Les solutions de gestion des accès sont utilisées par les entreprises pour authentifier, autoriser et auditer l'accès aux applications et aux systèmes informatiques. Ils sont souvent fournis en tant que composant d'une solution de gestion des identités et des accès (IAM), contribuant à renforcer la sécurité et à réduire les risques en gérant étroitement l'accès aux applications, aux services et à l'infrastructure informatique sur site et dans le cloud. Ils aident également à s'assurer que les utilisateurs appropriés ont accès aux ressources appropriées aux moments appropriés et pour les raisons appropriées. Cet article de blog expliquera en détail la gestion des accès, y compris la tarification de la gestion des accès privilégiés.
Qu'est-ce que la gestion des accès ?
La gestion des accès est le processus d'identification, de suivi, de régulation et de gestion de l'accès des utilisateurs autorisés ou spécifiés à un système, une application ou toute instance informatique.
Il s'agit d'une notion globale qui regroupe l'ensemble des règles, méthodes, méthodologies et technologies utilisées pour sécuriser les droits d'accès dans un environnement informatique.
La gestion des accès est essentiellement une procédure de sécurité de l'information, d'informatique et de gouvernance des données qui autorise l'accès des utilisateurs valides tout en interdisant les utilisateurs non valides. AM est généralement utilisé en tandem avec la gestion de l'accès à l'identité (IAM). AM garantit que ces rôles et politiques sont respectés, tandis que la gestion des identités développe, provisionne et réglemente divers utilisateurs, rôles, groupes et politiques. Une application/un système basé sur AM enregistre les divers rôles et profils d'utilisateur, puis traite les demandes d'accès d'utilisateur sur la base des données/profil/rôles.
Identity and Access Management
La gestion des identités et des accès (IAM) est une discipline de cybersécurité qui se concentre sur la gestion des identités des utilisateurs et des droits d'accès au réseau. Bien que les politiques, processus et technologies IAM varient d'une entreprise à l'autre, l'objectif de toute initiative IAM est de garantir que les bons utilisateurs et appareils ont accès aux bonnes ressources au bon moment et pour les bonnes raisons.
IAM peut aider à simplifier le contrôle d'accès dans les configurations multicloud complexes. Les réseaux d'entreprise sont désormais liés à des logiciels et à des sources de données sur site, distants et basés sur le cloud (SaaS). Les utilisateurs humains (travailleurs, clients, sous-traitants) et les utilisateurs non humains (bots, appareils IoT, charges de travail automatisées, API) ont besoin d'accéder à ces ressources pour diverses raisons.
Les systèmes IAM permettent aux entreprises de délivrer une identité numérique unique à chaque utilisateur et de déterminer les privilèges d'accès pour chaque utilisateur. Par conséquent, seuls les utilisateurs autorisés ont accès aux ressources de l'entreprise et ils ne peuvent utiliser ces ressources que de la manière autorisée par l'organisation.
Comment fonctionne IAM
Essentiellement, IAM s'efforce d'empêcher les pirates d'entrer tout en permettant aux utilisateurs autorisés d'effectuer simplement tout ce qu'ils doivent faire sans dépasser leurs autorisations.
Le réseau de chaque entreprise est unique, tout comme les politiques, les processus et les outils utilisés pour développer un système de gestion des identités et des accès. Cela dit, la majorité, sinon la totalité, des implémentations IAM couvrent quatre fonctions clés :
#1. Gestion du cycle de vie des identités
Le processus de développement et de maintenance d'une identité numérique pour chaque entité humaine ou non humaine sur un réseau est connu sous le nom de gestion du cycle de vie de l'identité.
Une identité numérique informe le réseau sur qui ou ce qu'est chaque entité et ce qu'elle est autorisée à faire sur le réseau. L'identification contient souvent des informations de base sur le compte utilisateur (nom, numéro d'identification, identifiants de connexion, etc.), ainsi que des informations sur la fonction organisationnelle, les tâches et les droits d'accès de l'entité.
Les processus d'intégration de nouvelles entités, de mise à niveau de leurs comptes et d'autorisations au fil du temps, et de délocalisation ou de déprovisionnement des utilisateurs qui n'ont plus besoin d'accès font tous partie de la gestion du cycle de vie des identités.
#2. Contrôle d'accès
Comme indiqué précédemment, chaque identité numérique a différents niveaux d'accès aux ressources réseau en fonction des restrictions d'accès de l'entreprise. Un consommateur ne peut avoir accès à son compte personnel et à ses données que sur une plateforme cloud. Les employés peuvent avoir accès à des bases de données clients ainsi qu'à des outils internes tels que des portails RH. Un administrateur système peut avoir accès et tout modifier sur le réseau, y compris les comptes clients et employés, les services internes et externes et les équipements réseau tels que les commutateurs et les routeurs.
Pour créer et appliquer des réglementations d'accès, de nombreux systèmes IAM utilisent un contrôle d'accès basé sur les rôles (RBAC). Les privilèges de chaque utilisateur dans RBAC sont déterminés par sa fonction ou son intitulé de poste. Supposons qu'une entreprise configure les autorisations d'accès au pare-feu du réseau. Il est peu probable qu'un représentant commercial y ait accès car sa profession ne l'exige pas. Un analyste de sécurité de niveau junior peut être en mesure d'afficher mais pas de modifier les configurations de pare-feu. Le CISO aurait tous les pouvoirs administratifs. Une API qui connecte le SIEM de l'entreprise au pare-feu peut être en mesure de lire les journaux d'activité du pare-feu mais de ne rien voir d'autre.
#3. Authentification et autorisation
Les systèmes IAM ne se contentent pas de générer des identités et d'émettre des autorisations ; ils contribuent également à l'application de ces autorisations via l'authentification et l'autorisation.
L'authentification est le processus par lequel les utilisateurs démontrent qu'ils sont qui ils prétendent être. Lorsqu'un utilisateur cherche à accéder à une ressource, le système IAM compare ses informations d'identification à celles stockées dans l'annuaire. L'accès est accordé s'ils correspondent.
Alors qu'une combinaison nom d'utilisateur/mot de passe fournit un niveau d'authentification de base, la plupart des cadres de gestion des identités et des accès utilisent aujourd'hui des couches d'authentification supplémentaires pour fournir une sécurité supplémentaire contre les cybermenaces.
Authentification multifactorielle.
Les utilisateurs doivent soumettre au moins deux facteurs d'authentification pour prouver leur identité lors de l'utilisation de l'authentification multifacteur (MFA). Un code de sécurité attribué au téléphone de l'utilisateur, une clé de sécurité physique ou des données biométriques telles que les empreintes digitales sont tous des facteurs communs.
SSO (authentification unique)
SSO permet aux utilisateurs d'accéder à de nombreuses applications et services avec un seul ensemble d'informations d'identification de connexion. Le portail SSO vérifie l'identité de l'utilisateur et génère un certificat ou un jeton qui sert de clé de sécurité pour d'autres ressources. De nombreux systèmes SSO utilisent des protocoles ouverts tels que Security Assertion Markup Language (SAML) pour permettre aux fournisseurs de services de partager librement des clés.
Identification adaptative
Lorsque le risque change, l'authentification adaptative, également appelée « authentification basée sur le risque », modifie les exigences d'authentification en temps réel. Un utilisateur peut uniquement avoir besoin de soumettre un nom d'utilisateur et un mot de passe lors de l'enregistrement à partir de son appareil normal. Si le même utilisateur se connecte à partir d'un appareil non approuvé ou tente de voir des informations sensibles, des facteurs d'authentification supplémentaires peuvent être nécessaires.
Le système IAM vérifie le répertoire pour les privilèges d'accès d'un utilisateur après qu'il a été authentifié. Le système IAM autorise alors l'utilisateur à accéder et à effectuer uniquement les tâches autorisées par ses autorisations.
#4. Gestion des identités
Le processus de suivi de ce que les gens font avec leur accès aux ressources est connu sous le nom de gestion des identités. Les systèmes IAM gardent un œil sur les utilisateurs pour s'assurer qu'ils n'abusent pas de leurs privilèges et pour attraper les pirates qui se sont introduits dans le réseau.
La gestion des identités est également essentielle pour la conformité réglementaire. Les entreprises peuvent utiliser les données d'activité pour s'assurer que leurs contrôles d'accès sont conformes aux normes de sécurité des données telles que le Règlement général sur la protection des données (RGPD) ou la norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS).
PAM (Privileged Access Management)
La gestion des accès à privilèges (PAM) est une méthode de sécurité des informations (infosec) qui protège les identités avec un accès ou des capacités uniques au-delà de celles des utilisateurs réguliers. La sécurité PAM, comme toutes les autres solutions de sécurité de l'information, repose sur une combinaison de personnes, de processus et de technologies.
Nous prenons des précautions supplémentaires avec les comptes privilégiés en raison du risque qu'ils représentent pour l'environnement technique. Par exemple, si les informations d'identification d'un administrateur ou d'un compte de service sont compromises, les systèmes et les données confidentielles de l'organisation peuvent être compromis.
Lorsque des pirates compromettent des comptes d'accès à privilèges, des violations de données se produisent. Étant donné que ces comptes contiennent les clés qui déverrouillent toutes les portes d'un environnement technologique, nous devons ajouter des couches de sécurité supplémentaires. Un système de gestion des accès privilégiés fournit cette sécurité supplémentaire.
Qu'est-ce que l'accès privilégié ?
Dans un contexte technologique, l'accès privilégié fait référence à des comptes qui ont de plus grandes capacités que les utilisateurs réguliers. Dans un environnement Linux, par exemple, l'utilisateur root peut ajouter, modifier ou supprimer des utilisateurs ; installer et désinstaller des logiciels ; et accéder à des sections restreintes de systèmes d'exploitation qu'un utilisateur ordinaire ne peut pas. Les environnements Windows ont un modèle de sécurité similaire, mais l'utilisateur racine est appelé administrateur.
Qu'est-ce que le processus de gestion des accès à privilèges ?
La gestion des accès privilégiés, comme indiqué précédemment, est une combinaison de personnes, de processus et de technologie. L'identification des comptes disposant d'un accès privilégié est donc la première étape de l'installation d'une solution PAM. Ensuite, l'entreprise doit décider quelles politiques seront appliquées à ces comptes.
Ils peuvent, par exemple, stipuler que les comptes de service doivent actualiser leurs mots de passe chaque fois qu'un utilisateur accède à ses informations d'identification enregistrées. L'application de l'authentification multifacteur (MFA) pour tous les administrateurs système est un autre exemple. Un autre règlement que la société peut choisir d'appliquer est la tenue d'un journal complet de toutes les sessions privilégiées. Idéalement, chaque processus doit être aligné sur un risque spécifique. Par exemple, exiger un changement de mot de passe pour les comptes de service réduit le risque d'attaque interne. De même, la tenue d'un journal de toutes les sessions privilégiées permet aux administrateurs de sécurité d'identifier toute anomalie, et l'application de la MFA est une solution éprouvée pour prévenir les attaques liées aux mots de passe.
Après avoir terminé l'étape de découverte consistant à trouver des comptes privilégiés et à finaliser ses politiques PAM, l'entreprise peut installer une plate-forme technologique pour surveiller et appliquer sa gestion des accès privilégiés. Cette solution PAM automatise les règles de l'organisation et fournit une plate-forme aux administrateurs de sécurité pour gérer et surveiller les comptes privilégiés.
Quelle est la signification du PAM ?
Les comptes privilégiés présentent un risque énorme pour l'entreprise, c'est pourquoi la gestion des accès privilégiés est essentielle dans toute organisation. Par exemple, si un auteur de menace compromet un compte d'utilisateur régulier, il n'aura accès qu'aux informations de cet utilisateur spécifique. S'ils parviennent à compromettre un utilisateur privilégié, ils auront beaucoup plus d'accès et, selon le compte, pourront même endommager les systèmes.
En raison de leur rang et de leur profil, les fraudeurs ciblent les comptes privilégiés afin de s'attaquer à des entreprises entières plutôt qu'à un seul individu. Forrester prédisant que les comptes privilégiés sont impliqués dans 80 % des failles de sécurité, la sauvegarde et la surveillance de ces identités organisationnelles fondamentales sont essentielles. Une solution PAM, par exemple, peut résoudre des failles de sécurité telles que de nombreuses personnes accédant et connaissant le même mot de passe administratif pour un service spécifique. Cela réduit également le risque que les administrateurs refusent de modifier les mots de passe statiques de longue date par crainte de provoquer une interruption imprévue.
PAM gère les composants importants de l'accès sécurisé et rationalise la création de comptes d'utilisateurs administrateurs, les capacités d'accès élevé et la configuration des applications cloud. PAM réduit la surface d'attaque d'une organisation sur les réseaux, les serveurs et les identités en termes de sécurité informatique. Cela réduit également la probabilité de violations de données causées par des menaces de cybersécurité internes et externes.
Tarification de la gestion des accès à privilèges
Un système de gestion des accès privilégiés (PAM) coûte plus que de simples frais de licence. Bien qu'il puisse être tentant de se concentrer uniquement sur les coûts initiaux, l'évaluation de la tarification de la gestion des accès privilégiés nécessite de prendre en compte d'autres facteurs pour déterminer si la solution fournira un véritable retour sur investissement (ROI) ou causera plus de problèmes qu'elle n'en résout.
C'est pourquoi, en plus de tenir compte des coûts de gestion des accès privilégiés, les entreprises doivent déterminer le type de retour sur investissement qu'elles obtiendraient lors de la sélection d'un système PAM. Un calculateur de retour sur investissement peut les aider à déterminer les types de retours possibles pour les équipes DevOps/Ingénierie, les équipes de sécurité et l'entreprise.
Combien coûte une solution PAM ?
Les solutions de gestion des accès à privilèges (PAM) coûtent 70 $ par utilisateur et par mois. Cela inclut l'audit et les intégrations pour toutes les bases de données, serveurs, clusters, applications Web et clouds. Il n'y a pas non plus de compteurs, de limitations de données ou de coûts de services professionnels.
Quel est le rôle de la gestion des accès ?
La gestion des accès garantit qu'une personne reçoit le niveau et le type d'accès exact à un outil auquel elle a droit.
De quelles compétences avez-vous besoin pour la gestion des accès ?
- Bonne compréhension et connaissance de la sécurité des applications.
- Une certaine compréhension et/ou expertise des systèmes de contrôle d'accès basés sur les rôles.
- Excellentes capacités de communication orale et écrite, interpersonnelles, organisationnelles et de gestion du temps.
- Forte capacité à transmettre et à expliquer aux autres des problèmes techniques complexes, des problèmes et des solutions alternatives.
- Bonne connaissance ou expérience de travail avec les systèmes ERP dans un organisme d'enseignement supérieur ou gouvernemental.
- Des compétences analytiques et de dépannage avec des problèmes et des tâches techniques complexes sont requises.
- Une connaissance ou une expérience en tant qu'administrateur d'identité dans un environnement de développement de logiciels traitant d'un système ERP est préférable.
- Solide connaissance ou expérience des réglementations nationales et fédérales en matière de gestion de l'identité.
- Savoir quand les mesures de contrôle d'accès basées sur les rôles peuvent être utilisées pour fournir un accès.
- Capacité à identifier quand déposer un cas auprès du centre de support technique du fournisseur et/ou quand faire remonter un problème existant.
- Capacité à décider d'augmenter ou d'appliquer des niveaux spécifiques d'atténuation des risques.
Articles Relatifs
- EMPATHIE: Manque de signes d'empathie et comment le développer
- SYSTÈME DE GESTION DE L'IDENTITÉ
- OUTILS DE GESTION DE L'IDENTITÉ ET DE L'ACCÈS : définitions, meilleurs outils gratuits d'identité et d'accès
- Gestion des accès privilégiés : comment ça marche ?
Bibliographie
