GS Mag : Qu’allez-vous présenter à l’occasion des Assises de la Sécurité ?

Julien Cassignol : Nous allons présenter notre vision unifiée de la gouvernance des identités et des accès (IAG) et de la gestion des comptes à privilèges (PAM – Privilged Access Management).
Selon nous, l’identité doit être au cœur de la sécurité. Nous présenterons aux Assises de la Sécurité, les différentes briques que nous proposons de mettre en place pour identifier l’utilisateur et le suivre tout au long de ses sessions et de son parcours au sein de l’entreprise.
Nous proposerons évidemment des démonstrations de notre offre phare, One Identity Manager pour la gouvernance et le contrôle des identités et des accès, mais également de la partie PAM de notre offre, avec One Identity Safeguard.

En plus de de ces solutions, la gamme complète de One Identity comprend :
• Starling Identity Analytics & Risk Intelligence (Solution Cloud révélant les risques liés aux permissions des utilisateurs)
• Starling 2FA (Solution Cloud d’authentification à double facteur)
• Cloud Access Manager (Solution de gestion des accès qui inclut des fonctionnalités de fédération et de gestion des accès web)
• Active Roles (Solution d’administration et de gestion des droits de l’Active Directory, qui permet aux entreprises de gérer des environnements AD on-premises, Cloud hybride, via un outil unique).

Ce portefeuille de solutions couvre trois aspects clés de l’identité : son cycle de vie (provisionnement/déprovisionnement), les accès (TFA, SSO...) et les accès privilégiés (qui sont les clés de la prévention des failles, de la conformité, et de la sécurité globale).

GS Mag : Quel sera le thème de votre conférence cette année ?

Julien Cassignol : Nous allons proposer un focus important sur l’amélioration de nos technologies PAM avec l’intégration des technologies de Balabit dans nos solutions cette année. Pour cela, nous aurons sur scène notre client Outscale, hébergeur Cloud, qui expliquera l’intégration réussie de nos solutions PAM dans son infrastructure. Outscale expliquera entre autres l’intérêt qu’a représenté pour lui notre fonction d’enregistrement de session. Il faut savoir que le marché du PAM est aujourd’hui très focalisé sur la gestion des mots de passe. Nous préconisons plutôt de démarrer de tels projets par l’enregistrement de session, qui revient à déployer un audit en continu et les alertes qui en découlent. Cela permet aux clients de recevoir des alertes en cas de comportement suspect de l’utilisateur et d’éviter les dommages potentiels encourus par les utilisateurs et les pirates agissant de l’extérieur, en utilisant des informations d’identification compromises. Ce qui nous paraît bien plus efficace que simplement poser une barrière au départ d’une session sans savoir ce qui est fait au sein de celle-ci.

GS Mag : Quelles sont les principales menaces que vous avez pu identifier en 2018 ?

Julien Cassignol : Les menaces que nous surveillons sont les malveillances qui ont lieu sur le réseau interne. Nous confirmons les taux relevés par Verizon dans son dernier rapport Data Breach Investigations : 50% de ces attaques sont des infiltrations d’acteurs malveillants externes, 25% sont dues à de la malveillance interne et 18% relèvent de piratages commandités par des États dans un but d’espionnage ou de sabotage.
En ce qui concerne la sécurité périmétrique, nous retenons surtout que 81% des attaques menées sur le réseau interne ont réussi grâce à des mots de passe faibles ou volés. Cela signifie que les dispositifs qui se contentent de protéger les accès sont inefficaces dès lors que les mots de passe sont faciles à obtenir. Il est primordial de protéger le périmètre, mais il est possible d’augmenter considérablement son niveau de sécurité en surveillant et en réagissant de manière appropriée aux événements et aux actions qui se produisent sur son réseau.

GS Mag : Quid des besoins des entreprises ?

Julien Cassignol : Les entreprises attendent des solutions de sécurité qui se déploient facilement, avec un coût faible et qui ne compliquent pas l’expérience utilisateur. La productivité des salariés est un facteur très important et il faut pouvoir l’accompagner tout en assurant la protection du SI. La gouvernance de l’identité est selon nous le seul moyen d’y parvenir, surtout lorsque les salariés, par exemple, changent de poste ou quittent l’entreprise. Car dans ce cas, les entreprises doivent résoudre la problématique d’utilisateurs qui pourraient cumuler leurs anciens et leurs nouveaux privilèges.

GS Mag : De quelle manière votre stratégie est-elle amenée à évoluer pour adresser ces enjeux ?

Julien Cassignol : Nous continuons à élargir encore le périmètre de nos fonctions de gouvernance. Aujourd’hui, il est possible de régir les droits de tous les types d’utilisateurs y compris ceux des développeurs, mais dans un contexte où ceux-ci utilisent désormais des ressources comme les containers qui ont leur propre cycle de vie, il devient pertinent de déprovisionner automatiquement des droits d’accès lorsque l’on déprovisionne ces ressources. Notre ambition est de nous interfacer avec des plateformes comme Docker ou Kubernetes pour établir une gouvernance globale qui inclut toutes les ressources – anciennes et nouvelles. Les mêmes considérations s’appliquent par exemple aux objets connectés.

GS Mag : Avec l’entrée en vigueur du RGPD, la « security et la privacy by design » deviennent quasi incontournables. Quel sera votre positionnement en ce domaine ?

Julien Cassignol : La modularité est la clé. La conformité au RGPD ne doit pas être prétexte à des projets big bang en sécurité, car ils plongeraient les entreprises dans un tunnel d’au moins deux ans avant d’avoir ne serait-ce qu’un premier module de sécurité fonctionnel. C’est pourquoi nous conseillons d’identifier les risques et de mener de front la mise en place des différentes mesures nécessaires. Les solutions d’IAM modulaires et intégrées, telles que celles proposées par One Identity, sont des points de départ parfaits pour créer des solutions de gouvernance complètes, pour qu’au final chaque entreprise puisse éliminer rapidement tous les vecteurs d’attaques et ce, sans perturber ses utilisateurs.

GS Mag : Quel est votre message aux RSSI ?

Julien Cassignol : Les RSSI souffrent d’un problème de légitimité dès lors que les projets qu’ils mènent impactent les RH, les métiers, l’IT, etc. Pour qu’ils conservent la main, ils ne doivent pas prendre en charge l’ensemble du projet en une seule fois, mais plutôt identifier des périmètres simples, réalisables dans des délais qui ne dépassent pas six mois, au sein d’un projet global. En segmentant, le RSSI défendra mieux sa vision car il résoudra les problématiques plus rapidement.