Gestion des identités et des accès (IAM)
La plupart des entreprises ne maîtrisent que partiellement la gestion des identités et des accès. Elles déploient l’authentification unique (SSO), se félicitent de l’aspect plus épuré de l’écran de connexion, mais ne répondent jamais à la question plus complexe qui se cache derrière : qui a accès à quoi, pourquoi, et cet accès est-il supprimé au moment opportun ? Le SSO n’est qu’une couche de commodité. La gestion des identités et des accès, quant à elle, consiste en la gouvernance proprement dite qui détermine qui peut accéder à quoi ; c’est ce contrôle qui, s’il est mal géré, devient insidieusement l’un des plus grands risques pour l’ensemble de l’organisation.
Les incidents liés à des défaillances d’identité que j’observe concernent rarement une attaque sophistiquée visant le processus de connexion. Il s’agit plutôt du compte d’un ancien salarié qui n’a jamais été désactivé, d’un compte de service doté de droits d’administrateur dont personne ne se souvient avoir créé, ou d’un prestataire qui dispose toujours d’un accès au système six mois après la fin de sa mission, car la désactivation de son compte dépendait du fait que quelqu’un pense à le faire manuellement.
Mon approche de l’IAM
Je commence par un audit des accès : qui a réellement accès à quoi à l’heure actuelle, et si cela correspond bien aux personnes qui devraient y avoir accès. Cela permet généralement, à lui seul, de mettre au jour des comptes et des autorisations qui auraient dû être supprimés depuis longtemps. À partir de là, je m’efforce de mettre en place le principe du privilège minimal, un accès basé sur les rôles lorsque cela s’avère pertinent, et une authentification multifactorielle partout où cela est important, et pas seulement sur les systèmes où il était le plus facile de la mettre en place.
Ce qui permet réellement d’éviter les problèmes futurs, c’est le processus de cycle de vie : un provisionnement et un déprovisionnement automatisés, ou du moins clairement attribués à des responsables, liés aux événements RH ; des révisions périodiques des droits d’accès afin que les autorisations ne s’accumulent pas indéfiniment ; et une gestion des accès privilégiés pour les comptes susceptibles de causer de réels dommages, tels que les comptes d’administration, de base de données et d’infrastructure cloud. Je préfère mettre en place un système à sécurité intégrée, dans lequel les accès expirent par défaut et doivent être renouvelés, plutôt qu’un système qui repose sur le fait que quelqu’un se souvienne de les supprimer.
À qui s'adresse ce document ?
Si vous n’avez jamais effectué d’audit complet des accès et que vous soupçonnez l’existence de comptes orphelins, si la suppression des accès lors du départ d’un collaborateur est une tâche manuelle qui passe parfois inaperçue, ou si votre entreprise est en pleine croissance et que les demandes d’accès commencent à sembler ponctuelles, il convient de remédier à cette situation avant qu’elle ne se transforme en incident.
Contactez-moi et examinons ensemble à quoi ressemble réellement la gestion des accès dans votre environnement aujourd’hui.