t que de suivre individuellement les caisses d\u2019un parc pouvant compter des milliers d\u2019\u00e9quipement, on s’appuie sur un \u00e9chantillon repr\u00e9sentatif. Cela fonctionne bien parce que toutes les caisses utilisent le m\u00eame syst\u00e8me d’exploitation et les m\u00eames logiciels. Une solution de supervision identifie les patchs manquants sur les applications et le syst\u00e8me, elle peut par exemple signaler qu’une application utilise une version vuln\u00e9rable et qu’un correctif est disponible.<\/em><\/p>\n\n\n\n

\u00c0 terme, l’objectif est un patch management continu, avec des mises \u00e0 jour d\u00e9ploy\u00e9es r\u00e9guli\u00e8rement<\/strong>. Pour limiter le risque qu’une mise \u00e0 jour perturbe une caisse, le d\u00e9ploiement est progressif, selon un syst\u00e8me de \u00ab rings \u00bb. Les patchs sont d’abord d\u00e9ploy\u00e9s sur un environnement de pr\u00e9production, puis sur un nombre limit\u00e9 de caisses ou de magasins. Si les tests sont concluants et que le fonctionnement reste normal, le d\u00e9ploiement est ensuite \u00e9tendu \u00e0 l’ensemble du parc. Les vuln\u00e9rabilit\u00e9s sont ainsi corrig\u00e9es rapidement, tout en v\u00e9rifiant \u00e0 chaque \u00e9tape que les mises \u00e0 jour n’ont pas d’impact sur les caisses.<\/em><\/p>\n\n\n\n

Pour une enseigne qui utilise rPos, qu’apporte concr\u00e8tement cette s\u00e9curit\u00e9 en coulisses, et les clients vous interrogent-ils souvent sur le sujet ?<\/strong><\/h2>\n\n\n\n

Pour une enseigne, la s\u00e9curit\u00e9 autour de rPos doit avant tout garantir la continuit\u00e9 de l’activit\u00e9 en limitant les risques de compromission et en \u00e9vitant qu’un incident ne perturbe les magasins<\/strong>. Elle permet \u00e0 l’enseigne de continuer \u00e0 encaisser et \u00e0 faire fonctionner ses magasins dans de bonnes conditions. Dans le meilleur des cas, ces mesures sont peu visibles pour les \u00e9quipes en magasin. Elles peuvent parfois entra\u00eener des contraintes, notamment lorsque des ports ou des acc\u00e8s doivent \u00eatre ouverts pour un besoin op\u00e9rationnel, mais ces situations restent limit\u00e9es et sont prises en compte d\u00e8s la conception.<\/em><\/p>\n\n\n\n

La cybers\u00e9curit\u00e9 revient de plus en plus souvent dans les \u00e9changes avec les enseignes et les prospects. Ce n’est pas n\u00e9cessairement la premi\u00e8re question abord\u00e9e, mais il devient difficile d’envisager une solution d’encaissement sans s’interroger sur les mesures de s\u00e9curit\u00e9<\/strong>. L’enjeu pour rPos est de montrer que la s\u00e9curit\u00e9 a \u00e9t\u00e9 pens\u00e9e d\u00e8s la conception, et non trait\u00e9e apr\u00e8s coup, et qu’elle fait l’objet d’un suivi dans le temps. C’est un gage de s\u00e9rieux pour les enseignes.<\/em><\/p>\n\n\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Asten Retail s\u2019appuie sur Asten Cyber pour s\u00e9curiser rPos, sa suite de gestion de magasin. Une s\u00e9curit\u00e9 pens\u00e9e d\u00e8s la conception, et le plus souvent invisible pour les \u00e9quipes en boutique.<\/p>\n","protected":false},"author":3,"featured_media":1271,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[11],"tags":[],"class_list":["post-1270","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cat-retail"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/posts\/1270","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/comments?post=1270"}],"version-history":[{"count":0,"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/posts\/1270\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/media\/1271"}],"wp:attachment":[{"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/media?parent=1270"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/categories?post=1270"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.groupe-asten.fr\/retail\/wp-json\/wp\/v2\/tags?post=1270"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}