L’importance de la gestion des risques liés à l’identité

Vos collaborateurs dépendent plus que jamais des outils numériques. La nouvelle technologie aide à simplifier les processus, à stimuler l’efficacité et à accroître la satisfaction des clients, mais le fait de s’appuyer sur des systèmes numériques peut aussi engendrer des risques importants. Si la sécurité est compromise, les conséquences liées à votre réputation, à vos finances et aux réglementations pourraient être graves.

Les mots de passe sont de loin la manière la plus fréquente de protéger les systèmes contre des attaques. Mais lorsqu’il s’agit de gérer les risques liés à l’identité, les mots de passe ne suffisent tout simplement pas. Près de la moitié des employés admettent utiliser les mêmes mots de passe sur plusieurs systèmes. De ce fait, si les mots de passe constituent votre première et seule ligne de défense contre les cyber-menaces, ce n’est qu’une question de temps avant que vous soyez touché par une fuite.

Dans cet article, nous aborderons les principaux facteurs de risques liés à la gestion de l’identité et des accès (IAM), nous présenterons les bonnes pratiques pour déterminer votre exposition et nous vous montrerons comment vous pouvez agir dès maintenant pour renforcer votre posture de sécurité.

Les employés qui partagent leur mot de passe ou qui choisissent des mots de passe faibles sont les principales causes des fuites de données, mais les attaquants utilisent aussi d’autres moyens pour compromettre vos systèmes. Une fonctionnalité d’IAM avancée qui tient compte du contexte réduit ces risques en introduisant une ou plusieurs formes supplémentaires d’authentification, en invitant l’utilisateur à réaliser ces étapes d’authentification quand les seuils de risque sont atteints. Ces méthodes d’authentification incluent des passes à usage unique partagés sur les appareils mobiles, la biométrie (comme la reconnaissance des empreintes digitales) et les jetons d’authentification physiques.

Les entreprises peuvent aussi réduire considérablement les risques de fuite en surveillant régulièrement les comptes des utilisateurs et en s’assurant que les utilisateurs inactifs soient déprovisionnés lorsqu’il le faut. Cela est particulièrement important pour les utilisateurs ayant des comptes privilégiés, qui pourraient leur permettre de réaliser des fonctions telles qu’installer ou désinstaller un logiciel ou bien modifier les configurations d’une application sans avoir la permission de l’administrateur. Si les attaquants accèdent à un compte privilégié, ils pourront se déplacer latéralement dans votre réseau sans être détectés, accroître leurs privilèges et accéder à des données encore plus sensibles.

Pour se protéger contre cela et contre d’autres types d’attaques, il est également fondamental de corriger et de renforcer votre logiciel, en particulier si ces systèmes sont exposés à des réseaux externes. Les applications et les systèmes d’exploitation en fin de vie sont plus susceptibles d’avoir des vulnérabilités activement exploitées par les attaquants ; c’est pourquoi établir un programme de gestion et de remédiation des vulnérabilités est une manière efficace de désamorcer la menace. Une stratégie efficace de gestion des risques liés à l’identité devrait aussi inclure une manière d’alerter l’équipe de sécurité en cas de fuite de nouvelles données, par exemple en vous permettant de déterminer les impacts possibles de la suppression des mots de passe sur votre organisation.

En tenant compte de ces facteurs de risque, l’étape suivante est d’évaluer en profondeur la gestion des risques liés à l’identité. La structure de ce processus varie d’une entreprise à l’autre, mais la plupart des évaluations suivent le même format essentiel.

La première partie du processus implique typiquement un exercice de détection : dresser un aperçu de tous les systèmes physiques et d’information accompagnant les procédures indispensables à la réalisation des missions ou qui détiennent des informations sensibles. À ce stade, les entreprises devraient aussi définir les rôles et les groupes d’utilisateurs au sein de l’organisation, identifier les dépendances et définir des politiques adaptées à tous les types de compte utilisateur. Cette évaluation devrait aussi inclure un flux pour le deprovisioning des comptes inactifs ou inutiles, pour contribuer à minimiser la surface d’attaque. Des entreprises telles que SailPoint peuvent aider à faciliter la gouvernance des identités.

En s’appuyant sur ces éléments, les entreprises devraient s’engager avec les parties intéressées au sein de l’organisation pour aider à identifier tous les risques commerciaux associés à leurs systèmes numériques, évaluer les conséquences possibles d’une cyberattaque et mettre en place des protections pour que les risques demeurent aussi faibles que possibles sans réduire la productivité des employés. 

Si la gestion des risques liés à l’identité peut sembler intimidante, la bonne nouvelle c’est que vous pouvez prendre dès maintenant des mesures faciles. Plusieurs plateformes numériques, comme PingOne for Workforce, proposent des fonctionnalités d’authentification à double facteur, que vous pouvez activer immédiatement pour offrir une meilleure protection contre les fuites liées aux mots de passe. 

Sur le long terme, vous devrez toutefois envisager de vous séparer des mots de passe et de vous orienter vers une approche de l’IAM axée sur l’identité, zero trust et sans mot de passe. Ping propose des services et des solutions complets de gestion des identités et des accès qui vous permettent de quitter le Far West de la gestion des mots de passe en vue de prendre de meilleures décisions d’authentification et de réduire les risques commerciaux.