Qu'est-ce que la gouvernance et l'administration des identités ?
Présentation
Les différents outils de gouvernance des identités disponibles sur le marché ne sont pas faciles à évaluer par rapport à une architecture complète de gouvernance et d'administration des identités (IGA). En réaction à une directive de sécurité, les équipes adoptent trop souvent une approche étroite de la gestion des droits des utilisateurs ou du respect des exigences de leur organisation en matière de séparation des tâches.
L'AGI va au-delà de la visibilité des droits, qui est souvent considérée comme un instantané à un moment donné. Au contraire, elle adopte une approche holistique et intégrative de sa gestion. En s'appuyant sur une solide infrastructure de gestion du cycle de vie des identités, l'IGA rassemble les éléments essentiels de l'infrastructure de gestion des identités et des accès d'une organisation afin de garantir que seules les bonnes personnes ont accès aux informations sensibles.
Gouvernance et administration des identités
Qu'est-ce qui définit une solution complète de gouvernance et d'administration des identités ?
Une solution IGA robuste se distingue par les avantages suivants :
- Offre une vue d'ensemble des comptes et des ressources - l'IGA doit détenir les informations relatives à l'identité, aux droits et aux risques de chaque ressource gérée, ainsi qu'à l'identité et au rôle des personnes qui y accèdent.
- Protégez-vous contre les approbations automatiques - en mettant l'accent sur la protection contre les approbations non vérifiées des demandes d'autorisation, une solution IGA efficace comprend des flux de travail conçus spécifiquement pour informer les propriétaires de l'information et de l'entreprise, et non les administrateurs de l'informatique. Pour élever le niveau d'inspection de la demande, elle doit offrir toutes les informations pertinentes sur le demandeur et la ressource conçue pour une lecture rapide avec des indicateurs de productivité et de risque efficaces.
- Attestation robuste - offre des rapports précis qui confirment une conformité continue plutôt que de simples rapports instantanés dans le temps. Si nécessaire, une infrastructure IGA bien conçue peut fournir des analyses qui confirment l'accès réel par des groupes d'utilisateurs spécifiques. La conception du rapport doit être rapide à examiner et simple à générer et à inclure dans les rapports d'attestation. Si ce niveau d'attestation donne confiance aux équipes de sécurité, il exige que la gouvernance des accès soit étroitement intégrée aux composantes du cycle de vie des identités et de la gestion des accès de l'environnement global de l'AGI.
Quelle est la valeur spécifique d'un environnement IGA complet par rapport à d'autres solutions ?
Si la gouvernance et l'administration des identités gèrent les droits et fournissent une attestation solide aux auditeurs de sécurité, elles ont le potentiel d'être un élément fondamental de l' infrastructure de gestion des identités et des accès d'une organisation :
- La gestion des droits est l'élément fondamental de la stratégie de moindre privilège de toute organisation. La sécurité du moindre privilège permet de se protéger contre les menaces internes et de limiter les dégâts lorsque les informations d'identification d'une personne ont été compromises et exploitées. Lorsqu'il est bien fait, il peut être utilisé pour guider et invoquer les actions du cycle de vie de l'identité plutôt que de travailler indépendamment de celui-ci.
- L'une des étapes de l'intégration des ressources dans une plateforme de gouvernance consiste à définir leurs risques et leurs critères de risque. Une définition adéquate des risques liés aux ressources sensibles fournit des informations précises aux personnes chargées de l'approbation et de la révision. Ils peuvent également être utilisés par le service de gestion des risques pour orienter les actions de gestion de l'accès adaptatif. Trop souvent, les critères utilisés pour les contrôles d'accès basés sur la session pour les actions potentielles d'authentification et d'autorisation sont limités au contexte de l'utilisateur (géolocalisation, plage IP, ID de l'appareil, etc.). La prise en compte du risque lié à la ressource elle-même offre une approche plus granulaire et plus efficace de l'accès adaptatif, qui peut renforcer la sécurité tout en optimisant l'expérience de l'utilisateur. En limitant le nombre de fois qu'un utilisateur est interrompu pour une authentification multifactorielle, les frictions sont réduites et l'expérience de l'utilisateur est optimisée.
Que fait OpenText Identity and Access Management pour rendre sa solution IGA plus efficace ?
Bien qu'il soit très important d'établir une base IGA solide, comme décrit ci-dessus, OpenText Identity and Access Management repousse continuellement les limites pour rendre l'automatisation de la gouvernance plus englobante et plus efficace en aidant les propriétaires d'informations à protéger leurs données. Les orientations à court terme en matière de gouvernance et d'administration des identités au sein des infrastructures de gestion des identités et des accès sont les suivantes :
- En plus de fournir les meilleures informations possibles dans un format que les approbateurs et les réviseurs peuvent comprendre rapidement, la nouvelle génération d'IGA rassemble les meilleures pratiques du moindre privilège et les politiques organisationnelles pour automatiser l'analyse des droits. L'élévation automatique des scores de risque de leurs informations sensibles, ainsi que des utilisateurs qui y accèdent, met en évidence les points préoccupants à examiner et les mesures de sécurité potentielles.
- Le scénario d'automatisation basé sur l'intelligence décrit au point précédent est complété par des analyses comportementales de l'utilisation réelle. Ce type d'analyse permet de se concentrer sur des identités et des ressources spécifiques afin de réévaluer le risque qu'elles font courir à l'organisation.
- Bien que l'AGI ne comprenne pas traditionnellement la gestion de l'accès racine aux systèmes, une approche plus formelle de la sécurisation de l'accès aux données et aux exécutables hébergés sur les serveurs est nécessaire. Dans la mesure où les administrateurs système peuvent potentiellement contourner divers mécanismes de sécurité, l'importance de sécuriser les privilèges de l'utilisateur principal est évidente. Outre la possibilité de déléguer et de régir différents niveaux d'administration, ces superutilisateurs disposent d'un accès tellement étendu qu'une surveillance avancée de leurs actions liées au système permet d'obtenir des informations médico-légales précieuses.
Il n'est pas facile de mettre en place un environnement d'AGI bien conçu. Obtenir l'adhésion de la direction et des différents propriétaires d'entreprise peut être un processus long et irrégulier. Faire appel aux propriétaires de l'information pour intégrer correctement leurs ressources nécessite un investissement, tout comme le fait de rester en contact avec eux pour les changements dans leur environnement qui nécessitent des mises à jour. Mais la valeur de ce type d'investissement en matière de sécurité rapporte d'énormes dividendes. Elle permet aux organisations d'être plus agiles dans leurs opérations commerciales numériques tout en limitant les risques.
Pourquoi investir dans la gouvernance et l'administration des identités ?
Une fois que vous avez compris la nature globale de l'AGI, la question qui se pose naturellement est de savoir si ce niveau d'investissement est nécessaire dans votre environnement. Bien que chaque organisation puisse avoir des exigences particulières, voici quelques considérations communes qui peuvent guider la profondeur et l'étendue de la gestion :
Si presque toutes les organisations ont besoin de protéger leurs informations financières et de ressources humaines, elles peuvent aussi avoir d'autres types de données sensibles qui méritent d'être gérées:
- Informations sur les clients - ce type d'informations est très variable. Les organisations peuvent être soumises à diverses réglementations nationales ou fédérales même si elles collectent des informations sur les cookies ou des identités sociales pour personnaliser le contenu. Il existe également d'autres mandats mondiaux, tels que le règlement général sur la protection des données (RGPD). Les exigences du GDPR méritent un niveau de protection de l'IGA car une fois qu'un profil personnel ou des informations financières sont conservés, il sera probablement nécessaire de mettre en place une sécurité de type "least privilege". Une coordination doit également être mise en place entre les détaillants, leurs fournisseurs de services et les partenaires de l'industrie. À moins que ces opérations ne soient de petite taille, il est difficile d'imaginer qu'elles puissent répondre aux exigences en matière de protection de la vie privée sans une solution mature de gouvernance des identités.
- La propriété intellectuelle, qu'il s'agisse d'informations sur les brevets, de compétences techniques ou commerciales essentielles ou d'autres secrets commerciaux, peut présenter un risque grave pour l'organisation en cas de violation. Que les organisations automatisent ou non leurs processus d'habilitation, un examen minutieux des secrets précieux est probablement nécessaire avant d'élaborer une stratégie de gouvernance.
- Informations sur les patients -la transformation numérique du secteur des soins de santé a obligé les prestataires à automatiser leur gestion des droits et l'attestation de leurs informations réglementées. Le passage aux dossiers médicaux électroniques (DME) et aux autres informations de santé protégées (ePHI) s'est traduit par des protections gouvernementales strictes, concrètes et punitives en matière de protection de la vie privée. C'est un secteur qui connaît le plus grand nombre d'infractions coûteuses par rapport à tous les autres. Au-delà des pertes financières, les violations de dossiers médicaux nuisent à la confiance des patients car ils contiennent leurs informations les plus sensibles. Les informations relatives à la santé et aux finances peuvent être utilisées pour commettre des fraudes.
- Les services financiers -un autre secteur très réglementé - sont soumis à une série de réglementations visant à prévenir la collusion malveillante et la violation de la vie privée. La protection de la vie privée est nécessaire pour se prémunir contre la fraude ou d'autres types de vol. On peut affirmer sans risque que chaque institution financière a besoin d'une gouvernance automatisée et bénéficierait grandement d'une solution impliquant directement les propriétaires des données.
FAQ sur la gouvernance et l'administration des identités
Quelle est la différence entre la gouvernance et la gestion des identités ?
La gestion des identités fournit l'accès, tandis que la gouvernance des identités garantit que l'accès est approprié, justifié et appliqué en permanence à l'aide de politiques, de certifications et de contrôles d'audit tout au long du cycle de vie de l'identité.
Comment la gouvernance des identités contribue-t-elle à la conformité et aux audits ?
L'IGA applique l'accès au moindre privilège, maintient des pistes d'audit complètes et prend en charge les certifications continues, de sorte que les organisations peuvent démontrer leur conformité à tout moment, et pas seulement lors des audits.
Pourquoi de nombreux projets de gouvernance des identités piétinent-ils ou échouent-ils ?
Les projets d'AGI se heurtent souvent à la lenteur de l'intégration des applications, à la rigidité des modèles de données et aux processus de révision manuels. Les programmes réussis se concentrent sur l'automatisation, la flexibilité et la visibilité en temps réel des identités et des droits.
La gouvernance des identités peut-elle répondre aux changements d'accès en temps réel ?
Oui. Les AGI modernes peuvent détecter les changements d'accès dès qu'ils se produisent et y remédier automatiquement ou déclencher des recertifications ciblées, réduisant ainsi les risques entre les cycles d'examen.
Que doivent rechercher les organisations dans une solution de gouvernance des identités ?
Recherchez une plateforme IGA qui s'adapte aux environnements hybrides, s'intègre à des systèmes complexes, prend en charge une gouvernance continue et réduit les efforts manuels des utilisateurs informatiques et commerciaux.
Comment OpenText assure la gouvernance et l'administration des identités
OpenText propose une gouvernance et une administration des identités (IGA) dans le cadre d'une plateforme IAM complète conçue pour les entreprises complexes et hybrides. Plutôt que de traiter la gouvernance comme une couche autonome, OpenText intègre la gestion du cycle de vie, la gouvernance des accès et les contrôles basés sur les événements pour garantir que l'accès reste conforme à mesure que les environnements changent.
Cycle de vie et gouvernance unifiés des identités
OpenText associe la gestion du cycle de vie des identités à la gouvernance des accès pour garantir que les utilisateurs reçoivent l'accès approprié lorsqu'ils rejoignent l'entreprise, changent de rôle ou quittent l'entreprise, et que cet accès reste approprié au fil du temps.
Gouvernance continue, axée sur les événements
Contrairement aux révisions ponctuelles, OpenText prend en charge la gouvernance basée sur les événements. Lorsque l'accès change en dehors des processus approuvés, le système peut automatiquement remédier au problème ou déclencher une micro-certification ciblée, réduisant ainsi le risque entre les cycles d'examen.
Une mise en service plus rapide des applications grâce à des connecteurs flexibles
OpenText accélère les déploiements IGA grâce à des connecteurs à code faible ou nul qui s'adaptent aux formats de données du monde réel. Cela permet aux entreprises de gérer davantage d'applications, sans intégrations fragiles ni remaniements constants.
Conçu pour les environnements hybrides et d'entreprise
OpenText prend en charge les déploiements sur site, dans le nuage et hybrides, ce qui en fait la solution idéale pour les organisations disposant de systèmes hérités, d'environnements réglementés ou d'infrastructures d'identité complexes.
Conformité à l'audit dès la conception
Grâce à l'application continue des politiques, aux pistes d'audit complètes et aux certifications adaptées aux entreprises, OpenText aide les organisations à démontrer leur conformité à tout moment, sans avoir à se soucier de l'audit.
En savoir plus sur OpenText Identity Governance ou sur la plate-forme SaaS OpenText Core Identity Foundation.
