Une gestion des identités simplifiée et sécurisée : clef de voute de votre stratégie zero-trust

Comment sécuriser les accès d’un salarié en télétravail qui utilise un ordinateur non maîtrisé par l’entreprise, et qui a accès à vos ressources internes ?

Avec des salariés en télétravail qui accèdent à leurs applications situées à l’intérieur du réseau de l’entreprise, la protection habituelle offerte par le réseau interne de l’entreprise (FireWall, VPN) n’est plus suffisante.

Comment sécuriser dans le même temps les accès aux applications d’un groupe d’employés dont les droits sont brutalement modifiés après une évolution forte du contexte (sanitaire par exemple) ?

Ces employés doivent bénéficier rapidement de leurs nouveaux droits et accès aux applications/ressources mais ne doivent plus nécessairement bénéficier de leurs anciens accès, et ce dans un délai extrêmement court, le contexte exigeant une réelle réactivité.

L’enjeu de l’IAM : donner le droit d’accès à la bonne personne et au bon moment

La gestion rigoureuse des identités et des droits (numériques) vous offre une protection face à cette diversité de cas d’usage sans céder un centimètre en matière de sécurité. Tout l’enjeu revient à donner le juste droit à la bonne personne au juste moment. Rien de plus, rien de moins.

C’est l’un des deux grands enjeux de l’IAM (Identity & Access Management) : donner le droit au bon moment à la bonne personne (Identity Management) en gérant son cycle de vie, gérer l’authentification (Access Management) de cette personne (reconnaître la personne qui se présente au portail d’accès grâce à ses identifiants, à un mécanisme multi factoriel comme la biométrie ou à un mécanisme de fédération).

Le Gartner positionne l’IAM comme le nouveau périmètre de la sécurité. Ce périmètre doit désormais être géré à un niveau logique : au niveau des « personnes » et des « applications » qu’elles utilisent, et d’une façon beaucoup plus fine, granulaire, à la fois dans l’espace et dans le temps. La gestion des identités et des droits/habilitations associés est ainsi le premier maillon de la chaîne de sécurité du zero trust. Avant que les personnes accèdent à votre réseau devenu beaucoup plus ouvert avec le télétravail et l’essor du cloud, avant même qu’elles s’authentifient, vous prenez le contrôle de ce à quoi l’utilisateur a accès et vous pouvez réagir de manière sereine en cas d’événements exceptionnels : vous modifiez les droits de manière organisée et rigoureuse car vous maîtrisez parfaitement le périmètre auquel les utilisateurs concernés ont accès.

C’est la force d’un produit logiciel ou un service cloud de type IAM qui vous permet ainsi de :

– tracer les droits attribués ainsi que l’origine de ces droits. Autrement dit, vous tracez qui a donné à un utilisateur le droit d’accéder à une application en particulier. Il n’y a pas de place pour l’incertitude.

– définir très finement les droits. Vous définissez les groupes d’utilisateurs de manière souple en tenant compte des grades, du contexte, de leurs contrats… Vous utilisez les multiples filtres qui vous conviennent, définissez les règles d’habilitation et vous portez (provisionnez) les droits obtenus dans les applications.

Ainsi un chef de service accède aux applications de son service et non à celles concernant un autre service. Dans une application donnée, l’utilisateur accède aux applications dans le périmètre qui est le sien : un commercial peut avoir accès aux affaires qui sont dans la région qui lui est attribuée et non dans les autres régions.

Cela est possible car les solutions d’IAM avancées vous permettent de définir les rôles de chacun, la structure, le contexte et de déterminer les droits en fonction des règles d’habilitation. C’est ce que nous allons voir maintenant.  

Le modèle OrBAC : une gestion des identités simplifiée et sécurisée

Définition des rôles

Prenons le cas du rôle d’infirmière par exemple. Considérons que toutes les infirmières et infirmiers ont accès à un logiciel de suivi de visite quotidienne auprès de patients. Les infirmières gardent ce même droit qu’elles passent du service de cardiologie à celle des urgences : leur rôle ne change pas, indépendamment de l’organisation. Cette façon d’attribuer les droits, basée sur le modèle RBAC (Role-Based Access Control) permet de gérer les droits indépendants de l’organisation. 

Définition de l’organisation des établissements et des structures associées (ORBAC)

Dans un modèle ORBAC (Organisation Based Access Control), les structures et l’organisation des établissements vont être définies et vont intervenir dans le calcul des droits.  

Ainsi l’administrateur peut prendre en compte facilement qu’une infirmière de cardiologie du CH1 n’a pas forcément les mêmes droits qu’une infirmière de cardiologie du CH2, bien que les 2 CH fassent partie d’un même GHT.  

L’administrateur peut aussi prendre en compte qu’une infirmière de cardiologie dispose d’un rôle d’infirmière mais dispose aussi d’accès particuliers à des applications de cardiologie. Ainsi lorsqu’elle passe en oncologie, elle conserve les droits liés à son rôle (elle conserverait l’accès à l’application qui permet de pointer les visites quotidiennes aux patients), perd ses droits liés à son service d’origine (accès aux applications de cardiologie), et gagne les droits liés à la nouvelle structure (accès aux applications d’oncologie). La force d’une solution dotée du modèle OrBAC est que l’administrateur n’a pas besoin de définir 2 rôles : une infirmière en oncologie et une infirmière en cardiologie, comme cela est nécessaire lorsque la solution IAM n’est que basée sur le modèle RBAC (Role-Based Access Control). En Orbac, l’administrateur définit le rôle d’infirmière et attache au service de cardiologie les droits d’accès vers les applications de cardiologie. Ces applications de cardiologie bénéficient alors à toutes les personnes du service de cardiologie. Cette extrême efficacité vous permet d’attacher les droits facilement. Lorsque vous ouvrez une nouvelle direction ou un nouveau service (ouverture en urgence d’un service COVID), l’administrateur distribue les droits rigoureusement sans avoir à recréer un nombre important de rôles, qui sont source d’erreur.

Définition d’un contexte

La notion de contexte permet d’affiner les droits selon les circonstances.

Un hôpital passe en plan blanc, une collectivité passe en contexte vigipirate voire attentat, les droits sont adaptés en fonction du contexte et ne correspondent pas exactement à ceux du contexte habituel. Pourtant grâce à cela, vos droits continuent d’être gérés rigoureusement.  

Définition des règles d’habilitations  

Une fois toutes les étapes précédentes franchies, concrètement, l’administrateur va attacher à chaque identité, un rôle, une structure, une organisation, des règles d’habilitations. Après le calcul des droits, un modèle de droit est généré. Ainsi une personne sera « simple » infirmière au CH1 et infirmière générale au CH2 du même GHT.

Les produits d’IAM basés sur le modèle OrBac comme Systancia Identity permettent ainsi une gestion très agile des droits et habilitations ce qui vous permet d’élever très nettement le niveau de sécurité de votre système d’information de manière transparente pour l’utilisateur final qui bénéficie également d’une meilleure expérience d’accès.

#IAM