Het ALIS-portaal van BNP Paribas concentreert het HR-beheer, de salarisadministratie en de loopbaanbegeleiding van de medewerkers van de groep. De toegangsarchitectuur is de afgelopen jaren aanzienlijk geëvolueerd, met een gefedereerde authenticatielaag die regelmatig problemen oplevert voor werknemers, vooral in situaties van telewerken.
Technische toegangsarchitectuur van het ALIS-portaal van BNP Paribas
Toegang tot ALIS is gebaseerd op een authenticatieketen in drie schakels: verplichte groeps-VPN, federatie van identiteit via login.extidp.bnpparibas, gevolgd door multi-factor authenticatie (MFA). Elke aanvraag wordt gecontroleerd om te bevestigen dat deze afkomstig is van het interne netwerk voordat de weergave van het HR-portaal op alis.hr.bnpparibas wordt toegestaan.
Lees ook : Alles wat je moet weten over de evaluatie en de criteria van de beroepskwalificatie in Frankrijk
Deze SSO-architectuur (Single Sign-On) met groeps-IDP betekent dat een medewerker die probeert in te loggen zonder actieve VPN zijn aanvraag zal zien worden afgewezen voordat hij zelfs maar het inlogscherm bereikt. Het foutbericht ERR_BLOCKED_BY_CLIENT, dat vaak wordt gerapporteerd, komt meestal voort uit een niet-geconfigureerde VPN-tunnel of een browserextensie die interferentie veroorzaakt met het domein extidp.bnpparibas.
Wij raden aan om systematisch drie punten te controleren voordat u probeert om verbinding te maken met Alis BNP Paribas vanaf een externe werkplek: de VPN moet een verbonden status weergeven, de browser mag geen derde partij cookies van het domein bnpparibas blokkeren, en de MFA moet zijn ingesteld op een bijgewerkt apparaat.
Lees ook : Alles wat u moet weten over de prijs per m2 van dubbele beglazing en de te overwegen criteria
Beveiligingsescalaatprocedure bij een verdachte ALIS-blokkering
Niet alle blokkeringen zijn gelijk. Een klassieke inlogfout valt onder de IT-helpdesk. Sommige signalen vereisen echter een andere procedure.
In geval van omleiding naar een domein dat niet eindigt op alis.hr.bnpparibas, een ongebruikelijke beveiligingswaarschuwing in de browser of een inconsistente geolocatie die wordt weergegeven tijdens de toegangspoging, voorziet de interne procedure in een prioritaire contact met het CERT (Computer Emergency Response Team) van de groep. Deze reflex moet elke oproep naar de klassieke helpdesk voorafgaan.
Het CERT kwalificeert het incident op het gebied van cybersecurity: gerichte phishingpoging, sessiecompromittering of eenvoudige netwerkfout. Dit onderscheid is cruciaal omdat een te late melding van een echt beveiligingsincident de medewerker en de groep blootstelt aan het risico van een datalek van persoonlijke HR-gegevens (loonstroken, bankgegevens, gezinssituatie).
Signalen die een contact met CERT rechtvaardigen in plaats van de helpdesk
- Omleiding naar een URL die niet eindigt op .bnpparibas of .hr.bnpparibas, zelfs als de visuele uitstraling van de pagina identiek lijkt aan het ALIS-portaal
- Verzoek om inloggegevens in te voeren op een pagina zonder geldig SSL-certificaat voor het groepsdomein
- MFA-melding ontvangen zonder inlogpoging van de medewerker, wat wijst op een lopende identiteitsdiefstal
- Bericht van abnormale geolocatie (verbinding gedetecteerd vanuit een land waar de medewerker zich niet bevindt)
Langdurig onderhoud van het ALIS-portaal: situatie en HR-alternatieven
Het ALIS-portaal is officieel in onderhoud sinds juli 2024. Het bericht dat op alis.hr.bnpparibas wordt weergegeven, vermeldt een opschorting zonder datum voor heropening, onder de verantwoordelijkheid van de RHG GAP-teams. Deze ongekende situatie in zijn duur verstoort de toegang tot loonstroken, het volgen van verlof en interne mobiliteitsprocedures.
Gedurende deze periode moeten medewerkers zich wenden tot hun lokale HR-beheerder voor alle verzoeken die normaal gesproken in self-service op ALIS worden behandeld. Managers, die normaal gesproken een speciale ruimte hebben om verlof te valideren en de gesprekken van hun teams te beheren, zijn ook gedwongen om handmatige circuits te gebruiken.
Gegevens toegankelijk via ALIS in normale werking
Om de impact van deze onbeschikbaarheid te meten, hier is wat het portaal normaal gesproken centraliseert:
- Raadplegen en downloaden van loonstroken, met een geschiedenis van meerdere jaren
- Beheer van verlof en afwezigheden (verzoeken, saldi, goedkeuring manager)
- Volgen van de administratieve situatie: functieomvang, hiërarchische aansluiting, persoonlijke gegevens
- Toegang tot loopbaanbeheertools: jaarlijkse gesprekken, interne mobiliteit, opleiding
Al deze gegevens blijven opgeslagen en beveiligd ondanks de onbeschikbaarheid van de interface. Het onderhoud betreft alleen de applicatielaag, niet de HR-databases van de groep.
Telewerken en toegang tot ALIS: veelvoorkomende configuratiefouten
Telewerken heeft het aantal toegangincidenten tot ALIS vergroot. De meeste tickets die bij de ondersteuning zijn geopend, hebben betrekking op configuratieproblemen van de externe werkplek, niet op storingen van het portaal zelf.
De eerste reflex is om te controleren of de groeps-VPN is verbonden voordat de browser wordt geopend. De browser starten en vervolgens de VPN inschakelen is niet altijd voldoende: sommige DNS-sessies blijven in de cache en wijzen naar een externe resolutie van het domein alis.hr.bnpparibas, wat een stille blokkering veroorzaakt.
Het tweede punt betreft persoonlijke browsers. Extensies zoals advertentie- of trackerblokkeringen onderscheppen regelmatig aanvragen naar login.extidp.bnpparibas, die ze als derde partij domein classificeren. We merken dat het tijdelijk deactiveren van deze extensies, of het gebruik van een speciale browserprofiel zonder extensies, de meeste gevallen oplost.
Beveiliging van persoonlijke gegevens bij externe toegang
Toegang tot ALIS vanaf een thuisnetwerk of een gedeeld Wi-Fi-netwerk stelt de gegevens van de werknemer bloot als de VPN niet actief is. De informatie die via het portaal wordt verzonden (socialezekerheidsnummer, bankrekeningnummer, gezinssituatie) valt onder de AVG en het gegevensbeschermingsgebied van de groep.
Toegang zonder actieve VPN omzeilt het groepsbeveiligingsbeleid, zelfs als de verbinding technisch tot stand komt. Het feit dat de pagina wordt weergegeven, garandeert niet dat het kanaal end-to-end is versleuteld volgens de interne normen van BNP Paribas.
De heropening van het ALIS-portaal blijft afhankelijk van het werk van de RHG GAP-teams, zonder een openbaar tijdschema. In de tussentijd beschermt het handhaven van een strikte verbindingshygiëne (systematische VPN, bijgewerkte MFA, waakzaamheid over domeinen) zowel de medewerker als het bedrijf tegen de risico’s die verband houden met het gedigitaliseerde beheer van HR- en salarisgegevens.