Stratégie d authentification : trouver le juste équilibre entre sécurité et confort d utilisation

Transcription

1 Stratégie d authentification : trouver le juste équilibre entre sécurité et confort d utilisation

2 Aujourd hui, les stratégies de sécurité en matière d identité et d accès sont dictées par deux impératifs fondamentaux : Favoriser la croissance de l entreprise en : Déployant rapidement de nouveaux services en ligne Tirant avantage des nouvelles avancées technologiques dans les domaines du Cloud Computing et de la virtualisation Répondant aux besoins d une variété d utilisateurs avertis et exigeants Promouvant l amélioration de la productivité des employés et de la veille concurrentielle Protéger l entreprise en : Limitant les risques de fraude, de violation de sécurité, de menace interne et d accès non autorisé, et ce tant pour les sources internes qu externes Assurant la protection des systèmes, applications et données critiques Au final, ces objectifs ont un but spécifique : permettre une activité en ligne en toute sécurité. Dans un contexte où les applications et les services en ligne sont les principaux vecteurs du marché et constituent un élément clé de différentiation concurrentielle, les organisations doivent à tout prix veiller à leur agilité et à accélérer le rythme de leurs offres de fonctionnalités Web. Toutefois, elles doivent aussi garantir la sécurité de ces offres en ligne en protégeant efficacement les informations personnelles, mais aussi les données métier critiques, et ce sans compromettre l expérience utilisateur. 02

3 La mobilité est synonyme de nouvelles préoccupations La prolifération rapide des appareils mobiles a donné naissance à de nouvelles exigences de sécurité pour les organisations qui cherchent à augmenter leur présence sur le marché en ligne. Étant donné que les smartphones et les tablettes offrent aux utilisateurs finaux une multitude de nouveaux moyens d interaction avec l entreprise, l IT se doit d adapter en conséquence les mesures de sécurité visant à protéger les applications et services en ligne. Et ces défis ne pourront que s accentuer à mesure que la tendance de mobilité s intensifiera. «D ici à 2015, les entreprises vont voir leurs dépenses pour des projets mobiles augmenter de 100 %.» 1 «En 2016, 350 millions d employés utiliseront un smartphone, dont 200 millions le leur.» 1 1 «Mobile is the New Face of Engagement», Forrester Research Inc., 13 février

4 Les nouvelles tendances redéfinissent le paysage de la sécurité Périmètre réseau Avant l essor des applications et services en ligne, et sans parler de la généralisation des smartphones et des tablettes, la sécurité était un processus relativement simple. Employé interne Applications d entreprise Les applications d entreprise étaient circonscrites dans le pare-feu du réseau, l accès était limité aux employés internes et il était facile de gérer les identités et de comprendre le contexte des actions d un utilisateur. Partenaire Cependant, au fur et à mesure que les interactions en ligne se sont développées pour inclure les clients, les utilisateurs mobiles et les partenaires commerciaux, ainsi que les applications sur site et Cloud, le périmètre du réseau traditionnel s est estompé. Essentiellement, le concept de pare-feu et la notion selon laquelle la plupart des interactions ont lieu au sein du réseau sont devenus obsolètes. En conséquence, les principes de longue date sur lesquels l IT se base pour gérer la sécurité doivent changer. Mais comment? Si les équipes informatiques en charge de la sécurité ne peuvent plus utiliser le périmètre du réseau comme moyen fiable de sécurisation de l entreprise, que peuvent-elles faire? Client Employé mobile Plate-forme Cloud et services Web SaaS Elles doivent tourner leur attention vers les utilisateurs et vérifier leur identité avant l octroi de l accès. Employé interne Applications d entreprise 04 Le périmètre réseau a disparu!

5 L authentification est la porte d entrée du périmètre d identité L IT doit répondre au fait que l identité est de plus en plus souvent la force motrice des nouveaux modèles de sécurité en accordant une importance sans précédent à l authentification, c est-à-dire au processus consistant à assurer que les utilisateurs sont réellement ceux qu ils prétendent être. À cette fin, les entreprises doivent tenir compte de trois facteurs essentiels lors de la planification de leurs stratégies d authentification : Sécurité La multiplication du nombre d applications, d utilisateurs et d appareils signifie qu aucune approche uniforme ne suffira et qu il est donc impératif de développer une méthode sécurisée et centralisée afin de fournir une authentification multicouche adaptée aux risques. Expérience utilisateur Contrôle des coûts La préservation de l expérience utilisateur passe avant tout par un processus d authentification sécurisé mais néanmoins simple, qui peut aussi devenir un point clé de différentiation lorsqu il s agit de favoriser l adoption des interfaces Web client. Une solution d authentification à la fois souple, efficace et centralisée peut contribuer à la réduction des coûts informatiques, depuis le déploiement initial jusqu à la maintenance et l assistance technique quotidiennes. De plus, l IT doit également considérer le fait que l environnement en ligne d aujourd hui est complexe et dynamique, ce qui souligne la nécessité d évaluer les besoins d authentification actuels et futurs et de développer des stratégies capables de s appliquer à une large variété de groupes d utilisateurs et de scénarios d utilisation prévisibles. 05

6 Les méthodes d authentification doivent refléter les exigences actuelles d accès et de sécurité Par le passé, la plupart des départements IT adoptaient des méthodes d authentification qui se contentaient de demander à la majorité des utilisateurs un identifiant utilisateur et un mot de passe valides ; seul un petit nombre de cadres dirigeants devaient fournir des informations d identification plus élaborées pour accéder à des ressources hautement confidentielles. Cependant, face à la tendance récente des pirates informatiques et autres entités malveillantes à cibler les utilisateurs ordinaires et leurs mots de passe simples comme points de lancement d attaques avancées répétées, les organisations n ont d autre choix que de renforcer leurs méthodes d authentification pour tous les profils d employé, de partenaire et de client. Elles se voient contraintes d appliquer des stratégies qui vont bien au-delà de la simple approche ID utilisateur-mot de passe. Dans ce contexte de généralisation des méthodes d authentification forte, il est particulièrement important que les organisations veillent à Permettre l accès aux applications en ligne à partir de divers appareils Répondre aux besoins de groupes d utilisateurs uniques avec différents droits et exigences d accès Fournir le niveau de sécurité approprié par rapport au risque d une activité donnée Protéger l identité d une personne et les données confidentielles au sein des applications, sans alourdir inutilement l expérience utilisateur Étendre les fonctionnalités d authentification aux applications Cloud et sur site Protéger les transactions contre les nouvelles menaces telles que les attaques par interception 06

7 Des méthodes d authentification avancée évolutives et synonymes de sécurité et de confort d utilisation Face à la complexité des exigences actuelles en matière d authentification et à l évolution constante des menaces, l IT peut se sentir dépourvu et avoir le sentiment qu il n est pas possible de protéger l entreprise efficacement. Authentification forte Fonctionnement Protège les employés et les clients via une authentification pratique à deux facteurs. Authentification basée sur les risques Fonctionnement Réduit les risques d accès inappropriés et de fraude sans importuner les utilisateurs valides. Heureusement, deux nouvelles méthodes d authentification prometteuses, à savoir les jetons logiciels et l authentification basée sur les risques, devraient permettre aux organisations de protéger les informations à caractère confidentiel et de limiter les risques de violation de sécurité et d autres attaques, tout en assurant une expérience rationalisée pour les utilisateurs de tous types. Avantages Réduit les risques d accès inappropriés et d attaques offre des informations d identification logicielles d authentification à deux facteurs comptant parmi les plus puissantes du marché sécurise les données sans importuner les utilisateurs finaux légitimes S adapte aux besoins de votre organisation Avantages Réduit les risques de violation de données et de fraude Requiert une authentification renforcée pour les activités suspectes contribue au respect des directives de conformité telles que FFIEC, HIPAA, PCI et SOX 07

8 Authentification avancée à l œuvre : accès distant des employés (VPN) Aujourd hui, l un des défis courants auxquels sont confrontées de nombreuses organisations IT est le processus de confirmation de la légitimité de la population croissante d employés qui a besoin d accéder à distance à des sites internes, Cloud et partenaires via un réseau privé virtuel (VPN). Étant donné que la combinaison classique ID utilisateur-mot de passe est insuffisante et peut augmenter le risque d accès non autorisé ou de fraude, les entreprises doivent compléter cette approche avec un jeton logiciel à deux facteurs. Ainsi, elles bénéficient d un niveau de protection supplémentaire contre l accès illicite, niveau qu elles peuvent implémenter de différentes manières conviviales. Employé ID utilisateur/mot de passe + Informations d identification logicielles à deux facteurs VPN PORTAIL EMPLOYÉS SALESFORCE SAP 08

9 Authentification avancée à l œuvre : accès distant des employés (VPN) suite Toutefois, si le confort d utilisation est une préoccupation majeure, l authentification basée sur les risques est alors plus adaptée. Elle offre en effet un moyen efficace et transparent de valider plus précisément l identité d un employé, sans intervention supplémentaire de sa part. Ainsi, l IT a la possibilité d autoriser les activités présentant un faible risque, de demander une authentification supplémentaire pour les scénarios à risque moyen et de refuser l accès ou d envoyer une alerte à un administrateur en cas de tentative à haut risque. De cette manière, l authentification basée sur les risques permet le recours aux stratégies juste-à-temps, qui octroient l accès immédiatement à une vaste majorité d utilisateurs, tout en demandant une authentification supplémentaire lorsque le niveau de risque le justifie. Employé ID utilisateur/mot de passe ÉVALUATION BASÉE SUR LES RISQUES FAIBLE RISQUE : AUTORISATION RISQUE MOYEN : AUTH. RENFORCÉE HAUT RISQUE : REFUS/ALERTE PORTAIL EMPLOYÉS SALESFORCE SAP ADMINISTRATEUR RÈGLES JOURNAUX D AUDIT ÉVALUATION BASÉE SUR LES RISQUES Employé ID utilisateur/mot de passe + INFORMATIONS D IDENTIFICATION LOGICIELLES À DEUX FACTEURS FAIBLE RISQUE : AUTORISATION RISQUE MOYEN : AUTH. RENFORCÉE HAUT RISQUE : REFUS/ALERTE PORTAIL EMPLOYÉS SALESFORCE SAP ADMINISTRATEUR RÈGLES JOURNAUX D AUDIT Qui plus est, l authentification basée sur les risques peut être utilisée en association avec les jetons logiciels à deux facteurs afin de créer une approche multicouche puissante qui maximise la sécurité et réduit l impact sur l expérience utilisateur. 09

10 Authentification avancée à l œuvre : accès client En matière d authentification et, par extension, d attraction et de fidélisation des clients, la simplicité est le maître mot. Étant donné que pratiquement tout le monde dispose d au moins une identité en ligne, voire de plusieurs, l élimination de la nécessité de créer un autre jeu d informations d identification à chaque fois est un facteur essentiel de l adoption des services et applications Web. Par conséquent, l application de mesures d authentification intégrant une large variété de normes reconnues, notamment OpenID et OAuth, devrait permettre aux organisations d octroyer de manière transparente un accès immédiat aux clients qui possèdent déjà des informations d identification avérées. Ainsi, le processus de création d une identité initiale par les nouveaux utilisateurs peut être grandement simplifié. PORTAIL CLIENTS CLIENT 10 MAGASIN

11 Authentification avancée à l œuvre : accès client suite Et lorsqu une activité critique doit être réalisée, il est possible d avoir recours à une validation complémentaire de l identité, à l authentification basée sur les risques et/ou aux jetons logiciels pour obtenir une assurance supplémentaire juste-à-temps de l identité de la personne, sans alourdir l expérience utilisateur. Qui plus est, l évaluation des risques peut être effectuée plusieurs fois par session utilisateur, et il est possible de configurer pour des activités spécifiques des règles et seuils indépendants et garants de la validité des transactions client. ÉVALUATION BASÉE SUR LES RISQUES FAIBLE RISQUE : AUTORISATION RISQUE MOYEN : AUTH. RENFORCÉE PORTAIL CLIENTS MAGASIN ADMINISTRATEUR RÈGLES JOURNAUX D AUDIT CLIENT ID utilisateur/mot de passe HAUT RISQUE : REFUS/ALERTE ÉVALUATION BASÉE SUR LES RISQUES 11

12 Qu en est-il pour vous? Lorsqu il s agit d adopter une stratégie de sécurité basée sur des techniques d authentification avancée, la première étape consiste à évaluer vos méthodes actuelles de gestion de l accès des utilisateurs. Pour pouvoir déterminer les méthodes d authentification avancée adaptées à vos besoins, vous devez tout d abord comprendre quels types de personnes sont en interaction avec l entreprise au quotidien, ainsi que le type de transactions qu elles exécutent. N oubliez pas que le paysage changeant de la sécurité et le nombre croissant de profils utilisateur et d appareils accentuent l importance d une solution intégrée éprouvée et capable de supporter une large variété de scénarios d utilisation. Ce type de stratégie permet d éliminer les pratiques fragmentées, de mieux contrôler la gestion de l accès et de réduire les coûts, tout en offrant une expérience utilisateur rationalisée et de qualité. 12

13 À propos des solutions de CA Technologies CA Technologies comprend qu il est important de trouver le juste équilibre entre sécurité et expérience utilisateur. Nos solutions intègrent les mesures d authentification avancée nécessaires à la sécurisation et à l octroi de l accès des employés, des clients et des partenaires aux ressources hébergées dans les environnements Cloud et sur site. CA Advanced Authentication est une solution flexible et évolutive qui incorpore des méthodes d authentification basées sur les risques comme l identification de périphériques, la géolocalisation et l activité des utilisateurs, ainsi que de nombreuses autres informations d authentification forte multifacteur. Cette solution peut notamment permettre à l organisation de créer un processus d authentification approprié à chaque application ou opération. Disponible sous forme de logiciel à déployer sur site ou en tant que service Cloud, elle permet de protéger l accès aux applications depuis une multitude de terminaux, notamment tous les appareils mobiles les plus courants. Cette solution complète peut permettre à votre organisation de mettre en place à moindre coût la méthode d authentification forte appropriée sur l ensemble de vos environnements sans gêner les utilisateurs finaux. CA Advanced Authentication SaaS est un service d authentification polyvalent qui inclut des informations d identification multifacteur et des fonctions d évaluation des risques afin d empêcher les accès non autorisés et frauduleux. Ce service vous permet de déployer et de gérer facilement une multitude de méthodes d authentification pour vos utilisateurs sans subir les traditionnels coûts d implémentation, d infrastructure et de maintenance. 13

14 CA Technologies (NASDAQ : CA) crée des logiciels qui alimentent la transformation des entreprises et leur permettent de saisir toutes les opportunités de l économie des applications. Le logiciel est au cœur de chaque activité et de chaque industrie. De la planification au développement, en passant par la gestion et la sécurité, CA Technologies collabore avec des entreprises partout dans le monde afin de transformer la façon dont nous vivons, interagissons et communiquons, dans les environnements mobiles, de Cloud public et privé, distribués et mainframe. Pour en savoir plus, rendez-vous sur ca.com/fr. Copyright 2014 CA. Tous droits réservés. Tous les noms et marques déposées, dénominations commerciales, ainsi que tous les logos référencés dans le présent document demeurent la propriété de leurs détenteurs respectifs. Ce document est uniquement fourni à titre d information et ne constitue nullement une quelconque forme de garantie. Les captures d écran et les résultats de performance réels du produit peuvent varier. CA décline toute responsabilité quant à l exactitude ou l exhaustivité des informations qu il contient. Dans les limites permises par la loi applicable, CA fournit le présent document «tel quel», sans garantie d aucune sorte, expresse ou tacite, notamment concernant la qualité marchande, l adéquation à un besoin particulier ou l absence de contrefaçon. En aucun cas, CA ne pourra être tenu pour responsable en cas de perte ou de dommage, direct ou indirect, résultant de l utilisation de ce document, notamment la perte de profits, l interruption de l activité professionnelle, la perte de clientèle ou la perte de données, et ce même dans l hypothèse où CA aurait été expressément informé de la survenance possible de tels dommages. Certains des résultats et informations illustrés ici reposent sur l expérience de CA ou de ses clients dans l utilisation des logiciels cités, dans une multitude d environnements (qu il s agisse ou non d environnements de production). Les performances passées de ces logiciels dans ces environnements ne constituent pas nécessairement une indication de leurs performances futures dans des environnements identiques, similaires ou différents. CA ne fournit pas d assistance juridique. Ni ce document ni aucun produit logiciel CA référencé dans le présent document ne peuvent être substitués à l obligation du lecteur de respecter la législation en vigueur, notamment sous forme de loi, règlement, réglementation, règle, directive, norme, mesure, politique, instruction administrative, décret-loi, ou autre (désignés collectivement sous le nom de «Lois»), évoquée dans le présent document. Le lecteur doit consulter un conseiller juridique compétent pour toute information concernant lesdites Lois. CS