Les défis et les avantages de la gestion des identités et des accès

Présentation

La nécessité de disposer d’une stratégie robuste de gestion des identités et des accès (IAM) fait désormais partie intégrante de l’informatique d’entreprise. Des solutions IAM performantes peuvent permettre aux entreprises d’accroître la productivité de leurs collaborateurs et de renforcer leur posture globale de sécurité. Toutefois, l’essor du cloud computing et la répartition croissante des collaborateurs mobiles rendent chaque jour l’IAM plus complexe.

Les équipes chargées, au sein de l’organisation, d’authentifier l’identité des utilisateurs et de gérer l’accès aux ressources de l’entreprise doivent trouver le juste équilibre entre la mise en place de contrôles de sécurité robustes et la simplification des procédures d’authentification afin d’accroître la productivité des utilisateurs. En définitive, l’activité d’une entreprise consiste à apporter de la valeur à ses clients, et l’IAM joue un rôle essentiel pour permettre aux employés de créer cette valeur tout en les empêchant de nuire à la réputation, à la sécurité ou aux résultats financiers de l’entreprise.

Lorsqu’elles envisagent d’adopter ou de modifier une stratégie IAM, les entreprises doivent tenir compte de certaines des principales tendances en matière d’authentification des identités et de gestion des accès aux applications d’entreprise. Le paysage global de l’IAM devient de plus en plus complexe et doit continuer à évoluer face à des menaces de sécurité toujours plus sophistiquées, ce qui pose des défis spécifiques tant aux utilisateurs qu’aux administrateurs. Les principaux éléments d’une solution IAM globale — notamment la gestion centralisée des accès, l’automatisation, la création de rapports et l’application contextuelle des politiques de sécurité — peuvent aider les entreprises à relever ces défis tout en accompagnant une croissance dynamique.

La gestion des identités et des accès aujourd’hui

Les entreprises s’appuient sur des systèmes agiles pour s’adapter à des défis en constante évolution et se réorienter afin de saisir de nouvelles opportunités. La rapidité est essentielle, et les équipes informatiques sont soumises à une forte pression pour mettre rapidement et facilement les ressources d’information à la disposition des utilisateurs lorsqu’ils en ont besoin. Toutefois, ce besoin d’accès à la demande se heurte à des enjeux de sécurité bien réels qui préoccupent fortement les responsables informatiques. Face aux attaques visant les applications critiques, tant à l’intérieur qu’à l’extérieur du périmètre de sécurité traditionnel, les entreprises doivent veiller à ce que les accès soient strictement contrôlés afin de garantir la sécurité des données.

Les stratégies IAM sont souvent cloisonnées au sein de différents services, notamment ceux chargés de la sécurité de l’information, du développement d’applications et de la conformité réglementaire. Comme chaque service adapte souvent les privilèges d’accès à ses propres objectifs métier, les exigences informatiques de l’entreprise ne sont pas toujours appliquées. Cette approche fragmentée de l’IAM peut entraîner une attribution et une révocation laborieuses des accès, des pertes de productivité, voire des failles de sécurité.

Bien que la mise en œuvre d’une stratégie IAM complète puisse être bien plus complexe que le simple déploiement d’une technologie, lorsqu’elle est menée correctement, elle permet aux entreprises de générer une valeur métier tangible, notamment grâce à une efficacité opérationnelle accrue, une conformité réglementaire simplifiée et une meilleure satisfaction des employés. Toutefois, plusieurs difficultés doivent être surmontées pour déployer avec succès une solution IAM robuste.

Défis et solutions

Les services informatiques des entreprises sont aujourd’hui confrontés au défi de plus en plus complexe qui consiste à fournir un accès granulaire aux ressources d’information en s’appuyant sur des données contextuelles relatives aux utilisateurs et aux requêtes, tout en empêchant efficacement tout accès non autorisé aux données sensibles de l’entreprise.

Défi : une main-d’œuvre de plus en plus dispersée

Pour recruter et fidéliser les meilleurs talents, les organisations peuvent notamment s’affranchir des contraintes géographiques et proposer un environnement de travail flexible. Le travail à distance permet aux entreprises d’accroître leur productivité tout en maîtrisant leurs dépenses, mais aussi de libérer leurs collaborateurs du cadre traditionnel du bureau. Toutefois, lorsque les collaborateurs sont dispersés dans tout le pays, voire dans le monde entier, les équipes informatiques des entreprises sont confrontées à un défi bien plus complexe : garantir une expérience homogène aux collaborateurs qui accèdent aux ressources de l’entreprise, sans compromettre la sécurité. Avec l’essor de l’informatique mobile, les équipes informatiques disposent d’une visibilité et d’un contrôle moindres sur les pratiques de travail des collaborateurs.

Solution

Une solution IAM complète et gérée de manière centralisée redonne à l’équipe informatique de l’entreprise la visibilité et le contrôle nécessaires pour gérer une main-d’œuvre répartie.

Défi : applications distribuées

Avec l’essor des applications cloud et des logiciels en tant que service (SaaS), les utilisateurs peuvent désormais se connecter à tout moment, où qu’ils soient et depuis n’importe quel appareil, à des applications métier essentielles telles que Salesforce, Office365, Concur et bien d’autres. Toutefois, la multiplication des applications distribuées complexifie la gestion des identités des utilisateurs pour ces applications. En l’absence d’un accès fluide à ces applications, les utilisateurs peinent à gérer leurs mots de passe, tandis que le service informatique doit faire face à une hausse des coûts d’assistance liée à leur frustration.

Solution

Une solution IAM globale peut aider les administrateurs à centraliser, contrôler et simplifier les droits d’accès, que les applications critiques soient hébergées dans des centres de données traditionnels, des clouds privés, des clouds publics ou dans un environnement hybride combinant l’ensemble de ces espaces.

Défi : un provisionnement efficace

Sans système IAM centralisé, le personnel informatique doit attribuer les accès manuellement. Plus un utilisateur attend avant de pouvoir accéder aux applications métier essentielles, moins il est productif. À l’inverse, ne pas révoquer les droits d’accès des employés qui ont quitté l’organisation ou changé de service peut avoir de graves conséquences sur la sécurité. Pour réduire cette période d’exposition et les risques associés, le personnel informatique doit supprimer les accès aux données de l’entreprise aussi rapidement que possible. Malheureusement, dans de nombreuses organisations, le service informatique doit examiner le compte de chaque utilisateur afin de déterminer les ressources auxquelles il a accès, puis révoquer manuellement ces accès. L’attribution et la suppression manuelles des accès demandent beaucoup de travail et sont sujettes aux erreurs humaines et aux oublis. Pour les grandes organisations en particulier, cette méthode de gestion des identités et des accès des utilisateurs n’est ni efficace ni viable à long terme.

Solution

Une solution IAM robuste peut automatiser entièrement le processus de provisionnement et de déprovisionnement, donnant ainsi au service informatique un contrôle total sur les droits d’accès des employés, partenaires, prestataires, fournisseurs et invités. Le provisionnement et le déprovisionnement automatisés accélèrent l’application de politiques de sécurité strictes tout en contribuant à éliminer les erreurs humaines.

Défi : utilisation des appareils personnels (BYOD)

Gérer ou ne pas gérer : pour les entreprises d’aujourd’hui, le choix ne se pose pas vraiment. Les employés, les prestataires, les partenaires et d’autres personnes utilisent leurs appareils personnels et les connectent au réseau de l’entreprise à des fins professionnelles et personnelles. Avec le BYOD, la difficulté n’est pas de savoir si des appareils externes seront connectés au réseau de l’entreprise, mais si le service informatique peut réagir assez rapidement pour protéger les actifs de l’organisation, sans nuire à la productivité des employés tout en leur laissant la liberté de choisir. Presque toutes les entreprises disposent d’une forme de politique BYOD permettant aux utilisateurs d’accéder à des ressources sécurisées depuis leurs propres appareils. Toutefois, l’accès aux applications internes et SaaS depuis un appareil mobile peut s’avérer plus fastidieux que depuis un ordinateur portable connecté au réseau ou un poste de travail fixe. En outre, le personnel informatique peut avoir des difficultés à déterminer qui dispose de droits d’accès aux données de l’entreprise et quels appareils sont utilisés pour y accéder.

Solution

Les entreprises doivent élaborer une stratégie permettant d’accorder — et de révoquer — rapidement, facilement et en toute sécurité l’accès aux applications d’entreprise sur les appareils mobiles appartenant aux employés ou à l’entreprise, conformément aux directives internes ou aux exigences réglementaires. En outre, les évolutions technologiques, telles que l’essor de l’Internet des objets, obligent les équipes informatiques à déployer des solutions capables de s’adapter à l’afflux massif d’appareils susceptibles de mettre le réseau de l’entreprise à rude épreuve.

Défi : les problèmes liés aux mots de passe

L’essor des applications cloud oblige les employés à mémoriser un nombre croissant de mots de passe pour des applications susceptibles de couvrir plusieurs domaines et d’utiliser de nombreux standards et protocoles différents d’authentification et de partage d’attributs. La frustration des utilisateurs peut s’accentuer à mesure qu’ils consacrent de plus en plus de temps à gérer les listes de mots de passe qui en résultent, certains devant être modifiés tous les 30 jours. De plus, lorsque les employés rencontrent des problèmes avec leurs mots de passe, ils sollicitent le plus souvent l’aide du service informatique, ce qui peut rapidement et régulièrement mobiliser des ressources importantes.

Solution

Les entreprises peuvent facilement reléguer les problèmes de mots de passe au passé en fédérant les identités des utilisateurs et en étendant les fonctionnalités sécurisées d’authentification unique (SSO) aux applications SaaS, cloud, web et virtuelles. Le SSO permet d’intégrer la gestion des mots de passe dans plusieurs domaines et avec différentes normes et différents protocoles d’authentification et de partage d’attributs.

Défi : conformité réglementaire

Les préoccupations liées à la conformité et à la gouvernance d’entreprise restent des facteurs majeurs des dépenses consacrées à l’IAM. Par exemple, la responsabilité de fournir les données de gouvernance d’entreprise exigées par la loi Sarbanes-Oxley incombe en grande partie au service informatique. La prise en charge de processus tels que la définition des droits d’accès de certains employés, le suivi des approbations de la direction pour l’élargissement des accès et la consignation des personnes ayant accédé aux différentes données, ainsi que de la date de ces accès, peut grandement contribuer à alléger la charge liée à la conformité réglementaire et à garantir le bon déroulement des audits.

Solution

Une solution IAM robuste peut faciliter la conformité aux normes réglementaires telles que la loi Sarbanes-Oxley, la loi HIPAA et la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS). En particulier, une solution qui automatise les rapports d’audit peut simplifier les processus de mise en conformité réglementaire et contribuer à générer les rapports détaillés nécessaires pour attester cette conformité.

Conclusion

Sécurité. Efficacité. Simplicité. Productivité. Conformité. Si les avantages du déploiement d’une solution IAM robuste sont évidents, le coût et la complexité de sa mise en œuvre peuvent faire échouer les projets des organisations, même les mieux intentionnées. Toutefois, lorsque les entreprises prennent en compte le coût d’une éventuelle faille de sécurité ou examinent les inefficacités inhérentes à l’attribution et à la révocation manuelles des accès aux ressources de l’entreprise, la nécessité d’agir s’impose : le moment est venu de constituer une équipe IAM centralisée capable d’élaborer et de faire appliquer des politiques de gestion des identités et des accès à l’échelle de l’organisation.

Le périmètre de sécurité traditionnel se réduit. Les entreprises à la recherche de solutions IAM doivent tenir compte des réalités d’une main-d’œuvre de plus en plus mobile et d’un réseau d’applications extrêmement distribué et complexe. Une solution IAM robuste peut faciliter la gestion, rationaliser l’attribution et la révocation des accès et accroître la productivité des utilisateurs, tout en réduisant les coûts et la charge de travail des équipes informatiques, et en fournissant à l’entreprise des données complètes pour l’aider à respecter les exigences réglementaires.

En outre, les entreprises peuvent renforcer leur sécurité en déployant des solutions dotées d’une authentification multifacteur robuste, tout en évitant la frustration des utilisateurs grâce à un accès fluide aux applications cloud via l’authentification unique (SSO). Par ailleurs, à mesure que la gestion des identités et des accès se complexifie, la capacité à créer des politiques fondées sur des informations contextuelles granulaires gagnera en importance. Les solutions IAM capables de recueillir des données sur l’identité de l’utilisateur, sa localisation, son appareil et la ressource demandée, puis de prendre des décisions en fonction de ces éléments, permettront aux entreprises d’accorder rapidement un accès aux employés, partenaires, prestataires ou invités légitimes, et de révoquer ou de refuser facilement les privilèges des utilisateurs non autorisés.

PUBLIÉ LE 24 FÉVRIER 2016