Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

7e RIAMS : Evidian, l’approche pragmatique de l’IAM

mai 2011 par Marc Jacob

Un client d’Evidian est venu présenter son retour d’expérience sur l’implémentation de la solution de gestion des identités et des accès. Pour lui, un projet d’IAM doit bien sûr obtenir le soutien de la direction, mais aussi avoir le support des métiers, se reposer sur une équipe dédié et sur un fournisseur fiable et flexible.

Suite à un audit réalisé en 2000, dans l’entreprise de ce RSSI, il a été mis en évidence qu’il fallait automatiser la gestion des identités. Un appel d’offre a été lancé qui a été remporté par Evidian.

En préambule de sa conférence, ce client d’Evidian a décrit le flux d’une demande d’accès qui se déroule en 5 étapes de l’initialisation de la demande au contrôle. Un outil avait été développé en interne : SAM2. C’était un outil de workflow qui permettait de fournir toutes les informations concernant les flux. Le routage des demandes pour le provisionning est par contre manuel.

Quand nécessité d’automatiser le provisionning, il a inventorié tous les PC. Pour définir le périmètre IAM puis comparatif avec les accès. Ainsi, environ 67% des applications utilisées ont été identifiées. Ainsi, Evidian a été choisi pour le provisionning avec IAM8. Une partie reste manuel volontairement.

Après cette première étape il a été jugé important de faire de l’IAM avec des accès basés sur les rôles (RBAC). Le RBAC permet de simplifier la visualisation des accès et dons des permissions. Cette gestion offre des gains aussi sur la gestion des licences. Une identification des rôles a été réalisée. Un mapping des rôles a été initialisé qui a montré des rôles à ce à la construction des rôles, il a été aisé d’évaluer les coûts de chaque ouverture de compte.

Développement en interne de l’outil « Role Based Tool », pour la gestion des rôles Il a été déployé sans trop déranger le Business. Au niveau du groupe avec les filiale présente au sein de l’Europe, il a fallu gérer la compatibilité d’autant qu’une d’entre elle n’avait pas la solution Evidian. Lors de la migration, il a procédé par étape en commençant par les services les moins impactant pour le business. A partir de juin 2010 début de la migration sans rencontrer de problème majeur.

Dans le futur, il va continuer la migration et construire le Role mining & building.

En conclusion, l’IAM est une épopée pour lui le marché n’est pas assez mature. C’est clairement un projet Business. Il faut avoir une vision, définir des stratégies avec des étapes intermédiaires permettant de monter en puissance.

Il faut disposer du soutien de la direction, avoir une excellente entre les équipes IT, métiers, déploiement de l’IAM… Il faut que l’équipe IAM soit composé d’au moins deux personnes ; un spécialiste de l’IAM et un du role mining. Il faut se reposer sur un fournisseur fiable.


Articles connexes:


Voir les articles précédents

    

Voir les articles suivants