Point de vue de CA : Content- Aware Identity & Access Management

FICHE DE PRÉSENTATION TECHNIQUE : Point de vue de CA : Content-Aware Identity and Access Management Décembre 2010 Point de vue de CA : Content- Aware Identity & Access Management we can

Table des matières Vue d ensemble SECTION 1 Défi 4 SECTION 2 Solutions Content-Aware IAM 5 SECTION 3 Architecture CA Content-Aware IAM 8 SECTION 4 Scénarios de solutions Content-Aware IAM 11 SECTION 5 Vision stratégique de CA Content-Aware IAM 13 SECTION 6 Conclusions 17 2

Vue d ensemble Défi Aujourd hui, la plupart des organisations informatiques sont guidées par quelques éléments clés. Tout d abord, elles doivent réduire les risques tout en assurant la confidentialité des informations relatives aux entreprises et aux clients. Elles doivent, dans un deuxième temps, répondre aux exigences en matière de conformité et de réglementation sectorielle. Elles doivent également améliorer leur efficacité opérationnelle. Enfin, elles doivent être en mesure de faire prospérer leur activité. L une des exigences clés, pour chacun de ces domaines, consiste à pouvoir gérer efficacement les identités des utilisateurs et à contrôler leur accès aux systèmes, aux applications et aux informations critiques. Cependant, le contrôle des utilisateurs et de leur accès à ces ressources n est pas suffisant. S arrêter aux points d accès donne moins de contrôle : une fois qu un utilisateur accède à des informations, il est nécessaire de contrôler l utilisation qui en est faite. La protection des informations face aux accès non autorisés et aux utilisations inappropriées est essentielle. Elle vous permet d apporter la conformité et la sécurité que votre entreprise, vos clients et vos partenaires sont en droit d exiger. De plus, les infrastructures informatiques actuelles doivent supporter un nombre d utilisateurs et d applications sans cesse grandissant, des systèmes d identités fédérées et des exigences de conformité complexes. Souvent, les systèmes de gestion des identités et des accès ne peuvent gérer aisément ces exigences, toujours plus complexes. Il devient donc nécessaire de créer de nouveaux modèles de systèmes d identités. Solution CA Content-Aware Identity and Access Management (IAM) vous aide à renforcer et à automatiser vos contrôles de sécurité, car il vous permet de contrôler les identités des utilisateurs, leur accès, ainsi que leur utilisation des informations. Alors que les solutions IAM traditionnelles ne vont pas plus loin que le point d accès, CA assure une gestion et un contrôle depuis l utilisateur jusqu à l information et l utilisation qui en est faite. Ce contrôle précis vous permet d éviter toute utilisation abusive de vos données, y compris leur révélation non autorisée ou leur vol. Ainsi, vous améliorez la conformité et protégez les informations critiques. 3

Avantages CA Content-Aware IAM vous permet de répondre aux éléments clés évoqués plus haut. Cette solution permet l automatisation des processus de sécurité basés sur les identités (tels que le provisioning, la certification des droits des utilisateurs, etc.). Ces processus améliorent l efficacité et réduisent les coûts informatiques. Elle renforce la sécurité et atténue les risques. Elle permet de simplifier la conformité et de réduire les efforts et les coûts liés aux audits. De plus, elle vous permet de déployer plus rapidement de nouveaux services et de nouvelles applications en ligne, ce qui vous apporte davantage d agilité métier et vous permet donc d être plus réactif face au marché et à la concurrence. CA Content-Aware IAM vous offre le contrôle dont vous avez besoin pour faire prospérer votre activité. Section 1 : Défi Le défi de la gestion des identités et des accès La gestion des identités et des accès (IAM) constitue un domaine technologique important pour la plupart des entreprises. Son utilisation et son importance ne cessent de croître. Les solutions IAM comportent un certain nombre d avantages lorsqu elles sont parfaitement déployées. Elles constituent le fondement d une sécurité efficace, en faisant en sorte que tous les utilisateurs ne bénéficient que du niveau d accès approprié aux ressources protégées (systèmes, applications et informations). Elles protègent ces ressources via la mise en oeuvre de règles qui spécifient, pour chacune d elles, qui peut y accéder, ainsi que les conditions sous lesquelles ces accès sont autorisés. Elles réduisent les coûts d administration grâce à l automatisation de nombreux processus de sécurité, tels que le provisioning et le déprovisioning de comptes et de droits d accès. Les solutions IAM permettent également d améliorer la conformité réglementaire via l automatisation de vos contrôles de sécurité et la simplification de vos audits de conformité. Enfin, elles peuvent accélérer le déploiement de nouveaux services en ligne, mais également supporter les écosystèmes sécurisés de vos partenaires afin d optimiser la croissance de votre activité. Diminution des risques et des coûts, amélioration de la conformité et facilitation du métier, voilà les précieux avantages que les solutions IAM peuvent vous apporter. Toutefois, les efforts des systèmes IAM traditionnels sont concentrés sur deux domaines, considérés par une majorité d entreprises comme les plus critiques : le contrôle des identités des utilisateurs et le contrôle de l accès des utilisateurs aux systèmes et aux applications. Le premier domaine a trait à la gestion des identités des utilisateurs et de leurs rôles, au provisioning des utilisateurs pour l accès aux ressources, au maintien de la conformité à l aide de règles d identité et d accès et à la surveillance de l activité de l utilisateur et de la conformité. Les technologies en mesure de supporter cela sont les solutions de gouvernance des identités, de gestion des rôles, de provisioning et de gestion des journaux. Le contrôle des accès implique la mise en oeuvre de règles relatives à l accès aux systèmes, aux applications Web et aux informations. Les technologies en mesure de supporter cela sont la gestion de l accès au Web, la fédération, la sécurité des services Web et la gestion des utilisateurs à forts privilèges. Limites des systèmes IAM traditionnels Malgré les avantages considérables apportés par ces systèmes IAM, ces derniers ne sont pas en mesure d apporter des solutions à certains problèmes clés. Ils protègent l accès aux informations mais pas leur utilisation. Les solutions IAM traditionnelles contrôlent l accès aux applications et aux informations clés. En revanche, elles ne contrôlent pas l utilisation qui peut en être faite une fois l accès établi. Il est courant que certaines personnes soient autorisées à accéder à des données, mais il est nécessaire de prendre des mesures afin d en empêcher certaines utilisations. Par exemple, 4

vous pouvez les autoriser à afficher ces informations, tout en leur interdisant d envoyer ces informations par courriel à une personne étrangère à la société. Les règles d accès des systèmes IAM traditionnels ne disposent tout simplement pas d une granularité suffisante pour permettre une telle protection. La classification des informations est difficile et s effectue manuellement. Toute organisation possède des informations sensibles qui doivent d être classées comme telles. Les règles concernant la classification des données sont, lorsqu elles sont mises en place, généralement mal communiquées. De plus, il est souvent difficile de classer les données en raison de leur nature dynamique. Les ressources d informations sont souvent mal classées lors de leur création pour l une de ces raisons. Par conséquent, des informations potentiellement très sensibles peuvent être classées de manière inadéquate et être ainsi sujettes à une utilisation inappropriée. La sécurité des informations n est généralement pas basée sur les identités. Lors du développement de règles d utilisation des informations, il est important que les violations de ces règles soient associées à des identités spécifiques. Il ne suffit pas que les violations des règles d utilisation des informations vous soient notifiées. Il est non seulement nécessaire de les empêcher en amont, mais il faut également être en mesure de remonter à l utilisateur qui en est à l origine. De plus, la décision d autoriser l accès à des informations doit se baser sur leur sensibilité, mais également sur l identité de l utilisateur qui tente d y accéder. L accès aux informations et l utilisation qui en est faite doivent, par conséquent, être régis par des règles basées sur les identités. L attention est souvent portée sur le contrôle des accès, au lieu d être portée sur la facilitation et l accélération des accès, pour une efficacité accrue. Il est essentiel, pour l efficacité de la sécurité, de «repousser les méchants». Il est cependant tout aussi important de permettre aux utilisateurs appropriés de partager facilement et rapidement des informations. Cela permet une augmentation de l efficacité et un accroissement de l activité. Section 2 : Solutions Content-Aware IAM Étendre la portée des solutions IAM : Content-Aware IAM Dans son aspect le plus fondamental, la gestion des accès et des identités doit vous permettre de répondre aux questions les plus importantes concernant vos utilisateurs. Qui a accès à quoi? Que peuvent-ils faire de cet accès? Que peuvent-ils faire des informations ainsi obtenues? Enfin, qu en ont-ils fait? Pour répondre à ces questions, vous devez être en mesure de gérer et contrôler efficacement les trois domaines suivants. Contrôle des identités : gérez les identités des utilisateurs et leurs rôles, provisionnez des utilisateurs pour l accès aux ressources, maintenez la conformité à l aide de règles d identité et d accès et surveillez l activité de l utilisateur et de la conformité. Contrôle des accès : mettez en oeuvre des règles relatives à l accès aux systèmes, aux applications Web et aux informations. Gérez les utilisateurs à forts privilèges afin d éviter des actions d administrateurs inappropriées. Implémentez des fonctionnalités d authentification flexibles, puissantes et basées sur les risques afin d identifier et d empêcher les activités frauduleuses. Contrôle des informations : détectez et classez les informations d entreprise sensibles et mettez en oeuvre des règles d utilisation relatives à ces informations. 5

L illustration ci-dessous décrit ces domaines clés et indique les fonctionnalités essentielles de chacun d entre eux. Illustration A Qu est-ce que Content-Aware IAM? Le principe de base de Content-Aware IAM est la capacité à gérer tous les domaines définis plus haut : les identités, les accès et l utilisation des informations. Le contrôle des identités vous permet de gérer efficacement vos utilisateurs, leurs rôles et leurs droits d accès au sein de l entreprise. Le contrôle des accès permet uniquement aux utilisateurs autorisés d accéder à vos systèmes et à vos applications critiques. Cependant, tout cela ne suffit pas à mettre en place une approche unifiée de la sécurité et de la conformité. Le contrôle de l utilisation des informations est critique car il permet d empêcher le vol ou la divulgation d informations confidentielles, relatives à l entreprise ou à ses clients. Cette fonctionnalité vous permet de créer des règles destinées à définir des classifications de données, mais également des opérations et des actions dont vous refusez qu elles soient l objet de ces données. La classification de données est un élément clé de Content-Aware IAM. Elle peut être statique ou dynamique. La classification consiste à comparer le contenu des données avec des modèles prédéfinis, afin de déterminer si les données sont sensibles ou non. La classification statique signifie que les données sont analysées périodiquement ou sur demande expresse. La classification dynamique signifie que cette analyse est réalisée lorsque les informations sont utilisées, dans le but d éviter une éventuelle utilisation inappropriée. Si un utilisateur tente d effectuer une action non approuvée, vous devez avoir à votre disposition un certain nombre d options configurables : l opération peut être empêchée ou autorisée après un avertissement, les gestionnaires peuvent être notifiés, des événements d exception peuvent être consignés dans le journal du système, etc. 6

Content-Aware IAM n est pas uniquement une solution de contrôle des informations. Il ne s agit pas non plus d une technologie autonome, mais d un outil hautement intégré aux autres composants IAM centraux, dont le but est de créer une solution unifiée. Cela signifie que la gestion des droits, la gestion des rôles, le provisioning et même la gestion des accès sont sensibles au contenu («Content-Aware»). En effet, leur fonctionnalité fait partie intégrante de la classification et de l utilisation des informations, ce qui n est pas sans conséquences. Nous verrons, dans l une des sections suivantes, comment tout cela fonctionne et les avantages qu il est possible d en retirer. Un grand nombre de fournisseurs traditionnels mettent en avant le fait que leurs solutions sont sensibles au contexte («Context-Aware»). Il n est pas rare de voir que les clients confondent cela avec le concept de sensibilité au contenu («Content-Aware»). Ce sont deux concepts très différents ; une explication s impose. Une solution sensible au contexte («Context-aware») utilise certains attributs contextuels pour améliorer la granularité de l application des règles d accès. Voici quelques exemples d attributs contextuels : l emplacement de l utilisateur, la méthode d authentification utilisée ou encore l heure à laquelle l authentification a eu lieu. Exemple : l accès à une application d entreprise peut être refusé à un utilisateur s il utilise son ordinateur personnel ou s il tente d y accéder durant un weekend. Content-Aware IAM va plus loin. Il utilise non seulement le contexte, mais également le contenu des informations pour déterminer si l opération doit être autorisée ou non. Exemple : vous pouvez avoir accès à un dossier client mais pas à ses informations financières (contenu). Vous pouvez également être autorisé à envoyer ce dossier par courriel au département financier, mais à personne d autre. Content-Aware IAM, en conjonction avec des mises en application contextuelles, offre une approche puissante et innovante de la protection de vos éléments critiques. Les solutions de prévention des pertes de données et de contrôle des informations doivent être centrées sur les identités, afin d implémenter des modèles de rôles et d identités communs à l intégralité de l environnement IAM. Il n existe pas d autre moyen d associer les droits d utilisation des informations à un rôle. En conséquence, lorsque les utilisateurs changent, par exemple, de rôle, leurs droits d utilisation des informations (en plus de leurs droits d accès) sont également immédiatement modifiés. De plus, l intégralité des droits associés à leur rôle précédent sont supprimés. Avantages de Content-Aware IAM Les avantages d IAM sont considérables et bien connus : réduction des risques, amélioration de l efficacité, simplification de la conformité et facilitation des activités métiers. Content-Aware IAM représente l évolution naturelle des technologies IAM. Il apporte toutefois des avantages importants par rapport à une approche IAM traditionnelle. Il offre une sécurité supplémentaire en protégeant les informations contre leur utilisation abusive et leur divulgation. Des informations de tout type (informations client, propriété intellectuelle, informations confidentielles, etc.) peuvent être protégées contre leur communication à l extérieur de l entreprise, ou contre leur transmission vers des périphériques non autorisés (par ex. un lecteur USB). Il permet l expansion de l activité de manière sécurisée : en déplaçant les mesures de sécurité au plus près des données, la sécurité dans son ensemble est améliorée de manière dynamique. Par exemple, certaines données peuvent être classées sous le critère «secret». De cette manière seuls les utilisateurs ayant un niveau d autorisation correspondant à «secret» peuvent y accéder. Dans l éventualité où un utilisateur bénéficierait d un accès inapproprié à un système, il ne serait tout de même pas en mesure d accéder aux données que ce système contient. Cela permet d accroître l activité sans faire de concessions sur la sécurité. 7

Cette solution permet la classification automatique des données : les données peuvent être classées automatiquement via l utilisation de descriptions génériques, qui définissent à la fois les caractéristiques des données sensibles et leur niveau de sensibilité. Par exemple, des données telles que des fichiers sources, des numéros de sécurité sociale, des dossiers médicaux, etc. peuvent être décrits afin de retrouver et de classer les données similaires au sein de l entreprise. Cela permet au contenu et à l utilisation des informations de jouer un rôle au sein des autres processus clés IAM, tels que le provisioning, la certification des identités, le reporting d activités de l utilisateur et la gestion des accès. Si vous savez comment un utilisateur a, par le passé, utilisé des informations sensibles, vous êtes en mesure de déterminer plus efficacement les rôles et les droits à lui affecter. Vous pouvez également utiliser la classification des données afin de déterminer si une demande d accès doit lui être accordée ou non. Content-Aware IAM permet une meilleure application des règles et, par conséquent, une réduction des risques informatiques. L application des règles d utilisation des informations est basée sur les identités, afin d associer chaque action à un utilisateur. La conformité est ainsi renforcée et il est possible de prendre rapidement des mesures correctives. Section 3 : Architecture CA Content-Aware IAM La suite CA Content-Aware IAM comprend un vaste éventail de solutions intégrées qui permettent le contrôle des aspects déterminants de votre environnement IAM. Une description complète de chaque produit est disponible à l adresse suivante : www.security.com. Les catégories clés, les composants et leurs fonctionnalités sont décrits ci-dessous. Contrôle des identités (CA Role and Compliance Manager, CA Identity Manager, CA Enterprise Log Manager) : contrôle des identités via la gestion et la gouvernance de leur accès en fonction de leurs rôles. Cela comprend également le reporting de conformité et d activités de l utilisateur. CA IAM offre une gestion complète du cycle de vie des identités qui permet de répondre aux évolutions des exigences en matière d adéquation et de rapidité des accès des utilisateurs aux applications, aux systèmes et aux données dont ils ont besoin. Tout cela s accompagne, dans le même temps, de processus et de contrôles appropriés, afin de minimiser les risques de sécurité. La gouvernance des identités supporte les contrôles destinés à empêcher toute violation des règles métiers et de conformité (telles que la séparation de fonctions) et automatise le processus de validation des accès des utilisateurs, afin de réduire les risques de sécurité. Le provisioning permet l automatisation des processus d ajout, de modification et de suppression d utilisateurs et des droits qui leur sont associés. Le self-service permet aux utilisateurs d entreprendre des actions de provisioning, la gestion des mots de passe et les processus associés. La gestion des rôles est une représentation efficace des utilisateurs et des droits dont ils ont besoin (y compris les rôles, les règles, les droits d accès, etc.) en tant que fondement des processus d identité unifiés. Enfin, le reporting de conformité et d activité de l utilisateur permet d améliorer la sécurité et de faciliter la conformité, via la corrélation et l analyse automatiques des fichiers journaux et le reporting du statut de la conformité et des activités de l utilisateur. 8

Contrôle des accès (CA SiteMinder, CA Access Control, Arcot WebFort et RiskFort) : contrôle des accès aux systèmes et aux applications dans l ensemble des environnements physiques, virtualisés et Cloud. CA IAM propose de nombreuses fonctionnalités de contrôle des accès aux systèmes et aux applications protégés parmi un éventail de plates-formes et d environnements. Ces fonctionnalités permettent de réduire vos risques informatiques grâce à la prévention des accès inappropriés aux ressources critiques de votre entreprise. La gestion de l accès au Web fournit une approche centralisée pour la mise en oeuvre de règles de détermination des accès aux applications en ligne critiques et pour les conditions sous lesquelles de tels accès sont autorisés. La centralisation de la mise en oeuvre d accès aux applications, à l extérieur de ces applications, permet de simplifier la gestion de la sécurité et d en réduire les coûts, tout en améliorant la cohérence de l application de la sécurité. Cette centralisation permet également l authentification Web unique, destinée à accroître la productivité et à réduire les coûts liés au service d assistance. La fédération garantit un accès sécurisé aux applications et aux données des partenaires externes, afin d établir un écosystème partenaire qui supporte la croissance de votre activité. La gestion des utilisateurs à forts privilèges permet de contrôler précisément ce que vos administrateurs sont en mesure de faire sur vos systèmes clés. Elle permet d améliorer considérablement la sécurité apportée par les systèmes d exploitation natifs. Elle permet de sécuriser les systèmes physiques et virtuels. En outre, elle suit, consigne et signale toute activité d un utilisateur à forts privilèges. La virtualisation sécurisée permet de protéger les systèmes et les applications déployés dans un environnement virtuel contre les attaques et les utilisations abusives, qu elles proviennent d activités externes ou entre les machines virtuelles. L authentification avancée et la prévention des fraudes apportent des fonctionnalités flexibles, destinées à renforcer l authentification de vos utilisateurs. Ces fonctionnalités incluent l authentification basée sur les risques, afin d identifier et d empêcher toute activité frauduleuse. Contrôle des informations (CA DLP) : recherche, classification et contrôle de l utilisation des informations en fonction du contenu et de l identité. CA DLP identifie en temps réel les données sensibles au sein de l entreprise et détermine si les utilisateurs finals utilisent ces données conformément, ou non, aux diverses exigences en matière de sécurité et de réglementation. Il identifie et classe l intégralité des données sensibles, par exemple les PII (Personally Identifiable Information, informations d identification personnelles), l IP (Intellectual Property, propriété intellectuelle) ainsi que les NPI (NonPublic Information, informations confidentielle). Il contrôle ces données sensibles quel que soit leur emplacement : aux points d extrémité, sur le serveur, sur le réseau ou sur un périphérique de stockage de l entreprise. CA DLP permet la classification de vos informations sensibles, mais également l application de vos règles d utilisation des informations, de manière à empêcher toute utilisation inappropriée ou toute divulgation de ces informations critiques. Cela se traduit par la réduction des risques de sécurité informatique et la facilitation de la mise en conformité avec les exigences de réglementation en matière d utilisation des informations. 9

Le graphique ci-dessous illustre les catégories de CA IAM, les produits que comprend chacune d elles, ainsi qu un résumé des interactions entre les composants. Illustration B Architecture CA Content-Aware IAM Gouvernance des ID Gestion des rôles Analyse des identités Gestion des ID Provisionnement Génération de rapports Droits Gestion des accès Web avec authentification unique Analyse des risques Authentification avancée Gestion des utilisateurs à forts privilèges Provision Protection et contrôle des informations Contrainte d accès Collection d audits Génération de rapports de conformité et d activités de l utilisateur Génération de rapports Le niveau d intégration des composants de CA Content-Aware IAM constitue l une des principales forces de cette solution. Un tel niveau d intégration permet de simplifier l administration et d améliorer la cohérence des interfaces de tous les composants. De plus, une administration aisée est synonyme de réduction des coûts. Les solutions CA Content-Aware IAM sont supportées par un grand nombre de plates-formes, des systèmes distribués au mainframe. Il vous est ainsi possible d appliquer une sécurité cohérente à l ensemble de votre environnement informatique. Cela peut entraîner une simplification de la conformité. Il n est en effet pas rare de constater que les auditeurs recherchent une sécurité puissante et cohérente sur toutes les plates-formes. De plus, ces produits permettent l amélioration de la sécurité des modèles de services nouveaux ou émergeants, tels que les environnements virtualisés ou Cloud. À mesure que vous tirez profit de l informatique virtuelle, il est nécessaire de vous assurer que les ordinateurs physiques qui hébergent vos environnements virtuels sont parfaitement protégés contre les attaques et les accès inter-machines virtuelles. De la même façon, la transition vers le Cloud Computing doit s effectuer de la manière la plus aisée et la plus sécurisée possible. CA Content-Aware IAM vous permet d effectuer cette transition en toute sécurité. Votre activité peut ainsi bénéficier de ces nouveaux modèles de technologies et de services. Vous pouvez adopter, en toute confiance, ces technologies de nouvelle génération dont l utilisation vous permet de développer encore davantage votre activité. 10

Section 4 : Scénarios de solutions Content-Aware IAM Prenons comme exemple quatre scénarios banals mais très instructifs, afin d illustrer comment une approche intégrée à Content-Aware IAM peut mettre en oeuvre des règles de sécurité et vous aider à automatiser les processus de sécurité. Ces exemples ne sont pas exhaustifs. Ils sont toutefois représentatifs des principaux avantages qu il est possible de retirer en termes de sécurité et d efficacité. Provisioning des utilisateurs basés sur les rôles et les règles. Bob Butler a été recruté en tant que développeur de logiciels chez Forward, Inc. Chez son employeur précédent, il lui avait fallu deux semaines avant de pouvoir accéder aux systèmes et aux fichiers dont il avait besoin pour son travail. Au cours de ce processus, tous ses comptes et ses droits d accès avaient dû être créés manuellement. Il lui avait également été nécessaire de faire viser un formulaire papier par chaque administrateur de système, avant de le renvoyer à l administrateur informatique. Pour Bob, cette période a été synonyme de frustration, car il n était pas aussi productif qu il l aurait souhaité. De plus, au cours des quatre années que Bob a passées dans cette entreprise, il a travaillé sur différents projets. À chacun de ces changements il a conservé les droits d accès aux projets et aux rôles précédents. Par conséquent, à son départ, il avait cumulé bien plus de privilèges et de comptes qu il n en avait besoin. Cependant, à son arrivée chez Forward, CA Identity Manager et CA Role & Compliance Manager ont été utilisés pour automatiser la création de ses comptes et de ses droits d accès, mais également pour obtenir l approbation de la direction, grâce à des processus de workflow. Ce processus a été immédiat et il n a pas été besoin de remplir de formulaire d approbation. Bob a pu être productif immédiatement, évitant ainsi les pertes de temps et la frustration. De plus, ses responsabilités en termes de rôle et de projet ont évolué au cours des trois années suivantes. Ses droits d accès ont été automatiquement modifiés, afin de correspondre à ses nouvelles responsabilités et pour ne pas lui fournir davantage d accès qu il n en avait besoin pour son rôle. Enfin, Role & Compliance Manager a automatisé la certification de ses droits, afin de détecter et de corriger rapidement toute affectation involontaire et excessive de droits. Protection de dossiers confidentiels La protection et la confidentialité des dossiers médicaux illustre parfaitement la nécessité de contrôler non seulement l accès aux informations, mais également l utilisation qui en est faite. C est essentiel pour la mise en conformité avec la loi HIPAA, par exemple. Stan est infirmier à l hôpital de la ville. En tant que tel, il a le droit de consulter les dossiers médicaux des patients auxquels il prodigue des soins. L hôpital souhaite que l accès à ces dossiers se fasse uniquement à partir des stations approuvées, situées dans le secteur des infirmiers, et demande une authentification forte pour cet accès. Enfin, en raison des préoccupations soulevées par la loi HIPAA, l hôpital interdit toute communication de dossiers médicaux à l extérieur de son environnement informatique. Malheureusement, Stan, pour satisfaire quelque dessein malfaisant connu de lui seul, désire voler à l hôpital les dossiers médicaux de certains de ses patients. Voici comment CA Content-Aware IAM serait en mesure d aider cet hôpital. Stan se connecte au réseau de l hôpital depuis son ordinateur personnel et s identifie. Il tente d accéder aux dossiers médicaux de ses patients, mais SiteMinder détermine que Stan n utilise pas un ordinateur approuvé (situé dans le secteur des infirmiers), sa tentative est donc refusée. Cet échec de connexion est consigné ; le gestionnaire de la sécurité informatique reçoit une notification. Le jour suivant, Stan se connecte à l un des ordinateurs du secteur des infirmiers. Il se connecte à l aide de son mot de passe et il obtient les droits associés au rôle «Infirmier». Il tente alors de se connecter au dossier d un patient dont il n a pas la charge. CA SiteMinder transmet les informations relatives à Stan à l application, en tant que contexte. L application détermine alors que Stan n est pas chargé de ce patient et lui interdit donc l accès à son dossier médical. 11

Il essaye ensuite d accéder au dossier médical de l un de ses patients. Cette action nécessite une sécurité supplémentaire. CA SiteMinder l authentifie donc à l aide de son jeton de sécurité à deux facteurs et l accès lui est autorisé. Stan dispose à présent d un accès autorisé aux données, mais il souhaite les utiliser à des fins non autorisées. Il copie ces dossiers médicaux dans un fichier Excel qu il envoie par courriel sur sa messagerie Gmail. CA DLP analyse les données attachées en pièce jointe de son message, puis détermine qu elles contiennent des numéros de patients. En raison de la présence de règles d utilisation de données interdisant l envoi de ce type de données vers l extérieur, l envoi du courriel est refusé, le gestionnaire de sécurité informatique est alerté par une alarme et un enregistrement de l événement est consigné dans le fichier journal. Si Stan tentait de copier ces informations sur un périphérique non autorisé, ou de les envoyer par courriel à une personne interne mais non autorisée, le résultat serait identique. Dans tous les cas, il n est pas parvenu à voler ces informations sensibles. Partage involontaire d informations protégées Les violations des règles d utilisation des informations sont souvent involontaires. En effet, certains utilisateurs peuvent transférer des informations tout à fait acceptables à un tiers. Toutefois, elles peuvent contenir des données qui ne doivent pas être transférées. Pierre est gestionnaire financier dans une boutique de luxe à Paris. Cette boutique travaille avec des partenaires clés, avec lesquels ils élaborent conjointement des campagnes marketing pour des produits à destination de leurs clients haut de gamme. Afin d élaborer ces campagnes marketing communes, le gestionnaire marketing de Pierre lui a demandé d envoyer la liste des clients parisiens à un partenaire, afin d analyser la clientèle et de déterminer comment la cibler. Cependant, la base de données client standard contient des informations de carte de crédit. Non seulement elles ne doivent pas quitter la société, mais elles ne devraient même pas être communiquées à quiconque en interne, à l exception de quelques employés du département financier, tels que Pierre. Pierre n est pas au courant de cela, il tente d effectuer une opération qu il pense appropriée. Il essaye d accéder à la liste des clients parisiens et sa demande est acceptée. Il télécharge ensuite ces informations client dans un fichier Excel qu il place sur un lecteur de partage réseau, dont il a donné l accès au partenaire. Plus tard, CA DLP effectue une analyse réseau et découvre un nouveau fichier. Cette analyse révèle que ce fichier contient des informations protégées. Lorsqu un partenaire accède au disque de partage et tente de copier les données, CA DLP applique la règle d utilisation en empêchant cette action et en informant le gestionnaire de conformité d une violation potentielle des règles ou de la réglementation. Dans ce cas, les informations sensibles ont été protégées d une divulgation à l extérieur de la société. Protection de la propriété intellectuelle Jerry est développeur de logiciels. Il travaille sur une application stratégique pour 2Big2Fail, Inc. Étant donné qu il n est ni développeur senior, ni développeur principal, il n a accès qu à une partie de l énorme quantité de fichiers sources. Ces droits sont déterminés par son rôle au sein de l organisation (Role and Compliance Manager) et appliqués par SiteMinder. Jerry est mécontent et a accepté de travailler pour un concurrent. Il va tenter de voler le code source de l application, car il veut emporter avec lui des éléments de propriété intellectuelle pour sa nouvelle société. Il essaye d accéder aux fichiers sources clés de l application, mais SiteMinder lui refuse l accès en raison des droits liés à son rôle. Il tente ensuite d accéder directement au serveur où sont hébergés ces fichiers en utilisant un mot de passe racine qu il a employé par le passé. Cependant, les fonctionnalités de gestion des mots de passe des utilisateurs à forts privilèges de CA Access Control empêchent cet accès et consignent son échec de connexion. 12

Imperturbable, Jerry copie les fichiers sources auxquels il a accès sur sont disque dur et tente de les copier sur un périphérique USB. Mais CA DLP procède à l analyse des données transférées et détermine qu il s agit d un fichier source. Il empêche donc l opération. Ensuite, Jerry tente d envoyer les fichiers par courriel sur sa messagerie Gmail, ce que CA DLP reconnaît également comme une violation de règle. L envoi est par conséquent empêché. Enfin, il essaye d envoyer les fichiers vers son ordinateur personnel via un FTP. CA DLP empêche également cette action. Dans tous ces exemples, il génère une alarme et consigne la tentative. Sans surprise, cette tentative de contournement des règles est identifiée rapidement et Jerry quitte la société bien plus tôt que prévu. À sa sortie du bureau, CA Identity Manager a déjà procédé à la suppression de l intégralité de ses comptes (sur de nombreux systèmes) et de ses droits d accès. Résumé des scénarios d utilisation Ces exemples ont permis d illustrer des scénarios relativement communs dans de nombreuses organisations : changements de rôles et de droits d employés arrivant dans une nouvelle organisation, tentative de vol d informations sensibles, perte accidentelle d informations et tentative de vol d éléments de propriété intellectuelle. Ces exemples illustrent quelques-uns uns des avantages incontestables de Content-Aware IAM. Dans le premier exemple, les processus de sécurité courants sont automatisés, ce qui permet d améliorer l efficacité, mais aussi, et c est très important, d augmenter la sécurité et de simplifier la conformité. Dans les autres scénarios, on observe les avantages que procure un contrôle précis de ce que les utilisateurs sont en mesure de faire réellement des informations auxquelles ils ont accès. Ces avantages sont supérieurs à l application de règles au niveau des points d accès. Les dommages causés par la divulgation inappropriée ou le vol d informations sensibles peuvent être considérables. De plus, les employés bien intentionnés peuvent parfois commettre des erreurs lors de l utilisation de ces mêmes informations. Il est donc essentiel, dans le cadre d une approche robuste de la sécurité, de disposer d une solution permettant d éviter ces situations. En résumé, une sécurité et une conformité robustes nécessitent bien plus que ce que les solutions IAM traditionnelles proposent. Content-Aware IAM dispose de ces fonctionnalités avancées. Cette solution offre des avantages indéniables aux organisations informatiques de grande taille. Section 5 : Vision stratégique de CA Content-Aware IAM La solution CA Content-Aware IAM n est pas figée, loin de là. La mise en place d une solution IAM efficace est un voyage, notre vision Content-Aware IAM est un plan stratégique destiné à s étendre aux fonctionnalités actuelles, afin de fournir de nouveaux avantages aux organisations informatiques. CA étend notre architecture IAM afin d intégrer des fonctionnalités sensibles au contenu («Content-Aware») à tous les composants de base. Cela permet d améliorer la gestion des droits des utilisateurs et de prendre des décisions bien plus efficaces et solides en matière de gestion des accès. Nous avons l intention de rendre sensible au contenu («Content-Aware») les composants de base de la gestion des identités et des accès, afin de fournir une plate-forme intégrée et transparente pour la gestion des identités, des accès et des informations. 13

L illustration ci-dessous décrit le flot d informations entre les composants à mesure que nous leur implémentons des fonctionnalités sensibles au contenu («Content-Aware»). Elle décrit également comment le service de classification apporte à chaque composant des informations relatives au contenu des informations. Cet apport se traduit par une meilleure granularité de l application des accès et des utilisations, mais également de la gestion des rôles sensible au contenu («Content-Aware»). Illustration C Vision stratégique de CA Content-Aware IAM. Gouvernance des ID Gestion des rôles Analyse des identités Gestion des ID Provisionnement Droits Provision Génération de rapports Gestion des accès Web avec authentification unique Analyse des risques Authentification avancée Gestion des utilisateurs à forts privilèges Protection et contrôle des informations Contrainte d accès Service de classification Collection d audits Génération de rapports de conformité et d activités de l utilisateur Génération de rapports La vision stratégique de CA pour Content-Aware IAM est d étendre cette suite de produits afin de fournir les fonctionnalités essentielles décrites ci-dessous. Classification des informations «Content-Aware». Il est nécessaire de classer les données en fonction du modèle de sensibilité de données de chaque organisation. Par exemple, il est nécessaire d établir des catégories de sensibilité de données (par ex. : confidentiel entreprise, privé client, propriété intellectuelle, informations confidentielles, etc.). Il est également nécessaire de définir des niveaux de sensibilité au sein de chacune de ces catégories. Actuellement, ce processus est généralement manuel, chronophage et présente des risques d erreurs. De plus, il est souvent ignoré. La classification automatique des données est plus efficace et peut être réalisée de manière statique ou dynamique. En classification statique, CA DLP analyse les informations sur commande explicite, dans le cadre d un processus planifié régulièrement. En classification dynamique, CA DLP classe les données lorsque les informations sont utilisées. Une fois les données correctement classées, leur utilisation peut être contrôlée afin d empêcher toute utilisation abusive. Les fournisseurs de solutions IAM traditionnelles ne proposent pas cette importante fonctionnalité, sur laquelle repose Content-Aware IAM. 14

Provisioning «Content-Aware». L intégration de CA Identity Manager et de CA DLP apporte une véritable solution de prévention des pertes de données centrée sur les identités. CA Identity Manager permet le provisioning, le déprovisioning et la modification d utilisateurs directement dans la hiérarchie des utilisateurs de CA DLP. À mesure que les rôles des utilisateurs changent, CA Identity Manager transmet ces changements à CA DLP, qui se charge de modifier les droits d utilisation des données de chaque utilisateur. Par exemple, un utilisateur du département financier envoie régulièrement des informations privilégiées par courriel. Cet utilisateur change de rôle, passant des finances au marketing. CA Identity Manager effectue ce changement au sein de CA DLP, qui modifie les droits d utilisation des données de cet utilisateur. À présent, lorsque cet utilisateur tente d envoyer ces mêmes informations privilégiées, le courriel est bloqué. Gestion des rôles «Content-Aware». Les règles d utilisation des informations doivent être basées à la fois sur les identités et sur les rôles. En effet, les utilisateurs qui partagent un même rôle disposent très probablement des mêmes droits d utilisation. Les règles d utilisation de CA DLP vont être intégrées au modèle de gestion des rôles et associées aux règles de sécurité de CA Role & Compliance Manager. Ainsi, les règles d utilisation des informations peuvent être liées directement aux rôles métiers associés à ces règles de sécurité. Cela permet d éliminer les approches ad hoc des rôles métiers et se traduit par une meilleure efficacité de la gestion des utilisateurs et de leurs règles d utilisation. Certification des identités «Content-Aware». La plupart des réglementations et des normes de bonnes pratiques exigent une gestion régulière de la certification des droits des utilisateurs, afin de confirmer que chacun d entre eux dispose de droits d accès appropriés. De nombreuses organisations ne vérifient pas régulièrement les droits des utilisateurs. Les organisations qui procèdent à ces vérifications le font généralement manuellement, ce qui se traduit par une augmentation des risques et une baisse de l efficacité des processus. La certification automatique des identités améliore l efficacité via l automatisation d un processus généralement manuel. Elle permet également l identification et l élimination rapide des affectations excessives de droits parmi les utilisateurs. Avec l intégration de CA DLP et de CA Role & Compliance Manager, la certification des identités inclura non seulement la validation des droits d accès des utilisateurs, mais également celle de leurs droits d utilisation des informations. Gestion des accès Web «Content-Aware». CA SiteMinder sera en mesure d utiliser la classification des informations dans le cadre de ses décisions d application des règles. Vous disposerez ainsi d une granularité accrue dans la définition de vos règles d accès et d utilisation. Il sera possible pour CA SiteMinder de décider d un accès non seulement en fonction de l authentification et de l autorisation d accès d un utilisateur, mais également en fonction de la sensibilité de la ressource, définie par le moteur de classification de CA DLP. Étudiez les exemples de scénarios ci-dessous pour prendre connaissance des avantages de cette intégration. Reporting de conformité «Content-Aware». En cas de violation d un accès et/ou d une règle d information, il est essentiel que les gestionnaires de sécurité ou de conformité soient alertés. Ils pourront ainsi prendre rapidement des mesures correctives. Il est également primordial que ces violations soient incluses aux rapports de conformité afin de connaître le profil de conformité de l organisation. Pour cela, CA Enterprise Log Manager consigne les résultats des tentatives de violation des règles d utilisation auxquelles CA DLP a mis un terme. Ces informations, en corrélation avec les activités d accès s y rapportant, sont également incluses aux rapports de conformité. Le reporting de conformité «Content-Aware» apporte une vision plus claire du statut de la conformité de l utilisation des informations. Il peut aussi être utilisé conjointement avec d autres informations de conformité relatives aux identités, afin de simplifier les audits de conformité et d en réduire le coût total. 15

Exemple de scénario : protection des informations face aux accès inappropriés Pour observer la puissance de cette approche, utilisons un scénario de type avant-après. George et Carl travaillaient tous deux au département financier de Forward, Inc. et partageaient régulièrement des informations confidentielles sur le site SharePoint de ce même département. Cependant Carl a changé de rôle, et bien qu il a toujours besoin un accès à ce site SharePoint, il n a plus besoin d accéder aux informations confidentielles. Les droits de Carl n ont pas été modifiés ; il a donc conservé son accès au site SharePoint du département financier. Alors qu il le consulte, il tombe sur des informations confidentielles et les partage avec l extérieur. Il s agit là d une violation de la conformité des règles d «informations privilégiées» de Forward, Inc., les conséquences peuvent être désastreuses. Bill est le responsable de la sécurité de Forward, Inc. Il a pris connaissance de cette divulgation de données et a déployé CA Content-Aware IAM, y compris CA DLP, afin de protéger les données sensibles de tous types et d identifier les utilisateurs pouvant être à l origine de violations de règles d utilisation. Le service de classification de CA DLP procède à présent au classement de ces données et le communique aux autres composants de CA IAM. Une fois le déploiement de CA DLP effectué, Carl tente d accéder à ce même site SharePoint dans l espoir de trouver davantage d «informations privilégiées». CA SiteMinder authentifie Carl comme un utilisateur SharePoint nécessitant l accès au site. Avant que CA SiteMinder n autorise Carl à accéder au fichier, il fait appel au service de classification de CA DLP pour savoir si le fichier auquel Carl tente d accéder est sensible. CA DLP compare le contenu avec les règles et détermine que des «informations privilégiées» se trouvent sur le site SharePoint, informations auxquelles Carl, d après son rôle, ne doit pas avoir accès. SiteMinder utilise ensuite la classification pour empêcher Carl d accéder à ces informations. Le travail combiné de CA SiteMinder et de CA DLP a évité une nouvelle violation de la conformité. CA DLP et CA SiteMinder envoient ensuite des journaux à CA Enterprise Log Manager (ELM), indiquant que Carl a été stoppé dans sa tentative d accès à des informations sensibles. CA ELM envoie alors une alerte à CA Role & Compliance Manager (RCM), qui va analyser l environnement et déterminer que Carl possède deux rôles qui entrent en conflit (finance et marketing). CA RCM envoie ensuite une certification des rôles au gestionnaire de Carl pour l alerter de la violation de la conformité. Le gestionnaire de Carl indique alors à CA RCM que Carl ne travaille plus au département financier. CA Identity Manager va ainsi supprimer le rôle finance de Carl, qui n aura alors plus accès au site SharePoint. Résultat : une divulgation d informations confidentielles potentiellement sérieuse a été évitée, l utilisateur en cause a été identifié et sa situation régularisée. 16

Section 6 : Conclusions La gestion des identités et des accès apporte, depuis des années, des avantages indéniables aux organisations. Toutefois, ces systèmes ne permettent un contrôle que jusqu aux points d accès. Ils ne vous permettent pas de contrôler ce qui peut être fait des informations une fois qu elles ont été obtenues. Il s agit d une limite contraignante de ces plates-formes. En effet, elles ne permettent pas d empêcher l utilisation abusive ou la divulgation inappropriée de vos informations sensibles. Les solutions innovantes CA Content-Aware IAM étendent cette fonctionnalité de manière à apporter un contrôle jusqu au niveau des données. Vous disposez ainsi d un meilleur contrôle de l utilisation que vos utilisateurs peuvent faire de vos informations critiques. Cette solution intégrée vous permet également de réduire votre risque informatique, d automatiser vos processus de sécurité clés pour une efficacité accrue et d augmenter la conformité dans son ensemble. Enfin, elle vous permet de vous adapter en toute confiance aux nouveaux modèles informatiques émergents, tels que la virtualisation et le Cloud Computing. L objectif est de faire prospérer votre activité, en toute sécurité. CA Content-Aware IAM vous permet d établir les bases nécessaires à la réalisation de cet objectif. Pour en savoir plus sur l architecture et l approche technique de CA Content-Aware IAM, rendez-vous sur www.ca.com/iam. 17

CA Technologies est un éditeur de logiciels et de solutions intégrées de gestion des systèmes d information, dont l expertise couvre tous les environnements informatiques, du mainframe au Cloud Computing et des systèmes physiques aux infrastructures virtuelles. CA Technologies gère et sécurise les environnements informatiques et permet à ses clients de fournir des services informatiques plus flexibles. Grâce aux produits et aux services innovants de CA Technologies, les organisations informatiques disposent de la connaissance et du contrôle nécessaires pour renforcer l agilité métier. La majorité des sociétés du classement Fortune Global 500 s appuient sur CA Technologies pour gérer leur écosystème informatique en constante évolution. Pour plus d informations, suivez l actualité de CA Technologies sur : ca.com Copyright 2010 CA. Tous droits réservés. Les marques déposées, appellations commerciales, marques de service et logos utilisés dans ce document appartiennent à leurs sociétés respectives. Ce document est fourni à titre d information uniquement. Dans les limites permises par la loi en vigueur, CA fournit cette documentation «telle quelle», sans aucune garantie d aucune sorte, y compris, sans s y limiter, les garanties implicites de qualité marchande ou d adéquation à un besoin particulier ou l absence de contrefaçon. CA ne pourra en aucun cas être tenu responsable en cas de perte ou de dommage, direct ou indirect, résultant del utilisation de ce document, notamment, sans s y limiter, les pertes de bénéfice, l interruption de l activité professionnelle, la perte de clientèle ou les pertes de données, et ce même dans l hypothèse où CA aurait été expressément informé de la survenance possible de tels dommages. CS0375_1210