Auparavant, la sécurité des infrastructures réseau en entreprise était assez simple : il suffisait de donner à ses employés un accès protégé par mot de passe aux systèmes et applications. Certes, il fallait sensibiliser un minimum les utilisateurs afin qu’ils n’écrivent pas leurs identifiants sur un Post-It mais il était assez simple d’éviter les problèmes. Par Luc Caprini, directeur Europe du Sud chez Ping Identity.
À présent, les entreprises doivent sécuriser non seulement l’accès des employés à leurs systèmes mais aussi à ceux de leurs clients et, de plus en plus, de leurs partenaires. Recourir à des solutions de type IAM (gestion des accès et des identités) pour gérer des partenaires peut s’avérer être un processus très complexe, surtout si leur nombre est élevé. Pour de grandes chaînes de distribution telles que Walmart, comptant 110 000 partenaires ayant accès à un portail dédié, l’IAM peut se révéler extrêmement compliqué et coûteux.
Comment gérer la multitude d’identités des partenaires
Gérer les accès et les identités des partenaires et des fournisseurs est difficile à maîtriser principalement car ils ne sont pas des employés. Par conséquent, les grandes entreprises doivent gérer les identifiants et mots de passe d’un groupe potentiellement très vaste d’utilisateurs qui ne font pas partie de leur personnel. Cette tâche peut s’avérer extrêmement lourde dans la mesure où les entreprises ne sont pas toujours informées lorsqu’un employé d’un de leurs partenaires quitte sa société. Compte tenu de la rotation constante du personnel, c’est un véritable casse-tête que de tenter de gérer l’évolution de l’effectif d’une entreprise partenaire. Cette dernière avertit en effet rarement du départ d’un de ses utilisateurs ou le fait très souvent dans un délai trop long. À cela s’ajoute le coût de gestion des mots de passe à réinitialiser.
En 2013, le distributeur Américain Target avait été vivement critiqué après l’intrusion d’un pirate dans ses systèmes informatiques au moyen d’identifiants volés à un sous-traitant. Outre le coup considérable porté à la confiance de dizaines de millions de détenteurs de cartes, cette faille a coûté une somme avoisinant 150 millions de dollars aux actionnaires du groupe. En d’autres termes, les entreprises ne doivent pas prendre à la légère leur politique de sécurité en matière d’accès, et ce sur toute la chaîne logistique.
Faute d’une solution IAM pour leurs partenaires, de nombreuses entreprises ont recours à des méthodes trop draconiennes. Par exemple, certaines d’entre elles imposent à leurs employés ou leurs partenaires de valider à nouveau une fois par mois ou par trimestre leurs identifiants et mots de passe. Même si cette méthode a l’avantage de réduire le nombre d’utilisateurs inactifs d’un système informatique, elle est très contraignante pour les utilisateurs et reste tout de même compliquée à gérer. D’ailleurs, pourquoi certaines entreprises devraient gérer les utilisateurs des autres ?
La fédération des identités des partenaires
Les solutions de fédération des identités et des accès permettent aux entreprises de procéder à l’authentification de leurs utilisateurs et la validation de leurs mots de passe pour leur faire bénéficier d’un accès aux applications partenaires.
Pour que les partenaires adoptent les solutions d’IAM, il faut que celles-ci soient d’une grande simplicité et qu’elles soient adaptées à chaque catégorie d’entreprise, dont nous listons ici trois types distincts :
1. Les TPE, microentreprises, indépendants. Les partenaires de ce type sont les entités les plus petites, qui ne pratiquent pas l’authentification. Pouvant même ne compter qu’un seul utilisateur, certains ont à peine un ordinateur. Ils ont besoin d’un service cloud offrant un répertoire pour leurs utilisateurs et un portail fédéré d’authentification unique (SSO, Single Sign-On). Pour cela, ils doivent enregistrer leurs utilisateurs et leur attribuer un identifiant de connexion au système de fédération.
2. Les entreprises disposant d’une certaine infrastructure technique. Cette catégorie correspond traditionnellement aux PME qui disposent d’un annuaire d’entreprise mais pas de capacités de SSO ni de fédération. Elles ont besoin d’un service cloud assurant la liaison entre leur répertoire et authentifiant leurs utilisateurs au moyen des identifiants de l’entreprise pour leur donner accès à un portail SSO.
3. Les entreprises disposant de capacités de fédération, de SSO et d’un annuaire. Les grandes entreprises ont besoin des informations nécessaires pour connecter leur système SSO de fédération directement aux systèmes de leur partenaire. Cette tâche peut être plus complexe qu’il n’y paraît à première vue car ce ne sont généralement pas les mêmes personnes qui sont responsables de l’IAM et des partenaires/fournisseurs au sein de l’organigramme, ce qui peut rallonger les délais d’intégration.
Des solutions d’identifications s’adressant à chacune de ces trois catégories sont d’ores et déjà disponibles sur le marché avec les déclinaisons de fonctionnalités suivantes :
– Annuaire cloud : Un outil permettant à des partenaires plus modestes de gérer l’identité de leurs propres utilisateurs dans un annuaire sur le cloud, en l’espace de quelques minutes.
– SSO cloud : L’accès fédéré SSO dans le cloud est essentiel pour les PME partenaires qui ne possèdent pas de capacités de SSO en interne. En quelques clics, ils peuvent bénéficier de leur propre portail SSO dans le cloud, avec une connexion directe et sécurisée à leur portail.
– Accès fédéré : Les partenaires bénéficient d’un accès SSO fédéré, sécurisé et transparent, à l’ensemble des applications et API internes et externes nécessaires.
Le coût et le risque de la gestion d’identité des partenaires ont de quoi rebuter. En vous dotant d’une solution d’IAM fédérée pour gérer vos partenaires, les risques de vous retrouver sur la sellette seront amoindris.
