Gestion et gouvernance des identités dans l entreprise ouverte

Transcription

1 Gestion et gouvernance des identités dans l entreprise ouverte

2 Bienvenue dans la nouvelle réalité de l entreprise ouverte Avec la prolifération des applications SaaS et des appareils mobiles, la sécurité réseau n a jamais été aussi complexe. Vos employés et vos partenaires disposent désormais d un niveau d accès sans précédent à votre organisation, souvent hors des limites physiques de l entreprise. En d autres termes, votre sécurité basée sur le périmètre ne suffit plus : les identités sont devenues le nouveau périmètre. Non seulement le nombre d utilisateurs ne cesse d augmenter, mais en plus ceux-ci demandent un accès pratique au contenu et aux applications, à tout moment, où qu ils soient et quel que soit l appareil qu ils utilisent. La satisfaction de ces demandes est déjà difficile en soit, mais y parvenir sans compromettre la sécurité représente un défi encore plus important. Votre organisation informatique peut prendre plusieurs mesures pour tirer pleinement parti de l entreprise ouverte et développer ses activités en toute sécurité. Voyons en quoi elles consistent. 2

3 Les nouvelles technologies s accompagnent de nouveaux défis en termes de gestion et de gouvernance des identités Dans la nouvelle entreprise ouverte, il est plus difficile qu auparavant de gérer les identités et les droits des utilisateurs. Par le passé, une sécurité robuste basée sur le périmètre suffisait. Aujourd hui, le nombre croissant d utilisateurs qui, pour un grand nombre, se sont vu octroyer des droits excessifs, génère un nouvel ensemble de vulnérabilités qu il n a jamais été aussi facile d exploiter à distance. Parmi les défis immédiats de gestion des identités auxquels votre organisation IT est confrontée, figurent notamment les tâches suivantes : Identifiant Identifiant Empêcher l accumulation progressive de droits d accès grâce à la certification automatisée continue de l accès de tous les utilisateurs Automatiser les processus liés aux identités afin de remplacer les processus manuels onéreux et propices aux erreurs Simplifier la gestion du cycle de vie des identités grâce à l intensification de l automatisation Améliorer la productivité des employés en éliminant les certifications papier chronophages Simplifier l expérience utilisateur en rationalisant l accès aux applications, en permettant le self-service et en assistant les utilisateurs mobiles Prendre en charge les environnements Cloud et sur site avec une option de déploiement plus rapide et plus flexible 3

4 Priorité à l utilisateur métier En leur qualité de gardiens des clés, les organisations IT choisissent traditionnellement des solutions de gestion des identités qui leur facilitent la tâche, sans vraiment tenir compte de l impact que celles-ci peuvent avoir sur les utilisateurs métier. Toutefois, en fournissant une expérience utilisateur peu conviviale et inefficace, l IT pourrait bien entraver la productivité et la croissance de l entreprise. La solution idéale établit un lien entre équipes IT et métier en créant un «guichet unique» pratique et intuitif, qui permet aux utilisateurs métier d obtenir des services et des informations du système de gestion des identités. Utilisateurs métier Utilisateurs IT ORIENTATION MÉTIER ORIENTATION TECHNOLOGIES Demandent des interfaces pratiques et simples Tolèrent une expérience utilisateur peu pratique Exigent une expérience uniforme sur le Web et les appareils mobiles N ont souvent pas besoin d un accès mobile Ont besoin d interagir en termes métier Peuvent interagir en termes informatiques 4

5 Gestion des identités à l ère de l entreprise ouverte Avec la migration des applications vers le Cloud et la dispersion des identités utilisateur entre plusieurs systèmes disparates, la gestion des identités et des accès est de plus en plus complexe. L époque où la gestion se limitait à des utilisateurs internes n ayant accès qu à un nombre limité de systèmes d entreprise est révolue. Le nouveau modèle nécessite un niveau de flexibilité, d automatisation et d orientation métier qui va bien au-delà des capacités de la plupart des solutions de gestion des identités existantes. Pour être efficaces, la gestion et la gouvernance des identités dans l entreprise ouverte doivent couvrir les domaines suivants : Gestion du cycle de vie des employés : processus rationalisé pour la gestion des identités et des droits des utilisateurs, de leur intégration à leur départ Analyse des risques : détection et prévention des droits excessifs et des cas de violation de la séparation des fonctions Demandes et autorisations d accès : capacité à fournir une expérience utilisateur pratique et intuitive pour les demandes et les autorisations d accès Expérience utilisateur : accès pratique pour les utilisateurs, sur toutes les plates-formes et tous les appareils Campagnes de certification : certification automatisée de l accès des utilisateurs Interfaces personnalisées : expérience intuitive pour tous les utilisateurs, basée sur leur rôle unique et sur les besoins de l organisation en termes de marques «...Une nouvelle catégorie d utilisateurs demande des fonctions en self-service plus conviviales afin d automatiser les processus ad hoc sans avoir recours aux ressources informatiques onéreuses et limitées.» Forrester *«Top Technology Trends To Watch: 2014 to 2016», Forrester Research, 4 novembre

6 Gestion du cycle de vie des employés Amélioration de l efficacité et réduction des risques L entreprise ouverte a considérablement compliqué le processus de gestion des utilisateurs et de leur accès, qui doit désormais tenir compte de différentes populations et d une variété d applications Cloud et sur site. Afin d offrir une approche exhaustive uniformisée, ce processus doit être considéré comme un cycle de vie, qui commence par l intégration du nouvel utilisateur et se termine par son départ. Les facteurs suivants, entre autres, distinguent une solution d avant-garde d une solution juste acceptable : Nombre de connecteurs de provisioning Fonctionnalités étendues de détection de rôles et d assainissement des droits Analyses d identités et reporting Expérience utilisateur orientée métier Outils permettant de simplifier la gestion des déploiements et la connectivité aux applications d entreprise Cycle de vie de gestion et de gouvernance des identités simplifié Intégration Self-service Demandes d accès Certification des accès Affinage permanent Analyses et assainissement des droits 6

7 Demandes d accès et suivi Simplification de l expérience utilisateur La demande d accès à des applications ou à des affectations de rôle peut être un processus fastidieux. Être contraint de communiquer en «langue informatique» plutôt qu en termes et modèles métier ne fait qu aggraver cette situation. Les utilisateurs doivent pouvoir facilement demander l accès d une manière intuitive et compréhensible. Pour être efficace, un système de demande d accès doit assurer les aspects suivants : Fournir une expérience de type «panier» conviviale pour les demandes d accès et de rôles Accorder davantage d autonomie aux utilisateurs grâce à des fonctionnalités robustes de self-service Comprendre un catalogue de droits axés métier En attendant, l absence de systèmes d autorisation et de suivi des demandes automatisés et intuitifs est source de perte de temps pour les responsables. Par ailleurs, des processus de workflows rigides peuvent limiter la capacité de votre organisation à répondre à ses besoins métier changeants. Vous devez disposer de fonctionnalités de suivi des accès qui offrent les outils suivants : Des modèles de workflows flexibles, notamment des éléments tels que la délégation, le classement des priorités et bien plus encore Des rapports récapitulatifs sur l état de toutes les demandes qui mettent en évidence celles qui auraient déjà dû être traitées et celles à haut risque Des analyses de droits identifiant les cas de violation de la séparation des fonctions En attente En attente Commentaire Approuvée Commentaire 10 juillet 61 % des organisations ne vérifient pas les demandes d accès par rapport aux règles de sécurité avant d autoriser et d octroyer l accès. Source : étude mandatée par CA Technologies 9 juillet 8 juillet 7

8 Campagnes de certification Simplification des audits et réduction des risques La certification des accès est un mal nécessaire pour valider la conformité aux stratégies et à la règlementation. Toutefois, l élimination des feuilles de calcul et des processus manuels ne suffit pas : les campagnes de certification doivent être hautement flexibles et axées sur les besoins de l entreprise. Vous devez disposer de fonctionnalités de certification qui prennent en charge tous les types de campagnes suivants : Entité : certification des droits d accès relatifs à certaines entités d utilisateurs, de rôle ou de ressource. Recertification : répétition du processus de certification sur la base d une campagne précédente. Certification différentielle : certification de droits ayant changé depuis une campagne précédente. Auto-attestation : certification réalisée par les utilisateurs plutôt que par un responsable ou un propriétaire de ressource. Il est vrai que dans le cas d une certification dite simple («Cet utilisateur a-t-il le droit d accéder à cette ressource?»), les responsables ont souvent besoin d informations contextuelles supplémentaires pour prendre une décision. Par exemple, il est possible de préciser à quelle fréquence un utilisateur a accédé à une ressource et la dernière fois qu il y a accédé, et de mettre en évidence les droits d accès incorrects suspectés afin d améliorer le délai et la qualité des décisions de certification. Accès réseau Compte RACF Vue client CRM Admin. système de bases de données 8

9 Analyses de risques Prévention de la prochaine violation de données! Au fur et à mesure de l expansion de votre organisation, les rôles et les droits peuvent se chevaucher et proliférer. Et l accumulation progressive de droits entraîne une augmentation du nombre de violations de règle et des risques globaux. Les analyses de risques peuvent fournir des informations clés qui vous permettent d identifier et d éliminer les menaces rapidement. Ces analyses peuvent être statiques (p. ex. processus d analyse et de détection des rôles hors ligne) ou en temps réel (signalement des cas de violation de la séparation des fonctions au moment de l octroi). Dans un souci d exhaustivité, l approche adoptée doit comprendre ces deux types d analyse. Les analyses d identités de qualité vous aident à minimiser les risques en vous permettant de réaliser les tâches suivantes : Assainir les droits d accès excessifs et erronés Détecter les nouveaux rôles et les créer en fonction des droits existants Rectifier les droits incohérents par rapport aux utilisateurs avec les mêmes rôles Détecter les rôles redondants ou qui se chevauchent Détecter et prévenir les violations de la séparation des fonctions lors du provisioning 53 % des responsables informatiques ignorent la majeure partie des droits d accès des employés aux systèmes. Source : Computerworld Assainissement des rôles et des droits Droits Analyse des rôles Droits et rôles assainis Rôles Alertes et violations 9

10 L expérience utilisateur La clé d une gestion des identités efficace Afin d améliorer la productivité et la satisfaction des utilisateurs, votre solution de gestion des identités doit proposer une expérience intuitive et conviviale aux utilisateurs métier. En d autres termes, elle doit offrir les avantages suivants : Communiquer avec les utilisateurs dans des termes qu ils comprennent Prendre en charge les appareils privilégiés par les utilisateurs métier Offrir une interface facile à utiliser, voire divertissante Les responsables métier ont besoin d un processus tout aussi pratique pour suivre et traiter les demandes d accès de leurs employés. Et votre système doit offrir une interface basée sur des concepts et termes qui leur sont familiers. Gros plan sur un processus de demande d accès idéal Un «panier» intuitif permet aux utilisateurs de : facilement sélectionner les rôles et les droits nécessaires à l exercice de leurs fonctions ; voir les droits d accès actuels ; facilement voir l état et la progression des demandes d accès précédentes. La difficulté est de fournir la simplicité et la convivialité que les utilisateurs métier demandent sans sacrifier les fonctionnalités robustes qui aident votre équipe IT à remplir ses obligations en matière de sécurité et d efficacité. Les fonctionnalités telles que le provisioning détaillé, l analyse des risques, les analyses d identités et la gestion du cycle de vie entier des identités sont toutes essentielles dans l environnement d identités dynamique de l entreprise ouverte complexe d aujourd hui. 10

11 CA Technologies fournit la solution de gestion des identités la plus complète qui soit pour l entreprise ouverte La suite CA Identity permet à votre entreprise de gérer de façon uniforme l accès à ses applications et services dans des environnements informatiques Cloud et sur site. En automatisant les fonctions IAM telles que le provisioning des utilisateurs et la certification des droits, vous pouvez réduire les coûts de gestion de la sécurité et améliorer la productivité des employés. La suite CA Identity intègre également un portail d identités afin de fournir une expérience utilisateur intuitive, axée sur le métier et conçue dans un souci de simplification radicale du processus de gestion des identités utilisateur ainsi que des demandes et autorisations d accès. Outre la suite Identity, CA Technologies offre également un module de gestion des identités à forts privilèges afin de vous permettre de gérer les comptes partagés de manière plus sécurisée tout en disposant de contrôles fins sur les actions des utilisateurs disposant de ces privilèges. Administration des identités Provisioning automatisé Gestion des règles Réinitialisation d un mot de passe Self-service Administration des identités Portail d identités Expérience utilisateur métier Interface unique pour la gestion et la gouvernance des identités Demande d accès Prise en compte des risques Gestion des identités à forts privilèges Gestion des mots de passe de compte partagé Contrôles d accès fins Enregistrement des sessions Gestion des identités à forts privilèges Portail d identités Gouvernance des identités Gouvernance des identités Révision/certification des accès Analyse de la séparation des fonctions et aide à la décision Modélisation des rôles Assainissement des droits 11

12 Pour découvrir comment CA Technologies peut vous aider à gérer et gouverner les identités dans l entreprise ouverte, rendez vous sur ca.com/fr/identitysuite. CA Technologies (NASDAQ : CA) fournit les logiciels qui aident les entreprises à opérer leur transformation numérique. Dans tous les secteurs, les modèles économiques des entreprises sont redéfinis par les applications. Partout, une application sert d interface entre une entreprise et un utilisateur. CA Technologies aide ces entreprises à saisir les opportunités créées par cette révolution numérique et à naviguer dans «l Économie des applications». Grâce à ses logiciels pour planifier, développer, gérer la performance et la sécurité des applications, CA Technologies aide ainsi ces entreprises à devenir plus productives, à offrir une meilleure qualité d expérience à leurs utilisateurs, et leur ouvre de nouveaux relais de croissance et de compétitivité sur tous les environnements : mobile, Cloud, distribué ou mainframe. Pour en savoir plus, rendez-vous sur ca.com/fr. CA Tous droits réservés. Tous les noms et marques déposées, dénominations commerciales, ainsi que tous les logos référencés dans le présent document demeurent la propriété de leurs détenteurs respectifs. Ce document est uniquement fourni à titre d information. CA décline toute responsabilité quant à l exactitude ou à l exhaustivité des informations qu il contient. Dans les limites permises par la loi applicable, CA fournit le présent document «tel quel», sans garantie d aucune sorte, expresse ou tacite, notamment concernant la qualité marchande, l adéquation à un besoin particulier ou l absence de contrefaçon. En aucun cas, CA ne pourra être tenu pour responsable en cas de perte ou de dommage, direct ou indirect, résultant de l utilisation de ce document, notamment la perte de profits, l interruption de l activité professionnelle, la perte de clientèle ou la perte de données, et ce même dans l hypothèse où CA aurait été expressément informé de la survenance possible de tels dommages. CA ne fournit pas d assistance juridique. Ni ce document ni aucun produit logiciel CA référencé dans le présent document ne peuvent être substitués à l obligation du lecteur de respecter la législation en vigueur, notamment sous forme de loi, règlement, réglementation, règle, directive, norme, mesure, politique, instruction administrative, décret-loi, ou autre (désignés collectivement sous le nom de «Lois»), évoquée dans le présent document. Le lecteur doit consulter un conseiller juridique compétent pour toute information concernant lesdites Lois. CS