Cyberattaques, les fondamentaux de la sécurité des identités pour pouvoir les déjouer efficacement. Grâce aux outils automatisés comme les bots malveillants qui peuvent réaliser des dégâts considérables en très peu de temps et aussi le fait qu’il existe des hackers offrant leurs services pour le compte d’autrui, les cyberattaques sont aujourd’hui devenues plus sophistiquées et plus fréquentes, mettant les entreprises en grande difficulté.

Pour les experts de la cybersécurité, la sécurité des identités doit absolument faire partie de l’approche générale de la cybersécurité de l’entreprise. Aussi appelée gouvernance des identités, elle constitue une protection supplémentaire pour les entreprises face aux cybermenaces, surtout celles associées à la fourniture d’accès.

Dans cet article vous allez comprendre qu’en matière de sécurité des identités, l’utilisation d’un bon logiciel IAM (Identify Acess Management) ne suffit pas. D’autres dispositifs de sécurité doivent aussi être mis en place. Mais lesquels ? Voici cyberattaques, les fondamentaux de la sécurité des identités pour les déjouer efficacement.

C’est quoi l’identité numérique d’abord ?

Pour comprendre le concept de sécurité des identités, il convient d’abord de connaître ce qu’est l’identité numérique en informatique. Dans les grandes lignes, cette dernière désigne l’ensemble d’informations sur un individu, une organisation, une application ou bien un appareil électronique qui existe en ligne. Elle comprend notamment les identifiants uniques tels que l’adresse mail, le nom d’utilisateur, les mots de passe, les codes pin, les informations digitales et bien d’autres encore.

Il faut voir les identités numériques comme d’une passerelle vers les actifs numériques les plus critiques d’une organisation. Avec les cybercriminels et les pirates informatiques d’aujourd’hui qui attaquent les organisations pour compromettre les identités, il est essentiel pour les administrateurs informatiques de contrôler et de sécuriser en profondeur leurs actifs numériques, et l’IAM (ou Gestion des identités et des accès) est le meilleur moyen de le faire.

Tout commence par le choix d’une solution IAM adaptée

En sécurité des systèmes d’information, la gestion des identités et des accès nécessite l’utilisation d’outils spécifiques appelés logiciels d’IAM. S’il existe effectivement des solutions d’IAM plus performantes que d’autres, le plus important reste surtout de trouver une qui correspond à votre entreprise.

Deux choix s’offrent à vous : soit vous construisez vous-même un outil interne qui répondrait à cette problématique de gestion des utilisateurs et de leurs comptes, soit vous vous laissez séduire par un outil « SaaS » ou « On-premise » d’IAM proposé par un fournisseur. Généralement, les experts recommandent surtout l’option numéro 2, dans la mesure où la conception d’une solution IAM exige trop de temps, d’argent, d’énergie et de personnes.

Et si vous êtes convaincu par les solutions de gestion des identités et des accès du marché, le meilleur choix reste encore les outils “SaaS”, plutôt que les outils « On-premise ». Hébergée par l’éditeur, une solution SaaS IAM présente entre autres l’avantage d’être facile à déployer et elle n’alourdit pas davantage votre infrastructure, comme le ferait une solution “On-premise”. De plus, elle ne nécessite aucune maintenance ou mise à jour de la part de l’utilisateur. La maintenance et les mises à jour sont faites directement par l’éditeur.

Alors oui, il fut un temps où les offres SaaS n’étaient pas très matures, mais depuis quelques années ce n’est plus le cas. Généralement, les offres SaaS sont les plus abordables, les plus performantes, les plus sécurisées et aussi les plus pratiques.

Avoir dans son équipe de vrais experts d’Active Directory dans son organisation

L’Active Directory (AD) est un produit Microsoft utilisé pour la gestion des autorisations et le contrôle des accès aux ressources du réseau. Aujourd’hui, de nombreux spécialistes de la cybersécurité considèrent AD comme le cœur battant de la gestion d’identités notamment à cause du fait que la grande majorité des entreprises utilisent Microsoft comme système d’exploitation.

Seulement, un problème s’observe chez la plupart des entreprises : elles ne possèdent pas les compétences nécessaires pour une utilisation efficace d’Active Directory, ce qui fragilise fortement leur système de défense face aux cyberattaques.

Il y a d’un côté des responsables AD qui connaissent parfaitement leur outil de travail, mais qui pourtant raisonnent souvent en termes opérationnels, ce qui est tout le contraire de ce qu’il faut faire. Et de l’autre côté, nous avons les responsables AD qui ont une parfaite maîtrise des procédures d’urgence et la sécurité, mais négligent les volets opérationnels d’Active Directory.

Ôter les cloisons qui peuvent subsister entre les équipes de l’IT et de la sécurité

Une bonne communication et le partage des responsabilités entre les équipes de l’IT et de la sécurité serait la clé de voute pour la sécurité.

Ici, l’idée consiste à ne plus restreindre à l’équipe de la sécurité la responsabilité de garantir la sécurité des identités, mais plutôt de la partager avec la ou les équipes en charge des processus opérationnels. De cette manière, chaque équipe est sensibilisée sur l’importance de la sécurité, ce qui aide à réduire le risque de défaillance du système de sécurité de l’organisation.

Nous sommes en 2021 et il est important de comprendre que l’époque où les processus liés à la sécurité devaient être isolés et confiés à une équipe spécifique est révolue depuis longtemps. Dans la mesure où une approche qui est focus sur l’opérationnel pourrait effectivement améliorer la productivité, mais qu’il suffit d’un seul incident de sécurité pour que tous les bénéfices tirés soient réduits à néant, le meilleur choix reste donc d’adopter une approche par laquelle la sécurité est une responsabilité partagée entre l’équipe en charge des processus opérationnels et l’équipe sécurité.

Maitriser la gestion d’un environnement d’identité hybride

L’environnement hybride désigne le mélange du déploiement d’applications cloud et sur site. La plupart des entreprises souhaitent bénéficier de l’agilité et de la flexibilité du Cloud et ne veulent plus avoir affaire avec les tracas et des dépenses liés à la maintenance de centres de données sur site personnalisés.

Mais pour diverses raisons, les entreprises ne peuvent malheureusement pas migrer entièrement vers le cloud. Voilà pourquoi les experts voient l’infrastructure hybride comme l’avenir, du monde de l’informatique et des télécommunications.

Seulement, il est important de noter que l’infrastructure hybride est tout sauf une infrastructure simple à gérer. Pour revenir au système d’exploitation Windows par exemple, la gestion des environnements d’identité sur site se fait via Active Directory et avec l’Azure Active Directory pour la gestion des accès et des identités basées sur le cloud de Microsoft.

Or, Active Directory et Azure Active Directory utilisent des piles de protocoles totalement différents. Les deux possèdent par conséquent une approche de gestion de la sécurité des identités qui diverge, ce qui complique grandement la tâche des équipes informatiques responsables de la sécurité des identités.

Auteur Antonio Rodriguez, Directeur Clever Technologies