Suite à plusieurs mauvaises expériences où l'administration cantonale avait rencontré des difficultés à remonter aux sources d'incidents informatiques, le canton de Genève a demandé en 2015 à la DGSI, office en charge de son IT, de trouver une solution. Les enjeux étaient nombreux et importants. Face à un incident, il s'agissait en effet de diagnostiquer si celui-ci était accidentel, dû à une défaillance technique ou issu d'une malveillance. Il fallait également pouvoir définir des responsabilités entre les différents utilisateurs à pouvoir du SI, internes ou prestataires, alors que les administrateurs peuvent manipuler les logs des serveurs.

Pour atteindre son objectif, la DGSI a déployé de Balabit couplé à la gestion de mots de passe ERPM de Lieberman. Le tout a été intégré par I-Tracing. Ces outils permettent de surveiller les accès privilégiés au SI en enregistrant les commandes d'exécutions et les lancements d'applications par les 200 ingénieurs puis de fournir une preuve inviolable et claire dans les investigations opérées. Ce sont près de 3 000 serveurs Linux ou Windows, physiques ou virtuels, ainsi que des systèmes Sun Solaris et IBM AIX qui sont ainsi contrôlés.

Les utilisateurs réels sont clairement identifiés grâce à une authentification à deux facteurs. Les vidéos d'incidents peuvent être rejoués à la demande pour faciliter les investigations post-incident et prouver l'absence d'intention malveillante. La solution installée permet également la mise en place d'une politique d'accès centralisée et unifiée.