Loading AI tools
De Wikipédia, l'encyclopédie libre
La Gestion des Identités et des Accès (GIA) (en anglais Identity and Access Management : IAM) est une discipline de la Cybersécurité, consistant à gérer les utilisateurs et leurs habilitations dans les système d’information[1]. Il s’agit donc de gérer qui a accès à quelle information à travers le temps[2]. Cela implique ainsi d’administrer la création, la modification, et les droits d’accès de chaque identité numérique interagissant avec les ressources de l’entité.
La gestion des identités et des accès s'intéresse par exemple au contrôle de la façon dont les utilisateurs acquièrent une identité, la protection de cette identité et les technologies permettant cette protection.
Les composantes de la GIA[3] peuvent être divisées en 5 catégories distinctes, qui fonctionnent conjointement :
Certaines applications informatiques ou certains services en ligne n'étant pas publics, mais réservés à des utilisateurs bien particuliers, il est nécessaire pour eux de passer par une procédure d'identification, au cours de laquelle ils fourniront un identifiant, représentation de leur identité.
Cette étape initie la relation entre l'utilisateur et les ressources informationnelles du système. Elle permet d'attribuer à l'utilisateur un ensemble de paramètres qui le caractérisent de façon unique, rassemblé sur une fiche identité, propre à chaque utilisateur comportant également les droits d'accès qui sont associés à la fois à l'utilisateur et au contexte de son utilisation des ressources de l'entité[4].
Par ailleurs une solution GIA peut permettre la simplification de l'accès à un système d'information en intégrant un système d'authentification unique, autorisant à l'utilisateur l'accès à un ensemble d'application avec une seule identification et authentification[5].
Une fois qu’une identité a été associée à l’utilisateur, il est nécessaire de la vérifier afin de confirmer son individualité. L’authentification prend généralement la forme d’un couple identifiant/mot de passe et permet de créer une session entre l’utilisateur et le système afin de permettre à celui-ci d’interagir avec la ressource jusqu’à la fin de la session (déconnexion, expiration...).
L'authentification des utilisateurs prend de plus en plus d'importance en Gestion des identités et des accès afin de limiter les fraudes et s'assurer de l'identité d'une personne tentant d'accéder à un système. Ceci mène souvent les propriétaires de système ou d'application à requérir à l'authentification à plusieurs facteurs (en).
L'identification et l'authentification permettent d'empêcher les intrusions potentiellement source de corruption des données informatiques de l'entité. Ces pratiques peuvent être complétées par des techniques de pare-feu et de filtrage des communications au sein du réseau.
Après l’authentification et avant l’accès de l’utilisateur à la ressource visée, il est nécessaire de vérifier son droit à y accéder. La requête de l’utilisateur est alors mise en lien avec ses habilitations et détermine si la ressource lui est accessible ou non. La nature du droit d'accès est alors déterminée et associée à l'identité de l'utilisateur. En général, les types d'accès sont la consultation, la modification, l'exécution d'un programme, ou son administration.
Il existe différentes méthodes permettant de simplifier la gestion des autorisations, notamment le RBAC, MAC, ou DAC.
Cette fonction rassemble la gestion et la modification des utilisateurs, des groupes et des rôles. Le cycle de vie entier de l’utilisateur, de la création à la suppression de son identité au sein du système, est alors contrôlé.
Ce composant de la GIA permet le stockage et la circulation à d’autres services des données de l’utilisateur. Il s’agit donc d’un annuaire permettant de gérer l’ensemble des utilisateurs, et de mettre en relation les habilitations de ceux-ci à différents systèmes qui ne sont normalement pas en lien les uns des autres.
Le standard LDAPv3 est le plus souvent utilisé en matière d’annuaire central d’utilisateur.
La mise en place dans une entité d’un système GIA demeure un investissement et dont l’utilité peut paraître financièrement incertaine. Ainsi, les principaux bénéfices d’une GIA[6] performant sont :
La multiplication de systèmes au sein de l’entité peut réduire l’efficience des utilisateurs qui doivent alors gérer de nombreux couples identifiant-mot de passe. De plus, le stockage des différentes bases de données qui comportent des informations redondantes génère des coûts. Enfin, le centre d’assistance peut être davantage consulté sans mise en place d'une solution GIA.
En centralisant et homogénéisant les outils de gestions, les coûts du système informatique et du centre d’appel peuvent être réduits.
La mise en place d’une solution GIA permet d’améliorer la sécurité d’un système informatique à travers :
Les modifications constantes d’accès ou d’identités d’un utilisateur sont plus rapidement effectuées sur l’ensemble des applications du système grâce à une gestion centralisée. Ceci permet donc une mise en conformité simplifiée et accélérée des identités et accès des utilisateurs aux besoins de l’entité.
La GIA permettant une solide gestion des identités, avec des pratiques rigoureuses d'authentification et d'autorisation, elle garantit ainsi une certaine confiance dans les entreprises et a donc contribué au développement de l'économie numérique[7]. En effet, si les solutions de gestion d'identités existent depuis de nombreuses années, les technologies s'y référant ne cesse d'évoluer et de se confronter à de nouvelles difficultés. Avec l'avènement du cloud, des nouvelles législations et normes industrielles, la GIA ne cesse de se transformer.
Que ce soit avec le cloud, sur un terminal mobile ou dans un centre de données, tous les utilisateurs d'une entreprise doivent pouvoir consulter certaines ressources pour travailler. De plus, l'accès des utilisateurs à cet environnement doit s'effectuer de manière à sécuriser leur vie privée, les données de l'entreprise mais aussi à se conformer aux obligations réglementaires.
À l'origine, les GIA ne se basaient que sur de multiples outils et des procédés manuels. Cette première génération est dépassée, car elle ne permet pas aux entreprises de connaître précisément la cartographie complète de l'ensemble des accès des utilisateurs dans l'entreprise.
C'est d'autant plus vrai que les modèles d'organisation caractérisés par un contrôle centralisé des accès par un unique département informatique ne sont plus d'actualité. Les utilisateurs apportent désormais leur propre terminal mobile dans l'entreprise pour pouvoir accéder à leur environnement de travail (réseau d'entreprises) et les départements métiers décident généralement d'eux-mêmes de lancer des applications Cloud sans consultation du département informatique.
La nouvelle génération de GIA a donc l'obligation de faire un lien de façon transparente entre les utilisateurs et les applications du réseau de l'entreprise ; entre les utilisateurs et les applications extérieures du réseau afin de fournir une visibilité et un contrôle total.
De nos jours, les GIA cherchent de plus en plus dans les processus d'authentification à faire converger identité physique avec identité numérique. Une identité numérique étant une combinaison d'éléments permettant une authentification de l'utilisateur avant une autorisation d'accès.
En parallèle, les méthodes d'authentification n'ont cessé de s'améliorer en matière de sécurité tout en garantissant un accès simple pour l'utilisateur. On distingue ainsi trois catégories de méthodes, basés sur trois facteurs d'authentification :
Afin de maximiser la sécurité, et d'empêcher toutes tentatives d'usurpation d'identité de plus en plus sophistiquées, les méthodes d'authentifications doivent s'appuyer sur au moins deux de ces trois facteurs.
Outre ces nouvelles méthodes d’authentification, les nouvelles générations de GIA devront intégrer quatre caractéristiques majeures :
De nombreuses entreprises de cyber-sécurité offrent des mise en place de gestion des identités et des accès pour leurs clients. En 2021, les cinq principaux fournisseurs de solutions GIA aux entreprises sur le marché sont[8] :
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.