Qu'est-ce que la gestion des identités et des accès (IAM) ?

La gestion des identités et des accès (IAM) fait référence aux processus, pratiques et technologies liés à la gestion des informations d’identité, y compris l’authentification, l’autorisation et la comptabilité. L’IAM aide à garantir que les droits d’accès des individus sont appliqués selon les besoins en fonction de leurs rôles ou relations commerciales dans une organisation.

Bien qu’elle puisse ne pas sembler être une partie nécessaire des tâches quotidiennes, l’IAM est un élément important de tout environnement informatique sécurisé, en particulier celui qui devient de plus en plus numérisé et convivial pour les mobiles. Chaque organisation doit s’assurer que l’IAM fait partie de leur stratégie de gestion des risques de cybersécurité.

Pourquoi la gestion des identités et des accès est-elle importante ?

L’IAM est une partie centrale de la sécurité et de la conformité d’une organisation. On peut dire que sans IAM, une organisation n’a pas de sécurité et une piste d’audit inutile. L’IAM consiste à savoir qui est une personne pour savoir si vous devez la laisser entrer dans la banque, travailler au guichet ou dans le coffre. Pendant ce temps, votre piste d’audit et vos rapports montreraient que beaucoup de choses se sont passées, mais pas qui les a faites, donc vous ne pourriez pas prouver la conformité avec les réglementations sur la protection de la vie privée et des données ou enquêter efficacement sur les incidents.

L’IAM fait partie du domaine de la gestion des identités et des accès, qui comprend plusieurs sous-domaines :

Quels sont les composants de base de la gestion des identités et des accès (IAM) ?

Les systèmes IAM effectuent principalement trois tâches de base : identifier, authentifier et autoriser. Cela signifie que seules les personnes prévues ont accès à du matériel spécifique, des logiciels, des applications et des ressources IT, ainsi qu’à des données et du contenu spécifiques, pour effectuer des tâches. Un cadre IAM comprend des composants tels que :

• Utilisateur : Une identité qui a des identifiants et des permissions associés
• Groupe : Un ensemble d’utilisateurs qui spécifie les permissions pour plusieurs utilisateurs afin de donner aux administrateurs une économie d’échelle
• Politique : Permissions et contrôles pour accéder à un système, une ressource, des données ou du contenu, dans un contexte commercial
• Rôle : Un ensemble de politiques, correspondant généralement à l’ensemble minimum de privilèges nécessaires pour effectuer une fonction commerciale particulière, telle que la comptabilité ou le marketing, qui peut être appliqué aux utilisateurs ou aux groupes

Avantages de la gestion des identités et des accès

Il existe divers avantages en matière de cybersécurité associés à l’IAM, qui comprennent :

Partage d’informations

En fournissant une plateforme commune pour la gestion des accès et des identités, l’IAM vous permet d’appliquer les mêmes principes de sécurité à tous les systèmes, applications, données et contenus utilisés dans une organisation. Les cadres IAM permettent aux organisations de mettre en œuvre et d’appliquer les politiques d’authentification, de privilèges et de validation des utilisateurs.

Sécurité renforcée

Les systèmes IAM aident à identifier et à atténuer les risques de sécurité en identifiant les violations des règles établies. Les systèmes IAM facilitent également la résolution des privilèges d’accès non autorisés sans nécessairement avoir à fouiller dans plusieurs systèmes.

Accès simplifié

L’IAM simplifie les processus de connexion, d’inscription et de gestion des utilisateurs pour tous les utilisateurs et groupes d’utilisateurs dans un système. Il facilite la définition et la gestion des privilèges d’accès au système pour améliorer la satisfaction des utilisateurs.

Productivité accrue

Comme l’IAM automatise et centralise les processus de gestion des identités et des accès, il aide à créer des flux de travail automatisés qui permettent au personnel d’augmenter leur productivité en réduisant les tâches manuelles comme l’intégration de nouveaux personnels ou lorsque les personnels changent de rôle. Il aide également à réduire les erreurs qui peuvent survenir lors des processus manuels.

Conformité aux réglementations

Pratiquement toutes les réglementations de conformité exigent des contrôles d’autorisation ou d’accès pour l’application des politiques, ainsi qu’une piste d’audit et des rapports pour prouver la conformité lors des audits. Pour prouver l’application correcte du contrôle d’accès et attribuer la responsabilité, les activités suivies dans la piste d’audit doivent toujours être liées à des utilisateurs authentifiés.

Mise en œuvre de la confiance zéro

Les organisations ont répondu à l’augmentation exponentielle des attaques persistantes avancées avec un nouveau modèle d’architecture de sécurité appelé confiance zéro. L’IAM joue un rôle central car les principes clés de la confiance zéro comprennent une autorisation granulaire pour toutes les ressources, telles que les actifs, les services, les flux de travail, etc., et l’authentification des utilisateurs et des systèmes avant que l’accès à chaque ressource soit autorisé.

Quels sont certains des standards IAM courants ?

Un bon système IAM devrait avoir des normes solides qui assurent la précision dans le respect des exigences de conformité. Certains des protocoles et normes couramment utilisés dans les systèmes IAM comprennent: 

OAuth 2.0

Le protocole d’autorisation OAuth 2.0 permet la gestion des risques des tiers (TPRM)—à savoir, comment les organisations autorisent les fournisseurs et autres tiers de leur chaîne d’approvisionnement à accéder à des systèmes protégés et à du contenu sensible grâce à des jetons d’accès. Il est également essentiel pour les employés utilisant des appareils mobiles et des systèmes distants en dehors des murs physiques de l’entreprise, et pour la connexion unique (SSO). 

Accès géré par l’utilisateur (UMA)

L’UMA est un protocole standard de gestion des accès basé sur Oauth qui aide à réguler l’accès aux systèmes protégés par des tiers. 

Langage d’assertion de sécurité Markup 2.0 (SAML 2.0)

SAML est une norme ouverte qui permet aux fournisseurs d’identité (IdP) d’authentifier les utilisateurs et de transmettre leurs assertions d’autorisation aux fournisseurs de services. Avec SAML, les utilisateurs peuvent utiliser un seul ensemble de références pour se connecter à de nombreuses applications web différentes. Il est souvent utilisé pour mettre en œuvre la connexion unique (SSO). 

Contrôle d’accès de nouvelle génération (NGAC)

NGAC permet des approches systématiques et cohérentes avec les politiques pour le contrôle d’accès qui accordent ou refusent aux utilisateurs des capacités administratives.

Comment fonctionnent les systèmes IAM ?

Tâche	Fonction
Authentification des utilisateurs	Les systèmes IAM authentifient les utilisateurs en confirmant qu’ils sont bien qui ils prétendent être. Ils utilisent traditionnellement des identifiants, des identifiants d’utilisateur et des mots de passe, mais soutiennent aujourd’hui plusieurs facteurs tels que la biométrie faciale ou digitale, l’envoi par SMS d’un mot de passe à usage unique (OTP) à un appareil vérifié, ou un code provenant d’une application d’authentification gérée.
Autorisation des utilisateurs	La gestion des accès garantit qu’un utilisateur obtient le niveau et le type d’accès exacts à un outil qu’il est censé avoir.
Connexion unique	Les solutions de gestion des identités et des accès qui disposent d’une connexion unique (SSO) permettent aux utilisateurs d’authentifier leur identité avec un seul portail au lieu de plusieurs ressources différentes. Après l’authentification, le système IAM devient la source de vérité de l’identité pour les autres ressources disponibles pour l’utilisateur. L’utilisateur n’a donc pas besoin de se souvenir de plusieurs mots de passe.
Gestion des identités des utilisateurs	Les systèmes IAM peuvent être utilisés comme un annuaire unique pour créer, modifier et supprimer des utilisateurs. Ils peuvent être intégrés à un ou plusieurs autres annuaires et synchronisés avec eux. La gestion des identités et des accès peut également créer de nouvelles identités pour les utilisateurs ayant besoin d’un accès spécialisé aux outils d’une organisation. De nombreuses organisations centralisent également les affectations de rôles d’utilisateur dans les attributs IAM pour rationaliser l’affectation des politiques dans plusieurs applications à travers l’entreprise.
Provisionnement et déprovisionnement des utilisateurs	Le provisionnement d’un utilisateur implique de spécifier quels outils et niveaux d’accès (éditeur, spectateur, administrateur) lui accorder. Les outils IAM permettent aux départements informatiques de provisionner les utilisateurs par rôle, département ou autres groupements selon les besoins. Les systèmes de gestion des identités permettent le provisionnement via des politiques basées sur le contrôle d’accès basé sur les rôles (RBAC).
Rapport	Les outils IAM génèrent des rapports après les actions effectuées sur un système (comme l’heure de connexion, les ressources qui ont été accédées et le type d’authentification accordée). Cela aide à assurer la conformité et à évaluer les risques de sécurité.

Meilleures pratiques pour la mise en œuvre de la gestion des identités et des accès

L’objectif de la gestion des identités et des accès (IAM) est de garantir que seules les personnes autorisées ont accès aux applications et aux actifs d’information de l’entreprise. Les systèmes IAM sont utilisés pour fournir des capacités de connexion unique (SSO), ce qui signifie que les utilisateurs n’ont besoin que d’un seul ensemble de références pour accéder à toutes leurs applications. Ces meilleures pratiques garantissent la sécurité de vos applications web et locales de votre entreprise lorsque vous adoptez davantage d’outils et de technologies IAM. 

Définir les actifs d’information qui nécessitent une protection et qui devrait y avoir accès

En ce qui concerne l’IAM, il existe des meilleures pratiques que les organisations devraient suivre pour garantir la sécurité de leurs données. L’une des étapes les plus importantes consiste à définir les actifs d’information qui nécessitent une protection et qui devrait y avoir accès.

Là où les données, les informations et le contenu sont traités comme des actifs d’information au sens véritable des affaires et de la comptabilité, il est important de mettre en œuvre différents niveaux d’accès, d’authentification et d’autorisation pour chaque actif.

Cela semble être une tâche simple, mais c’est une tâche qui est souvent négligée ou à laquelle on ne prête pas assez d’attention. Les organisations doivent faire l’inventaire de leurs actifs d’information et déterminer lesquels contiennent du contenu sensible qui doit être protégé. Ils doivent également identifier qui a besoin d’accéder à ces données et dans quel but. 

Déterminer les méthodes de vérification de l’identité

Il existe de nombreuses meilleures pratiques pour la mise en œuvre de l’IAM, mais l’un des aspects clés est la détermination des méthodes de vérification de l’identité. Pour sécuriser correctement les données d’une organisation, il est essentiel de vérifier d’abord que les utilisateurs sont bien ceux qu’ils prétendent être.

Il existe plusieurs façons de le faire, allant de simples combinaisons de noms d’utilisateur et de mots de passe à des schémas d’authentification multifactorielle plus complexes. L’important est de choisir une méthode (ou une combinaison de méthodes) qui permettra de vérifier efficacement les identités sans être trop lourde pour les utilisateurs. 

Élaboration de politiques et de procédures pour la gestion des comptes d’utilisateurs

En matière de gestion des identités et des accès, les meilleures pratiques impliquent toujours l’élaboration de politiques et de procédures pour la gestion des comptes d’utilisateurs. C’est parce que la gestion des comptes d’utilisateurs est la base d’une stratégie de sécurité efficace. Avoir des politiques et des procédures claires en place garantit que seuls les utilisateurs autorisés ont accès à vos systèmes et à vos données.

De plus, des examens réguliers des comptes peuvent vous aider à identifier des problèmes potentiels, comme l’accès qui n’est plus nécessaire en raison d’un changement de statut d’un partenaire, avant qu’ils ne deviennent de graves problèmes. 

Automatisation des processus chaque fois que possible

En matière de gestion des identités et des accès, une des meilleures pratiques est d’automatiser les processus chaque fois que possible. Cela peut aider à garantir que les utilisateurs ont les bonnes permissions et que les données privées sont correctement protégées.

L’automatisation peut également aider à réduire les erreurs et à améliorer l’efficacité. Il existe plusieurs façons d’automatiser les processus, comme l’utilisation de scripts ou d’outils qui fournissent une fonctionnalité préconstruite. La suspension automatique des comptes inutilisés après une période standard de temps réduit le risque et est requise par de nombreuses réglementations de sécurité et de confidentialité. Lors de la sélection d’une solution, il est important de prendre en compte des facteurs tels que la facilité d’utilisation et la compatibilité avec les systèmes existants. 

Surveillance de l’activité des utilisateurs pour détecter les comportements suspects

L’une des meilleures pratiques pour la gestion des identités et des accès est de surveiller l’activité des utilisateurs pour détecter les comportements suspects.

Cela peut être fait en suivant les heures de connexion, les tentatives de connexion échouées et les modèles inhabituels d’activité de connexion. De cette façon, vous pouvez rapidement identifier toute menace potentielle et prendre des mesures pour les atténuer. Une politique de “fail2ban” automatise l’arrêt des tentatives de connexion à partir d’une adresse IP donnée après une série d’échecs de connexion, en supposant qu’un bot tente de s’introduire par force brute (essai et erreur avec des références couramment utilisées). 

Examen et mise à jour régulière des configurations IAM

Les organisations devraient examiner et mettre à jour leurs configurations de manière régulière. Cela aide à garantir que seuls les utilisateurs autorisés ont accès aux données et aux systèmes sensibles, protégeant l’organisation contre d’éventuelles violations.

Les examens réguliers des configurations IAM aident également à identifier les éventuelles faiblesses de la posture de sécurité d’une organisation, permettant de les adresser avant qu’elles ne puissent être exploitées. Les organisations peuvent garder leurs données et leurs actifs à l’abri des accès non autorisés en adoptant une approche proactive de l’IAM.

Trouver le bon IAM pour gérer les communications de contenu sensible

L’utilisation d’une solution IAM est un prérequis pour gérer l’accès à la connexion aux outils de communication de contenu sensible. Quelle que soit la solution IAM utilisée, le résultat doit être une expérience de connexion SSO cohérente sur tous les appareils, le client de bureau, ainsi que tous les plugins. Les capacités clés que vous devez rechercher dans une solution IAM comprennent :

• Il n’envoie jamais de mot de passe à moins qu’il ne soit chiffré
• Seule une seule connexion par session est nécessaire avec des références définies à la connexion passées entre les ressources sans nécessité de connexions supplémentaires
• Authentification mutuelle où un client prouve son identité à un serveur et un serveur prouve son identité à un client
• Institution des meilleures pratiques de gestion des mots de passe comme la longueur minimale des mots de passe et les combinaisons de caractères, l’expiration des mots de passe, la limitation des utilisateurs à réutiliser les mots de passe précédents, etc.

Le réseau de contenu privé Kiteworks s’intègre parfaitement avec les composants IAM dans pratiquement n’importe quelle pile de sécurité d’organisation, tels que Okta, Azure Active Directory, LDAP, SMS et Ping Identity, en supportant SAML 2.0, OAuth, Radius, et une variété d’applications d’authentification. Cela permet à Kiteworks de contrôler l’accès aux multiples canaux de communication de contenu sensible dans la plateforme Kiteworks – pour les utilisateurs internes et tiers.

Kiteworks applique l’IAM aux ressources qui doivent finalement être sécurisées et suivies – le contenu sensible de l’entreprise – plutôt qu’aux systèmes, applications et fonctionnalités qui contiennent le contenu au repos. Après tout, le contenu se déplace entre les applications, et entre une entreprise et ses clients, ses employés et, plus problématique, ses tiers : partenaires de la chaîne d’approvisionnement, régulateurs, sous-traitants, avocats, comptables et bien d’autres types. Kiteworks aide à garantir la sécurité et la conformité en utilisant l’identité, l’authentification et l’autorisation pour appliquer dynamiquement la bonne politique au bon utilisateur avec le bon contenu dans le bon contexte, et suivre les actions de l’utilisateur avec ce contenu pour la conformité et la responsabilité, même lorsqu’il se déplace entre les organisations. C’est essentiel pour les organisations qui cherchent à gérer leur risque de sécurité et à se conformer aux réglementations de confidentialité et de sécurité.

Les organisations peuvent voir le réseau de contenu privé Kiteworks en action en programmant une démonstration personnalisée de celui-ci aujourd’hui.

Retour au glossaire Risque & Conformité