Questions clés pour l'évaluation de Identity and Access Management

Choisir la bonne solution de Identity Management (IAM) est une tâche importante. Les organisations doivent gérer correctement les comptes utilisateurs et autres identités et s'assurer qu'ils ont exactement l'accès approprié aux données, applications et autres ressources. Après tout, si les utilisateurs n'ont pas tous les droits dont ils ont besoin, ils ne peuvent pas effectuer leur travail et les processus d'affaires en pâtissent. Et si les comptes ont trop de permissions, ils peuvent être mal utilisés, soit par leurs propriétaires, soit par des adversaires qui les compromettent, entraînant des violations de sécurité et de conformité.

Étant donné que les processus manuels sont très susceptibles aux erreurs et ne peuvent tout simplement pas être mis à l'échelle pour répondre aux besoins des organisations modernes, les organisations ont besoin d'une solution IAM conçue à cet effet. Cet article détaille les principales questions de gestion des accès d'identité à poser lorsque vous évaluez les outils IAM candidats.

Que rechercher lors du choix d'une solution IAM

Pour choisir la solution IAM la plus adaptée à votre organisation, assurez-vous d'évaluer les aspects clés suivants de chaque outil potentiel :

• Modèle de déploiement
• Intégration, départ et reprovisionnement des utilisateurs
• Contrôle d'accès basé sur les rôles
• Flux de travail automatisés
• Support pour Zero Trust
• La gestion des mots de passe, y compris l'auto-service
• Prise en charge étendue des applications plus les API
• Méthodes d'authentification, y compris l'authentification sans mot de passe
• Prise en charge de l'authentification unique (SSO)
• Prise en charge du concept Apportez votre propre appareil (BYOD)
• Impact sur l'expérience utilisateur
• Disponibilité et fiabilité
• Surveillance, audit et reporting
• Adhésion aux mandats de conformité et aux normes industrielles
• Capacité à répondre aux besoins futurs
• Modèle de tarification

Modèle de déploiement

L'une des premières questions à se poser sur l'IAM concerne le modèle de déploiement : la solution est-elle sur site, dans le cloud ou hybride ? Chaque approche a ses avantages et ses inconvénients.

On-prem versus cloud

Voici quelques-unes des principales différences entre les modèles de déploiement IAM sur site et dans le cloud :

Hybride

Les solutions IAM hybrides combinent les aspects des approches IAM sur site et basées sur le cloud pour répondre aux besoins des organisations modernes. Elles facilitent la synchronisation des annuaires entre les magasins d'identité sur site (comme Active Directory) et les dépôts d'identité basés sur le cloud (tels que Azure AD et AWS Directory Service), et offrent une gestion centralisée du cycle de vie des utilisateurs pour les environnements sur site et cloud. Cette option aide à minimiser les coûts tout en préservant le contrôle local des données réglementées ou autrement sensibles.

Intégration, désactivation et reprovisionnement des utilisateurs

Une fonction principale de tout système IAM est de garantir que chaque utilisateur dispose d'un accès approprié aux ressources afin qu'il puisse effectuer son travail tout en minimisant les risques de sécurité. Par conséquent, évaluez si une solution candidate permet une intégration efficace et précise des nouveaux utilisateurs et la suppression rapide des droits d'accès lorsque les utilisateurs quittent l'organisation en supprimant ou désactivant leurs comptes ou en révoquant les permissions d'accès pour les applications, les partages de fichiers, les bases de données et autres ressources.

De plus, vérifiez si la solution facilite l'ajustement des droits d'accès lorsque les utilisateurs changent de rôles ou que de nouvelles technologies sont adoptées. Recherchez également un processus d'attestation dans lequel les parties concernées peuvent facilement examiner et modifier les droits d'accès aux ressources qu'elles possèdent afin de garantir le respect continu des politiques et réglementations de sécurité.

Contrôle d'accès basé sur les rôles

Assurez-vous de vérifier si une solution IAM prospective offre un contrôle d'accès basé sur les rôles (RBAC). Le RBAC est une stratégie largement utilisée qui rend le provisionnement beaucoup plus simple et précis. Avec le RBAC, vous n'attribuez pas directement les droits d'accès aux utilisateurs, ce qui est complexe et conduit souvent à des permissions excessives. Au lieu de cela, vous créez un ensemble de rôles qui représentent des fonctions professionnelles, des responsabilités ou des groupes d'utilisateurs ayant des besoins d'accès similaires. Des exemples de rôles incluent les Admins, les Techniciens de Helpdesk et les Managers. Chaque rôle se voit attribuer un ensemble de permissions ; par exemple, le rôle de Technicien de Helpdesk pourrait être habilité à lire et modifier certaines données, réinitialiser les mots de passe des utilisateurs, et ainsi de suite.

Avec ce cadre en place, accorder des droits aux utilisateurs est aussi simple que de leur attribuer les rôles appropriés. Par conséquent, les nouveaux utilisateurs peuvent rapidement se voir accorder l'accès exact dont ils ont besoin pour effectuer leur travail. De même, lorsqu'un utilisateur change de fonction au sein de l'organisation, la reprovision nécessite simplement de modifier ses attributions de rôle. Et lorsqu'une nouvelle application ou un nouveau magasin de données est ajouté ou qu'un ancien est supprimé, la mise à jour des permissions pour les rôles concernés garantit que l'accès est mis à jour pour tous les bons utilisateurs.

Flux de travail automatisés

Les workflows sont précieux dans un système IAM car ils automatisent des processus tels que la provision et la déprovision des utilisateurs, la demande et l'approbation d'accès, ainsi que les revues d'accès. Recherchez un outil qui offre des modèles prédéfinis ou des workflows préconstruits personnalisables pour les tâches dont vous avez besoin. Par exemple, un workflow de demande et d'approbation d'accès pourrait permettre aux utilisateurs de soumettre des demandes d'accès via un portail d'auto-service ou un système de billetterie et fournir des formulaires de demande personnalisables avec des champs obligatoires pour spécifier les exigences d'accès, la justification et la durée.

De manière plus générale, assurez-vous que vos administrateurs peuvent définir les étapes de workflow, les conditions, les points de décision et les actions sans codage. Assurez-vous également qu'ils peuvent intégrer les workflows avec les systèmes RH, de billetterie et autres pour automatiser les processus interfonctionnels.

Support pour Zero Trust

Zero Trust est un modèle de sécurité moderne qui exige des utilisateurs de se réauthentifier régulièrement au lieu de seulement lors de l'accès initial. Par conséquent, recherchez un système IAM intégrant des mécanismes d'authentification adaptative et facilitant la gestion des identités fédérées. De plus, assurez-vous qu'il offre des capacités de Privileged Access Management (PAM) pour fournir une gestion et une surveillance supplémentaires des comptes disposant de droits d'accès élevés, tels que les administrateurs et les comptes système.

Gestion des mots de passe, y compris l'auto-service

Les solutions IAM nécessitent des fonctionnalités de gestion de mots de passe robustes. Les capacités clés à évaluer incluent :

• Capacité à appliquer des politiques de password policies strictes, incluant la complexité et l'interdiction de mots de passe communs, facilement devinables ou compromis
• Capacité à maintenir des listes d'exclusion pour les mots de passe interdits
• Fonctionnalités en libre-service qui permettent aux utilisateurs de réinitialiser les mots de passe oubliés, de changer les mots de passe et de déverrouiller les comptes
• Prise en charge des réinitialisations de mot de passe assistées par le service d'assistance lorsque les options d'auto-service ne sont pas réalisables
• Intégration avec des solutions MFA pour appliquer l'authentification multi-facteurs pour les réinitialisations, modifications ou récupérations de mot de passe
• Capacité à définir des seuils pour les tentatives de connexion échouées qui déclenchent des notifications pour permettre une réponse rapide aux attaques par force brute

Large prise en charge des applications plus les API

Avant d'investir dans une solution IAM, assurez-vous qu'elle prend en charge toutes les applications utilisées par vos différentes équipes, tant sur site qu'en cloud. En particulier, vérifiez la compatibilité avec :

• Les services d'annuaire tels que Active Directory, LDAP ou Azure AD pour l'authentification des utilisateurs
• Outils de productivité commerciale
• Systèmes CRM
• Plateformes de collaboration
• Applications personnalisées
• Les services cloud tels que AWS, Entra et Google Cloud Platform
• Applications SaaS telles que Salesforce, Office 365 et G Suite

De plus, assurez-vous que la solution IAM propose des API qui respectent les principes REST pour permettre une intégration facile et une interopérabilité avec d'autres systèmes et services. Elle doit prendre en charge les protocoles et formats standard de l'industrie tels que OAuth, OpenID Connect, SAML, JSON Web Tokens (JWT) et SCIM.

Méthodes d'authentification, y compris l'authentification sans mot de passe

Recherchez une solution qui ne se limite pas à une authentification simple par nom d'utilisateur + mot de passe. Certaines solutions IAM proposent 10 méthodes MFA ou plus, telles que des applications d'authentification et des biométries comme les empreintes digitales, la reconnaissance faciale et les scans de la rétine. Vérifiez les options qui sont faciles et pratiques pour vos utilisateurs. Idéalement, le MFA devrait être adaptatif, ne défiant les utilisateurs pour une authentification supplémentaire que lorsque des facteurs contextuels indiquent un risque accru.

Les adversaires obtiennent souvent leur premier point d'ancrage dans un réseau en utilisant des identifiants compromis, c'est pourquoi certaines organisations cherchent à éliminer complètement les mots de passe. Certaines solutions IAM proposent désormais une authentification sans mot de passe, qui authentifie les utilisateurs sur la base de facteurs MFA tels que la biométrie, ainsi que des détails contextuels comme l'emplacement physique, les informations sur l'appareil et l'adresse IP.

Prise en charge de l'authentification unique (SSO)

Choisir une solution IAM qui prend en charge le SSO permettra à vos utilisateurs d'utiliser un seul ensemble d'identifiants de connexion pour accéder à plusieurs systèmes. Cette fonctionnalité simplifie les processus commerciaux et soulage les utilisateurs du fardeau de se souvenir de plusieurs mots de passe.

Cependant, étant donné que le SSO augmente le risque d'accès inapproprié, assurez-vous qu'il puisse être combiné avec une approche adaptative de l'MFA.

Support BYOD

De nombreuses organisations ont aujourd'hui une politique de bring-your-own-device (BYOD) qui permet aux employés d'utiliser leurs propres appareils pour le travail. Si vous avez une politique BYOD ou envisagez d'en adopter une, assurez-vous que la solution IAM prend en charge un large éventail de systèmes d'exploitation, y compris iOS, Android et Windows.

Impact sur l'expérience utilisateur

La plupart des gens s'attendent aujourd'hui à obtenir des résultats rapides et sans tracas de la technologie. Pour accélérer l'adoption par les utilisateurs, recherchez une solution IAM offrant une expérience transparente pour les utilisateurs. En particulier, vérifiez la présence d'options d'auto-assistance permettant aux utilisateurs de mettre à jour leurs informations personnelles, de réinitialiser leurs propres mots de passe, de déverrouiller leurs comptes, etc. Cette fonctionnalité améliore non seulement la productivité des entreprises mais réduit également la charge de travail du service d'assistance.

Disponibilité et fiabilité

Si votre solution IAM rencontre des problèmes de disponibilité, les utilisateurs ne pourront pas se connecter et accéder aux ressources réseau dont ils ont besoin pour effectuer leur travail, perturbant ainsi des projets d'affaires essentiels. Pour éviter les problèmes, examinez ce qui suit :

• Prise en charge des composants redondants et des mécanismes de basculement pour garantir une disponibilité continue
• Intégration avec des équilibreurs de charge pour répartir le trafic entrant sur plusieurs serveurs ou instances IAM, optimisant l'utilisation des ressources et atténuant les goulots d'étranglement de performance
• Prise en charge du déploiement conteneurisé des composants IAM en utilisant des plateformes d'orchestration de conteneurs, telles que Kubernetes ou Docker, pour améliorer l'agilité et l'utilisation des ressources
• Capacité à effectuer des sauvegardes régulières des données de configuration IAM, des profils utilisateurs et des politiques d'accès, ainsi que la fonctionnalité de restauration en cas de perte de données ou de défaillance du système

Demandez au fournisseur un essai gratuit du produit et testez-le minutieusement pour vous assurer qu'il répond à vos exigences de fiabilité et de disponibilité.

Surveillance, Alertes et Rapports

Assurez-vous que la solution IAM offre une surveillance en temps réel de l'activité ainsi que des techniques de détection d'anomalies qui identifient de manière fiable les actions ou les modèles suspects, tels que de multiples tentatives de connexion échouées ou des accès depuis des emplacements ou appareils inhabituels. Vérifiez que vous pouvez configurer des alertes sur les incidents de sécurité potentiels ou les violations de politique. Assurez-vous que les journaux capturent des détails importants tels que les identifiants des utilisateurs, les horodatages, les adresses IP et les actions effectuées.

Recherchez la capacité à générer facilement des rapports sur les droits, les permissions et les attributions de rôles des utilisateurs, ainsi que des tableaux de bord analytiques interactifs et des outils de visualisation qui facilitent la compréhension rapide des informations importantes.

Adhésion aux mandats de conformité et aux exigences industrielles

Assurez-vous que la solution IAM est conforme à tous les cadres réglementaires auxquels votre organisation est soumise, tels que le GDPR, HIPPA, PCI DSS, SOX, FERPA et le CCPA. Les exigences communes incluent la protection des données personnelles (y compris les identifiants des utilisateurs) en transit et au repos, ainsi que la protection de la confidentialité, de l'intégrité et de la disponibilité des données sensibles dans le système IAM. De plus, la solution doit gérer de manière sécurisée l'accès aux données grâce à une authentification forte, des contrôles d'accès et un chiffrement. Elle doit maintenir un historique complet des politiques, procédures, configurations et contrôles de sécurité IAM pour soutenir les rapports de conformité et les enquêtes réglementaires.

Capacité à répondre aux besoins futurs

Lorsque vous adoptez une solution centrale telle qu'un logiciel IAM, vous voulez être sûr qu'elle continuera à apporter de la valeur même à mesure que votre environnement informatique, vos besoins en sécurité et le paysage des menaces évoluent. Voici quelques questions clés à poser lors de l'évaluation d'une solution :

• Le fournisseur est-il stable et digne de confiance ?
• Ont-ils les capacités techniques requises ?
• Peut-on ajouter plus de serveurs ou de nœuds pour augmenter facilement la capacité afin de gérer des charges croissantes et le volume d'utilisateurs ?
• Le fournisseur est-il prêt à offrir un excellent support tout au long du cycle de vie du produit ?
• La solution recevra-t-elle des correctifs et des améliorations régulièrement ?
• Sera-t-il rentable au fil des ans ?

Modèle de tarification

Les solutions IAM ont différentes structures de tarification. Deux modèles courants sont :

• Frais de licence par utilisateur — Vous ne payez que pour le nombre d'utilisateurs qui travaillent réellement pour votre organisation, donc si votre base d'utilisateurs augmente ou diminue, vos coûts évoluent en conséquence. Cependant, gardez à l'esprit que certaines solutions ont un nombre minimum d'utilisateurs.
• Forfaits prédéfinis — Vous payez pour un nombre particulier d'utilisateurs. Dans ce cas, envisagez de garder une marge pour les nouveaux employés car la mise à niveau vers un autre forfait peut prendre du temps.

Comment Netwrix peut aider

Netwrix Directory Manager est une solution de gestion des identités et des accès de premier plan qui offre une multitude de fonctionnalités précieuses.

Voici quelques fonctionnalités qui distinguent Netwrix Directory Manager de la concurrence :

• Intégration transparente des utilisateurs — Netwrix Directory Manager peut provisionner automatiquement de nouveaux utilisateurs dans votre annuaire en quelques minutes à partir de votre base de données RH ou d'une autre source, avec la plus grande fiabilité et précision.
• Immediate user offboarding — When a user leaves the organization, you can quickly suspend all their access to data, applications, and other IT resources.
• Authentification intelligente et SSO — Netwrix Directory Manager offre une authentification forte et prend en charge la connexion unique.
• Self-service — Un portail de self-service permet aux utilisateurs professionnels de mettre à jour leurs profils, de réinitialiser leurs mots de passe, de déverrouiller leurs comptes et plus encore sans avoir à contacter le service d'assistance.
• Désactivation automatique des comptes inactifs — Vous pouvez exiger des utilisateurs qu'ils valident leurs profils à intervalles réguliers ; s'ils ne le font pas, Netwrix Directory Manager désactivera et verrouillera automatiquement leurs comptes.
• Options de complexité des mots de passe — Netwrix Directory Manager vous permet de définir les exigences de complexité des mots de passe au niveau qui convient à votre organisation, de facile à retenir à presque impossible à rappeler.
• Rapports détaillés — Netwrix Directory Manager comprend plus de 100 rapports sur les utilisateurs, les groupes et les ordinateurs, ainsi que de nombreux autres rapports sur l'activité des utilisateurs.
• Support BYOD — Les utilisateurs peuvent effectuer des tâches courantes sur leurs appareils, y compris les appareils Android et iOS : valider des profils, gérer des comptes, approuver des demandes de workflow et plus encore.
• Expérience utilisateur simplifiée — Un portail en libre-service permet aux utilisateurs professionnels de mettre à jour leurs profils, de réinitialiser leurs mots de passe, de déverrouiller leurs comptes et plus encore, sans avoir à contacter le service d'assistance.
• Haute disponibilité et fiabilité — Voyez par vous-même avec un free trial.
• Capacité à répondre aux besoins futurs — Netwrix est un fournisseur de premier plan avec une longue expérience dans la mise à jour des solutions pour répondre aux besoins commerciaux évolutifs et aux menaces émergentes.

Pour en savoir plus ou commencer votre essai gratuit, veuillez visiter https://www.netwrix.com/products/directory-manager