Comment « Le Seigneur des Anneaux » a prédit les défis modernes de l’IAM

Version imprimable, PDF et e-mail

Il s’agit du deuxième volet d’une série en trois parties consacrée à l’identité en tant que service, Zero Trust et la sécurité en profondeur.  

Dans notre dernier billet de blog, nous avons analysé les solutions modernes de gestion des identités et des accès (IAM), et plus particulièrement les solutions d’identité en tant que service (IDaaS). Celles-ci peuvent authentifier les utilisateurs en toute sécurité et vérifier qu’ils sont bien ceux qu’ils prétendent être. Plus important encore, ces solutions garantissent que les utilisateurs sont bien habilités à utiliser les applications et les services pour lesquels ils demandent un accès. L’IAM et l’IDaaS peuvent offrir une sécurité contextuelle, tenir compte de facteurs extérieurs et même identifier les utilisateurs qui ont été compromis après qu’ils ont obtenu un accès.

Alors que vient faire « Le Seigneur des Anneaux » dans tout cela ? Dans son œuvre magistrale, Tolkien a imaginé plusieurs anneaux, des anneaux de pouvoir donnés aux hommes, aux nains et aux elfes, et un anneau, l’anneau maître, forgé pour les régir. Okta, Azure Active Directory (AAD), Google Suite : tous peuvent être considérés comme des anneaux de pouvoir. AAD, par exemple, permet aux administrateurs de gérer les utilisateurs et l’accès à Microsoft 365, mais n’est pas en mesure de fournir une gestion des accès en dehors de cet environnement étroitement contrôlé.

Par ailleurs, on pourrait considérer les grands anneaux comme représentant l’histoire de nos appareils : ordinateurs, smartphones, tablettes, dispositifs IoT. Tout comme nous avons plusieurs appareils, nous avons plusieurs solutions IDaaS. Google Suite, l’un de ces services d’annuaire, est populaire auprès des entreprises, notamment celles qui utilisent les applications Google. Mais presque toutes ces entreprises utilisent également Microsoft 365 (Word, PowerPoint, Excel, Teams, etc.) et Azure Active Directory est le service d’annuaire préféré de ces utilisateurs professionnels.

Les solutions IDaaS cherchent donc toutes à se positionner comme l’anneau unique. L’IDaaS unique et maître capable fournir des services d’identification pour toutes les applications, tous les workloads, tous les utilisateurs et toutes les identités. De nombreuses solutions IDaaS le garantissent, mais la réalité est quelque peu différente.

Okta a adopté une approche audacieuse. Le module de gestion des risques d’Okta utilise les informations d’identification du compte de l’utilisateur sur site combinées à des facteurs cloud tels que l’état des appareils, la localisation et les tendances comportementales afin d’établir ce que l’on appelle souvent un niveau d’assurance. Il peut ainsi présupposer le risque lié à l’octroi de l’accès.

Le problème des anneaux multiples

Si des solutions comme le module de gestion des risques peuvent enrichir l’IDaaS pour y inclure la connaissance du contexte, cela ne résout toujours pas le problème des anneaux multiples. Les entreprises disposent de plusieurs annuaires et chacun d’eux est souvent parfaitement adapté à des cas d’utilisation spécifiques, comme AAD. Il en faut beaucoup plus.

La notion d’anneau unique représente un seul IDaaS face à ces autres annuaires et en théorie, offre ce que les annuaires individuels ne peuvent pas offrir : un seul « point de référence » pour la gestion des identités et des accès. Les solutions IDaaS élargissent leur portée pour inclure des API et la gestion d’autres annuaires, mais il est légitime de se demander si les solutions IDaaS évolueront aussi rapidement que les annuaires qu’elles prennent en charge. Si les solutions IDaaS ne peuvent pas suivre le rythme, elles peuvent devenir des obstacles à l’innovation et à l’adoption rapide de nouvelles technologies. Ce phénomène est connu sous le nom de « verrouillage technologique » ou de « dépendance vis-à-vis du cheminement technologique » et il peut se traduire par un manque d’efficacité des flux de travail des entreprises.

Le risque zéro n’existe pas. En fait, il s’agit d’une course effrénée entre les entreprises et les pirates.   Par conséquent, la mise en place d’outils d’authentification de plus en plus sophistiqués entre l’utilisateur et les workloads pourrait simplement alimenter cette surenchère. C’est là que Zero Trust entre en jeu. Zero Trust est un modèle de sécurité qui permet d’unifier les solutions IDaaS sans pour autant contribuer à un verrouillage technologique potentiel et à d’autres risques significatifs.

Dans notre prochain billet de blog, nous verrons comment Zero Trust se conjugue avec les solutions IDaaS, mais en attendant, découvrez la solution CloudGen Access de Barracuda. Zero Trust s’intègre parfaitement aux solutions IDaaS sans pour autant accroître inutilement les frais généraux et la complexité.

 

Il s’agit du deuxième volet d’une série en trois parties consacrée à l’identité en tant que service, Zero Trust et la sécurité en profondeur.  

Remonter en haut de page
Tweeter
Partager
Partager