Caesars Entertainment mise sur l’intégration rapide et sécurisée des données pour ses opérations de fusions-acquisitions

Partie d’une toute petite salle de bingo à Reno, dans le Nevada, l’entreprise qui allait plus tard devenir Caesars Entertainment a été fondée en 1937. Dès le début et au fil des décennies, ses quatre fondateurs se sont fait connaître pour leur capacité à faire bouger les lignes dans le monde des casinos, et à redéfinir le concept d’excellence dans l’industrie du jeu et du divertissement, hissant Caesars au rang de marque iconique dans le monde entier.

En juillet 2020, Caesars Entertainment a été racheté par Eldorado Resorts. Les deux marques légendaires ont alors fusionné sous le nom de Caesars Entertainment, devenant au passage la plus grande entreprise de jeux au monde, avec 55 établissements répartis aux quatre coins du globe.

Le fait que la fusion Eldorado-Caesars se soit produite en pleine pandémie de Covid-19 aurait dû rendre les choses plus difficiles pour Bobby Wilkins, Vice-président cybersécurité chez Caesars Entertainment. Mais il en fallait plus pour le dévier de sa mission. Il est ainsi parvenu à faire basculer simultanément des dizaines de milliers de collaborateurs en télétravail, en équipant chacun d’une connexion à distance sécurisée au réseau de Caesars. Dans le même temps, il a conçu l’architecture qui allait intégrer des téraoctets de données d’entreprise en toute sécurité au moment de la fusion. Depuis lors, il a continué à assurer la gestion de tous ces utilisateurs en distanciel, y compris durant les dates charnières du processus M&A.

Comparé aux principaux concurrents de Caesars, Bobby Wilkins dirige une équipe de sécurité relativement compacte. Au moment de la fusion, poster les bonnes personnes aux bons endroits au bon moment a demandé quelque habileté de la part du VP. Il était notamment vital pour lui et son équipe de disposer des bons outils pour garder une longueur d’avance sur les attaques et répondre à la hausse de la demande.

Avec à son actif près de 20 acquisitions au cours de ses 29 années chez Caesars, Bobby Wilkins affirme que lors d’une fusion, le plus grand risque de sécurité réside dans l’énorme part d’inconnu. « On ne sait pas comment l’entreprise rachetée a protégé son réseau. On ne sait pas de quelles vulnérabilités on pourrait hériter. On ne sait pas ce qui pourrait s’y cacher », explique-t-il. « Il faut pouvoir se protéger avant de s’ouvrir. »

Le deuxième plus grand défi consiste à cerner les besoins des utilisateurs de la nouvelle entité, et à leur fournir l’accès dont ils ont besoin – juste assez, pas plus – au réseau de l’entreprise et aux différents systèmes et données qui leur permettront de faire leur travail une fois la fusion terminée.

Selon le VP cybersécurité, cela n’a souvent rien d’une formalité, car beaucoup d’utilisateurs ne savent tout simplement pas de quelles données (ni de quels systèmes) ils ont besoin pour accomplir les missions qui leur sont confiées.

« Une intégration apporte toujours son lot de surprises », explique M. Wilkins. « Au moment de la mise en service, tout le monde veut que tout fonctionne tout de suite. Mais il y a toujours un hic quelque part. » C’est pourquoi Bobby Wilkins met toujours en place une équipe d’intervention rapide, prête à apporter les corrections nécessaires sur les connexions manquantes dès qu’elles sont identifiées au moment de la mise en service.

En plus de la pression d’un calendrier d’intégration très serré, toute cette opération se déroulait pendant la pandémie. « Avec le passage au télétravail et toutes les fermetures d’établissements imposées par les confinements, nous devions mettre en place les ressources nécessaires pour maintenir les systèmes existants opérationnels, mais aussi dépêcher des équipes sur place pour assurer les connexions issues de la fusion. Cela constituait un [autre] défi majeur », déclare M. Wilkins.

Sachant que l’entreprise allait poursuivre sur la voie de la croissance externe, la simplicité de l’approche plateforme s’imposait comme une évidence pour la stratégie de sécurité de Caesars en général, et la protection de ses investissements M&A en particulier. Ses collaborateurs devaient être protégés partout à mesure que les effectifs grossissaient.

Approche plateforme de la sécurité : c’était une priorité absolue pour Bobby Wilkins. Avant de changer pour la plateforme Palo Alto Networks, Caesars devait jongler entre 17 systèmes de cybersécurité installés. Rien que la prise en main de chacun de ces systèmes faisait perdre un temps précieux aux équipes SSI. Le calcul était vite fait pour Bobby Wilkins : s’il envoyait chaque collaborateur de son département se former une fois par an à chacun de ces 17 produits, il perdrait environ 40 % de productivité sur l’année. Il était donc déterminé à trouver une plateforme de sécurité dotée d’une interface utilisateur cohérente pour tous ses composants.

Expérience utilisateur sécurisée et homogène pour les télétravailleurs : il fallait aussi résoudre la difficile équation du télétravail pour cause de Covid, avec un grand nombre de salariés se connectant au réseau depuis des zones éloignées. Ce réseau étendu devait donc être protégé sans interférer sur la productivité. Bobby Wilkins souhaitait que les salariés bénéficient de la même expérience en distanciel qu’en présentiel, quel que soit leur lieu de travail.

Protection évolutive : compte tenu de l’ampleur de certaines fusions (notamment le rachat par Eldorado), Caesars avait besoin d’une solution de sécurité capable d’évoluer au rythme des augmentations de trafic résultant d’une fusion ou d’une acquisition.

Conscient des risques potentiels, Caesars a énormément travaillé à la mise en place d’un processus de vérification de sécurité préalable à une fusion-acquisition. « Nous veillons à ne pas nous mettre en danger en montrant trop d’empressement à nous connecter », déclare Bobby Wilkins.

La due diligence que Caesars applique lors d’une opération M&A est multidimensionnelle. Pour commencer, Caesars n’ouvre jamais entièrement son réseau à une nouvelle entreprise. Au lieu de cela, elle préfère déployer Prisma Access, une plateforme de sécurité en mode cloud intégrée à la solution SASE de Palo Alto Networks. Prisma Access permet à Caesars de créer un bouclier entre les deux organisations, veillant à ce que les politiques de sécurité reflètent exactement les systèmes et les données auxquels les utilisateurs de l’entité fusionnée doivent accéder. FWaaS (Firewall as a Service), SWG (passerelle web sécurisée), ZTNA (Zero Trust Network Access), CASB (Cloud Access Security Broker)… Prisma Access rassemble plusieurs produits au sein d’une plateforme centralisée. « Cette solution nous fournit ce dont nous avons besoin », se réjouit Bobby Wilkins.

L’équipe de cybersécurité de Caesars a récemment décidé de passer à un réseau Zero Trust. Elle a donc mis à jour son architecture de sécurité pour refléter sa migration vers ce modèle, et s’apprête à mettre en œuvre une approche pare-feu « always-on » dans le cadre de ce processus.

« Avant le Zero Trust, nous aurions atteint ce point où nous penserions en avoir fait assez, et nous aurions intégré la nouvelle entreprise au réseau », explique Bobby Wilkins. « Mais aujourd’hui, avec le Zero Trust, nous gardons cette segmentation de pare-feu intacte, sachant qu’il n’y a aucune raison pour que l’Entité A communique directement avec l’Entité B. » Lorsque les utilisateurs de l’Entité B doivent accéder à des ressources de l’Entité A, Prisma Access permet à Caesars de codifier les bonnes politiques pour répondre à ce besoin sans compromettre la sécurité.

Après avoir établi des politiques de sécurité et d’accès appropriées via Prisma Access, Caesars effectue ce qu’ils appellent une « double évaluation des risques ». Concrètement, une société de cybersécurité externe est engagée pour dresser un bilan des deux entreprises, Caesars et l’entité rachetée, dans le cadre d’un audit complet des vulnérabilités et des risques. « De cette façon, les deux parties se sentent suffisamment à l’aise pour connecter leurs réseaux », explique M. Wilkins.

La croissance externe est une stratégie de longue date pour Caesars. De fait, l’entreprise dispose de systèmes internes lui permettant d’établir une connectivité rapide lors de l’intégration d’une entité acquise (ou fusionnée, comme dans le cas d’Eldorado). À l’origine, ces systèmes sont conçus pour être sécurisés. Mais Prisma Access fait franchir un nouveau cap à cette sécurité, à des vitesses sans précédent. Auparavant, il fallait jusqu’à 90 jours à Caesars pour intégrer en toute sécurité le réseau d’une société rachetée. Avec Prisma Access, cela ne prend désormais qu’un à trois jours maximum.

Avant de déployer Prisma Access, Caesars utilisait des VPN traditionnels de site à site, ce qui l’obligeait à créer des tunnels entre leurs différentes entités. « Avec Prisma Access, nous définissons un terminal au niveau du data center, et tout ce que nous avons à faire est d’y ajouter le nouveau site partenaire », explique M. Wilkins. « Et rien ne pourrait être plus simple étant donné que nous sommes déjà connectés au cloud. »

Prisma Access permet à Caesars d’assujettir tous ces utilisateurs aux mêmes politiques Internet sortantes, qu’ils soient sur ou hors du réseau de l’entreprise. Ils bénéficient de la même expérience, quelle que soit la ressource de l’entreprise à laquelle ils accèdent. « Et s’ils ont un problème, peu importe où ils se trouvent, nous pouvons le résoudre », ajoute M. Wilkins. Prisma Access empêche également les utilisateurs d’accéder accidentellement à des sites dangereux, « alors qu’un VPN traditionnel ne fournirait pas cette protection », précise-t-il.

Selon la pensée traditionnelle, la seule façon de protéger un réseau d’entreprise étendu consiste à diriger le trafic vers le pare-feu périmétrique. Avec son modèle cloud, Prisma Access apporte le service là où il est requis, à savoir à la périphérie (edge). Les équipes de cybersécurité peuvent ainsi déployer une architecture de sécurité homogène jusqu’au moindre recoin de leur réseau, tout en prévenant les menaces connues et inconnues.

Pour Bobby Wilkins, Prisma Access offre à Caesars une plus grande visibilité sur le réseau et son trafic, sans avoir à embaucher. « Pour nous, c’est la clé », ajoute-t-il, « car en période de gel des recrutements, nous devons améliorer l’efficacité de nos équipes existantes. » La visibilité accrue offerte par Prisma Access permet à son équipe de renforcer le contrôle et de partager plus facilement les systèmes et données appropriés.

Le portefeuille de Palo Alto Networks a permis à Caesars de standardiser les outils d’intégration de la sécurité au travers d’une interface utilisateur commune. « Cela rend nos processus plus simples, plus cohérents et moins sujets aux erreurs », déclare Bobby Wilkins. Auparavant, chaque fusion ou acquisition nécessitait d’adopter une approche unique pour sécuriser adéquatement les réseaux et les systèmes lors de l’intégration. Aujourd’hui, avec Palo Alto Networks, le processus est plus standardisé et plus facile à reproduire, ce qui améliore considérablement la capacité de Caesars à intégrer parfaitement les réseaux et les systèmes.

Avec Prisma Access, Caesars a pu standardiser ses opérations de sécurité, permettant au logiciel de s’attaquer aux problèmes de sécurité « courants ». Ces problèmes de routine représentent jusqu’à 90 % de toutes les tâches d’intégration requises lors d’une fusion.

L’équipe de Bobby Wilkins peut ainsi consacrer son temps aux 10 % de problématiques de cybersécurité qui exigent une attention particulière, comme la réarchitecture de la posture de sécurité ou la réorganisation des processus de l’entreprise fusionnée.

Résultat : « Cela nous permet de fournir de meilleures applications à nos clients, des applications qui peuvent à la fois interopérer et faire l’objet d’innovations au rythme des besoins, sans que cela ne crée de frictions », déclare M Wilkins. « Notre entreprise gagne ainsi en compétitivité. »


Pour de plus amples informations, rendez-vous sur la page web Prisma Access de Palo Alto Networks.