Panorama de la gestion des identités et des accès

Pour se développer, toute entreprise, société ou organisation doit disposer d’une méthode systématique pour organiser ses employés ou membres. Aujourd’hui, cette méthode relève souvent de la gestion des identités et des accès (IAM), parfois aussi appelée gestion des identités, des identifiants et des accès (ICAM). Dans les deux cas, le cadre global définit comment intégrer de nouveaux employés à l’organisation, et gérer la succession ainsi que la suppression des comptes lorsque cela est nécessaire.

Les éléments de la gestion des identités et des accès concernent toutes les entreprises, quelle que soit leur taille. Il n’est jamais trop tôt pour réfléchir à la manière dont une organisation doit gérer et encadrer ses employés ou membres.

Dans ce document, nous explorons les six éléments principaux de la gestion des identités et des accès, et comment les appliquer à votre organisation.

Toute organisation commence avec une ou plusieurs personnes, et il est logique de commencer par la gestion des mots de passe et de donner aux employés les moyens d’agir dès le départ.

Par exemple, même avant que les personnes commencent à créer de nouveaux comptes, elles doivent pouvoir générer des mots de passe longs et uniques pour chaque site web ou service dont elles ont besoin. Un gestionnaire de mots de passe doté d’un générateur de mots de passe intégré facilite cette tâche. Ainsi, dès le premier jour, les employés se placent dans les meilleures conditions de réussite en gardant leurs comptes séparés et sécurisés grâce à des mots de passe longs et uniques.

Une fois que les personnes disposent d’un gestionnaire de mots de passe pour générer des mots de passe longs et uniques, et les conserver pour y accéder facilement, vous pouvez passer au partage sécurisé des identifiants au sein d’une équipe. 

Les gestionnaires de mots de passe orientés entreprise permettent de gérer des organisations et d’assurer un partage sécurisé et structuré entre groupes d’utilisateurs. Ces groupes peuvent être affectés à différentes collections d’éléments sensibles, comme les identifiants de l’entreprise, les cartes bancaires partagées ou les mots de passe du Wi-Fi du bureau.

En mettant en place une plateforme chiffrée de bout en bout pour le partage sécurisé, chaque organisation pose les bonnes bases de la sécurité de ses employés et de l’entreprise.

Avec un mot de passe long, complexe, aléatoire et unique pour chaque compte, les utilisateurs se mettent dans de bonnes conditions pour rester protégés. Une étape encore plus solide consiste à ajouter la connexion en deux étapes, ou authentification à deux facteurs, à la fois à la connexion à votre gestionnaire de mots de passe et à d’autres sites web et services.

Avec votre gestionnaire de mots de passe, la connexion en deux étapes peut être configurée avec des applications d’authentification, des clés de sécurité, l’e-mail ou les SMS. Notez qu’aujourd’hui, les SMS sont considérés comme l’une des méthodes les plus vulnérables au piratage, en raison de la prévalence du détournement de carte SIM comme stratégie d’intrusion.

Quelle que soit l’option choisie par les utilisateurs, assurez-vous que chacun comprend les implications de la connexion en deux étapes, conserve une copie des codes de récupération de connexion en deux étapes des sites web lorsqu’ils sont proposés, et dispose d’une méthode pour sauvegarder les clés d’authentification fournies pendant le processus d’inscription à la connexion en deux étapes.

Certains gestionnaires de mots de passe proposent des authentificateurs intégrés. Cela offre un confort considérable aux utilisateurs, en particulier dans les contextes partagés. Les utilisateurs peuvent désormais partager un identifiant, y compris la séquence de connexion en deux étapes, sans avoir à s’appeler ou s’envoyer des messages pour obtenir le code secret.

Bien sûr, certains pourraient s’interroger sur l’intérêt d’inclure une étape d’authentification intégrée à votre gestionnaire de mots de passe, et se demander si cela annule la valeur de l’authentification. En définitive, les utilisateurs ont le choix, et les employeurs peuvent les sensibiliser aux pratiques recommandées. Voici les raisons d’adopter une approche intégrée

1. Le coffre de votre gestionnaire de mots de passe doit lui-même utiliser une connexion en deux étapes avec une autre méthode. (Important : vous ne devez pas utiliser l’authentificateur intégré de votre gestionnaire de mots de passe pour protéger votre compte de gestionnaire de mots de passe.) Votre coffre et vos comptes sont donc actuellement protégés par un niveau de sécurité élevé et, de fait, par la connexion en deux étapes.

2. Activer la connexion en deux étapes pour les sites web et les applications offre plus de sécurité que de ne pas l’activer. Une intégration plus étroite de la connexion en deux étapes facilite son utilisation plus fréquente, ce qui favorise de meilleures pratiques de sécurité.

3. Si vous devez partager un élément, vous pouvez le partager avec la connexion en deux étapes activée, ce qui, là encore, favorise une meilleure sécurité. C’est un atout majeur pour la collaboration et la connexion en deux étapes.

4. Vous n’avez pas besoin de vous souvenir de l’application d’authentification que vous avez utilisée, puisqu’elle reste intégrée.

5. Vous pouvez toujours choisir, au cas par cas, quel identifiant authentifier en interne dans l’authentificateur de votre gestionnaire de mots de passe, ou en externe à l’aide d’une application d’authentification distincte.

À mesure que le monde évolue vers le sans mot de passe, assurez-vous que votre gestionnaire de mots de passe, ainsi que votre stratégie globale de gestion des identités et des accès, intègrent des options sans mot de passe. Par exemple

• Assurez-vous de pouvoir vous connecter aux appareils avec la biométrie, et d’activer le remplissage automatique des identifiants avec la biométrie

• Pour l’authentification unique, également abordée plus loin, explorez les options offrant des expériences sans mot de passe

• Envisagez l’utilisation de clés de sécurité dans toute votre organisation

• Lors du déploiement de clés de sécurité, prévoyez des options redondantes, ainsi que des procédures de sauvegarde et de récupération en cas de perte des clés, ou si elles sont liées à des comptes utilisateurs critiques pour l’entreprise

• Par exemple, il peut être judicieux qu’un employé indique l’emplacement de ses éventuelles clés de sécurité de secours dans son coffre de gestion des mots de passe, consultable uniquement en cas de prise de contrôle du compte et d’accès d’urgence

Plus les employés deviennent rapidement opérationnels dans une nouvelle entreprise, plus vite ils peuvent être productifs et contribuer au succès. Sans surprise, le provisionnement représente une part importante du budget de la gestion des identités et des accès, mais reste réparti entre de nombreux systèmes et outils. 

Les entreprises personnalisent fréquemment leurs processus d’intégration en fonction des principaux systèmes en place, comme la messagerie électronique, la messagerie instantanée, les services d’annuaire et l’authentification unique, abordée plus en détail sous peu.

Pour faciliter la meilleure expérience d’intégration possible pour les employés et garantir que le gestionnaire de mots de passe puisse s’inscrire dans un cadre global, privilégiez les gestionnaires de mots de passe qui offrent

• Une interface de programmation des applications (API) robuste pour s’intégrer aux systèmes existants

• Une interface en ligne de commande complète permettant de créer des scripts pour les processus personnalisés

• La capacité de s’intégrer aux systèmes existants de gestion des identités et des accès, tels que 

  • Services d’annuaire

  • Authentification unique 

  • Audit et connexions

Les grandes entreprises déploient souvent des services d’annuaire pour organiser les employés par service. Par exemple, il peut exister des groupes basés sur les ventes, le marketing, l’ingénierie, l’informatique et la finance. Ces services d’annuaire existants permettent de classer les employés par fonction, d’ajouter rapidement les nouveaux employés aux bons groupes et de déprovisionner les comptes si nécessaire.

Les gestionnaires de mots de passe de niveau entreprise s’intègrent aux services d’annuaire afin d’organiser les groupes d’utilisateurs dans le coffre de l’organisation de gestion des mots de passe. Si un groupe d’employés de la finance a accès à un ensemble spécifique d’identifiants pour des services fiscaux, un nouveau membre de ce groupe y aura automatiquement accès.

Certaines entreprises utilisent également les groupes d’annuaire pour faciliter la création d’équipes ad hoc. Par exemple, une équipe spéciale transversale peut se former autour d’une nouvelle initiative métier. L’équipe peut demander son propre groupe de gestion des mots de passe. Grâce à l’intégration d’annuaire, cette nouvelle équipe peut être synchronisée avec l’application de gestion des mots de passe et activer rapidement un ensemble d’identifiants sécurisés.

Avec l’essor des applications de logiciel en tant que service (SaaS), de nombreuses entreprises ont tiré parti de l’authentification unique pour offrir un accès unifié aux comptes de sites web. Bien entendu, l’authentification unique nécessite que le site web ou le service propose cette fonctionnalité. Si de nombreux sites web destinés aux entreprises offrent l’authentification unique, il existe encore tout un univers de sites web et de services qui ne le font pas. Un gestionnaire de mots de passe comble cette lacune, et bien plus encore.

Certains gestionnaires de mots de passe peuvent également s’intégrer à l’authentification unique, ce qui permet aux entreprises de provisionner automatiquement les utilisateurs dans une organisation. 

Bien sûr, une application chiffrée de bout en bout comme un gestionnaire de mots de passe est un peu différente de votre service SaaS habituel. Étant donné que le modèle de sécurité d’un gestionnaire de mots de passe avec chiffrement à connaissance nulle garantit que le fournisseur ne peut rien voir dans votre coffre, le contexte de l’authentification unique prend une tournure différente.

Le principe fondamental d’un gestionnaire de mots de passe est que l’utilisateur final détient la clé qui permet de chiffrer et de déchiffrer ses données. Le gestionnaire de mots de passe ne connaît pas la clé et ne peut pas la fournir à l’utilisateur si elle est perdue. De même, un gestionnaire de mots de passe ne peut pas simplement transmettre à l’aveugle la clé de déchiffrement d’un utilisateur final à un autre service tiers, comme un fournisseur d’identité, et compter sur ce fournisseur pour la garder en sécurité.

Partant de ce constat, un modèle sécurisé d’intégration aux fournisseurs d’identité existants permet l’authentification via le fournisseur d’identité, tout en conservant le chiffrement et le déchiffrement avec un mot de passe principal détenu par l’utilisateur et propre au gestionnaire de mots de passe. Cela garantit qu’aucun tiers n’a accès au déchiffrement du coffre de l’utilisateur final. Cela signifie également que le mot de passe principal de chiffrement et de déchiffrement doit être unique au gestionnaire de mots de passe.

Cette approche garantit également que les utilisateurs peuvent bénéficier de toutes les applications clientes proposées par le gestionnaire de mots de passe sur les navigateurs, les systèmes d’exploitation mobiles, les systèmes d’exploitation de bureau, l’accès web et les interfaces en ligne de commande.

À plus grande échelle, les entreprises doivent surveiller leurs systèmes, y compris l’accès et l’utilisation par les employés. Les entreprises déploient fréquemment des solutions de journalisation et d’audit comme récepteurs d’informations provenant de diverses sources. Parmi les systèmes populaires de journalisation et d’analyse en entreprise figurent Splunk, ainsi que Kibana d’Elastic. 

Les systèmes robustes de gestion des mots de passe fournissent les informations de journalisation via des interfaces de programmation des applications (API) qui peuvent alimenter les systèmes de journalisation existants. Cela offre

• Un emplacement unique où les équipes informatiques et de sécurité peuvent collecter les informations

• La possibilité de corréler les événements entre un gestionnaire de mots de passe et les autres éléments d’une approche globale de gestion des identités et des accès

• La possibilité d’alimenter les alertes existantes

Les entreprises disposent de plusieurs options pour déployer la bonne combinaison d’outils de gestion des identités et des accès, et peuvent l’élargir au fil de leur croissance. Quel que soit le stade de votre parcours, toutes les entreprises devraient permettre à leurs employés de gérer les identifiants en toute sécurité, de générer des mots de passe longs et aléatoires lorsque cela est nécessaire, et de faciliter le partage chiffré de bout en bout des informations sensibles.

Pour proposer ces fonctionnalités dans votre entreprise, commencez par un essai gratuit de Bitwarden pour les entreprises dès aujourd’hui.