Brevet FR2942894A1 — publié le 20100910

L'invention concerne de manière générale les procédés et systèmes de gestion d'un parc informatique. De manière générale, il est connu de l'état de la technique des systèmes de gestion de parc informatique destinés à assurer la mise en réseau des différents ordinateurs liés audit parc informatique, la bonne marche du réseau, l'accès à un réseau extérieur (typiquement l'accès à internet ou à un quelconque extranet) et à assurer la sécurité informatique au sein du parc. Généralement, dans un tel parc informatique, chaque ordinateur est affecté à une ou plusieurs personnes ou utilisateurs. Cette affectation permet selon l'état de la technique de personnaliser l'utilisation dudit ordinateur selon l'utilisateur. Est connue par exemple l'ouverture d'une session d'utilisation exigeant de la personne utilisatrice qu'elle s'identifie auprès de l'ordinateur, ce dernier transmettant ces donnés auprès du système de gestion du parc informatique, qui en retour fournit des données de personnalisation relatives à la session d'utilisation (accès à des disques de données spécifiques, fichiers de configuration des logiciels, chargement d'un espace de travail correspondant à la personne, généralement appelé � Bureau �, personnalisation du thème graphique de l'environnement de travail û par exemple fond d'écran ou couleurs de l'environnement de fenêtrage -, ...). Cependant des problèmes ont été soulevés quant à la mauvaise utilisation des ordinateurs par les personnes. Plus spécifiquement des problèmes de sécurité ont été soulevés dans le fait que les personnes utilisatrices d'un ordinateur venant à s'absenter oublient très souvent de verrouiller leur session d'utilisation, permettant à un tiers d'utiliser, sous leur identité, l'ordinateur (et ainsi à avoir accès à des données auxquelles il n'aurait pas dû avoir accès). Une solution connue de l'état de la technique consiste à programmer l'ordinateur pour automatiquement verrouiller la session d'utilisation au bout d'un temps prédéfini d'inactivité de la part de l'utilisateur. Cependant cette solution présente le problème d'un accès possible à l'ordinateur avant l'écoulement du temps prédéfini. De plus il s'est avéré que les personnes déprogrammaient souvent ce verrouillage, car le trouvant trop contraignant. De plus, d'autres problématiques ont été soulevées quant au fait que les ordinateurs étaient très rarement éteints en fin de journée, laissant ainsi inutilement en fonctionnement une majeure partie du parc informatique durant la nuit et provoquant par conséquent un gaspillage énergétique conséquent. Un but de la présente invention est de fournir un procédé et un dispositif de gestion d'un parc informatique permettant de résoudre tout ou partie des problèmes précités. A cet effet, l'invention concerne un procédé de gestion d'un parc informatique à l'intérieur d'une zone définie dotée de moyens de localisation de personnes par rapport à ladite zone, le parc informatique comprenant une pluralité d'ordinateurs, chaque ordinateur étant affecté à une ou plusieurs personnes, et des moyens de commande à distance des ordinateurs, le procédé comprenant les étapes suivantes: a) détecter une personne à l'extérieur de la zone à l'aide des moyens de localisation des personnes, b) en réponse à cette détection, provoquer un changement d'état du ou des ordinateurs affecté(s) à ladite personne. Avantageusement, mais facultativement l'invention comprend au moins l'une des caractéristiques suivantes : l'étape (b) est mise en oeuvre en fonction de règles préétablies, l'étape (b) comprend au moins l'une des actions suivantes : ^ fermeture d'une session d'utilisateur sur le ou les ordinateur(s) affecté(s) à ladite personne détectée à l'extérieur de la zone, ^ mise en veille simple ou prolongée du ou desdits ordinateur(s), ^ verrouillage du ou des ordinateur(s), ^ limitation les droits d'utilisation du ou des ordinateur(s), ^ extinction ou redémarrage du ou des ordinateur(s), ^ cryptage de tout ou partie des données du ou des ordinateur(s). 20 25 30 les moyens de localisation des personnes comprennent des bornes d'accès et de sortie de ladite zone, les moyens de localisation des personnes comprennent des moyens aptes à déterminer la localisation des personnes au sein et/ou à l'extérieur de la zone. L'invention concerne un système de gestion d'un parc informatique à l'intérieur d'une zone définie, le parc informatique comprenant une pluralité d'ordinateurs, chaque ordinateur étant affecté à une ou plusieurs personnes, caractérisé en ce qu'il comprend : des moyens de localisation des personnes par rapport à ladite zone, et une unité de commande à distance des ordinateurs reliée aux moyens de localisation et apte à provoquer un changement d'état sélectif d'un ou de plusieurs ordinateurs en fonction de la détection, par les moyens de localisation, d'une personne à laquelle sont affectés le ou les ordinateurs à l'extérieur de la zone. Avantageusement, mais facultativement l'invention comprend au moins l'une des caractéristiques suivantes : les moyens de localisation des personnes comprennent en outre des bornes d'accès à ladite zone, les moyens de localisation des personnes comprennent des moyens aptes à déterminer la localisation des personnes au sein et/ou à l'extérieur de la zone. L'invention concerne également un équipement de gestion d'un parc informatique en réseau, l'équipement étant apte à provoquer un changement d'état individuel au niveau d'une pluralité d'équipements informatiques individuellement identifiés, caractérisé en ce qu'il comprend une entrée apte à recevoir des informations de présence/absence d'utilisateurs comprenant des identifiants d'utilisateurs, et des moyens pour associer à des identifiants d'utilisateurs des identifiants d'équipements, et des moyens pour provoquer des changements d'état au niveau d'équipements dont les identifiants sont associés à des identifiants d'utilisateurs reçus en entrée. D'autres caractéristiques, buts et avantages de la présente invention apparaîtront à la lecture de la description détaillée qui va suivre, au regard des dessins annexés, donnés à titre d'exemples non limitatifs et sur lesquels: la figure 1 est une représentation schématique d'un système et un équipement de gestion d'un parc informatique selon une réalisation possible l'invention, la figure 2 est un graphe fonctionnel schématique d'un procédé selon une réalisation possible l'invention. En référence à la figure 1, et selon un mode de réalisation possible de la présente invention, un dispositif de gestion d'un parc informatique est notamment destiné à la surveillance du parc à l'intérieur d'une zone définie 1. Cette zone représente un bâtiment ou un ensemble de bureaux lié au parc informatique ; mais il peut également s'agir d'un local unique ou d'un ensemble de locaux. Il peut s'agir par exemple d'une zone à accès réduit pour cause de confidentialité liée à la sensibilité des données traitées au sein de cette zone (comptabilité, traitement de données secrètes et/ou confidentielles, ...). Le parc informatique comprenant, au sein de cette zone 1 une pluralité d'ordinateurs 11 et 12. Le terme � ordinateur � est ici un terme générique pouvant désigner de manière plus globale l'ensemble des équipements susceptibles d'être liées au parc informatique (imprimante réseau, télécopieur, scanneur, ...) Chaque ordinateur 11 et 12 est affecté à une ou plusieurs personnes 14 et 16, par exemple en ce que chacune de ces personnes sont susceptibles d'utiliser cet ordinateur en particulier (l'ordinateur étant alloué soit à une personne spécifique ù ordinateur de travail ù, soit à plusieurs personnes ù dans le cas par exemple d'un ordinateur de calcul). Avantageusement l'ordinateur est configuré pour ne pas être utilisé par d'autres personnes que la ou les personne(s) à laquelle (auxquelles) il est affecté. L'affectation d'un ordinateur à une personne peut également être fonction d'un lien hiérarchique entre cette personne et l'utilisateur de cet ordinateur. Par exemple, dans le cas d'un groupe d'étudiants avec un responsable de ce groupe (par exemple un professeur), chaque étudiant travaillant sur un ordinateur dédié, l'ordinateur est alors affecté à l'étudiant en question et au professeur de par son lien hiérarchique. De la même manière, chaque ordinateur d'un service d'une entreprise est affecté à la fois à la personne utilisatrice à laquelle est alloué l'ordinateur et au chef du service. D'autres affectations entre un ordinateur et une ou plusieurs personnes sont bien entendu possibles, selon les besoins de la gestion du parc informatique. La zone 1 est également équipée de moyens de localisation 10 des personnes. Ces moyens ont pour fonction d'établir au minimum la présence ou l'absence de chaque personne au sein ou à l'extérieur de ladite zone. De tels moyens sont réalisables par exemple sous la forme de bornes d'accès et de sortie de ladite zone, forçant chaque personne à s'identifier auxdites bornes afin de pouvoir entrer ou sortir de la zone. L'identification auprès de ces bornes peut être réalisée par la présentation d'un badge contenant une puce RFID ou NFC, une piste magnétique, ou tout autre moyen apte à pouvoir communiquer par exemple sans fil avec la borne, préférentiellement de manière sécurisée (lecteurs RFID, lecteurs de badges magnétiques, d'empreintes digitales, etc ...). De telles bornes, ainsi que les moyens de communication avec ces dernières, sont connues de l'état de l'art et ne seront pas davantage décrites par la suite. Avantageusement, ces moyens 10 sont également aptes à déterminer de manière précise et automatique la localisation des personnes au sein et/ou à l'extérieur de la zone 1. Par exemple, on peut être prévu d'utiliser au moins l'une des technologies suivantes : une technologie de type WPS (� Wi-Fi Positioning System � en anglais) qui permet de calculer le positionnement à partir de la mesure de l'intensité d'un signal émis par un appareil communiquant (PDA, Smartphone, etc.), une technologie de type technologie GSM par différentiel de temps (géolocalisation GSM), une technologie de type A-GPS, une technologie de type infrarouge qui, à partir de bornes installées le plus souvent au plafond et détecte la présence de badges dans leurs zones de couverture. une technologie de localisation RFID ou radio à partir de bornes distribuées. Ces moyens permettent ainsi de déterminer la présence de chaque personne au sein ou à l'extérieur d'une zone définie 1 sans pour autant nécessiter l'installation de bornes à l'entrée/sortie de ladite zone 1. Alternativement ces moyens peuvent être utilisés en plus de bornes d'entrée/sortie afin de consolider les informations émanent des bornes. L'ensemble des moyens de localisation 10 des personnes sont reliés à une unité de gestion 15 de ces moyens. Une telle unité permet d'une part d'avoir une surveillance des entrées/sortie liée à une zone (permettant par exemple de faire du reporting) mais également de pouvoir déterminer en temps réel la localisation des personnes au sein ou à l'extérieur de la zone et, si les moyens de localisation 10 le permettent, d'avoir la localisation précise des personnes. Ainsi l'unité 15 est apte à déterminer en temps réel la ou les personne(s) en dehors de la zone 1 et la ou les personne(s) au sein de ladite zone 1. Le système comprend également un équipement ou unité de commande à distance de chaque ordinateur auquel sont connectés les ordinateurs. Cette unité de commande à distance 13 est placée par exemple au niveau d'une baie de brassage réseau informatique ou alternativement fait partie tout simplement du réseau du parc informatique. La commande à distance des ordinateurs par l'unité de commande à distance 13 est par exemple réalisable à travers une partie logicielle (native ou non du système d'exploitation) qui permet à une unité de commande à distance 13 connectée préférentiellement de manière sécurisée (connexion SSL ou SSH par exemple) à l'ordinateur d'avoir un contrôle sur tout ou partie des fonctions de l'ordinateur. Selon l'invention, l'unité de commande à distance 13 est apte à remplir des fonctions de � changement d'état � de l'ordinateur. Ce � changement d'état � comprend avantageusement mais facultativement au moins l'une des actions suivantes : fermeture au moins d'une session d'utilisateur sur un ou plusieurs ordinateurs, mise en veille simple d'un ou plusieurs ordinateur(s), mise en veille prolongée d'un ou plusieurs ordinateur(s) (une telle mise en veille est réalisable par exemple sous la forme d'une hibernation de l'ordinateur, permettant à ce dernier de réduire significativement sa consommation d'énergie), verrouiller d'un ou plusieurs ordinateur(s) (une telle fonction oblige à l'utilisateur de s'identifier ù par exemple en rentrant un mot de passe prédéterminé comme le mot de passe de session ùafin de pouvoir avoir de nouveau accès à l'ordinateur), limiter les droits d'utilisation d'un ou plusieurs ordinateur(s) (en interdisant par exemple l'accès à certaine application et/ou à certaines données de l'ordinateur ou encore en interdisant l'accès à des disques de données locaux et/ou externes, ou encore l'accès à tout nouveau disque externe connecté comme un périphérique USB), éteindre ou redémarrer d'un ou plusieurs ordinateur(s), crypter tout ou partie des données d'un ou plusieurs ordinateur(s). Ces fonctions de � changement d'état � permettent d'obtenir une réduction significative de la consommation de l'énergie consommée par l'ordinateur, et/ou d'augmenter la sécurité liée à l'ordinateur en restreignant l'accès à l'ordinateur (verrouillage, limitation d'accès, cryptage, ...). Selon l'invention il est prévu une connexion 14 entre l'unité de commande à distance 13 et l'unité de gestion 15 des moyens de localisation, par exemple sous la forme d'une liaison réseau sécurisée, permettant aux deux unités de pouvoir communiquer. Préférentiellement cette communication est faite en temps réel. Alternativement, les deux unités 13 et 15 appartiennent à un même équipement. En référence aux figures 1 et 2, le procédé selon l'invention comprend les étapes suivantes : - détection (étape 20) d'une personne 16 à l'extérieur de la zone 1 à l'aide des moyens de localisation 10 des personnes ; cette localisation est effectuée par exemple par le fait que cette personne s'est identifiée auprès d'une borne de sortie de la zone 1 ; alternativement, les moyens de localisation détectent la position de la personne 16 à l'extérieure de la zone 1. - en réponse à cette détection, enregistrement, au niveau de l'unité de gestion 15 des moyens de localisation, d'une information selon laquelle la personne 16 est à l'extérieur de la zone 1, et communication de cette information à l'unité de commande à distance 13 ; - en réponse à cette communication, réalisation par l'unité de commande à distance 13 (étape 22) d'un changement d'état du ou des ordinateurs 11 affectés à la personne détectée à l'extérieur de la zone 1 ; ce changement d'état de l'ordinateur comprend par exemple au moins l'une des actions suivantes : ^ fermeture d'au moins une session (étape 23) d'utilisateur sur le ou lesdits ordinateur(s) affecté(s) à la personne 16 détectée à l'extérieur de la zone 1, ^ mise en veille (étape 24) simple ou prolongée du ou desdits ordinateur(s) 11 affectés à ladite personne 16 détectée à l'extérieur de la zone 1, ^ verrouillage (étape 25) du ou des ordinateur(s) 11 affectés à ladite personne 16 détectée à l'extérieur de la zone 1, ^ limitation des droits (étape 26) d'utilisation du ou des ordinateur(s) 11 affectés à ladite personne 16 détectée à l'extérieur de la zone 1, 30 ^ extinction ou redémarrage (étape 27) du ou des ordinateur(s) 11 affectés à ladite personne 16 détectée à l'extérieur de la zone 1, ^ cryptage (étape 28) de tout ou partie des données du ou desdits ordinateur(s) 11 affectés à ladite personne 16 détectée à l'extérieur de la zone 1. Avantageusement, l'étape de réalisation d'un changement d'état est mise en oeuvre en fonction de règles préétablies permettant de déterminer la fonction de changement d'état à réaliser en fonction de l'identifiant de la personne détectée comme étant à l'extérieur de la zone et en fonction d'autres paramètres comme l'horaire de détection, le type d'affectation entre la personne et l'ordinateur (utilisateur unique, utilisateur partagé, utilisateur occasionnel, etc.), la sensibilité des données de l'ordinateur, etc. Ainsi différents scénarios peuvent être envisagés (ces scénarios sont donnés à titre indicatif et ne sont pas considérés comme étant limitatifs ou exhaustifs) : - lors de la détection d'une personne à l'extérieur d'un bâtiment, verrouiller l'ordinateur en refusant l'accès audit ordinateur à toute personne qui ne pourrait s'identifier auprès de l'ordinateur ; ainsi dans le cas d'une personne ayant oublié de verrouiller son ordinateur, la personne ayant été détectée à l'extérieur de la zone où se situe son ordinateur, le verrouillage de l'ordinateur est forcé, évitant à toute autre personne au sein de la zone 1 de pouvoir accéder à l'ordinateur ou plus spécifiquement à la session de la personne détectée à l'extérieur de la zone; - lors de la détection d'une personne à l'extérieur d'un bâtiment en dehors d'une plage horaire prédéterminée, mettre en veille ou éteindre l'ordinateur, réduisant ainsi la consommation inutile de l'ordinateur ; ainsi dans le cas d'une personne ayant oublié d'éteindre ou de mettre en veille son ordinateur avant de rentrer chez elle, la personne ayant été détectée à l'extérieur de la zone au moment où elle sort du bâtiment, la mise en veille simple ou prolongée ou l'extinction (selon des règles préétablies) est forcée, évitant tout gaspillage d'énergie ; - lors de la détection d'une personne à l'extérieur d'une zone confidentielle, provoquer le cryptage de tout ou partie des données de l'ordinateur, en empêchant ainsi toute personne voulant par exemple récupérer le disque dur de l'ordinateur de la personne d'avoir accès à des données sensibles ; - lors de la détection d'un professeur à l'extérieur de son université ou de son école au-delà d'une certaine plage horaire, extinction ou mise en veille prolongée de l'ensemble des ordinateurs de ses élèves, évitant le gaspillage d'énergie sans pour autant que le professeur n'ait à éteindre chaque machine ; avantageusement, il est prévu qu'un message s'affiche sur chaque ordinateur avertissant de l'extinction immanente de l'ordinateur, permettant ainsi à un étudiant travaillant sur son ordinateur d'empêcher l'extinction en s'identifiant par exemple par son mot de passe ; - un scénario similaire est envisageable avec un chef de service quittant la pièce ou le bâtiment de son service. Facultativement, il est prévu que l'utilisateur soit averti du changement d'état imminent de l'ordinateur, lui permettant (par exemple en cas d'erreur de détection de personne) d'empêcher le changement d'état en s'identifiant par exemple par son mot de passe. Facultativement, il est également prévu que la personne puisse faire revenir l'ordinateur à l'état précédent en s'identifiant par exemple par son mot de passe, afin de permettre à la personne d'accéder à son ordinateur même si une erreur détection est intervenue. Cependant, afin d'augmenter la sécurité du parc informatique, il est prévu que le retour de l'ordinateur à l'état précédent ne soit pas possible tant que la personne est détectée comme étant à l'extérieur de la zone, afin d'éviter qu'une personne en possession du mot de passe de la personne affectée à l'ordinateur puisse avoir accès à la session de la personne à l'extérieur. De plus, il peut être prévu que tant que la personne est détectée comme étant à l'extérieur de la zone, aucune autre session ne puisse être ouverte sur l'ordinateur. Avantageusement, il est prévu également que la détection d'une personne à l'intérieur de la zone provoque un retour de l'ordinateur à l'état précédent correspondant. Plus particulièrement, il est prévu par exemple que la détection à l'intérieur de la zone par les moyens de localisation, dans certaine plage horaire, provoque l'allumage d'un ordinateur éteint (par exemple via une fonctionnalité standard de réveil par réseau � Wake-On-LAN �) ou encore provoque le l'activation d'un ordinateur en veille simple ou prolongée selon des règles préétablies. Bien entendu, de nombreuses autres variantes et modifications peuvent être apportées à l'invention. REVENDICATIONS1. Procédé de gestion d'un parc informatique à l'intérieur d'une zone définie (1) dotée de moyens de localisation de personnes par rapport à ladite zone, le parc informatique comprenant une pluralité d'ordinateurs (11,12), chaque ordinateur (11,12) étant affecté à une ou plusieurs personnes (14,16), et des moyens de commande à distance (13) des ordinateurs, le procédé comprenant les étapes suivantes: (a) détecter (20) une personne (16) à l'extérieur de la zone (1) à l'aide des moyens de localisation (10) des personnes, (b) en réponse à cette détection, provoquer (22) un changement d'état du ou des ordinateurs (11) affecté(s) à ladite personne. 2. Procédé selon la revendication 1, dans lequel l'étape (b) est mise en oeuvre en fonction de règles préétablies. 3. Procédé selon la revendication 1 ou 2, dans lequel l'étape (b) comprend au moins l'une des actions suivantes : - fermeture d'au moins une session (23) d'utilisateur sur le ou les ordinateur(s) affecté(s) à ladite personne (16) détectée à l'extérieur de la zone (1), - mise en veille (24) simple ou prolongée du ou desdits ordinateur(s) (11), - verrouillage (25) du ou des ordinateur(s) (11), - limitation les droits (26) d'utilisation du ou des ordinateur(s) (11), - extinction ou redémarrage (27) du ou des ordinateur(s) (11), - cryptage de tout ou partie des données du ou des ordinateur(s) (11). 4. Procédé selon l'une des revendications 1 à 3, dans lequel les moyens de localisation (10) des personnes comprennent des bornes d'accès et de sortie de ladite zone (1). 5. Procédé selon l'une des revendications 1 à 4, dans lequel les moyens de localisation (10) des personnes comprennent des moyens aptes à déterminer la localisation des personnes au sein et/ou à l'extérieur de la zone (1). 6. Système de gestion d'un parc informatique à l'intérieur d'une zone définie (1), le parc informatique comprenant une pluralité d'ordinateurs (11,12), chaque ordinateur (11,12) étant affecté à une ou plusieurs personnes (14,16), caractérisé en ce qu'il comprend : - des moyens de localisation (10) des personnes par rapport à ladite zone, et - une unité de commande à distance des ordinateurs (13) reliée aux moyens de localisation et apte à provoquer un changement d'état sélectif d'un ou de plusieurs ordinateurs en fonction de la détection, par les moyens de localisation, d'une personne (16) à laquelle sont affectés le ou les ordinateurs à l'extérieur de la zone (1). 7. Système selon la revendication précédente, dans lequel les moyens de localisation (10) des personnes comprennent en outre des bornes d'accès à 20 ladite zone (1). 8. Système selon la revendication 6 ou 7, dans lequel les moyens de localisation (10) des personnes comprennent des moyens aptes à déterminer la localisation des personnes au sein et/ou à l'extérieur de la zone (1). 25 9. Equipement de gestion d'un parc informatique en réseau, l'équipement étant apte à provoquer un changement d'état individuel au niveau d'une pluralité d'équipements informatiques individuellement identifiés, caractérisé en ce qu'il comprend une entrée apte à recevoir des informations de 30 présence/absence d'utilisateurs comprenant des identifiants d'utilisateurs, et des moyens pour associer à des identifiants d'utilisateurs des identifiantsd'équipements, et des moyens pour provoquer des changements d'état au niveau d'équipements dont les identifiants sont associés à des identifiants d'utilisateurs reçus en entrée.