Qu'est-ce que la gouvernance et l'administration des identités ?
Aperçu
Avec les différents outils de gouvernance des identités disponibles sur le marché, il n'est pas facile d'évaluer ce qu'ils offrent par rapport à une architecture de gouvernance et d'administration des identités (IGA) complète. Trop souvent, en réaction à une directive de sécurité, les équipes adoptent une approche restrictive de la gestion des droits d'accès des utilisateurs ou du respect des exigences de séparation des tâches de leur organisation.
L'IGA va au-delà de la simple visibilité des droits, souvent considérée comme un instantané à un moment donné. Elle adopte plutôt une approche holistique et intégrative de sa gestion. Lorsqu'elle repose sur une infrastructure robuste de gestion du cycle de vie des identités, l'IGA rassemble les composantes essentielles de l'infrastructure de gestion des identités et des accès d'une organisation afin de s'assurer que seules les personnes autorisées ont accès aux informations sensibles.
Gouvernance et administration des identités
Qu'est-ce qui définit une solution complète de gouvernance et d'administration des identités ?
Une solution IGA robuste se distingue par les avantages suivants :
- Offre une vue d'ensemble des comptes et des ressources : l'IGA doit détenir les renseignements relatifs à l'identité, aux droits et aux risques de chaque ressource gérée, ainsi que l'identité et le rôle des personnes y accédant.
- Pour se prémunir contre les approbations automatiques, une solution IGA efficace met l'accent sur la protection contre les approbations non vérifiées des demandes d'autorisation et comprend des flux de travail conçus spécifiquement pour informer les responsables de l'information et les propriétaires d'entreprise, et non les administrateurs informatiques. Pour améliorer le niveau d'inspection de la demande, celle-ci doit fournir toutes les informations pertinentes sur le demandeur et la ressource, de manière à permettre une lecture rapide grâce à des indicateurs de productivité et de risque efficaces.
- Une attestation solide offre des rapports précis qui confirment une conformité continue plutôt que de simples instantanés ponctuels. Si nécessaire, une infrastructure IGA bien conçue peut fournir des analyses confirmant l'accès réel de groupes d'utilisateurs spécifiques. La conception du rapport devrait permettre une relecture rapide et une génération et une intégration simples dans les rapports d'attestation. Bien que ce niveau d'attestation offre confiance aux équipes de sécurité, il exige que la gouvernance des accès soit étroitement intégrée aux composants de gestion du cycle de vie des identités et des accès de l'environnement IGA complet.
Quelle valeur ajoutée spécifique apporte un environnement IGA complet par rapport aux autres solutions ?
Bien que la gouvernance et l'administration des identités gèrent les droits d'accès et fournissent une attestation solide aux auditeurs de sécurité, elles peuvent constituer un élément fondamental de l'infrastructure de gestion des identités et des accès d'une organisation :
- La gestion des droits est l'élément fondamental de la stratégie du moindre privilège de toute organisation. Le principe du moindre privilège en matière de sécurité contribue à protéger contre les menaces internes et à limiter les dommages lorsque les identifiants d'une personne ont été compromis et exploités. Lorsqu'elle est correctement mise en œuvre, elle peut servir à guider et à déclencher des actions liées au cycle de vie de l'identité, plutôt que de fonctionner indépendamment de celle-ci.
- Une des étapes de l'intégration des ressources sur une plateforme de gouvernance consiste à définir leurs risques et leurs critères de risque. Des définitions de risques appropriées pour les ressources sensibles fournissent des renseignements précis aux approbateurs et aux examinateurs. Ils peuvent également être utilisés par le service de gestion des risques pour orienter les actions de gestion adaptative des accès. Trop souvent, les critères utilisés pour les contrôles d'accès basés sur les sessions pour les actions potentielles d'authentification et d'autorisation se limitent au contexte de l'utilisateur (géolocalisation, plage d'adresses IP, identifiant de l'appareil, etc.). La prise en compte du risque inhérent à la ressource elle-même offre une approche plus fine et plus efficace de l'accès adaptatif, permettant d'accroître la sécurité tout en optimisant l'expérience utilisateur. En limitant le nombre d'interruptions pour l'authentification multifactorielle, on réduit les frictions et on optimise l'expérience utilisateur.
Que fait OpenText Identity and Access Management pour faire de sa solution IGA une solution efficace ?
Bien qu'il soit primordial d'établir une base IGA solide, comme décrit ci-dessus, OpenText Identity and Access Management repousse sans cesse les limites pour rendre l'automatisation de la gouvernance plus globale et efficace afin d'aider les propriétaires d'informations à protéger leurs données. Les orientations de développement à court terme en matière de gouvernance et d'administration des identités au sein des infrastructures de gestion des identités et des accès comprennent :
- Au-delà de fournir les meilleures informations possibles dans un format que les approbateurs et les réviseurs peuvent rapidement comprendre, la prochaine génération d'IGA combine les meilleures pratiques de moindre privilège et les politiques organisationnelles pour automatiser l'analyse des droits. L'élévation automatisée des scores de risque de leurs informations sensibles, ainsi que des utilisateurs y accédant, met en évidence les points préoccupants nécessitant un examen et d'éventuelles mesures de sécurité.
- Le scénario d’automatisation basé sur l’intelligence décrit dans le point précédent est idéalement complété par une analyse comportementale de l’utilisation réelle. Ce type d'analyse peut permettre de cibler des identités et des ressources spécifiques afin de réévaluer le risque qu'elles font peser sur l'organisation.
- Bien que l'IGA n'ait traditionnellement pas inclus la gouvernance de l'accès racine aux systèmes, une approche plus formelle de la sécurisation de l'accès aux données et aux exécutables hébergés sur le serveur est nécessaire. Étant donné que les administrateurs système peuvent potentiellement contourner divers mécanismes de sécurité, l'importance de sécuriser les privilèges root est évidente. Outre leur capacité à déléguer et à gérer différents niveaux d'administration, ces superutilisateurs ont un accès tellement étendu que la surveillance avancée de leurs actions liées au système offre des informations médico-légales potentiellement précieuses.
Mettre en place un environnement IGA bien conçu n'est pas chose facile. Obtenir l'adhésion des dirigeants et des différents chefs d'entreprise peut être un processus long et inégal. L'implication des responsables de l'information pour une intégration correcte de leurs ressources nécessite un investissement, tout comme le maintien du contact avec eux pour les changements dans leur environnement qui nécessitent des mises à jour. Mais ce type d'investissement en sécurité rapporte d'énormes dividendes. Elle permet aux organisations d'être plus agiles dans leurs opérations commerciales numériques tout en minimisant leurs risques.
Pourquoi devrais-je investir dans la gouvernance et l'administration des identités ?
Une fois que vous comprenez la nature globale de l'IGA, la question naturelle est de savoir si ce niveau d'investissement est nécessaire dans votre environnement. Bien que chaque organisation puisse avoir des exigences uniques, voici quelques considérations communes qui peuvent orienter le niveau et l'étendue de la gestion :
Si presque toutes les organisations doivent protéger leurs renseignements financiers et RH, elles peuvent également posséder d’autres types de données sensibles qui méritent d’être encadrées :
- Renseignements sur le client — ce type d'information varie considérablement. Les organisations peuvent être assujetties à diverses réglementations provinciales ou fédérales même si elles recueillent des renseignements sur des témoins ou des identités sociales pour personnaliser le contenu. Il existe également d’autres réglementations internationales, comme le Règlement général sur la protection des données (RGPD). Les exigences du RGPD justifient un niveau de protection IGA car, une fois qu'un profil personnel ou des informations financières sont conservés, il y aura probablement besoin d'une sécurité basée sur le principe du moindre privilège. La coordination doit également avoir lieu entre les détaillants et leurs fournisseurs de services (PSP) ainsi que leurs partenaires industriels. À moins que ces opérations ne soient de petite envergure, il est difficile d'imaginer qu'elles puissent respecter les exigences en matière de protection de la vie privée sans une solution de gouvernance des identités mature.
- La propriété intellectuelle, qu'elle prenne la forme d'informations brevetées, de compétences techniques ou commerciales fondamentales, ou d'autres secrets commerciaux, peut, en cas de violation, constituer un risque sérieux pour l'organisation. Que les organisations automatisent ou non leurs processus d'attribution des droits, un examen attentif des renseignements confidentiels est probablement nécessaire avant d'élaborer une stratégie de gouvernance.
- Informations sur les patients— La transformation numérique du secteur de la santé a forcé les fournisseurs à automatiser la gestion des droits des patients et l'attestation de leurs informations réglementées. Le passage aux dossiers médicaux électroniques (DME) et autres renseignements sur la santé protégés (ISP) a entraîné des protections gouvernementales strictes, concrètes et punitives en matière de confidentialité. C'est un secteur qui enregistre les violations de données les plus coûteuses de tous les secteurs. Au-delà des pertes financières, les violations de dossiers médicaux nuisent à la confiance des patients car elles contiennent leurs informations les plus sensibles. Les renseignements, qu'ils concernent la santé ou les finances, peuvent être utilisés pour commettre des fraudes.
- Les services financiers , en tant que secteur hautement réglementé, sont assujettis à une série de réglementations visant à prévenir la collusion malveillante et la violation de la vie privée. La protection de la vie privée est nécessaire pour se prémunir contre la fraude ou d'autres types de vols. Il est indéniable que chaque institution financière a besoin d'une gouvernance automatisée et tirerait un grand profit d'une solution impliquant directement les propriétaires des données.
FAQ sur la gouvernance et l'administration des identités
Quelle est la différence entre la gouvernance des identités et la gestion des identités ?
La gestion des identités permet de contrôler l'accès, tandis que la gouvernance des identités garantit que cet accès est approprié, justifié et appliqué en permanence grâce à des politiques, des certifications et des contrôles d'audit tout au long du cycle de vie des identités.
Comment la gouvernance des identités contribue-t-elle à la conformité et aux vérifications ?
L'IGA applique le principe du moindre privilège en matière d'accès, conserve des pistes d'audit complètes et prend en charge les certifications continues, permettant ainsi aux organisations de démontrer leur conformité en tout temps, et pas seulement lors des audits.
Pourquoi tant de projets de gouvernance des identités stagnent-ils ou échouent-ils ?
Les projets IGA rencontrent souvent des difficultés en raison de la lenteur de l'intégration des applications, de modèles de données rigides et de processus de révision manuels. Les programmes performants privilégient l'automatisation, la flexibilité et la visibilité en temps réel des identités et des droits d'accès.
La gouvernance des identités peut-elle réagir aux changements d'accès en temps réel ?
Oui. Les solutions IGA modernes peuvent détecter les modifications d'accès dès qu'elles surviennent et les corriger automatiquement ou déclencher des recertifications ciblées, réduisant ainsi les risques entre les cycles d'examen.
Quels critères les organisations doivent-elles prendre en compte pour choisir une solution de gouvernance des identités ?
Recherchez une plateforme IGA qui s'adapte aux environnements hybrides, s'intègre aux systèmes complexes, prend en charge la gouvernance continue et réduit les efforts manuels pour les utilisateurs informatiques et métiers.
Comment OpenText assure la gouvernance et l'administration des identités
OpenText offre une solution de gouvernance et d'administration des identités (IGA) dans le cadre d'une plateforme IAM complète conçue pour les entreprises hybrides et complexes. Plutôt que de traiter la gouvernance comme une couche indépendante, OpenText intègre la gestion du cycle de vie, la gouvernance des accès et les contrôles événementiels pour garantir la conformité des accès malgré l'évolution des environnements.
Cycle de vie et gouvernance unifiés des identités
OpenText associe la gestion du cycle de vie des identités à la gouvernance des accès pour s'assurer que les utilisateurs reçoivent le bon accès lorsqu'ils se joignent à l'entreprise, changent de rôle ou la quittent, et que cet accès reste approprié au fil du temps.
Gouvernance continue axée sur les événements
Contrairement aux revues ponctuelles, OpenText prend en charge la gouvernance événementielle. Lorsque les modifications d'accès ne sont pas conformes aux processus approuvés, le système peut corriger automatiquement le problème ou déclencher une microcertification ciblée, réduisant ainsi les risques entre les cycles de révision.
Intégration plus rapide des applications grâce à des connecteurs flexibles
OpenText accélère les déploiements IGA grâce à des connecteurs low-code/no-code qui s'adaptent aux formats de données réels. Cela permet aux organisations de gérer plus d'applications, sans intégrations fragiles ni retouches constantes.
Conçu pour les environnements hybrides et d'entreprise.
OpenText prend en charge les déploiements sur place, dans le nuage et hybrides, ce qui en fait la solution idéale pour les organisations disposant de systèmes existants, d'environnements réglementés ou d'infrastructures d'identité complexes.
Conformité prête pour l'audit dès la conception
Grâce à une application continue des politiques, des pistes d'audit complètes et des certifications adaptées aux entreprises, OpenText aide les organisations à démontrer leur conformité en tout temps, sans interruption ni interruption lors des audits.
Découvrez-en plus sur OpenText Identity Governance ou sur la plateforme SaaS OpenText Core Identity Foundation .
