Gestion des Identités et des Accès

La gestion des identités et des accès (IAM) garantit que les bonnes personnes (identité) puissent accéder aux bonnes ressources au bon moment et pour les bonnes raisons (gestion des accès).

Les processus et les technologies de l’IAM permettent aux organisations de gérer plus facilement les identités et de contrôler l’accès des utilisateurs à différents niveaux. Ces systèmes aident également les organisations à se conformer à des réglementations qui évoluent rapidement et qui traitent de la façon dont des informations confidentielles, comme les dossiers médicaux et financiers, sont stockées et consultées. 

Pourquoi l’IAM est important

Les dirigeants et les services informatiques sont soumis à toujours plus de contraintes réglementaires et organisationnelles visant à protéger les accès aux ressources de l’entreprise. Les obstacles les plus courants auxquelles les organisations sont confrontées incluent :

• Des processus d’inscription et d’accès trop complexes : Des complexités qui empoisonnent les relations client. Les gens en ont marre de créer et de gérer toutes leurs combinaisons de nom d’utilisateur et de mot de passe, et ils renoncent souvent à des transactions en raison d’expériences d’enregistrement et de connexion présentant trop de frictions. Les premières impressions sont importantes. Si des utilisateurs ont des expériences d’enregistrement et de connexion personnalisées et accueillantes, il y a plus de chances qu’ils aient envie d’en savoir plus sur l’entreprise. Les engager au bon moment et de la bonne façon, sans les surcharger de questions les rend plus à l’aise, et leur permettre de s’authentifier de la manière la plus naturelle pour eux accroît les chances qu’ils reviennent sur le site. Proposer des options d’authentification sans mot de passe peut aussi réduire les demandes de réinitialisation des mots de passe et les verrouillages des comptes, ce qui fera gagner du temps et de l’argent aux organisations.
  
  
• Menaces de fuites de données : Il n’est pas facile de s’assurer que les données demeurent sécurisées et confidentielles. Les clients exigent des entreprises auxquelles ils ont affaire qu’elles rendent leurs expériences personnelles agréables mais aussi que ces mêmes entreprises conservent leurs données à l’abri des fuites et qu’elles protègent leur vie privée. Ils veulent savoir comment leurs informations personnelles sont sécurisées et transmises, et ils sont nombreux à déclarer qu’ils cesseront d’avoir affaire à une entreprise qui ne sécurise pas adéquatement leurs données ou ne respecte pas leur vie privée.

• Respecter la conformité aux réglementations : Face à la liste toujours plus longue de fuites, de violations de la vie privée des clients et au nombre croissant de clients insatisfaits, le nombre de réglementations liées à la sécurité et à confidentialité des données a explosé. Avec ces réglementations, les organisations ont la responsabilité de protéger leurs données. Le sous-traitement de la collecte et du traitement des données à des fournisseurs SaaS (software as a service) tiers n’affranchit pas les organisations de leur responsabilité en cas de fuite. Elles doivent savoir quelles données elles collectent et quelles données les fournisseurs SaaS collectent, où ces données sont stockées, qui peut y accéder, pendant combien de temps, et comment les effacer si elles en reçoivent l’ordre ou la demande.

• Moderniser l’infrastructure existante : Fusionner la technologie d’IAM moderne avec les infrastructures d’ancienne génération existantes n’est pas toujours facile. Cette nouvelle technologie doit s’intégrer facilement avec les ressources en ligne que l’organisation a déjà sans paraître décousues ou mal alignées avec leur marque. En même temps, de nombreuses organisations sont en train de migrer leurs ressources vers le cloud. Elles ont un mélange de plateforme d’infrastructure, comme des environnements sur site ou sur cloud privé et public, et elles cherchent à trouver à un équilibre entre la stabilité et le changement.
  

Situations exposant les organisations à des risques

Sans le savoir, de nombreuses organisations exposent leurs clients et autres acteurs concernés à des risques lorsque les situations suivantes existent :

• Solutions d’identité propriétaires créées en interne : Souvent, les organisations ont créé leurs propres applications client sur la base d’un service par service ou en fonction du produit. Au départ, ces applications fonctionnaient bien pour le but qu’elles visaient, mais des problèmes se présentent lorsque ces applications ne peuvent plus fonctionner dans leurs propres silos. Les applications doivent peut-être partager des informations avec un outil marketing, comme Marketo, ou un outil de CRM (gestion de la relation client), comme Salesforce. C’est là qu’il est opportun de chercher des solutions d’identité pouvant facilement se connecter à un large éventail de ressources et prendre en charge divers cas d’usage.
  
  
• Répertoires multiples d’utilisateurs finaux : Plusieurs répertoires peuvent exister pour diverses raisons. Il y a peut-être eu une fusion ou une nouvelle application pilote conçue « juste pour prendre la température » a rencontré un grand succès et s’est installée. Peu importe la manière dont c’est arrivé, avoir des données au sein de silos de répertoires différents peut entraîner des problèmes. Il est difficile de fournir un accès unifié à des données et aux préférences d’un utilisateur, de les partager sur plusieurs applications tout en respectant les réglementations gouvernementales lorsqu’elles sont stockées à des endroits différents.
  
  
• Pas d’authentification ni de single sign-on (SSO) cohérent : Si plusieurs applications sont responsables de l’authentification des utilisateurs et du stockage de leurs informations, l’utilisateur n’a souvent pas d’autre choix que de passer d’une application à une autre et de se soumettre à plusieurs procédures d’authentification. Non seulement le SSO améliore l’expérience utilisateur, mais il réduit également le risque que des hackers accèdent à leurs comptes.
  
  
• L’autorisation basée sur une application ou les solutions de contrôle des accès en fonction des comptes : L’absence d’authentification cohérente est semblable à l’absence d’autorisation cohérente. Il est difficile de s’assurer que les politiques d’autorisation concernant toute l’entreprise soient respectées si l’équipe de chaque application doit appliquer ses propres politiques d’accès. Il est préférable d’adopter une approche cohérente pour sécuriser l’accès à des applications similaires sur la base de toute l’entreprise.
  
  
• Gestion manuelle des consentements des clients : De nombreuses entreprises ont construit leurs propres systèmes pour gérer les contenus en ligne. Ces systèmes fonctionnaient souvent bien lors de leur création initiale. Toutefois, les consentements généraux ne sont plus acceptables ; aussi, il ne faut plus un seul consentement mais dix. Gérer manuellement chaque consentement et s’assurer qu’ils soient stockés correctement peut prendre du temps et ce temps pourrait être mieux mis à profit par les équipes de développement hautement qualifiées.
  

Bonnes pratiques d’IAM

Les organisations qui suivent les bonnes pratiques de l’IAM ont mis en place les éléments suivants :

• Stockage centralisé des identités : Toutes les identités, notamment les identités des partenaires, les identités des administrateurs et les identités des clients, sont stockées au même endroit. Les séparer artificiellement n’a pas de sens car ces identités auront souvent plus d’un rôle. Par exemple, un partenaire pourrait avoir besoin d’être aussi un administrateur et un utilisateur final. Un seul magasin engendre au final de meilleurs résultats et des expériences utilisateurs plus cohérentes, ce qui rend les identités et leurs rôles plus faciles à gérer au fur et à mesure sur leur relation avec l’organisation évolue sur le temps.
  
  
• Auto-enregistrement : Les campagnes de marketing et les collatéraux numériques apportent des prospects au site de l’organisation où les utilisateurs sont incités à s’auto-enregistrer. Ils créent de nouveaux comptes, fournissent leurs coordonnées et s’engagent de plus en plus avec l’entreprise à partir de ce moment. Permettre aux utilisateurs d’utiliser les identités existantes et les social logins pour accéder aux sites améliore leur expérience car ils ne doivent pas gérer d’identité supplémentaire.
  
  
• Personnalisation et profilage progressif : Une fois qu’un utilisateur s’est enregistré, la plupart des organisations réunissent des informations supplémentaires sur l’utilisateur au fur et à mesure que la relation se développe. Ces informations concernent souvent le statut et les activités de l’utilisateur ou encore les cartes bancaires et les adresses d’expédition lorsque des articles sont achetés. Remarque : Il est important de collecter des informations uniquement lorsque cela est nécessaire et uniquement lorsque l’usage qui en sera fait est clair.
  
  
• Gestion du profil et consentement de l’utilisateur en libre-service : Les organisations qui collectent des informations sur les clients doivent être des gardiens responsables, ce qui signifie qu’elles collectent uniquement les informations dont elles ont besoin et qu’elles les stockent de façon sécurisée. Elles doivent être transparentes sur les informations qu’elles collectent, comment elles seront utilisées et elles doivent obtenir le consentement explicite de l’utilisateur pour gouverner la distribution et l’utilisation de ces informations.
  
  
• Une authentification sans mot de passe : Lorsque la plupart des utilisateurs tentent de se connecter à une application, il est souvent plus facile pour eux de fournir leur empreinte digitale ou de parler dans le micro que de retenir et de garder une trace de leurs mots de passe. Non seulement l’authentification sans mot de passe est souvent préférée, mais elle est aussi plus sécurisée. Toutes les communications sont chiffrées et, dans de nombreux cas, les techniques de cryptographie à clés publiques sont utilisées et les clés privées ne quittent jamais les appareils des utilisateurs, ce qui réduit les chances que quelqu’un les intercepte lors de la transmission.
  
  
• Authentification contextuelle : Grâce à l’authentification contextuelle, les organisations peuvent examiner divers facteurs pour mieux comprendre les risques lorsque les utilisateurs tentent de s’authentifier. Elle déterminer si l’utilisateur a déjà utilisé l’appareil auparavant, s’il est connu comme une adresse IP risquée, le temps qui s’est écoulé depuis que l’utilisateur s’est authentifié pour la dernière fois, ainsi que la région géographique à laquelle appartient l’utilisateur.