Gouvernance des identités et des accès quand l informatique s aligne sur les besoins des entreprises

Transcription

1 LIVRE BLANC Gouvernance des identités et des accès quand l informatique s aligne sur les besoins des entreprises Sous le joug des menaces informatiques et des réglementations rigoureuses qui lui sont imposées, votre entreprise a plus que jamais besoin d instaurer une gouvernance des identités et des accès afin de se prémunir contre tout risque. Vous devez savoir précisément quels utilisateurs ont accès à quelles ressources et si leurs niveaux d autorisation sont adéquats. Ces dernières années, ce besoin est passé du statut de directive informatique à celui d impératif commercial. Le grand public maîtrise de plus en plus les outils technologiques, ce qui expose votre entreprise à un nombre croissant de failles de sécurité et l oblige à y réagir de plus en plus vite. Si la gestion des identités est l une des priorités de votre service informatique, les questions connexes de conformité de la sécurité, de réduction des risques et de gouvernance des accès comptent parmi celles des responsables de votre entreprise. De nombreuses fonctions des systèmes de gestion des identités et de gouvernance des accès se recoupent. Toutefois, leurs utilisateurs (à savoir les informaticiens et les chefs d entreprise, respectivement) affichent des objectifs et des compétences technologiques très différents. Par conséquent, si la convergence de ces deux systèmes semble logique, l outil qui en résulte doit néanmoins s avérer assez performant pour satisfaire aux besoins du service informatique tout en restant accessible aux professionnels non-informaticiens. Cela ne signifie pas qu un système de gestion des identités puisse ou doive effectuer les tâches d un système de gouvernance des accès ou inversement. Il est plutôt question de déployer une solution qui intègre en toute transparence les outils informatiques et professionnels utilisés afin de répondre aux besoins grandissants de ces deux types de systèmes.

2 LIVRE BLANC Table des matières Présentation de l industrie de la gouvernance des identités et des accès... 1 Pressions du marché... 1 Attaques, cyberterrorisme, failles internes et fraude... 1 Émergence du cloud... 1 Accès mobile... 1 Contraintes budgétaires... 1 Pressions connexes... 2 Audits, réglementations et conformité... 2 Rapidité des accès et des mises à jour... 2 Fusion de deux univers... 2 Définitions... 2 Gestion des identités... 2 Gouvernance des accès... 2 Gouvernance des identités et des accès et besoins de l entreprise... 3 Intégration et évolution réelle... 3 Valeur des investissements existants... 3 Perspectives... 3 Élément clés pour des solutions de gouvernance des identités et des accès efficaces... 3 Choix du fournisseur... 4 À propos de NetIQ... 5

3 Présentation de l industrie de la gouvernance des identités et des accès Pressions du marché L incroyable essor du marché de la gouvernance des identités et des accès (Identity and Access Governance - IAG) est dû à de nombreux facteurs. Voici les principaux. Attaques, cyberterrorisme, failles internes et fraude Si la plupart des entreprises n ont pas de grandes difficultés à assurer la sécurité physique de leurs employés sur chacun de leurs sites, elles ne se sentent en revanche pas à la hauteur pour ce qui est de sécuriser leurs systèmes, données et propriété intellectuelle. Les cyberattaques les assaillent de toute part et peuvent provenir de sources externes aussi bien qu internes. Chaque année, le FBI voit son volume d enquêtes pour fraude augmenter en moyenne de 10 % 1. Et c est sans compter le nombre encore plus considérable d affaires pour lesquelles il n est pas sollicité. Entre les employés mécontents, les concurrents peu scrupuleux et les cyberpirates à la recherche de données à revendre, votre entreprise court aujourd hui plus de risques que jamais. Or, il est fort probable que vous disposiez déjà des informations nécessaires pour contrer la plupart de ces cyberattaques et failles de sécurité. En revanche, il vous manque certainement un moyen d organiser, de gérer et de surveiller les données de votre entreprise de façon à identifier les risques pour sa sécurité et appliquer des mesures préventives. Émergence du cloud Le National Institute of Standards and Technology (NIST) définit l informatique en nuage (cloud computing) comme «la mise à disposition de l informatique sous forme de service plutôt que de produit, permettant d alimenter des ordinateurs et d autres périphériques en ressources, logiciels et informations partagés au titre de service public (comme l électricité) opérant via un réseau (généralement, Internet)» 2. Les plates-formes et services hébergés dans le cloud sont de plus en plus plébiscités partout dans le monde, et cela n a rien d étonnant. Le SaaS (Software-as-a-Service) fourni via le cloud est, par nature, évolutif. En effet, les entreprises paient uniquement pour les logiciels requis et peuvent facilement allouer des ressources supplémentaires lorsqu elles ont besoin d accroître leur capacité. Toutefois, l utilisation de services Cloud peut poser quelques problèmes. Ainsi, il peut s avérer aussi bien risqué qu onéreux de fournir à tous ses utilisateurs un accès à l ensemble des applications. Afin de maîtriser vos dépenses tout en réduisant les risques en matière de sécurité, vous devez pouvoir accorder un accès aux ressources Cloud en fonction du rôle et des responsabilités de chacun. Il vous faut donc une solution IAG performante. Accès mobile Si elle veut rester compétitive, votre entreprise doit fournir à ses employés un accès aux ressources réseau à tout moment et en tout lieu. Or, la simple installation de clients VPN (Virtual Private Network) sur les machines de l entreprise est loin de s avérer suffisante pour cela. En effet, les utilisateurs distants doivent disposer d un accès via un grand nombre de périphériques non traditionnels tels que les smartphones et les tablettes. Afin de répondre à leurs besoins, vous devez choisir une solution de contrôle d accès capable à la fois d authentifier les utilisateurs et de leur permettre d accéder à leurs ressources Cloud à partir de divers périphériques. Ce type d accès nécessite un outil de gestion des identités sécurisé et fiable, compatible avec toutes les plates-formes. Contraintes budgétaires En temps de crise économique, les entreprises réagissent souvent en resserrant leur budget informatique, même si elles réclament parallèlement davantage de services informatiques. Que la conjoncture soit ou non favorable, les solutions IAG entièrement intégrées capables d automatiser les procédures et processus courants représentent toujours un bon investissement. Non seulement elles vous éviteront de perdre du temps et de l argent, mais elles épargneront aussi beaucoup de frustration. Les solutions IAG sont synonymes d économies dans deux domaines principaux : la productivité et la sécurité. Privés des ressources requises pour accomplir leur travail, vos employés voient leur productivité baisser et vos coûts de main-d oeuvre augmentent. De même, lorsque vos professionnels de l informatique sont contraints de consacrer un temps fou à des tâches de base répétitives, la productivité en pâtit. Cependant, lorsqu une entreprise dispose de systèmes de gouvernance des accès et de gestion des identités distincts, gérés manuellement, c est le manque de contrôles de sécurité et de conformité qui lui coûte le plus cher. Les violations de données représentent un coût très élevé et le grand public en est très rapidement informé. Or, si votre entreprise perd la confiance de son marché, elle risque de disparaître

4 Pressions connexes À l heure où les pressions du marché s intensifient, il devient plus en plus urgent d adopter une solution IAG à la fois intégrée, automatisée et performante. Les entreprises comme la vôtre doivent garantir l intégrité de leurs systèmes et leur capacité à gérer efficacement l accès à ceux-ci. Les pressions du marché se font principalement ressentir dans deux domaines. Audits, réglementations et conformité Certains événements sur le marché, tels que l essor d Internet et la popularité grandissante du cloud, ont suscité des inquiétudes concernant la sécurité des données, ce qui a incité les autorités de réglementation sectorielles et gouvernementales à renforcer leurs contrôles. La fonction de supervision de ces autorités s exerce souvent par le biais de réglementations, lesquelles se voient parfois transformer en textes de loi visant à garantir la conformité. Les lois Sarbanes-Oxley (SOX) et Health Insurance Portability and Accountability Act (HIPAA) ne sont que deux exemples parmi les nombreuses réglementations qui imposent le recours à des solutions IAG performantes dans une optique de conformité. Or, en la matière, il est vital d être en mesure de certifier que les utilisateurs ont exclusivement accès aux ressources requises et uniquement quand ils en ont besoin. Rapidité des accès et des mises à jour Il y a de cela plusieurs années, les entreprises se contentaient d attendre de recevoir leur courrier et les informations requises par la Poste. Aujourd hui, les modes de communication ont changé et elles s attendent à bénéficier d un partage instantané des informations. Le provisioning et le déprovisioning immédiats de leurs utilisateurs fait également parti de leurs exigences. Il n est désormais plus tolérable de générer des tickets de dépannage et d attendre qu un service informatique absolument débordé procède manuellement à l octroi ou à la révocation de l accès à chaque ressource. Plus que jamais, les fonctions telles que la mise à jour des systèmes et applications pour répondre aux nouveaux besoins de l entreprise et aux dernières réglementations en matière de conformité, les mises à niveau de routine ainsi que les révisions des procédures et stratégies informatiques sont examinées aux plus hauts échelons de l entreprise. La direction part du principe que toute tâche est exécutée sans délai, et ce, même lorsque le degré de complexité augmente. Fusion de deux univers Définitions Pour bien comprendre les solutions IAG, il faut d abord saisir le fonctionnement des systèmes de gestion des identités et de gouvernance des accès. Gestion des identités Les systèmes de gestion des identités et des accès sont conçus pour répondre aux besoins et exigences des professionnels de l informatique. Les outils de gestion des identités leur permettent : de déployer des accès aux applications et aux serveurs ; de fournir des méthodes d authentification fiables qui vérifient l identité des utilisateurs ; de simplifier les processus de Sign-on sécurisés ; d accorder un accès aux ressources SaaS et aux périphériques mobiles ; d administrer les fonctions Active Directory ; de disposer de fonctionnalités d administration précises et privilégiées. Ces outils très puissants règlent des problèmes complexes. Ils ont été conçus pour s exécuter automatiquement en arrièreplan et ne sont généralement pas destinés à être manipulés par des utilisateurs standard. Gouvernance des accès Les problèmes de gouvernance des accès survenant la plupart du temps au niveau des entreprises, les outils de ce type sont dotés d interfaces davantage conçues pour les chefs d entreprise que pour le personnel informatique. En général, ces outils prennent en charge les activités suivantes : veiller à ce que l entreprise obéisse aux règles et réglementations en vigueur en matière d IAG ; autoriser les demandes d accès pour les nouvelles recrues, les employés ayant changé de poste et les équipes temporaires ; certifier les niveaux d accès adaptés ; définir et gérer les rôles des utilisateurs à l échelle du système ; gérer les droits associés aux différents rôles et postes ; évaluer, gérer et réduire les risques en fonction des rôles, des droits et des niveaux d accès. 2

5 Non seulement les outils de gouvernance des accès permettent aux chefs d entreprise de respecter les exigences réglementaires et d autoriser les accès, mais ils se chargent également d automatiser les tâches de base répétitives. Ainsi, ils allègent la charge de travail des membres des services informatique et d assistance. Gouvernance des identités et des accès et besoins de l entreprise Soutien des initiatives de conformité, octroi d accès, sécurisation des systèmes, mise à jour des environnements informatiques et technologiques : toutes ces tâches sont du ressort des services informatiques, qui doivent, en outre, s efforcer de contribuer aux objectifs stratégiques de leur entreprise. Les chefs d entreprise veulent pouvoir maintenir la conformité, réussir les audits sécuritaires et réglementaires, réduire les risques, répondre rapidement aux clients internes comme externes, et disposer d une vision globale de l entreprise au sein d un système unique facile à comprendre et à utiliser. Si les besoins du service informatique peuvent sembler éloignés de ceux de l entreprise, ils deviennent complémentaires en ce qui concerne les systèmes de gestion des identités et de gouvernance des accès. Ces deux systèmes doivent donc impérativement unir leurs forces pour atteindre, et même dépasser, les objectifs du service informatique et de l entreprise. La gouvernance ne remplace aucunement une infrastructure de gestion des identités robuste, mais elle la complète et permet de répondre aux besoins les plus cruciaux des entreprises dans ce domaine en tirant véritablement parti de leurs systèmes existants sans qu elles en deviennent esclaves. En résumé, l intégration transparente des systèmes de gestion des identités et de gouvernance des accès répond à la fois aux besoins de l entreprise et du service informatique. Intégration et évolution réelle Valeur des investissements existants Certains des nouveaux fournisseurs de solutions IAG préconisent d abandonner les pratiques passées pour se tourner vers les technologies émergentes. Or, cette approche reviendrait à jeter le bébé avec l eau du bain ; au mieux onéreuse, elle peut même devenir dangereuse. L exploitation des équipements et technologies existants se révèle en effet plus rentable et procure un avantage non négligeable : les systèmes sont déjà adoptés par les utilisateurs. En choisissant la bonne solution IAG, vous pourrez rester au fait des nouveautés technologiques sans pour autant vous départir du matériel que vous connaissez. Les «bonnes» solutions IAG doivent prendre en charge un large éventail de plates-formes, d applications et de technologies. Vous pourrez ainsi tracer la voie de vos futurs développements en utilisant vos systèmes actuels en tant que base pour déployer les toutes dernières technologies. Perspectives Votre entreprise doit dégager une vision forte et définir son orientation pour l avenir. Son système IAG y jouera un rôle de taille. Si vous pensez acquérir d autres entreprises (ou voir la vôtre se faire racheter), vous savez que vous aurez besoin de systèmes susceptibles de prendre en charge des technologies nouvelles et différentes mais ce sera le cas même si aucune acquisition ne se profile à l horizon. Après tout, les technologies d aujourd hui sont les technologies héritées de demain. Lorsqu elles auront atteint ce stade, il sera préférable de s en servir comme base plutôt que de les remplacer. Assurez-vous de disposer de robustes fonctionnalités d intégration qui permettent à vos systèmes existants de coexister en toute transparence avec les technologies plus récentes et émergentes, notamment les nouvelles plates-formes et les nouveaux environnements informatiques. Élément clés pour des solutions de gouvernance des identités et des accès efficaces Les fonctionnalités suivantes font partie intégrante des solutions IAG performantes : Intégration totale entre les systèmes de gestion des identités et de gouvernance des accès : veillez à choisir un système de gouvernance qui soit plus que simplement «compatible» ou capable de «communiquer» avec votre système de gestion des identités et des accès. Pour assurer votre réussite, il vous faut, dans chacune de ces deux catégories, un excellent système capable de s intégrer à l autre en toute transparence. Convivialité : il est vital de disposer d une interface intuitive et simplifiée, surtout pour les utilisateurs de l entreprise chargés de la gouvernance des accès. Recherchez une interface de type tableau de bord permettant aux responsables de rapidement visualiser la situation IAG et forer vers le bas pour afficher des profils détaillés précisant les rôles et droits de chaque utilisateur. Ces fonctionnalités contribueront à accélérer sans peine l adoption du nouveau système et la réalisation des objectifs de conformité par les utilisateurs. 3

6 Contrôle des comptes orphelins : s il est important de pouvoir octroyer rapidement un accès adéquat aux ressources, il l est encore plus de pouvoir le révoquer tout aussi vite lorsqu un employé quitte l entreprise ou que le contrat d un fournisseur prend fin. Veillez à ce que votre solution IAG intègre des déclencheurs qui protègent votre entreprise des risques que les comptes orphelins peuvent représenter pour sa sécurité. Maîtrise de la multiplication des droits : mutations, promotions, équipes temporaires la situation des employés ne cesse d évoluer et certaines solutions facilitent la rétention des privilèges d accès qui leur ont été accordés au cours de leurs projets passés. Les solutions IAG efficaces, elles, surveillent et contrôlent cette multiplication des droits, garantissant ainsi que les privilèges d accès ne dépassent pas le cadre des besoins actuels des utilisateurs. Exécution fiable : la qualité des systèmes de gouvernance dépend surtout de celle des systèmes de gestion des identités auxquels ils sont intégrés. Assurez-vous de disposer de deux systèmes puissants et conviviaux, offrant des capacités d intégration enrichies. Prise en charge multi plate-forme : les meilleurs systèmes IAG prennent en charge tous les principaux systèmes d exploitation, bases de données et applications logicielles, équipements matériels et environnements de serveur Web. Outils d évaluation et de réduction des risques : toute solution IAG digne de ce nom doit naturellement pouvoir rapidement identifier et réduire les risques. Choix du fournisseur Le choix du fournisseur est tout aussi essentiel que le choix des systèmes et outils adaptés. Voici quelques questions à poser lors de vos prospections auprès des fournisseurs : Crédibilité : quelle est la réputation du fournisseur potentiel sur le marché? Dans quelle mesure ses autres clients sont-ils satisfaits de son support et de ses services? Si un fournisseur a une réputation douteuse ou s il est trop récemment établi pour s en être forgé une, redoublez de précaution au cours de votre processus de sélection. Vision pour l avenir : quelles sont les perspectives du fournisseur potentiel? Se comporte-t-il plutôt comme un leader ou un suiveur? Ses objectifs et stratégies correspondent-ils aux vôtres? Mieux vaut choisir un fournisseur dont la vision est compatible avec celle de votre entreprise. Leadership et historique : quel est l historique du fournisseur potentiel? A-t-il innové sur son marché? A-t-il démontré qu il s intéressait de près au marché de l IAG ou semble-t-il y avoir pensé après coup? Le leadership passé est le meilleur indicateur de la réussite à venir. Performances établies : le personnel de support et les ingénieurs du fournisseur potentiel s y connaissentils dans leur domaine respectif? Ce fournisseur a-t-il déjà implémenté avec succès des solutions semblables aux vôtres sur d autres sites? Ici encore, il peut vous être utile de connaître l opinion de ses clients sur ses performances afin de déterminer celles qu il pourra vous offrir. Se procurer les bons produits auprès des fournisseurs adaptés revêt une double importance puisque vous allez faire converger deux technologies : celle de la gestion des identités et celle de la gouvernance des accès. Recherches fouillées, planification étudiée et choix soigneux du fournisseur : voilà les trois clés qui garantiront à votre entreprise une solution IAG à même de répondre à ses besoins pendant de nombreuses années. 4

7 À propos de NetIQ NetIQ est un fournisseur international de logiciels informatiques d entreprise dont les efforts sont constamment axés sur la réussite de ses clients. NetIQ comble, à moindres frais, les besoins de ses clients et partenaires en matière de protection des informations. De plus, notre société gère les aspects complexes des environnements d applications dynamiques hautement distribués. Notre portefeuille comprend des solutions automatisées et évolutives, spécialisées dans la gestion des identités, de la sécurité et de la gouvernance, ainsi que des opérations informatiques. Les entreprises sont ainsi en mesure de fournir, mesurer et gérer en toute sécurité des services informatiques à l échelle de leurs environnements physiques, virtuels et en nuage. Associées à notre approche pratique et orientée client de la résolution des problèmes informatiques récurrents, ces solutions aident les entreprises à réduire les coûts, la complexité et les risques. Pour en savoir plus sur nos solutions logicielles reconnues par les professionnels de l industrie, visitez le site Ce document est susceptible d inclure des inexactitudes techniques et des erreurs typographiques. Ces informations subissent périodiquement des modifications. De telles modifications peuvent être intégrées aux nouvelles versions de ce document. NetIQ Corporation est susceptible de modifier ou d améliorer à tout moment les logiciels décrits dans ce document. Copyright 2012 NetIQ Corporation et ses affiliés. Tous droits réservés. 562-FR DS 07/12 ActiveAudit, ActiveView, Aegis, AppManager, Change Administrator, Change Guardian, Compliance Suite, le logo en forme de cube, Directory and Resource Administrator, Directory Security Administrator, Domain Migration Administrator, Exchange Administrator, File Security Administrator, Group Policy Administrator, Group Policy Guardian, Group Policy Suite, IntelliPolicy, Knowledge Scripts, NetConnect, NetIQ, le logo NetIQ, PSAudit, PSDetect, PSPasswordManager, PSSecure, Secure Configuration Manager, Security Administration Suite, Security Manager, Server Consolidator, VigilEnt et Vivinet sont des marques commerciales ou des marques déposées de NetIQ Corporation ou de ses filiales aux États-Unis. Tous les autres noms de produits et d entreprises mentionnés sont utilisés à des fins d identification uniquement et sont susceptibles d être des marques commerciales ou des marques déposées de leur société respective. France Tour Franklin 100/101, Quartier Boieldieu Paris la Défense Cedex France Tel: Fax: contact-fr@netiq.com info@netiq.com Pour obtenir la liste complète de nos bureaux d Amérique du Nord, d Europe, du Moyen-Orient, d Afrique, d Asie-Pacifique et d Amérique latine, visitez la page : contacts. Suivez-nous : 5