White paper. Le Quoi, Comment et Pourquoi de RBAC, la Gestion des Accès basée sur les rôles. Date: Version 1.0

Transcription

1 White paper Le Quoi, Comment et Pourquoi de RBAC, la Gestion des Accès Date: 2010 Version 1.0

2 Index Index... 2 Introduction... 3 La gestion des Accès Quoi?... 4 La gestion des accès Comment?... 5 La gestion des accès UMRA... 8 La gestion des accès Conclusion Qui est Tools4ever?

3 Introduction Dans le monde de la gestion des identités et des accès, le mot RBAC Role Based Acces Control devient une expression de plus en plus utilisée. Imposé en partie par des législations et des normes de conformité, il existe un nombre croissant d organisations désirant gérer et attribuer tous les privilèges d accès d une manière structurée. Ceci devient possible avec des solutions RBAC. Comment une entreprise peut-elle alors accomplir avec succès une implémentation adéquate du RBAC à travers toute l organisation? Les Organisations doivent faire face à deux pièges en attribuant et en retirant des privilèges d accès. Pour attribuer certains droits d accès à un collaborateur, aujourd hui elles utilisent souvent la méthode qui consiste à créer une copie d un autre collaborateur ou utilisateur type. Cela entraine le risque que les nouveaux collaborateurs soient susceptibles d accéder à des privilèges métiers ou systèmes non autorisés. A cela se rajoute le fait que peu d organisations ne portent suffisamment d attention au retrait des droits d accès une fois la copie d un compte utilisateur existant faite. Après tout, leur considération primordiale est de permettre aux nouveaux collaborateurs de faire leur travail, plutôt que de vérifier des droits d accès qui sont de trop. Poussées par les règles de conformité, des auditeurs informatiques et un coût trop élevé des licences pour des suites telles que Microsoft Visio, Project et Adobe CS, de plus en plus d organisations reconnaissent l importance d une gestion responsable des droits d accès. RBAC pourrait être la solution correspondant à cette problématique. Dans ce livre blanc, nous expliquerons la nature de Role Based Access Control, comment il peut être implémenté de manière optimisée, ainsi que la méthode et l approche qu utilise Tools4ever à cette fin. 3

4 La gestion des Accès Quoi? RBAC est une technique d implémentation de la gestion des habilitations dans toute l organisation. Cette technique implique l attribution des privilèges sur la base des rôles RBAC au lieu d attribuer des droits d accès à des utilisateurs individuels. A leur tour, ces rôles comprennent le service où l utilisateur est affecté, son lieu de travail, le centre d imputation lié au collaborateur. Même si les entreprises reconnaissent l importance de RBAC, ils appréhendent souvent l implémentation de cette technique. RBAC a aujourd hui la réputation de nécessiter un énorme effort surtout en termes de frais de gestion ainsi que d avoir des cycles d implémentation longs et complexes. En fait RBAC est vu comme un mastodonte dur à apprivoiser. Ce malentendu est le résultat d une approche incorrecte et inefficace de son implémentation. Récemment, par le passé, les personnes responsables d implémentations de RBAC étaient dans l illusion que 100% des collaborateurs pouvaient être réduits en un seul rôle RBAC. Mais dans la réalité de tous les jours, il y a autant de fonctions dans l entreprise que de collaborateurs. Cela se résulte en une liste de rôles sans fin liée à des ressources, et faisant de l attribution d un rôle RBAC précis à un collaborateur, un processus long et fastidieux. L autre question est de savoir si tout le monde et toute chose doit être incluse dans le RBAC. Es que RBAC est exclusivement requise pour des groupes d utilisateurs nécessitants une gestion d autorisation très pointilleuse d un point de vue de la gestion des risques, de la conformité et de l efficacité? En tout cas, RBAC peut être traité différemment, plus rapidement et avec moins de complexité. Un spécialiste RBAC pourrait vous démontrer quelle approche serait la plus adéquate ou la meilleure. 4

5 La gestion des accès Comment? Tools4ever a une approche ascendante et empilée de RBAC. Cette approche inclus d abord la création d un fondement pouvant être exploité et élargi dans des étapes suivantes. Après tout, la majorité des collaborateurs ont besoin des applications standards telles que Microsoft Office et Outlook. Pour la majorité des employés, les privilèges d accès au niveau organisationnel (se connecter, utilisation Word, ), et au niveau des différents services (accès aux dossiers et applications de partage) peuvent être attribués tout de suite. Dans ce contexte, il est important de déterminer le top 50 des combinaisons Service/Fonction pour des collaborateurs actifs. Utiliser le système RH (SIRH) comme source Le système RH est une source excellente pour identifier ces combinaisons et montre la voie à suivre pour établir un premier modèle de rôles sur le plan organisationnel. A titre d exemple, un Hôpital peut avoir un service de Chirurgie incluant un rôle fonctionnel d Infirmière. Le rôle organisationnel peut être créé sur la base de la Fonction + Service + Lieu de Travail (voir fig. 1). Celles-ci sont: Infirmière Infirmière à Neuilly et Chirurgie. Une fois que Infirmière et Chirurgie ont été définies, une infirmière au service Chirurgie peut automatiquement être identifiée en tant que Infirmière Chirurgie et se voit attribuer les droits d accès faisant parti de ces rôles. Figure 1: Le système RH en tant que base pour RBAC 5

6 En utilisant cette méthode, il devient très facile de combler plus de 80% de la matrice RBAC. Un avantage majeur de cette approche est que les nouveaux collaborateurs peuvent commencer à travailler dès le premier jour, et il reste un peu de temps pour créer les privilèges d accès spécifiques au niveau des applications et systèmes. L étape suivante consiste à traduite ces rôles organisationnels en des rôles d applications ou systèmes qui contiendraient les 20% restant de la table RBAC. La base est déjà présente et il suffit maintenant de mettre en place le regroupement des droits. L attribution des rôles systèmes peut facilement être prise en main par le chef de Service. Après tout, les managers ont plus de responsabilités pour les privilèges d accès de leurs collaborateurs, que le service RH. En utilisant un workflow particulier, le chef de service sera informé par une notification et/ou par un formulaire web afin de préciser les droits d accès et applications au collaborateur concerné. Le logiciel RBAC peut ensuite enregistrer les choix de ce manager pour combler les parties de la table RBAC encore manquantes et éventuellement complètement la remplir. Ceci veut dire qu il est possible de faire en sorte que le manager gère toutes les transpositions des rôles au sein de son service avec la possibilité de déléguer des tâches à un collègue. Une action déclenchée par le chef de service peut également se résulter dans une notification de workflow, vers la personne qui gère les licences. Ceci permet aux managers de définir et gérer exactement tout ce qui se passe dans leur service, et de gérer leur centre d imputation. 6

7 Privilèges d Accès Détaillés Parce que les rôles des systèmes et des applications contiennent les détails des privilèges d accès pour l application en question, le rôle peut être implémenté. La responsabilité pour la création réelle des accès réseau fait aussi bien partie des responsabilités du service Informatique que des applications fonctionnelles/techniques des managers. (Voir fig.1)il est aussi possible d automatiser cette partie du processus (le provisioning) à l aide d un logiciel de gestion des identités et des accès. L avantage majeur d une implémentation de RBAC selon cette méthode est la rapidité de l implémentation et ses résultats. Pendant que d autres fournisseurs peuvent prendre un an, Tools4ever est capable de réaliser un premier modèle/standard en 2 mois. Aussi, les clients peuvent facilement réaliser le SoD (Segregation of Duty) par exemple en refusant certains privilèges d accès en cas de combinaisons de rôles et services interdites. Dans le cas d une réduction d effectif, il ne sera pas nécessaire de créer une table RBAC à partir de zéro. La seule chose devant être modifiée sera la section Qui êtes Vous dans la figure 1, et cela peut être réalisé convenablement par système RH. En utilisant le système RH comme source et en le prenant en considération, les, managers sont assurés d avoir toujours des informations à jour, et ont à leur disposition un tableau de bord avec la fonction, service, lieu de travail, et centre d imputation pour tous leurs collaborateurs. Ceci demande un lien avec le système RH qui est une source d informations importante. Grâce à la solution UMRA, Tools4ever est capable d effectuer cette connexion tableau de bord et autoprovisioning. 7

8 La gestion des accès UMRA Tools4ever utilise la méthode de Role Based Access Control (RBAC) comme un fondement de gestion des privilèges d accès dans les systèmes d informations. Du moment où la relation entre le fonction/service/rôle et ressources dans l organisation sont connu, RBAC peut être utilisé pour le processus de provisioning. Grace à son application UMRA User Management Resource Administrator (UMRA) solution, Tools4ever permet à ces clients de réaliser une implémentation rapide et ciblée de RBAC. UMRA offre une boite à outils unique qui garantit une implémentation de RBAC pratique, des résultats immédiats, et crée le fondement pour le remplissage complet de la table RBAC. UMRA et RBAC UMRA est capable de gérer les données RBAC de différentes manières. UMRA propose aux utilisateurs un éventail de solutions pour chaque phase de l implémentation RBAC : table vide, table remplie partiellement, et table remplie totalement et permet aux organisations une implémentation rapide et orientée résultats. Matrice RBAC vide Si la matrice RBAC est vide, dans beaucoup de cas les privilèges et applications seront copiées à partir d un utilisateur type ou déjà existant. Un des côtés négatifs de cette méthode est qu elle ne permet pas d avoir un bon contrôle sur les restrictions et la qualité, et finalement il y aura trop de collaborateurs avec trop de droits d accès. Néanmoins l objectif est souvent d utiliser la première méthode de copie dans la première phase de l implémentation RBAC avec UMRA pour assurer un avancement rapide car l expérience montre que les implémentations et les résultats de lam (Identity and Access Management) peuvent être retardés par des mois ou même des années s ils sont dépendants d un projet RBAC En tous cas, les comptes seront créés de manière plus uniforme, et un point de départ est établi pour collecter les informations nécessaires afin de remplir la matrice RBAC encore vide. 8

9 La matrice RBAC remplie en partie Même s il peut être difficile de remplir complètement une matrice RBAC, il est très facile de la remplir partiellement jusqu au niveau de service. Dans beaucoup de cas, il est aussi possible de remplir la matrice facilement pour un grand groupe de collaborateurs. Une matrice RBAC qui est remplie de cette façon, propose de nombreux avantages dans le processus de la gestion des comptes utilisateurs. Après tout, pour les nouveaux collaborateurs il est possible d attribuer tous les groupes au niveau de l organisation (connexion, Word, ) et au niveau des services (accès aux dossiers de partages du service et des applications) directement. Ceci veut dire que les nouveaux collaborateurs pourront commencer à travailler immédiatement. Plus de temps est ainsi libéré pour attribuer les privilèges plus spécifiques. Si UMRA détecte une partie de la matrice RBAC qui n est pas encore remplie, le chef de ce collaborateur en question recevra automatiquement un de notification ainsi qu un formulaire UMRA lui demandant les privilèges spécifiques et les applications requises pour le collaborateur. Les choix du chef de service seront enregistrés dans UMRA. Cette information est ensuite utilisée afin de continuer la définition des parties vides dans la matrice RBAC. Des Matrices RBAC déjà complètement remplies. Même s il peut être difficile de remplir totalement une matrice RBAC, il est l outil idéal pour attribuer les bons privilèges d accès et les bonnes applications pour chaque collaborateur. En utilisant la matrice RBAC, UMRA peut réguler l attribution des privilèges et des applications aux nouveaux employés et gérer les changements nécessaires quand les rôles et/ou fonctions d un collaborateur changent, ou quand la personne change de service ou de lieu de travail. Des scenarios plus complexes sont aussi supportés comme par exemple des cas où un collaborateur travaille à mi-temps pour deux services différents ou quand des collaborateurs transférés restent temporairement ou définitivement actifs dans leur ancien service. Il est possible de sauvegarder des informations RBAC dans UMRA ou de connecter UMRA à une base de données ou à un produit tiers pour y trouver les informations RBAC relevant du provisioning. 9

10 La gestion des accès Conclusion RBAC attire aujourd hui l attention de beaucoup d organisations car cette méthode permet d attribuer et retirer des accès de manière efficace, transparente, et gérable. Une implémentation de RBAC ne doit pas forcement être complexe. Nous conseillions aux organisations d utiliser une approche empilée de RBAC et d automatiser l attribution des privilèges d accès au niveau de l organisation et au niveau du service (par le système RH) et de se focaliser sur le top 50 des combinaisons de fonctions et services. Ceci permettra de combler facilement et confortablement 80% de la table RBAC. Les autres 20% des droits d accès sont la cause des maux de tête pour pas mal d organisations. Pour permettre de gérer ces 20% de manière pragmatique, on conseille aux entreprises, dans un premier temps, de déléguer la gestion de ces privilèges d accès aux chefs de service. Le chef de service sera capable de définir et de modifier les privilèges d accès détaillés de son équipe. Pyramide Il est possible de représenter cette méthode en un Pyramide (voir fig.2) qui passe du sommet jusqu à la base de l organisation (sommet), via le département/service, lieu de travail et fonction jusqu aux collaborateurs individuels (base de la pyramide). Figure 2: La pyramide RBAC 10

11 Le sommet hiérarchique (organisation et localisation) contiendra exclusivement les privilèges d accès qui s appliquent à tous les collaborateurs. Cette section peut être remplie de suite. Notre conseil aux entreprises est d arrêter d occuper l espace de la matrice RBAC au niveau de fonction/service. Les autres détails seront gérés de manière ad hoc par exemple par un workflow. Ensuite ils seront capables de remplir davantage la pyramide et par ce fait la table RBAC. Avec le temps, le modèle RBAC permettra aux entreprises de collecter de plus en plus d informations sur les choix et sélections faits pendant l attribution des privilèges d accès. Apres un cycle de validation par le Responsable de la Sécurité Informatique (RSSI), cette information peut être utilisée pour enrichir la matrice RBAC et de passer d un taux de remplissage de 80% à 100%. 11

12 Qui est Tools4ever? Tools4ever est leader sur le marché de la Gestion des Identités et des Accès. Tools4ever propose un large portefeuille de solutions sur la Gestion des Identités et des Accès, incluant des services de conseils et applications stratégiques dans le domaine du provisioning, Password Management, Single Sign On (SSO), Self-Service & Workflow Management, RBAC and Auditing & Compliance. La mission de Tools4ever est de fournir à ses clients des solutions de gestion des identités & des accès de façon pragmatique et abordable. L investissement minimal pour un maximum de résultats. Tools4ever se distingue par son approche unique, en offrant à ses clients la possibilité d implémenter une solution de gestion d identité bout-à-bout juste en quelques semaines au lieu de plusieurs mois ou années selon la norme actuelle. A cette fin, Tools4ever utilise un modèle d implémentation par phases qui engendre des résultats rapides. Après l implémentation, les clients auront la flexibilité et la liberté de déployer cette Gestion des Identités à travers leur organisation, étape par étape, ainsi qu à leur propre rythme. Le modèle de licence de Tools4ever soutient cette approche par phases, assurant que les investissements nécessaires s alignent avec le déploiement au sein de toutes les organisations. En partie dû à cette approche et son portefeuille global, Tools4ever est le leader incontesté sur le marché de la Gestion des Identités et des Accès. Tools4ever s adresse aussi bien aux entreprises gérant 300 comptes utilisateurs qu aux multinationales, aux organisations du secteur de l éducation, et aux organismes gouvernementaux. Parmi ses clients internationaux, on y trouve Citigroup, EDF Eléctricité de France, Levi s, Motorola, Ericsson, Oracle, Lucent, GE Plastics, IBM et Marks & Spencer. Ses clients Français sont entre autres EDF, Aéroports de Paris, Canal+, Printemps, ainsi que des Hôpitaux, des Collectivités et des Universités. Les logiciels de Gestion des Identités et des Accès produisent des résultats tangibles et un retour sur investissement positif à partir de 250 comptes d utilisateurs et plus. 12

13 Île-de-France 1-3 Rue Parmentier Montreuil, France T +33-0) F +33-(0) Province 3 rue Clos Suiphon Lyon, France T +33-(0) F +33-(0) Information frsales.idf@tools4ever.com Sales frsales.idf@tools4ever.com Support isupport@tools4ever.com Information frsales@tools4ever.com Sales frsales@tools4ever.com Support frsupport@tools4ever.com 13