Vous vous êtes engagé sur la voie de la sécurité Zero Trust ? Alors, la gestion des identités et des accès (IAM) est probablement une partie importante de votre feuille de route – ou du moins, elle devrait l’être. La gestion des identités a pour objectif de s’assurer que les personnes et les systèmes qui accèdent à votre réseau sont bien ceux qu’ils prétendent être.

Nous savons tous que les parcours Zero Trust peuvent être échelonnés, complexes et coûteux. Alors que vous envisagez de renforcer la gestion des identités sur votre feuille de route Zero Trust, pourquoi ne pas étendre la valeur de cet investissement en appliquant l’identité à des décisions d’accès aux données spécifiques et granulaires ?

Qu’est-ce que la Gestion des Identités (IAM) ?

Selon Gartner, la gestion des identités et des accès (IAM) est "la discipline qui permet aux bonnes personnes d’accéder aux bonnes ressources, aux bons moments et pour les bonnes raisons". Les fournisseurs de services de gestion des identités se spécialisent dans l’élaboration d’approches intelligentes de l’identité, en mettant en place des garanties qui valident et authentifient qu’un utilisateur, un système ou un dispositif est une entité connue.

L’identité Informe l’Accès : Qu’est-ce que le Contrôle d’Accès ?

Le contrôle d’accès applique l’identité aux applications et aux parties d’un réseau auxquelles l’utilisateur doit avoir accès. Dans le contexte de la cybersécurité, il s’agit d’attribuer des paramètres d’accès à un utilisateur individuel. Cela détermine quelles applications, quelles zones de votre réseau et quels types de données l’individu doit avoir le droit d’accéder.
La gestion des identités (authentification/AuthN) et le contrôle d’accès (autorisation/AuthZ) sont souvent associés : Par exemple, une fois que vous vous êtes connecté à votre fournisseur d’authentification unique (qui authentifie votre identité), vous serez autorisé à accéder aux applications nécessaires à votre travail. L’un informe l’autre.
Mais qu’en est-il des données particulièrement sensibles ? Que se passerait-il si les organisations pouvaient déterminer plus intelligemment qui peut accéder à certains éléments de données ?

Devenir plus précis : Qu’est-ce que le Contrôle d’Accès par Attributs (ABAC) ?

Le contrôle d’accès par attributs est un moyen granulaire et nuancé de garantir que les données sensibles ne sont accessibles qu’aux personnes qui ont besoin de les connaître. Alors que le contrôle d’accès basé sur les rôles (RBAC) peut être fondé sur le rôle et les responsabilités d’une personne au sein d’une entreprise, le contrôle d’accès basé sur les attributs (ABAC) vous permet de délimiter davantage les droits d’accès en fonction de détails plus granulaires, comme le fait d’être partie prenante d’un certain projet pendant une durée déterminée ou d’avoir besoin d’accéder à un certain sous-ensemble de données sensibles plutôt qu’à l’ensemble des données.

Les contrôles d’accès basés sur les rôles peuvent vous amener à accorder un accès excessif aux données à vos employés. Mais en attribuant des balises granulaires à certains ensembles de données ou fichiers, les données sensibles ne sont accessibles qu’à ceux qui ont réellement besoin de les connaître.

L’image complète du Zero Trust : Lier les Contrôles d’identité et d’Accès aux Données elles–mêmes

Selon John Kindervag, le père du Zero Trust, "le premier principe de la sécurité Zero Trust est de protéger les données". A la fin de la journée, ce sont vos données que vous protégez, pas le réseau, ni les applications. C’est dans les données que réside la véritable valeur - et ces données sont essentielles pour votre entreprise, tant du point de vue des opérations quotidiennes que de la valeur de la marque et de la fidélité.
Pour protéger au mieux ces données, vous pouvez appliquer des contrôles d’accès basés sur les attributs qui n’accordent l’accès qu’aux personnes ayant un réel besoin d’y accéder.
C’est pourquoi, vous devez sélectionner un partenaire pour protéger les informations partagées dans les applications que vous utilisez tous les jours : Google Workspace, Microsoft Outlook, Salesforce et d’autres applications critiques. Et ainsi étendre votre travail de gestion des identités au-delà des couches réseau et applicatives et jusqu’à la couche des données - sans doute la couche la plus fondamentale du Zero Trust.

Alors, vos données deviennent autoprotectrices et autodirigées : ces contrôles et politiques d’accès sont cryptographiquement liés aux données elles-mêmes et les accompagnent dans tous leurs déplacements. Même après qu’un fichier ou un autre élément de données a été partagé en dehors de votre réseau, ces politiques sont toujours en place et peuvent être modifiées par les administrateurs ou les utilisateurs finaux à tout moment.

La gestion des identités s’étend ainsi à votre actif le plus important, les données, tout en permettant à ces dernières d’entrer et de sortir de votre organisation tout en restant entièrement sous votre contrôle.