les principes basiques du sam - accueil · les principes basiques du sam ce document est...

http://clubutilisateursoracle.org/

Jeudi 22 Juin 2017

Frederic Cessy Président / Fondateur More Light Consulting

(MLC) http://www.morelight.fr/

Groupe de travail

Gestion des Actifs Logiciels

Les principes basiques du SAM

Ce document est propriété exclusive de More Light Consulting et de son auteur Frédéric Cessy.Toute utilisation ou reproduction est interdite sans l'autorisation explicite de son auteur.

Jeudi 20 Sept. 2018

http://www.morelight.fr/Frederic Cessy - More Light Consulting (MLC)

Sommaire

• Tour de table / présentations,

• 14:15 – 14:45 Introduction : les origines du SAM, (30mn)

• 14:45 – 15:15 Un peu de théorie : la norme ISO, (30 mn)

• 15:15 – 15:25 Les motivations (20 mn)

• 15:25 – 15:40 Pause (15 mn)

• 15:40 – 16:30 Mise en œuvre - générale (50 mn)

• 16:30 – 17:00 Mise en œuvre – appliquée sur Oracle (30 mn)

• 17:00 – 17:10 Les critères de réussite d’un projet SAM (10 mn)

• 17:10 – 17:30 Questions réponses (20 mn)

✓ Clôture : propositions de sujets pour une prochaine séance


Qu’est ce que le SAM ?Origines Principes

1 – Le Software Asset Management

Gestion des actifs logiciels

SAM


Définition du SAM (SOURCE ITIL)

Selon Information Technology Infrastructure Library (ITIL):

« Le Software Asset Management est l’ensemble de

compétences, processus et outils ayant pour but de

gérer, contrôler et protéger les actifs logiciels de

l’entreprise et ce pendant tout le cycle de vie du logiciel.”

http://en.wikipedia.org/wiki/Information_Technology_Infrastructure_Library


Notion de l’actif Logiciel

• Un actif Logiciel, c’est

– Un éléments comptable l’investissement sur la durée de vie du logiciel

– Un éléments informatique / Opérationnel Le logiciel ou applicatif

– Un élément juridique La licence (le droit d’utilisation)

Logiciels Licences

– Logiciel = le code informatique installé sur l’environnement.

– Licence = droit d’utilisation du logiciel

..... On « installe pas une licence » ....


Les licences de logiciels

• La Boite

• La licence OEM

• La licence en volume

• L’abonnement (services en ligne)

• Les licences pour hébergeurs

• Les licences pour les éditeurs de solution


Différents type de droits d’usage

LICENCE

« PERPETUELLE »

La licence appartient au

client et ce dernier peut

utiliser le logiciel, selon

les termes du contrat

de licence, sans

limitation dans le

temps.

LICENCE NON

PERPETUELLE

Le client est autorisé à

utiliser le logiciel dans le

cadre et pendant la

durée de son contrat

de licence.

LES ABONNEMENTS

Le client peut utiliser les

licences pendant la

durée de

l’abonnement, que

celui-ci soit lié à un

contrat de licences, ou

non


Histoire

• La gestion des logiciels éditeurs, plus communément nommée le Software

Asset Management (SAM), est une discipline jeune.

– Ce n’est qu’au début des années 2000 que des groupes de travail, suivis de près par des cabinets de conseil puis des entreprises soucieuses de gérer leurs actifs IT, ont fait émerger le concept puis les pratiques associés au Software Asset Management.

• Les premiers textes de références comme la norme ISO (ISO/IEC 19770-

1:2006) sont apparus en 2006.

• L’OGC (Organisation du commerce Britannique) qui est à l’initiative d’ITIL

(Information Technology Infrastructure Library) a permis de réellement

populariser le concept et les bénéfices du Software Asset Management.

• En 2007, un livre dédié au Software Asset management a été publié lors de

la parution d’ITIL V3.


Introduction

Pourquoi le SAM est il apparu

début 2000 ?


Evolution des budgets IT

• Le prix du hardware baisse considérablement


L’impact de l’augmentation du Coût logiciels

Chute du coût Harware

Augmentation du coût des services

Managés

Pro

po

rtio

n d

es d

épen

ses

IT

1990’s 2000’s

Coûts gérés par le

SAM

Augmentation du coût des licences

Software

• La part du Software s’accroit dans les budgets IT


Impact de la dématérialisation

Avant c’était mieux !! (avant ~1990):

1 logiciel = 1 support magnétique

Pendant les années 90’s :

Le logiciel devient immatériel.Microsoft lance les contrats d’achat de licences en volume.

1 contrat = X installations + des droits d’usages + des moyens de contrôle + du reporting + …


• Le Software par nature immatériel est totalement dématérialisé avec

la suppression des supports de distribution

Des environnements devenus plus compliqués

Années 90 : le logiciel devient

immatériel


Contexte général

• Evolution Revenue IT,– Au fil des dernières années la place du logiciel dans les dépenses informatiques s’est

accrue,

– Alors que lesdites dépenses visent à se réduire,

– Et que la nature immatérielle du logiciel complique son contrôle.

Maîtriser, cet actif durant tout son cycle de vie, constitue un véritable

enjeu pour l’entreprise.

Le Software Asset Management est devenu crucial,

• Du fait des risques inhérents à la possession de licences de logiciel,

• Pour des problématiques de redistribution de licences et de refacturation associée.


Sources de risques financiers devenus incertaines

Hardware Software

Niveau de risque

Augmentation des

sommes concernées

Augmentation des conséquences

Glissement des risques vers le software

Actif immatériel devenant de plus en plus difficile à comptabiliser


La théorieLes processus Les normes ISO / IEC




Normes ISO / CEI

• L’ISO (Organisation internationale de normalisation) et la CEI (Commission électrotechnique internationale) forment le système spécialisé de la normalisation mondiale.

• Les comités techniques de l’ISO et de la CEI collaborent dans des domaines d’intérêt commun.

• Dans le domaine des technologies de l’information, l’ISO et la CEI ont créé un comité technique mixte, l’ISO/CEI JTC 1.

• Ils ont notamment défini les normes ISO/CEI 19770-x : Technologies de l'information — Gestion des actifs logiciels, dont – La Partie 1 (19770-1) : procédés et évaluation progressive de la conformité– La Partie 2 (19770-2) Marqueurs d'identification du logiciel

• Les meilleures pratiques en matière de Gestion des actifs logiciels s’appuient sur la norme ISO/CEI 19770-1


Normes ISO / CEI – notion de processus

• Un processus est un enchaînement d’activités logiques qui

apportent de la valeur ajoutée.

Ressources,

Acteurs / Responsabilités,

Personnes impliquées directement

/ indirectement

Outputs,

Ce que le

processus génère

Activités liées, dépendances,

interactions,

…

Documentation & tools,

Périmètre,

Langage,

Gouvernance.

Mesures / contrôle

Étalonnage vs objectif

Inputs,

Alimentation du

processus.

Activités ou sous-processus:

Fonction du processus

Objectifs mesurables


ISO/CEI 19770-1 : les processus SAM

Processus SAM de gestion au niveau organisationnel

Processus fondamentaux SAM

Interfaces SAM des processus primaires

Environnement de contrôle pour le SAM

Processus de planification et de mise en œuvre du SAM

Processus d’inventaire

SAM

Processus de vérification et de conformité

SAM

Processus et interfaces de gestion opérationnelle pour

le SAM

Interface SAM des processus du

cycle de vie







• Environnement de contrôle pour le SAM

– Processus SAM de gouvernance au niveau organisationnel

– Rôles et responsabilités SAM

– Politiques, processus et procédures SAM

– Compétences SAM



• Processus de planification et de mise en œuvre du SAM

– Planification du SAM

– Mise en œuvre du SAM

– Surveillance et revue du SAM

– Amélioration continue du SAM







• Les processus d’inventaire SAM

– Processus d’identification des actifs logiciels

– Processus de gestion des inventaires d’actifs logiciels

– Processus de contrôle des actifs logiciels




SAM


SAM


le SAM



• Les processus de vérification et de conformité SAM

– Vérification de l’enregistrement des actifs logiciels

– Conformité des modes d’attribution des licences

– Conformité de la sécurité des actifs logiciels

– Vérification de la conformité SAM




SAM


SAM


le SAM



• Processus et interfaces de gestion opérationnelle pour le SAM

– Processus de gestion des relations et des contrats

– Processus de gestion financière

– Processus de gestion des niveaux de service

– Processus de gestion de la sécurité




SAM


SAM


le SAM


Interface SAM des processus primaires

• Interfaces SAM des processus du cycle de vie

– Processus de gestion des changements

– Processus d’acquisition

– Processus de gestion du développement logiciel

– Processus de gestion des mises en production

– Processus de gestion des déploiements logiciels

– Processus de gestion des incidents

– Processus de gestion des disfonctionnements

– Processus de désinstallation


Interfaces SAM des processus primaires

Interface SAM des processus du

cycle de vie


ISO/CEI 19770-1 : Les paliers du SAM

• La Partie 1 (19770-1) définie les procédés et évaluation progressive

de la conformité en quatre paliers :

Cette norme est conçue pour permettre à la mise en œuvre des processus d'être «réalisée en plusieurs étapes et avec l'ajustement le plus adapté aux besoins de l'organisation».


ISO/CEI 19770-1 : Les paliers du SAM

• La division en paliers est conçue pour que la normalisation du SAM

soit à la portée de la plupart des organisations.

• Les organisations mettant en place le SAM pour la première fois,

peuvent généralement réaliser une mise en œuvre plus rapide en

procédant également à une délimitation minutieuse des actifs

logiciels et des parties de l’organisation couvertes par le SAM.

• Normalement une organisation ne couvrira pas tout ce qui est

possible dans le domaine d’application.

• Tout domaine d’application peut être défini tant qu’il n’est pas

ambigu.


ISO/CEI 19770-2 : Les Marqueurs SWID

Identifier les logiciels par les marqueurs SWID (SWID - Software Identification Tags)

• Il y a trois méthodes principales pour s’assurer que les marqueurs SWID sont disponibles sur l’appareil avec les logiciels installés :

– Les marqueurs SWID crées par l’éditeur ou le créateur du logiciel qui sont installés avec le logiciel, méthode qui prévaut pour l’identification.

– Les organisations peuvent créer leurs propres marqueurs SWID pour tout logiciel qui ne possède pas déjà de marqueurs.

– Des outils de recherche tiers peuvent ajouter des marqueurs à un appareil au fur et à mesure que les propriétés du logiciel sont connues.

• Fournir des données précises d’identification du logiciel – améliore la sécurité organisationnelle et réduit les coûts.

– permet d’augmenter la capacité des processus informatique (IT : information technology) tel que la gestion des correctifs patch, desktop management, help desk management, le respect des politiques du logiciel etc.

• Les outils de détection ou processus qu’utilisent les marqueurs SWID permettent – de déterminer le nom et les valeurs normalisés associés aux applications logicielles

– et veiller à ce que les outils et les processus utilisés par une organisation fassent référence au même logiciel avec l'exacte même nom et valeurs.


ISO/CEI 19770-2 : Les Marqueurs SWID

• De nombreux pack d’installation d’outils Windows utilisent des marqueurs SWID :

• Caphyon's Advanced Installer• Flexera Software InstallShield

• De nombreux outils de détection de logiciels utilisent les marques SWID notamment :

• Altiris, • Aspera License Management, • Belarc BelManage, • Sassafras Software K2-KeyServer, • Snow Inventory,• CA Technologies discovery tools,

• Adobe a publié plusieurs versions de Creative Suites/Cloud avec des marqueurs SWID.

• Microsoft a ajouté des marqueurs SWID à toutes les nouvelles versions de ses logiciels depuis la sortie de Windows 89.

• IBM a commencé à commercialiser des marqueurs avec certains logiciels début 2014,

– Aujourd’hui, toutes les versions des logiciels IBM incluent des marqueurs SWID.

• Eracent EnterpriseAM, • Flexera Software FlexNet Manager• HP Universal Discovery, • IBM Endpoint Manager • Microsoft System Center Config. Mgr.

• Flexera Software's InstallAnywhere• Windows Installer XML Toolset


Les Marqueurs SWID vs. SKU

Le SKU

• Littéralement « stock-keeping unit » / Unité de gestion des stocks (UGS)

• C’est une référence élémentaire (une marque ou un modèle) créé à l’origine pour suivre les stocks disponibles

• Pour les logiciels, c’est une référence unique sous forme de code

• Il n'y a pas de standardisation pour les SKUs.


Les Marqueurs SWID vs. SKU

• Le SWID tag est une norme pour les étiquettes d'identification de logiciels publiée par ISO en 2009 (19770-2),

• Le standard d'étiquette SWID fait partie des best practices du SAM

• Une balise SWID est un fichier XML qui fournit des informations spécifiques sur un produit logiciel installé, il comporte :

– Le nom du produit logiciel et sa version

– Le créateur et concédant de logiciel

– Un identifiant logiciel unique

– Des informations facultatives, telles que

• Détails de la licence • Détails d'installation et de packaging• Numéros de série et les références (SKU)• Informations de validation

• Si un produit comporte une étiquette SWID, l'étiquette est installée avec le produit.


Pourquoi le mettre en œuvre ?Chiffres, Obstacles, Incitations ...




Pourquoi faire du SAM ?


ISO/CEI 19770-1 : Les leviers du SAM

• Selon ISO/CEI 19770-1 , les avantages du SAM devraient inclure:

a) La gestion des risques: par exemple, la réduction de l’interruption ou de la détérioration des technologies de l’information / services d’information; risques juridiques et réglementaires;

b) La maîtrise des coûts: réduction des coûts directs de logiciel, des coûts des actifs associés au logiciel et des frais d’exploitation et coûts contractuels en cours;

c) Les avantages concurrentiels: meilleures décisions opérationnelles et meilleure satisfaction sur la base de la mise à disposition permanente de données fiables.


Les freins

Quelles raisons pour ne pas faire de SAM ?

Tout va bienMême pas

peur

Pas de budget

Non prioritaire

On verra bien

On triche un peu


Les incitations

Quelles raisons pour initier un programme SAM ?

tout le monde peut installer ce

qu’il veut

Quel budget pour les logiciels de l’an

prochain ?

Sommes nous conformes ?

On ne sait pas ce que l’on a acheté

On ne sait pas ce que l’on utilise

On ne sait pas ce que l’on a installé

Aurions nous de meilleurs prix en

consolidant ?

La facture serait elle lourde si l’on

est audité ?


Il peut arriver ça… Et vous pouvez manquer ça…

Dans le noir ...


Quelques chiffres

En France: 34% des licences sont non conformes,

soit 1,8 milliards d’Euros (moyenne européenne: 29%) Chiffres BSA

En moyenne dans les Entreprises

20% des licences sont inutilisées


Quelques chiffres

C’est le pourcentage des organisations françaises qui sont non conformes avec leurs contrats de licences logicielles actuel.

C’est la part de ces sociétés qui on été, ou sont en cours d’audit de la part des plus importants éditeurs de logiciels.

C’est le pourcentage de ces audits logiciels qui se sont soldés par une facture de régularisation, imposée au client.

C’est le nombre de ces factures qui étaient supérieures à 1M€…

Des entreprises gaspillent (à plus ou moins grande échelle), leur argent avec des logiciels inutilisés ou mis au placard


Les moteurs du SAM

• Financier– Rationalisation des coûts– Uniformisation de la stratégie IT– Diminution des coût des services achats– Utilisation des logiciels en adéquation avec les licences acquises

• Maîtrise des risques– Management des objets juridiques

• Suivi rigoureux des obligations et des droits vis-à-vis des éditeurs

– Risque de non-conformité• Installation sans achat de licence• Changement de métrique• Installation sur une machine plus puissante,• Virtualisation,• .....

Maîtriser

ContrôlerAnticiper


Risques induits par une gestion défaillante

• Risque de non-conformité– 90% des Entreprises mettent en

place une démarche SAM suite à un audit

– Le DSI est souvent mis en cause

– Dans la majorité des cas la non-conformité est découverte lors de l’audit

• Risque opérationnel– Mauvaise allocation / utilisation des

licences

– Prise de décision avec manque d’information.

• Risque juridiques: – Infraction au droit de la propriété

Intellectuelle

– Incapacité à satisfaire les exigences de la gouvernance de l'entreprise

– Les éventuelles procédures sont longues et couteuses

• Risque financier – Budget imprécis / erronés

– Dépenses excessives / mal maitrisées

– En cas d’audit, la régularisation est rarement budgétée;


Risques induits par une gestion défaillante

• Risque techniques– Mauvaise gestion des contrats de maintenance– Présence de logiciels non désirés sur le parc– Difficulté à faire évoluer le parc de licences

• Les Risques Stratégiques– Retard dans l’adoption des nouvelles technologies– Problèmes concurrentiels

• Les Risques d’Image– Un problème de conformité rendu public peut être désastreux– Dans certains métiers l’intégrité de l’Entreprise est essentielle


Le SAM et les risques opérationnels

• La maîtrise des risques opérationnels

– Les logiciels évoluent très vite et du fait de leur multiplication au sein de l’Entreprise, il est très compliqué d’assurer l’application des dernières versions ou des derniers patchs.

– Ce manque de visibilité représente aujourd’hui un risque impossible à négliger

• Failles de sécurité de certaines versions de logiciels (OS, Database, ...)

• Attaques ciblées sur des OS obsolètes

• Conséquences parfois catastrophiques, ex WannaCry un ransomware utilisant les faiblesses Windows (XP12 et antérieures à Windows 10 sans mises à jour de sécurité).

• La mise en œuvre de pratiques SAM– Repose sur l’inventaire exhaustif de l’ensemble des logiciels installés

– Permets de connaitre précisément les versions / éditions utilisées

– Permets de mettre en évidences les versions obsolètes

Donc le SAM contribue à limiter les risques opérationnels liés à la sécurité


Le SAM et les risques juridiques

• La maîtrise des risques liés aux éléments contractuels

– Le nombre de contrats et leur complexité font que peu d’entreprises maîtrisent leurs engagements logiciels.

– Cela représente des risques

• Pas de suivi rigoureux des obligations et des droits vis-à-vis des éditeurs

• Pilotage des engagements très compliqué d’un point de vue financier et achats

• Le SAM, permet d’y voir plus clair et

– D’entreprendre, des actions de simplification contractuelle ou financière

– Pour reprendre la maîtrise sur l’ensemble des aspects administratifs du logiciel,

Donc de réduire les risques inhérents à la multiplication des contrats.


Comment le mettre en œuvre ?Les paliers, Les premiers pas ...




Le service Software Asset Management

• Mise en œuvre selon les paliers du SAM définis dans l’ISO/CEI 19770

Planifier dans la stratégie de l’organisation

Améliorer l’efficacité

Générer des gains

Démontrer la conformité

1

2

3

4

https://www.iso.org/obp/ui/#iso:std:iso-iec:19770:en


Palier 1: Fiabilité des données du SAM

Atteindre ce palier signifie identifier ce que l’on détient

pour pouvoir le gérer.

• La fiabilité des données est un préalable indispensable au SAM.

• Un principe courant de gestion qui s’applique ici est :

«on ne peut pas gérer ce qu’on ne connaît pas».

• Ce palier constitue la mise en place de processus SAM fiables de

gestion, de vérifications et réconciliation

• Le palier 1 permet de démontrer la conformité aux termes des

licences (souvent un objectif de gouvernance majeur).


Palier 1: Fiabilité des données du SAM

• En bref, Palier 1 = Fiabilité des données du SAM

– C’est la brique de base

– Ce que l’on détient est identifié

– Les données sont validées

– Les documents de gestion sont établis

– Les éléments nécessaires à l’analyse de conformité sont présents


Palier 2: Gestion pratique du SAM

Atteindre ce palier signifie améliorer les contrôles

et générer des bénéfices immédiats.

• Généralement, la gestion commence par la prise en compte des questions liées

au SAM après la reconnaissance des problèmes découlant de l’absence de

données fiables.

– L’organisation prend conscience de l’étendue des risques auxquels elle est confrontée ainsi que des opportunités d’amélioration et de réduction des coûts.

• Ce palier couvre l’environnement élémentaire de contrôle du SAM,

– y compris les politiques, rôles et responsabilités.

• Ce palier constitue la mise en place de processus de gouvernance, de planning

et de supervision

• Le palier 2 doit permettre le ciblage et la réalisation de «gains rapides» rendus

évidents par les données du Palier 1


Palier 2: Gestion pratique du SAM

• En bref, Palier 2 = Gestion pratique du SAM

– Amélioration des contrôles

– Génération de bénéfices immédiats

– Les rôles et responsabilités sont définis

– Ciblage des gains et amélioration


Palier 3: Intégration opérationnelle du SAM

Atteindre ce palier signifie améliorer l’efficience

et l’efficacité des processus SAM.

• En se fondant sur les deux paliers précédents, ce palier conduit à

l’intégration du SAM dans les processus opérationnels.

• Le résultat de ce palier est une amélioration de l’efficience et de

l’efficacité des processus SAM.


Palier 3: Intégration opérationnelle du SAM

• En bref, Palier 3 = Intégration opérationnelle du SAM

– Amélioration de l’efficacité des processus SAM

– Intégration du SAM dans les processus opérationnels (financiers, achats,…)


Palier 4: Conformité intégrale ISO/CEI du SAM

Atteindre ce palier signifie réaliser les meilleurs pratiques

et une gestion stratégique du SAM.

• Ce palier constitue l’intégration de l’ensemble des processus SAM

dans les processus globaux

– Il traite des aspects les plus complexes et exigeants de la gestion intégrale du SAM,

• Du palier 4 résulte la pleine intégration du SAM dans la planification

stratégique de l’organisation.


Palier 4: Conformité intégrale ISO/CEI du SAM

• En bref, Palier 4: Conformité intégrale ISO du SAM

– Atteinte des meilleures pratiques SAM

– Gestion stratégique du SAM

– Intégration total avec les autres processus de l’entreprise


Maturité et bénéfices du SAM

StartUp Palier 1 Palier 2 Palier 3

Basique et/ou Incontrôlé

StandardiséManuel

RationaliséCentralisé

Dynamique Automatisé

Processus intégrés à la gouvernance Groupe.

< 68 %Pas d’inventaires centralisés

68 % à 85 %Inventaires manuels

85 % à 95 %Inventaires consolidés Processus définis

95 % à 98 % +Inventaire automatisésOutillage scan/mesuresAmélioration continue

Pas de politiqueZero responsabilisationPas d’enregistr. Elect.Lacune technologue

Politique/règles limitéesPremiers pas GEDFaible couverture et outillage inadapté

Politiques/règles publiéesElargissement GEDTechnologie partiellement centralisée

Politiques renforcéesGED globaliséeTechno. avec couverture complète et fiable

Dépenses Avantages ponctuels Avantages opérationnels Avantages GroupeService à valeur

ajouté

Couverture Inventaire

Palier 4

Politiques amélioréesGED intégré au processus GrpeTechno automatisé

Intégré


Mise en œuvre

• ISO ... Ok

.... Et maintenant ?


Articulation d’un projet SAM

• Le projet SAM s’articule autour de quatre étapes précises indispensables à la gestion des licences logicielles

• Selon le contexte il est possible d’adresser ces étapes pour tous les éditeurs (approche globale) ou par itération pour chacun des éditeurs (approche verticale).

Phase A

Etape 1 : Répertorier les logiciels

Etape 2 : Contrôler les logiciels

Inventaire des logiciels pour connaitre la situation exactedes déploiements au sein de l’organisation

Comparaison des logiciels installés vs. les licences acquises

Phase B

Etape 3 : Définir les procédures

Etape 4 : Industrialisation

Mise en place de politique, de processus et de procéduresDe qualités pour gérer l’usage et l’acquisition de logiciel

Elaboration de plan d’action pour l’avenir et préparation D’un nouvel inventaire


Les différentes approches

• La démarche SAM globale

– Démarche classique la plus relayée par la communauté SAM

– C’est une approche horizontale industrialisée et structurée de construction d’un service SAM au sein de l’entreprise visant à contrôler in fine l’ensemble des actifs logiciels.

– L’approche se pilote et se justifie par une mesure objective du progrès réalisé sur la maitrise globale des actifs logiciels

– Avantages

• Démarche structurée et pragmatique qui permets de mutualiser les efforts

(flux de données, gestion documentaire, .....)

– Inconvénients

• Démarche longue dont les résultats sont peu visibles à court/moyen terme



• La démarche SAM verticale

– L’approche verticale débute par un inventaire / audit sur un éditeur choisi

– Souvent initiée par une menace d’audit ou un risque identifié

– Avantages

• Cette démarche permets une couverture à 100% pour un éditeurs

• Les résultats sont rapidement visibles et valorisables

– Inconvénients

• Le focus sur un éditeurs, oriente les processus dans une direction qui

pourrait ne pas être applicables sur un autre (ex: logiciels servers vs.

desktop)

• Certaines taches devront être répétée pour d’autres utilisateurs (vérification

des flux de données, critères de qualité des données, gestion des contrats,

.....)



• La démarche hybride

– Le principe consiste à • exploiter le bénéfice des taches génériques (inventaire logiciels, gestion des

contrats, ...)

• Identifier les « gros poissons » (éditeurs générant le plus de dépenses, logiciels potentiellement audité, ...)

• Appliquer une approche Verticale sur les éditeurs ciblés (en mixant usage servers et desktop)

– Avantages• Cette démarche permets une couverture à 100% pour un panel d’éditeurs

• Les résultats sont rapidement visibles et valorisables

• Démarche structurée et pragmatique qui permets de mutualiser les efforts (flux de données, gestion documentaire, .....)

– Inconvénients• Dans la première itération les « petits éditeurs » sont occultés


N’ayez pas peur ☺

• Le SAM trop complexe ?

• Le SAM est défini par des normes, il obéis à des règles reconnues,

Avec méthode sa mise en œuvre peut-être simple


Comment déployer un programme SAM ?

- 1 –Inventaire et

Catalogue des logiciels déployés

- 2 –Réconciliation

Licences / Logiciels

- 3 –Révision et création de procédures

- 4 –Mise en œuvre d’un plan SAM

• Quelle que soit l’approche, il faut :

• Objectif : Maîtriser son parc durant tout le cycle de vie du Logiciel


Principes de mise en œuvre d’un projet SAM

• Identifier les acteurs, sceller l’organisation et la gouvernance.

– Définir les processus clefs et rémunérateurs, l’inventaire au sens large, la

conformité et les optimisations.

• Se concentrer sur 1 ou 2 éditeurs à forts enjeux en année 1.

• Mettre à jour et améliorer les démarches menées en année 1 pour

vérifier la mise en œuvre des recommandations et compléter les

périmètres (produits, filiales) non traités au démarrage.

• Poursuivre l’élargissement, se poser les bonnes questions autour de

l’industrialisation et des outils


Les gros poissons

Les gros poissons – les logiciels Entreprise (Msft, Oracle, IBM et SAP)

• Du fait des contrats complexes et des installations difficiles à mesurer le

risque de violer les accords contractuels est beaucoup plus grand.

• Les conséquences financières peuvent être considérables.

– Si vous ne suivez pas ces accords contractuels, il est possible que vous ayez trop

peu de licences Oracle Database ou que vous n'utilisiez pas le logiciel exactement

comme stipulé à l'avance.

– Si un tel «problème de conformité» est révélé au cours d'un audit, ces quatre

fournisseurs de logiciels sont connus pour exiger un back-payment substantiel.

• Il y a beaucoup d'exemples de réclamations de plusieurs millions de

dollars.


Le premier pas : Palier 1 – ISO 19770

StartUp Palier 1

Basique et/ou Incontrôlé

StandardiséManuel

< 68 %Pas d’inventaires centralisés


Pas de politiqueZero responsabilisationPas d’enregistr. Elect.Lacune technologue


Dépenses Avantages ponctuels

Couverture Inventaire Couverture Inventaire


Palier 1 – Phase de définition

• Analyse du contexte et de l’organisation existante (infrastructure,

applications critiques, projets majeurs, roadmaps, stratégie,

processus existants impactés, etc…)

• Compréhension de l’existant et de l’historique SAM (travaux déjà

initiés, instances de gouvernance, audits subis, éditeurs majeurs,

etc…)

• Analyse des forces, des voies d’amélioration et GAP ANALYSIS par

rapport aux standards ISO 19770, ITIL et marché

• Identification des acteurs à impliquer dans la validation des

processus et mise en place des groupes de travail et de

l’organisation du projet pour la production et le déploiement


Palier 1 – Phase de mise en œuvre

• Plan de communication : messages clés, éléments de langage,

supports,…

• Planning de déploiement : déploiement par entité, dates des

rencontres avec les acteurs concernés, échéances

• Pour une meilleure appropriation : réunions de présentation en

présentiel ou à distance (contenu détaillé des processus,

responsabilités et obligations de chacun) avec la présence des

membres du Groupe de Travail

• Pour assurer une application rapide et simultanée : les formations

devront avoir lieu dans un laps de temps réduit


Palier 1 – Phase de contrôle

• Suivi et contrôle du déploiement en lien avec le responsable de

chaque périmètre

• Formalisation sous forme de compte-rendu et d’un document de

suivi qui recensera les réunions réalisées par date et par

organisation

• Mise en place d’un dispositif de remontée des dysfonctionnements

pour ajustement

• Appui aux équipes internes pour la mise en place d’un suivi durant

les 6 mois suivant la mise en œuvre


Le SAM appliqué sur OraclePriorités, Méthode ...




Le SAM appliqué sur Oracle

• Une démarche définie SAM verticale

– L’approche verticale débute par un inventaire / audit sur un éditeur choisi

• Le gros poisson est identifié Les logiciels Oracle

• Identifier les compétences S’appuyer sur des ressources expertes

• Définir des objectifs clairs Démarche rigoureuse et partagée

• Se doter de moyens Organisation et processus

• Outiller la démarche Selon le périmètre, les scripts suffisent



• Objectif : atteindre le palier 1 démontrer la conformité o Pilier 1 ~ Audit Oracle + bases d’industrialisation

Penser processus et amélioration selon le principe « Deming’s wheel » (PDCA)



Etape 1a répertorier les logiciels.

– Inventaire des logiciels pour connaitre la situation exacte des déploiements au sein de l’organisation

Etape 1b inventaire des droits

– Recenser tous les éléments contractuels pour connaitre les unité de licences applicables

• Articulation standard d’un projet SAM

• Articulation suggérée pour une approche verticale sur Oracle

Etape 1 : Répertorier les logiciels

Etape 2 : Contrôler les logicielsPhase A

Généralement sur Oracle, la nature des droits (les « metrics ») influe sur la façon de mesurer les déploiements (NUP vs. Proc).

Note: la puissance de la machine hôte est toujours requise (minima NUP)



Identifier les droits : Les contrats !!

• Cette action va consister à recenser l’ensemble des éléments

contractuels

– Contrat cadre : OLSA, OMA, TOMA,

– Bon de commande :

• Commande globale : ULA, PULA, PoF,

• Commande au fil de l’eau

– Proposition de renouvellement de support,

– Commande de renouvellement de support,

Indiquent les conditions applicables

Indiquent les quantités de licences



Identifier les droits ... Et penser processus

• Mettre en place un principe de Ged pour organiser les documents– Impliquer/ informer les achats, DSI, service juridique, ...

• Créer des fiches produits / licences

• Initier le suivi des droits vs applications (sera affiné après réconciliation)– Unité de mesure, coût licences, échéance support, coût maintenance, ....– Déterminer le coût de support unitaire de chaque licence par CSI, ....

• Identifier toutes les personnes impliquées– Rôle, fonction, niveau d’implication, ....– Impact sur l’acquisition, sur le support, sur les déploiements, ...

• Elaborer des « fiches alertes » à destination des équipes opérationnelles – Exemple : ne pas installer en Enterprise, ne pas compresser les exports, ...



Répertorier les logiciels : les mesures

– Inventaire des logiciels pour connaitre la situation exacte des déploiements au sein de l’organisation

1. Identifier les sources de données,

2. Valider la qualité des données,

Quelque soit la source des données, il faut

– Savoir détecter les logiciels déployés : scan réseau

– Savoir identifier les logiciels : reviewlite pour db, export pour ebs, ...

– Savoir quantifier le déploiement logiciel :

• Mesurer la puissance des machines : CpuQuery, lpar, Rvtools, ....



Répertorier les logiciels ... Et penser processus

• Identifier / définir les procédures utilisées (existantes ou initiées)– Ressources, activités liées, inputs, outputs, documentation, point d’amélioration

• Quantifier le coût des mesures pour l’organisation– Temps, intervention externe, licences produits d’inventaire ....

• Déterminer le coût de mesures régulières selon les mêmes procédures

• Identifier toutes les personnes impliquées– Rôle, fonction, niveau d’implication, ....

• Evaluer le niveau qualitatif des résultats, exemple : – 0 : Très insuffisant (exemple seules les instances sont détectées / mesurées)– 1 : Donne une idée vague de l’usage (on n’a pas identifié les manques et/ou pb avec vmware ...)– 2 : Exhaustif sur le périmètre mais certains logiciels manquent (ex: doutes sur packs ou options)– 3 : Exhaustif en terme de logiciels mais certains serveurs ne sont pas accessibles – 4 : Qualité maîtrisée et éprouvée

• Déterminer les voies d’amélioration



Palier 1 : Démontrer la conformité

.... Ou évaluer le niveau de non-conformité

• Prérequis :– L’ensemble des droits est identifié– Les mesures effectuées sont exhaustives et leur qualité est éprouvée– Les règles de licensing sont maîtrisées et correctement appliquées

• Vérifier que toutes les architectures ont été intégrées– PRA, Test, Développement, Cloud, ...

• Appliquer les règles (réconciliation) pour établir le niveau de consommation des licences,

• Etablir un rapport de conformité– Le cas échéant, déterminer les manques et évaluer le coût d’une mise en

conformité


Critères Palier 1 appliqué sur Oracle

Conditions de validation du palier 1 pour Oracle

• Un rapport indique le niveau de conformité

• Ce que l’on détient est identifié – Inventaire des droits précisément établi– Inventaire des déploiements exhaustif

• Les données sont validées (fiabilité démontrée)

• Des outils basiques sont réutilisables– Scripts éprouvés, feuille excell spécifique, ....

• Les éléments nécessaires à l’analyse de conformité sont présents

• Les éléments constitutifs des premiers processus sont notifiés– Règles à suivre pour les futurs déploiements,– Procédure achat connue et documentée

• Les bases d’une gestion documentaires sont définies



• Palier 2 : Mettre en place les processus de gouvernance, de

planning et de supervision– Prérequis : Le palier 1 est maîtrisé,

Palier 1

StandardiséManuel



Avantages ponctuels

Couverture Inventaire



Palier 2 = Amélioration des contrôles et génération de bénéfices immédiats

• Il faut Cibler les sources des gains et d’amélioration

C’est le moment de mettre en place les processus

de gouvernance, de planning et de supervision

• Environnement de contrôle– Identifier les intervenants dans le cycle de vie des logiciels Oracle– Achats, Installation, utilisation, suivi des maintenance, résiliation, ...– Définir les rôles et responsabilités SAM– Identifier les processus et/ou procédures en place– Identifier les compétences licensing Oracle / Sam

• Processus de planification et de mise en œuvre– Planification du SAM : étude de maturité– Mise en œuvre du SAM : définition du plan projet– Surveillance et revue du SAM : les objectifs à atteindre– Amélioration continue du SAM : les Facteurs clefs de succès et vecteurs d’amélioration


Critères Palier 2 appliqué sur Oracle

Conditions de validation du palier 2 pour Oracle

• La gestion documentaires est en place,– Aucune ambiguïté sur le périmètre des droits, des limites de maintenance, ....

• Amélioration des contrôles de la conformité récurrents

• Génération de bénéfices immédiats à partir d’une conformité établie– Mutualisation de licences, achat ciblés, revue d’architecture, ...

• Les rôles et responsabilités sont définis – Grille de type RACI– Chaque intervenant connait son rôle

Note : en général dès le palier 2, les processus s’élargissent vers d’autres éditeurs.


Si Oracle est prioritaire : favoriser un outil « vérifié » par LMS

La magie des outils SAM .... pour Oracle


• Le fait qu’un outil soit vérifié par LMS signifie qu’il doit répondre aux critères

suivants :

– Mesurer les dernières versions de bases de données et options Oracle aussi bien que le script LMS.

• Le programme 3PTV implique une vérification annuelle par le service LMS de leur aptitude à fournir des éléments à destination de LMS selon des requêtes spécifiques.

• LMS ne vérifie pas le traitement des résultats (conditions d’usage d’une option, ….),

• Dans le cadre du programme, LMS ne fournit pas de détail sur l’interprétation des résultats,

– Chacun des outils doit fournir le même niveau de qualité de détection et de mesure au format LMS (différences peuvent exister dans l’interprétation des résultats par l’outil).

– Fournir les résultats dans 6 fichiers logs destinés à être analysés par le service technique LMS

• les fichiers sont au format csv et sont tout à fait lisibles … mais les informations qu’ils contiennent se croisent d’un fichier à l’autre …,

Décryptage


“The scope of the verification process only covers the data collection related to

the installation and usage of specific Oracle products, namely Oracle Database

and the associated Options. The verification does not include any other Oracle

products or the overall capabilities of the vendor's solution”

• En clair, parmi toutes les informations que peut fournir l’outil vérifié (quel

qu’il soit), seules celles relatives au déploiement des logiciels Oracle

database et option sont considérées « vérifiées ».

• Cela signifie que dans une situation tendue ou peu coopérative, Oracle

LMS peut

– Rejeter toute information concernant les mesures des logiciels Mdw et / ou BI, et demander que soient utilisés des scripts spécifiques pour ces logiciels.

– Refuser les informations concernant les mesures de puissances CPU et demander le passage du script « cpu query » pour connaitre la puissance des machines*.

* Ces mesures sont en cours d’intégration dans le programme

Point d’attention n°1 - Le périmètre technique


« The verification does not include any other Oracle products or the

overall capabilities of the vendor's solution”

• Signifie que les fonctionnalités de réconciliation

déploiement/contrats, dites de « compliance » n’ont aucune valeur

pour Oracle LMS. Les résultats ou conclusions qui en découlent ne

seront pas retenus dans un cadre d’audit.

• Seule la fonction d’inventaire est retenue par le programme .

➢ En cas d’audit Oracle demandera les exports formatés « LMS »

➢ Les tableaux, les rapports et les données analysées par l’outil sous

quelle que forme que ce soit ne seront pas utilisés par LMS.

Point d’attention n°2 - Le périmètre fonctionnel


• Périmètre fonctionnel et capacités SAM

Caractéristiques des outils vérifiés


Si Microsoft est prioritaire : cibler un outil partenaire IAM2018 :

La magie des outils SAM .... pour Microsoft


Les critères de réussitePoints d’attention, Pièges à éviter...


Périmètre

Sponsors

Sam Manager dédié

Objectifs



Critères de réussite du projet SAM

La quasi-totalité des grandes entreprises ont investi dans le SAM,

l’expérience et l’observation ont permis d’identifier

• Les erreurs souvent commises qui entravent la réussite du projet

• Les critères de réussite indispensables pour un SAM efficient et utile

à l’entreprise

1. Un sponsor impliqué et haut placé,

2. SAM manager dédié

3. Des objectifs ambitieux et réalistes corrélés aux enjeux

4. Des moyens suffisants pour réussir

5. Un ROI pluriannuel


Commencer par éviter les pièges du parcours SAM

Le 1er piège de la mise en œuvre du SAM est de négliger sa préparation.

1. Où en sommes nous,– Quelles doivent être nos priorités / nos enjeux,

2. Quels moyens allons nous attribuer au projet SAM,– Comment implémenter le projet SAM

– Qui investir dans cette mission

Le 2eme piège est de choisir « le SAM facile », il se caractérise par – Nomination d’un SAM manager dont ce n’est pas le métier,

– Acquisition précoce d’un outil SAM,

– Définition d’objectifs génériques décorrélés du contexte et des priorités de l’Entreprise,

– Manque de communication venant du plus haut niveau

– Manque d’engagement des équipes IT

– Mise en œuvre d’un approche en « survol » tous éditeurs


Critère 1 - Un sponsor impliqué et haut placé

• Seule une personnalité dont l’autorité est incontestée en interne, est

en mesure d’initier une politique de SAM efficace,

• L’impulsion doit venir d’un membre du top management

– Idéalement un membre du COMEX,

– Fortement impliqué pour lever les contraintes qui se présenteront

• Le sponsor impliqué et haut placé pourra

– Porter les objectifs et bénéfices du SAM en interne

– Veiller à ce que toutes les organisations s’impliquent avec application (DSI Groupe, DSI métier / pays, fonction achats, legal…..),


Critère 2 - SAM manager dédié / un leader à plein temps

• Le SAM est un processus transverse, pour sa réussite, il est indispensable de nommer un responsable dont la seule et unique préoccupation sera de faire du SAM.

• Conduire une politique SAM est une tâche à plein temps, pas une mission que l’on peut faire en temps masqué. Toutes les entreprises qui n’ont pas fait ce choix ont eu, au mieux, des résultats décevants.

• Le profil idéal du SAM Manager / Chef de projet : – Un collaborateur de bon niveau, capable de mener des chantiers exigeants et complexes,

– Un profil rigoureux, un brin diplomate, sachant faire respecter les délais et appliquer les process,

– Capable de faire preuve de détermination et d’autorité, d’impliquer des équipes dispersées pour délivrer des résultats précis,

– Apte à échanger avec des interlocuteurs hétéroclites au sein de son organisation et chez les éditeurs.

• Le profil idéal du SAM Manager / Expert en licensing : – Profil similaire + expertise aux compétences pointues en matière de licensing, de contrat et de gestion

des données,

– Ce profil demande généralement des ressources IT pour gérer certaines tâches opérationnelles (production des analyses de base,…).

• Eviter :– Le fin politique ou le professionnel de la mobilité interne à la recherche d’un point de chute,

– Le collaborateur que l’on propulse SAM à défaut de savoir où le positionner ....


Critère 3 - Des objectifs ambitieux et réalistes

• Sauf à disposer d’une grosse équipe ou de moyens très importants, inutile d’être trop

ambitieux.

• Maîtriser un parc logiciels dans sa globalité est quasi impossible (et souvent inutile)

• Les projets SAM réussis qui affichent les résultats attendus ont privilégié une

approche progressive et structurée :

1. Evaluer l’existant, identifier les priorité et donner la bonne direction au projet SAM

2. Améliorer / Construire les processus clefs

3. Identifier les acteurs, sceller l’organisation et la gouvernance.

4. Déterminer « les gros poissons » et se concentrer sur 1 ou 2 éditeurs à forts enjeux en année 1.

5. Suivre le principe PDCA : mettre à jour et améliorer les démarches menées en année 1

• Elargir le périmètres avec les produits ou filiales non traités au démarrage

• Compléter ou améliorer les processus et le périmètre d’intervention par de nouveaux éditeurs en fonction des risques, des enjeux et des échéances contractuelles

6. Procéder à l’industrialisation des processus et la mise en œuvre d’outils pour pérenniser l’élargissement.


Critère 4 - Un ROI pluriannuel

• Les organisations efficaces sont mesurées / prudentes dans la

définition de leurs objectifs.

• Les 1 ères années, le SAM manager va rencontrer des difficultés,– Identifier des risques, gérer des audits, annoncer des mauvaises nouvelles à sa direction…

– Ce n’est qu’après plusieurs mois et un énorme travail de nettoyage qu’il sera en mesure de mener des actions génératrices de gains (non achats, désinstallation, rationalisation, baisse des en-cours de maintenance…).

• L’efficacité d’une politique de gestion des licences doit être mesurée au

minimum sur 3 ans (idéalement 5 ans).

• C’est en moyenne le temps qu’il a fallu aux meilleures organisations

pour réduire leurs risques et dégager des économies nettes

significatives.


Exemple d’obstacle au succès : le SAM à mi-temps

• Par manque de temps ou de connaissance appropriée, le SAM prends des raccourcis et occulte

les gros risques. – Les logiciels d'entreprise sont complexes: les installations et configurations sont difficiles à mesurer– Des connaissances spécialisées sont nécessaires pour comprendre les contrats et les licences– Il faut se plonger dans l'infrastructure pour mesurer l'utilisation réelle ce qui implique un travail

fastidieux

• Souvent, cela se traduit par la gestion des produits de bureau faciles à gérer, qui attirent

l'attention– Tendance appuyée par les éditeurs d’outils SAM ... Qui mesurent difficultueusement les logiciels

d’Entreprise

• Cela crée un faux sentiment de sécurité, alors qu'en réalité, d'énormes risques financiers se

cachent.

• Pour se rassurer, le SAM va chercher l’outil SAM capable de l’assister dans sa nouvelle mission,

– Normalement l’outillage est envisagé en Palier 3 ou 4 Iso (amélioration/industrialisation) – Le logiciel SAM n’est pas gratuit est impacte dès le début les avantages financiers du processus,– Pour masquer l’incapacité de l’outil, les éditeurs SAM lui ajoute un service « de mise en œuvre »,

Les processus SAM qui devaient être guidés par les enjeux de l’Entreprise

sont alors imposés par les spécificités de l’outil.


Conclusions

Fuyez le SAM facile

• Bien préparer l’avant SAM

• Considérer les moyens pour déterminer les priorités et objectifs

– Challenger les certitudes

– Identifier les doutes

– Ne pas occulter les zones d’ignorances

• Ne pas succomber à la magie des outils SAM

– Acquisition précoce d’un outil SAM,

– Mise en œuvre d’un approche en « survol » tous éditeurs


Sujet pour la prochaine session ?Question / réponses, Propositions...

6 – Echanges / témoignages



Questions / Réponses


• Gestion de l’allocation des licences,

• Problématique de refacturation,

• Comment mesurer efficacement le déploiement et l’usage,

• Comprendre les règles de Support,

• Maitriser le flux de Support,

• Evaluer les risques d’une non-conformité,

• Assurer la conformité de son parc logiciel Oracle,

• Comprendre les contrats spécifiques (Pool of Funds, ULA, …),

• Cession d’entités et actifs logiciels Oracle,

• Les licences d’occasions,

• Oracle Ent Manager 12c et la mesure de l’usage,

Propositions pour les prochaines séances

les principes basiques du sam - accueil · les principes basiques du sam ce document est...

Documents