La sécurité et la confidentialité des données sont cruciales, d’autant plus que le risque d’usurpation d’identité ne cesse d’augmenter, étant donné que 80 % des violations sont dues à des identifiants compromis (lien ici). L’identification, l’authentification, l’autorisation et la gestion des accès sont des piliers fondamentaux de la cybersécurité. La Gestion des Identités et des Accès (IAM) s’avère comme une solution incontournable pour relever ces défis. Le présent article examine l’importance de l’IAM dans le monde numérique, mettant en lumière ses avantages, son rôle essentiel dans la protection des données sensibles et un exemple pratique avec Entra ID, une solution Cloud de gestion des identités et des accès de Microsoft (anciennement appelé Azure Active Directory).
Introduction
Les organisations sont aujourd’hui confrontées à une explosion du volume de données et à une augmentation sans précédent des menaces de sécurité. Selon ISACA (lien ici), en 2022, 76% des organisations ont été ciblées par une attaque de ransomware, parmi lesquelles 64% ont été infectées. Les attaques informatiques, les violations de données et les fuites d’informations peuvent paralyser le Système d’Information, mettre la production à l’arrêt et menacer la réputation des entreprises. Dans ce contexte, la sécurité des identités et des accès devient une priorité absolue pour toute organisation qui doit prospérer dans un environnement numérique.
Les fondements de l’IAM
L’IAM englobe un ensemble de processus, de politiques et de technologies conçus pour gérer de manière sécurisée l’identification, l’authentification, l’autorisation et la gestion des accès des utilisateurs aux systèmes et aux données. Elle assure le contrôle de qui a accès à quoi, quand et comment, tout en respectant les fondamentaux de la sécurité informatique, à savoir assurer la confidentialité, l’intégrité, la disponibilité et la traçabilité des informations.
L’IAM est bien plus qu’un simple processus de gestion des utilisateurs et des mots de passe. C’est une approche stratégique qui vise à sécuriser l’accès aux ressources numériques (données, applications, logiciels etc.) tout en facilitant une expérience utilisateur fluide et transparente.
Voici les principales raisons qui font de l’IAM un pilier essentiel de la cybersécurité moderne pour les entreprises.
Sécurité informatique renforcée
L’IAM assure une gestion centralisée des identités et des accès, réduisant ainsi les risques de compromission des données et renforce la résilience face aux cyberattaques.
Avec un outil IAM, les organisations peuvent appliquer la même politique de sécurité dans toute l’entreprise. L’utilisation d’une solution IAM leur favorise la limitation des accès des utilisateurs (ou machines ou composants logiciels) aux ressources, ce qui réduit considérablement le risque que des parties non autorisées accèdent (voire utilisent accidentellement ou intentionnellement) aux données sensibles.
Les méthodes d’IAM comme l’authentification unique (SSO, Single Sign-On) et l’authentification multifacteurs (MFA) réduisent également le risque que les informations d’authentification des utilisateurs soient compromises ou utilisées de manière abusive (Recommandation relative au MFA), car les utilisateurs n’ont pas besoin de créer et de conserver plusieurs mots de passe. Et parce que les utilisateurs, pour accéder à des ressources protégées, ont besoin d’une autorisation fondée sur des preuves (comme des questions de sécurité, des mots de passe à usage unique ou des facteurs inhérents comme les empreintes digitales), les chances qu’un acteur malveillant obtienne l’accès à des ressources critiques sont plus faibles.
Les entreprises peuvent utiliser des méthodes d’IAM telles que le contrôle d’accès basé sur les rôles ou attributs (RBAC ou ABAC, lien ici) et le principe du moindre privilège (donner aux identités numériques les privilèges strictement nécessaires à l’exécution de leurs tâches) pour répondre aux exigences réglementaires.
Conformité réglementaire
En fournissant des outils de suivi et de vérification des accès, l’IAM aide les organisations à se conformer aux réglementations en matière de confidentialité et de protection des données de plusieurs manières (5 exigences clés du règlement DORA) :
- Suivi des activités et vérification des accès. Les outils IAM enregistrent les activités des utilisateurs, y compris les tentatives d’accès, les actions effectuées et les modifications apportées aux autorisations, facilitant ainsi la conformité aux réglementations sur la confidentialité des données. Par exemple, dans le secteur financier, le règlement de l’Union Européenne sur la résilience opérationnelle numérique (DORA, lien ici) recommande des audits continus sur les identités et leurs droits d’accès.
- Rapports de conformité. Les solutions IAM facilitent aux organisations la documentation et la présentation des politiques d’accès, des activités des utilisateurs et des mesures de sécurité mises en place, favorisant ainsi la démonstration de la conformité aux réglementations (lien ici) telles que le RGPD (Règlement Général sur la Protection des Données) en Europe ou le CPRA (La loi Californienne sur les droits à la vie privée) au Etats-Unis. Ces rapports permettent d’identifier les failles de sécurité, de mettre en œuvre des mesures de protection telles que des pare-feux, et de réduire les risques de perte ou de divulgation non autorisée de données sensibles.
Productivité améliorée ou accrue des employés
En automatisant les processus d’authentification et de gestion des accès, l’IAM réduit les frictions pour les utilisateurs finaux et augmente leur productivité.
Grâce à des mesures de sécurité telles que le SSO, le MFA, les organisations sont à même de renforcer la sécurité des données tout en réduisant les obstacles qui empêchent les travailleurs d’être productifs (lien ici). Les employés ont un accès rapide aux ressources dont ils ont besoin pour effectuer leurs tâches, peu importe leur localisation. Avec l’IAM, les employés semblent plus confiants de travailler dans un environnement sécurisé.
Une solution IAM avec le provisioning automatique des utilisateurs donne la possibilité aux employés de demander et d’obtenir rapidement un accès autorisé à différentes ressources en cas de besoin, sans alourdir le service informatique ni faire de l’informatique un goulot d’étranglement limitant la productivité des employés.
Réduction des coûts informatiques
En rationalisant les processus de gestion des identités et des accès, l’IAM favorise la réduction des coûts opérationnels associés à la sécurité informatique (lien ici).
Les solutions IAM automatisent et standardisent de nombreuses tâches liées à la gestion des identités, des authentifications et des autorisations. Cela signifie que les administrateurs informatiques peuvent consacrer leur temps à des tâches à plus forte valeur ajoutée pour l’entreprise.
D’après Gartner Group, entre 30 % et 50 % des appels au service d’assistance informatique concernent des réinitialisations de mot de passe (lien ici). L’implémentation de solutions de réinitialisation de mot de passe en libre-service (en anglais Self-Service Password Reset, SSPR) réduit considérablement ce volume d’appels, offrant ainsi aux utilisateurs la possibilité de réinitialiser leurs mots de passe de manière autonome.
En outre, de nombreux services IAM sont désormais disponibles en tant que service sur les plateformes Cloud, de sorte que la nécessité d’acheter, de mettre en œuvre et de maintenir une infrastructure sur site pour l’IAM s’en trouve considérablement réduite ou éliminée.
Capacités de l’IAM
Gestion des accès et protection des données sensibles
Les solutions IAM permettent d’autoriser ou de bloquer l’accès aux données et applications sensibles en définissant des politiques précises basées sur des critères tels que l’heure et la localisation (lien ici). Elles imposent des autorisations strictes pour la création, la modification et la suppression des données. Par exemple, le contrôle d’accès basé sur les rôles (RBAC) limite les actions des utilisateurs (lien ici), comme empêcher un employé temporaire d’envoyer ou de recevoir des données en dehors des systèmes de l’entreprise.
Optimisation du Cycle de Vie des Identités
L’IAM facilite la gestion du cycle de vie des identités, incluant l’arrivée, le départ et les mutations des employés, tout en assurant que les accès sont appropriés et révoqués en temps opportun (lien ici). De plus, il permet une gestion précise des rôles et des droits, garantissant que chaque utilisateur a accès uniquement aux ressources nécessaires à ses fonctions.
Séparation des tâches (Segregation of Duties, SoD)
Le SoD est le principe selon lequel aucun utilisateur ne doit avoir le contrôle total de systèmes, de processus ou d’activités sensibles. C’est un ensemble des contrôles au sein d’une organisation exigeant que plusieurs personnes soient nécessaires pour effectuer une seule tâche afin d’éviter la fraude ou l’erreur (lien ici). Dans un service de paie par exemple, un employé peut être responsable de la partie comptable et une autre personne responsable de la signature des chèques. Les solutions IAM automatisent cette séparation pour renforcer la sécurité.
Réconciliation d’identités
Elle est le processus utilisé pour associer les comptes existants aux utilisateurs existants (lien ici). Elle assure également que les droits d’accès et les privilèges des utilisateurs sont correctement attribués et conformes à leurs rôles et responsabilités, en vérifiant leur exactitude et leur conformité au principe du moindre privilège (lien ici). Les solutions IAM automatisent ce processus, assurant des accès appropriés et conformes aux politiques de sécurité.
Exemple concret d’un projet IAM
Une entreprise d’envergure internationale cliente de la société Devoteam, avait besoin de définir une cible (configuration) Entra ID pour la gestion des identités externes, ce qui impliquait la configuration d’un environnement Entra ID dédié à la gestion sécurisée des comptes d’utilisateurs externes nécessitant un accès aux applications sensibles de son organisation.
Les principaux objectifs du projet étaient les suivants :
- Définir des configurations Entra ID spécifiques pour chaque type d’application (B2B, B2C).
- Appliquer le principe du moindre privilège en limitant les droits d’administration et d’accès par application.
- Renforcer la sécurité des accès en définissant les politiques d’accès conditionnel et en appliquant l’authentification multifacteur (MFA).
- Mettre en place un système de gestion granulaire des groupes et des rôles dans Entra ID pour la gestion des autorisations d’accès aux ressources.
Les risques associés à ce projet incluent:
- Une mauvaise configuration des paramètres de sécurité exposant les applications critiques à des cyberattaques.
- Accès non autorisés : Politiques d’accès conditionnel mal implémentées donnant accès aux applications à des utilisateurs non autorisés.
- Gestion des groupes et des rôles : Gestion granulaire complexe pouvant causer des problèmes d’autorisation et d’accès aux applications si mal gérée.
Les enjeux du projet sont les suivants :
- Protection des ressources : Garantir que seuls les utilisateurs externes autorisés accèdent aux applications du client, protégeant ainsi les données et systèmes de l’entreprise contre les accès non autorisés et les cyberattaques.
- Gestion centralisée des identités externes : Disposer d’une solution centralisée pour gérer efficacement les identités externes.
- Accès sécurisé et fluide : Configurations spécifiques adaptées aux types d’utilisateurs externes (B2B, B2C) et politiques d’accès conditionnel bien définies assurant un accès sécurisé et efficace aux applications, tout en améliorant la satisfaction et la productivité des utilisateurs externes.
- Réduction des risques opérationnels : L’application du principe du moindre privilège pour accorder aux utilisateurs uniquement les droits nécessaires pour accomplir leurs tâches.
Résultat : Grâce à ce projet, le client dispose désormais d’une solution pour gérer ses utilisateurs externes, tout en bénéficiant d’une amélioration du niveau de sécurité des accès à ses ressources.
Conclusion
La sécurité des identités et des accès revêt une importance capitale pour toute organisation sérieuse. L’IAM offre une solution robuste pour relever ce défi en garantissant la sécurité, la conformité et la productivité.
Bien que sa mise en œuvre puisse présenter des défis, les avantages que l’IAM procure sont indéniables et justifient les investissements nécessaires. Il est crucial pour les organisations de pleinement reconnaître l’importance de l’IAM dans le monde numérique et de prendre des mesures pour garantir la sécurité et la confidentialité de leurs données.
Cependant, avec la montée en puissance de l’utilisation de l’Intelligence Artificielle Générative, une interrogation légitime se pose : va-t-on assister à une augmentation de l’usurpation d’identité ? Bien que l’actualité paraisse répondre positivement à cette question, il nous semble, dans l’immédiat, difficile d’émettre un avis définitif sur ce point, compte tenu de la disparité du niveau de sécurité des organisations sur le plan de la gestion des accès.
Définition des termes
La traçabilité consiste à suivre et surveiller les activités des utilisateurs dans un système, ce qui est essentiel pour détecter les comportements suspects, garantir la conformité et enquêter sur les incidents de sécurité.
L’authentification consiste à vérifier l’identité d’un utilisateur, d’un système ou d’un appareil déclaré lors de la phase d’identification, avant d’autoriser son accès aux ressources.
L’authentification multifacteur (MFA) est le processus de vérification de l’identité qui exige plus d’une méthode de confirmation avant d’accorder l’accès à un système ou des données, renforçant ainsi la sécurité en nécessitant plusieurs moyens d’authentification.
L’authentification unique (SSO) permet à un utilisateur de se connecter à plusieurs applications avec un seul ensemble d’identifiants, simplifiant ainsi l’accès aux différentes plateformes et renforçant la sécurité.
L’autorisation est le processus qui détermine les actions qu’un utilisateur peut effectuer ou les ressources auxquelles il peut accéder après son authentification.
La confidentialité principe selon lequel les informations sensibles sont protégées contre tout accès ou divulgation non autorisés, garantissant que seules les personnes autorisées y ont accès.
La disponibilité assure que les systèmes, services ou données sont accessibles et utilisables quand nécessaire, sans interruption.
L’intégrité de l’information garantit que les données ne sont pas altérées, endommagées ou modifiées de manière non autorisée, préservant ainsi leur précision et leur fiabilité.
ABAC (contrôle d’accès basé sur les attributs ) est une politique d’autorisation qui définit des autorisations en fonction des attributs.
RBAC (contrôle d’accès basé sur les rôles) modèle de gestion des autorisations dans lequel les accès aux ressources d’un système informatique sont attribués en fonction des rôles des utilisateurs au sein de l’organisati
