SYSTÈMES D’INFORMATION ET QUALITÉ


Gestion des identités


Quel contrôle pour le nouveau réseau ?


Selon Eric Leblond, la sécurité informatique est le moteur actuel des évolutions du système d’information en entreprise. Les enjeux de la gestion des identités sont ainsi devenus stratégiques.


Si le terme d’autoroute de l’information est entré dans les moeurs, entérinant par là même une métaphore urbaine, c’est prin- cipalement car l’analogie entre un système d’information et une ville est criante. A tel point que le concept d’urbanisation du système d’information est en plein essor. En urbanisme comme en gestion des systèmes d’information, la difficulté prin- cipale est la gestion de l’historique : il est beaucoup plus facile de construire un métro souterrain à Dubai qu’à Rome où l’on est sûr de tomber sur un monument antique tout les 20 mètres (ou à Barcelone comme c’est le cas actuellement).


L’évolution d’un système d’information est donc un processus complexe où la gestion de l’existant est un composant essentiel. Pour des raisons diverses, des applications anciennes peuvent être vitales (application métier participant de l’avantage concur- rentiel de la société) et inamovibles (appli- cations développées par feu un prestataire externe). Si une telle application existe, la tentation de l’immobilité est grande. Cet appel peut-être facilement entendu si on ne pense qu’à des exigences fonctionnelles mais si l’on prend en compte des paramè- tres externes comme la sécurité, cela est tout autre. Sans action, une application fiable devient avec le temps une solution en danger par le jeu des évolutions de l’en- vironnement (multiplication des moyens d’accès réseau) et surtout par celle de la menace informatique.


La notion de sécurité a évolué


La notion de niveau minimum de sécurité évolue considérablement en termes de fonctionnalités nécessaires. Si par exemple il était envisageable il y a quelques années


d’avoir une application sans authentifica- tion sur une base externe ou même sans authentification, il est actuellement impen- sable de rester avec une telle application dans un système d’information.


Même si elles sont simples, les raisons de ce changement de paradigme méritent d’être rappelées pour savoir quelles sont les menaces que l’on souhaite contrer (et donc décider des mesures à mettre en oeuvre). Dans un passé lointain, seules quelques personnes, des opérateurs, avaient accès aux applications (application en mode console par exemple). Les réseaux ont depuis cette époque évolué dans plusieurs directions : - la population ayant un accès au réseau informatique est beaucoup plus large,


- les outils informatiques se sont diversi- fiés.


vant multi-taches. Ceci introduit des risques supplémentaires en particulier de prise de contrôle (On peut par exemple penser aux urgences dans un hôpital qui font un usage massif des Pages Jaunes). L’ouverture vers le monde extérieur rend les systèmes vulné- rables puisque de nombreuses nouvelles classes de menaces sont maintenant à considérer (virus, cheval de troie,…).


Le réseau local n’est pas amical


Si les risques sur une application ances- trale ne se limitent pas à ces deux vecteurs de risques, ils font partis des éléments majeurs à prendre en considération. Leur présence conduit directement au besoin de protection des accès vers les applications sensibles : le réseau local ne peut plus être considéré comme un monde ami.


«sus d’Identity Access Management doit être une plateforme pivot et structurante »


Le premier point est trivial. Le réseau est global, tout le monde a accès au réseau et donc l’application informatique doit être protégée contre les attaques volontaires ou involontaires. La probabilité d’apparence a d’ailleurs augmenté de manière plus que linéaire par rapport à l’effectif des personnes connectées au réseau.


Le second point est inhérent à la nature des postes de travail. Mono applicatif dans beaucoup de cas il y a quelques années, la multiplication des services notamment internet fait que les postes sont doréna-


La gestion de l’identité par la mise en place d’une politique de gestion des accès en fonction de l’identité des utilisateurs est une des composantes essentielles de la rési- lience du système d’information. La réali- sation d’un tel projet passe par des processus centralisés qui irradient dans toutes les couches du système d’informa- tion. Les enjeux sécuri- taires de ces processus


sont nombreux : - Assurer un niveau de protection globale satisfaisant (le degré de résistance d’un SI est égal à celui de son maillon le plus faible)


- Assurer une réactivité maximale pour gérer le changement interne (évolution du personnel au sein de l’entreprise par exemple) et externe (nouvelle menace).


Processus global, le processus d’Identity Access Management(IAM) doit être central. Il doit être une plateforme pivot qui struc- ture les méthodes de la société.


 QUALITÉ RÉFÉRENCES ➤ OCTOBRE, NOVEMBRE, DÉCEMBRE 2010 ➤ PAGE 47


Page 1  |  Page 2  |  Page 3  |  Page 4  |  Page 5  |  Page 6  |  Page 7  |  Page 8  |  Page 9  |  Page 10  |  Page 11  |  Page 12  |  Page 13  |  Page 14  |  Page 15  |  Page 16  |  Page 17  |  Page 18  |  Page 19  |  Page 20  |  Page 21  |  Page 22  |  Page 23  |  Page 24  |  Page 25  |  Page 26  |  Page 27  |  Page 28  |  Page 29  |  Page 30