Qu’est-ce que la gestion des identités et des accès clients (CIAM) ?

La CIAM se situe au carrefour de l’expérience client et de la cybersécurité.

Les entreprises utilisent des solutions CIAM pour créer des expériences d’inscription et de connexion des utilisateurs cohérentes et avec personnalisation de marque dans leurs écosystèmes numériques, qu’il s’agisse de sites web, d’applications mobiles ou de dispositifs de l’Internet des objets (IdO). Les outils CIAM permettent également d’automatiser et de rationaliser la collecte des données client à chaque point de l’écosystème, ce qui permet à l’entreprise d’attribuer à chaque client une identité utilisateur définie. Où que les utilisateurs se rendent, ils ont accès au même portail de connexion et au même compte utilisateur.

Dans le même temps, les outils CIAM protègent les comptes et les données personnelles des clients contre les fraudes et les abus en mettant en œuvre des contrôles de sécurité tels que la vérification d’identité, l’authentification à étapes et la détection des anomalies.

Les premières solutions CIAM se concentraient exclusivement sur les identités des consommateurs. Certains outils CIAM ont évolué pour prendre en charge la gestion du cycle de vie des identités pour toutes sortes d’utilisateurs en dehors du personnel de l’entreprise, notamment les partenaires, les fournisseurs, les citoyens et les clients interentreprises (B2B). 

La gestion des identités et des accès (IAM) est une discipline qui régit la manière dont les utilisateurs accèdent aux ressources numériques dans les réseaux d’entreprise. Sous-domaine de l’IAM, la CIAM consiste à gérer l’accès des clients et autres personnes externes à l’entreprise, et non de ses salariés ni de ses utilisateurs internes.

Les entreprises traitent la CIAM comme une branche distincte de l’IAM, car les clients externes et les employés internes ont des besoins et des priorités différents lorsqu’il s’agit de gérer leur identité et d’utiliser des ressources numériques.

Il existe trois différences majeures entre l’IAM et la CIAM.

Les données clients sont extrêmement précieuses, mais en demander trop peut être rebutant. Les outils et les processus CIAM aident les entreprises à créer des workflows optimisés pour inviter et inciter les utilisateurs à partager leurs données personnelles.

En revanche, les pratiques traditionnelles de gestion des identités et des accès se concentrent moins sur la capture de données. Si une entreprise a besoin d’informations de la part de ses employés, il lui suffit de leur demander.  

Les clients veulent une expérience numérique fluide. S’ils se heurtent à des obstacles, ils peuvent renoncer, voire abandonner leurs paniers en cours d’achat. Pour ne pas nuire à la rétention client, les outils et processus CIAM doivent pouvoir concilier sécurité, collecte de données et expérience utilisateur.

Les solutions IAM traditionnelles privilégient la sécurité par rapport à la commodité, et ce pour plusieurs raisons. Tout d’abord, les pirates peuvent causer plus de dommages avec le compte volé d’un employé qu’avec le compte d’un client. Deuxièmement, les employés ont une tolérance plus élevée pour des expériences loin d’être idéales. La raison à cela est qu’ils n’ont pas le loisir de refuser un système d’entreprise qu’ils n’aiment pas. 

Comme les solutions IAM s’adressent principalement aux utilisateurs internes, elles ne doivent prendre en charge que des dizaines, voire des centaines de milliers d’utilisateurs au maximum. Les systèmes CIAM doivent quant à eux être capables de monter en charge pour servir des millions, voire des centaines de millions de clients. Ainsi, les CIAM mettent souvent l’accent sur la gestion des comptes en libre-service et l’infrastructure cloud évolutive.

Bien que les entreprises aient besoin d’approches légèrement différentes pour l’IAM et la CIAM, elles n’ont pas nécessairement besoin d’utiliser des solutions d’identité distinctes. De plus en plus, de nombreux outils IAM peuvent gérer à la fois les cas d’utilisation du personnel et de la CIAM.

La CIAM est une initiative transverse qui implique généralement les parties prenantes issues des domaines de l’informatique, de la sécurité, du marketing et d’autres acteurs. De nombreuses entreprises développent leurs processus CIAM autour de quatre piliers clés : la capture des données, l’engagement des utilisateurs, l’autogestion et l’administration des systèmes.

• Capture de données : créer des flux de travail pratiques et rationalisés pour la création de comptes et la collecte de données, afin d’inciter les utilisateurs à s’inscrire et à partager leurs données.
  
  
• Engagement des utilisateurs : utiliser des connexions simples et sécurisées et un profilage progressif pour engager les clients et les inciter à revenir.
  
  
• Autogestion : donner aux utilisateurs le contrôle de leur profil, notamment la possibilité de choisir les données sensibles qu’ils partagent et comment ces données sont utilisées.
  
  
• Administration des systèmes : la gestion continue des outils et des processus CIAM, notamment l’intégration de nouvelles applications, l’acquisition de nouveaux utilisateurs et la surveillance de l’activité pour prévenir la fraude et obtenir des informations.

Au cœur de tout processus CIAM se trouve une solution CIAM. Ces solutions unifient les actifs numériques et les services d’une entreprise en une expérience utilisateur unique, cohérente et avec personnalisation de marque. Peu importe où les utilisateurs se connectent (un site de bureau, une application mobile, voire le site web d’une marque affiliée), ils sont redirigés vers le même compte utilisateur.

En coulisse, le CIAM capture les données client de tous ces points de contact dans un référentiel centralisé et sécurisé, créant ainsi une identité unique pour chaque utilisateur dans l’ensemble de l’écosystème numérique de l’entreprise.

La plupart des outils CIAM sont des solutions cloud de type SaaS (logiciels en tant que service). Les solutions SaaS évoluent au fur et à mesure que le nombre de clients inscrits augmente, et elles se connectent aux différentes propriétés numériques de l’entreprise. Les fournisseurs commencent également à proposer des solutions CIAM sous forme de microservices flexibles, afin de mieux s’adapter aux architectures de structure d’identité de plus en plus populaires. 

Les utilisateurs gèrent eux-mêmes leurs comptes, de la création et de l’intégration jusqu’à la suppression (si nécessaire). Les utilisateurs peuvent définir leurs préférences de compte et de communication, mettre à jour leur profil et réinitialiser leurs mots de passe sans l’aide de l’organisation. 

Les solutions CIAM capturent et stockent les données clients importantes telles que les données démographiques, les informations de paiement et les historiques de commande.

De nombreux CIAM permettent le « profilage progressif ». Au lieu d’exiger que les utilisateurs complètent leur profil au moment de l’inscription, les outils CIAM demandent des données par étapes, et seulement si nécessaire. Par exemple, un nouvel utilisateur sur un site de commerce électronique peut avoir besoin de fournir uniquement un nom d’utilisateur et un mot de passe lors de l’inscription. Il n’a pas besoin de partager son adresse ou les informations de sa carte de crédit jusqu’à ce qu’il effectue un achat.

De nombreux CIAM peuvent être connectés à des systèmes internes tels que des entrepôts de données et des outils de gestion de la relation client (CRM) afin que les données des clients soient utilisées à des fins d’analytique et de business intelligence.

La plupart des CIAM disposent d’outils de gestion des consentements en libre-service, où les utilisateurs peuvent accorder ou refuser à l’entreprise la permission d’utiliser leurs données personnelles de telle ou telle manière. Cela peut aider les entreprises à se conformer aux lois sur la confidentialité des données, qui nécessitent l’obtention du consentement de l’utilisateur.

Certains CIAM incluent des outils de conformité supplémentaires, tels que le suivi des activités, l’audit et l’application des politiques de gouvernance des données. 

Les solutions CIAM prennent généralement en charge plusieurs méthodes d’authentification des utilisateurs. Ces méthodes sont généralement les suivantes :

• Authentification de base par nom d’utilisateur et mot de passe.
  
  
• L'authentification à étapes (MFA), qui exige que les utilisateurs fournissent au moins deux éléments pour prouver leur identité.
  
  
• L’authentification adaptative, qui s’appuie sur l’intelligence artificielle (IA) et le machine learning (ML) pour analyser le comportement des utilisateurs et modifier les exigences d’authentification en temps réel, selon le niveau de risque.
  
  
• L’authentification sans mot de passe, qui consiste à utiliser autre chose qu’un mot de passe pour vérifier l’identité des utilisateurs, comme l’authentification biométrique ou les clés d’accès.
  
  
• L'authentification unique (SSO), qui permet aux utilisateurs d’accéder à plusieurs applications et services à l’aide des mêmes identifiants. Les systèmes SSO s’appuient sur des protocoles ouverts tels que Security Assertion Markup Language (SAML) et OpenID Connect (OIDC) pour partager les données d’authentification entre les différents services.

Les systèmes CIAM prennent également en charge les processus d’autorisation, c’est-à-dire l’acte d’accorder aux utilisateurs vérifiés les autorisations appropriées dans un système. Le contrôle d’accès est simple pour les clients : la connexion vous donne l’autorisation d’accéder à votre propre compte et à rien d’autre. Les entreprises peuvent utiliser des systèmes plus granulaires, tels que le contrôle d’accès basé sur les rôles (RBAC), pour les fournisseurs, les sous-traitants et d’autres partenaires. 

De nombreux systèmes CIAM offrent des tableaux de bord et des rapports que les administrateurs peuvent utiliser pour suivre l’activité du système et des utilisateurs : authentifications, utilisation des applications, tendances de connexion et autres points de données. Ces outils peuvent aider les entreprises à mieux comprendre à la fois leurs processus CIAM et leurs utilisateurs. 

Pour offrir des expériences client fluides, les solutions CIAM doivent s’intégrer à divers actifs et systèmes. La plupart des CIAM disposent d’interfaces de programmation d'application (API), de kits de développement logiciel (SDK) et d’autres outils et connecteurs pour fonctionner sur les applications mobiles, les sites web, les appareils et dans les expériences en ligne.

Pour faciliter les workflows d’orchestration des identités, de nombreux CIAM prennent également en charge des méthodes low code et no-code, qui permettent de créer des processus d'authentification et d’autorisation unifiés sur des systèmes disparates.

De nombreuses solutions CIAM prennent en charge les connexions BYOI (« Bring Your Own Identity ») et les connexions sociales, qui utilisent des tiers tels que les sites de réseaux sociaux et d’autres formes d’identité fédérée en tant que fournisseurs d’identité. Au lieu de créer leurs comptes de A à Z, les utilisateurs peuvent importer les informations de leur profil, notamment les identifiants, à partir de ces tiers.

Pour protéger les données des utilisateurs, les systèmes CIAM ont des contrôles de sécurité intégrés tels que la détection des fraudes, la preuve d’identité, la protection contre la prise de contrôle de compte, la détection des anomalies et l’authentification adaptative.

De plus, les CIAM peuvent généralement s’intégrer à des outils de sécurité externes, tels que les solutions de gestion des informations et des événements de sécurité (SIEM), afin de mieux détecter et prévenir les activités suspectes et les cyberattaques.

Bien que les solutions CIAM et CRM aident toutes deux à gérer les données des clients, elles servent des objectifs distincts. Les outils CIAM sont orientés clients. Elles visent à permettre aux utilisateurs de gérer leurs comptes dans l’écosystème d’une entreprise. Les outils CRM sont orientés entreprises. Ils se concentrent sur des fonctions métier telles que la génération de leads et les pipelines de vente.

Les noms de ces outils soulignent la distinction : les outils CIAM gèrent les identités des utilisateurs, tandis que les outils CRM font le suivi des relations d’une entreprise avec ses utilisateurs.

Ces outils fonctionnent souvent de concert (les CIAM transmettent les données client aux outils CRM pour une analyse plus approfondie), mais il s’agit en fin de compte de deux outils différents avec des ensembles de capacités différents.

Les solutions CIAM sont utilisées dans divers domaines comme suit :

• Expérience client
• Business intelligence et données 
• Cybersécurité
• Services publics
• Activité B2B

Une violation de données coûte en moyenne 4,44 millions de dollars aux entreprises. Selon le Rapport sur le coût d’une violation de données publié par IBM, les identifiants compromis ou volés sont le vecteur le plus courant et représentent 10 % de ces violations.

Les pirates ne peuvent généralement pas s’introduire dans les systèmes d’entreprise sensibles à partir d’un compte client volé, mais ils peuvent tout de même faire de nombreux ravages, tels que le vol de données personnelles et les achats frauduleux. Si les clients pensent que les systèmes d’une organisation ne sont pas sûrs, ils peuvent cesser de les utiliser.

Les entreprises ont de bonnes raisons de sécuriser les comptes d’utilisateurs, mais si les exigences de sécurité sont trop lourdes, les utilisateurs risquent de s’y opposer. Les partenaires commerciaux, les entrepreneurs et les fournisseurs peuvent avoir une tolérance légèrement plus élevée, mais leur patience n’est pas infinie. 

Les solutions CIAM concilient expérience client et sécurité. Elles permettent aux entreprises de créer une expérience de connexion pratique, tout en sécurisant l’accès des clients par des moyens tels que l’authentification adaptative, qui invite les utilisateurs à fournir des identifiants supplémentaires uniquement lorsque le niveau de risque est élevé.   

Les CIAM peuvent simplifier et rationaliser le processus de mise en conformité avec les lois sur la confidentialité des données et la sécurité telles que le Règlement général sur la protection des données (RGPD). Les outils de gestion des consentements en libre-service permettent aux utilisateurs de définir leurs préférences et aux entreprises de conserver des registres des consentements et des préférences. La gestion des consentements permet aux entreprises d’instaurer la confiance avec leurs clients et d’éviter les sanctions en cas de non-conformité. 

En créant une expérience unifiée pour tous les clients, un CIAM crée également une source d’information unique pour les données client. Lorsque l’activité des clients est liée à des profils spécifiques, il devient plus facile pour les entreprises de déverrouiller la valeur de ces données.

Les utilisateurs peuvent interagir avec différents éléments d’un domaine numérique, mais, en fin de compte, un seul CIAM alimente toutes ces expériences de connexion. Toutes les données relatives à l’identité des clients sont intégrées dans le même référentiel. Les entreprises n’ont plus besoin de rassembler plusieurs jeux de données pour obtenir une compréhension basique de leurs clients.

Les CIAM contribuent également à éliminer les silos de données. Quel que soit l’endroit ou la manière dont les données des clients sont capturées (inscriptions à la newsletter, commandes, connexions à l’application) elles se déversent dans le même entrepôt de données. À partir de là, les données peuvent être partagées avec des entrepôts de données, des applications d’informatique décisionnelle, des modèles d’IA et d’autres outils d’analyse.