Qu’est-ce qu’une Identity Fabric ?

À l’ère de la transformation numérique, la plupart des entreprises gèrent des environnements hybrides et multicloud qui associent actifs sur site, applications héritées et divers services cloud. Il est courant que chacun de ces systèmes dispose de sa propre solution IAM, ce qui signifie que les entreprises doivent jongler avec plusieurs annuaires d’utilisateurs et systèmes d’identité.

La prolifération des systèmes d’identité déconnectés dégrade l’expérience utilisateur et génère des lacunes de visibilité et de sécurité dont peuvent tirer parti les acteurs malveillants. Selon l’IBM® X-Force Threat Intelligence Index, l’identité est l’un des vecteurs d’attaque les plus courants, soit 30 % des intrusions.  

La identity fabric permet d’unifier les différents systèmes d’identité présents dans l’écosystème de l’entreprise. Cette approche permet de surveiller l’activité et d’appliquer des mesures cohérentes de gouvernance des identités, d’authentification et d’autorisation pour l’ensemble des utilisateurs, à travers les différentes applications et plateformes.

Cette approche centralisée offre une meilleure visibilité sur l’activité des utilisateurs, renforce la posture de sécurité, ainsi que l’efficacité opérationnelle de l’entreprise, et rationalise l’expérience utilisateur.

Les Identity Fabric permettent aux entreprises d’intégrer les systèmes d’identité disparates de leurs applications, actifs et services. L’entreprise peut appliquer des politiques d’accès unifiées, surveiller l’activité des utilisateurs, corriger les vulnérabilités et mettre en œuvre des contrôles de sécurité cohérents à travers leurs différents systèmes. 

Les systèmes de gestion des identités et des accès sont des outils de sécurité des identités essentiels. Ils permettent de protéger les identités numériques, de bloquer toute activité non autorisée et de garantir que les bonnes personnes accèdent aux bonnes ressources pour les bonnes raisons.

Cependant, la plupart des entreprises se retrouvent à gérer plusieurs solutions IAM connectées à différents annuaires d’utilisateurs. La plupart des entreprises utilisent une solution IAM pour les utilisateurs internes, et une solution de gestion des identités et des accès client (CIAM) pour les clients et les autres utilisateurs externes.

De nombreuses entreprises ont toutefois plusieurs systèmes d’identité à gérer. Chaque application héritée, fournisseur de cloud et système sur site peut avoir sa propre solution IAM et son propre service d’annuaire.

Ces silos d’identités engendrent une expérience utilisateur incohérente, car chaque système peut exiger des identifiants, des niveaux d’autorisation et des mesures de sécurité distincts.

Par ailleurs, les systèmes d’identité déconnectés présentent des risques de sécurité importants. L’identité des utilisateurs est une cible de choix pour les cybercriminels. Selon l’IBM X-Force Threat Intelligence Index, le vol d’identifiants est le problème le plus fréquent auquel sont confrontées les victimes de violations.

Sans une approche centralisée, il peut être difficile de mettre en place des mesures de cybersécurité strictes comme l’authentification sans mot de passe avec clés d’accès FIDO, l’authentification basée sur les risques (RBA) ou encore la gestion en temps réel des menaces pesant sur les identités. Certains systèmes IAM ne prennent même pas en charge toutes ces mesures.  

Les solutions d’identity fabric proposent une couche unifiée qui permet de gérer et de sécuriser les identités numériques sur l’ensemble des applications, des actifs et des fournisseurs de cloud. Elles offrent aux entreprises une meilleure visibilité sur les comptes utilisateurs et leurs activités, ainsi qu’un contrôle plus cohérent des politiques et processus qui protègent les utilisateurs dans chaque système, application ou plateforme.

Réfléchissez à la manière dont un professionnel de santé pourrait utiliser une architecture de identity fabric afin de mettre en place un système plus sécurisé et plus efficace pour les professionnels médicaux.

Un professionnel de santé s’appuie généralement sur plusieurs outils technologiques (par exemple, un système de planification, un système de dossiers médicaux et une plateforme de télésanté). Il utilise également des systèmes pour partager les données avec d’autres professionnels de santé.

Un identity fabric permet aux praticiens d’accéder à tous ces systèmes à l’aide d’une seule et même identité.Cette approche est plus pratique car elle permet d’éviter les connexions multiples et d’appliquer les mêmes niveaux d’accès et contrôles de sécurité sur toutes les plateformes. Par exemple, un médecin pourra accéder à toutes les données de ses patients dans chaque système, mais pas aux données des patients qui ne sont pas les siens.  

L’application centralisée des politiques contribue à garantir la conformité aux lois sur la confidentialité des données et à empêcher tout accès non autorisé, y compris dans les cas où des utilisateurs légitimes disposent de plus d’autorisations que nécessaire.

Une structure des identités fonctionne en intégrant et en synchronisant les nombreux services d’identité disparates qui existent dans le réseau d’une entreprise dans une infrastructure IAM unifiée.

De nombreuses identity fabric s’appuient fortement sur des API. Ces interfaces permettent à des systèmes déconnectés de communiquer en toute sécurité, d’échanger des données d’identité et d’appliquer des politiques cohérentes en matière de gestion des identités et des accès. Certaines structures utilisent également des protocoles de communication standardisés tels qu’OAuth ou SAML (Security Assertion Markup Language) afin de connecter les systèmes IAM.

Il existe différentes options pour mettre en œuvre une identity fabric. Certains fournisseurs proposent des plateformes de identity fabric complètes, qui permettent la connexion de systèmes d’identité prêts à l’emploi. D’autres entreprises adoptent une approche haut de gamme, qui consiste à intégrer diverses solutions spécialisées. Les entreprises ayant des besoins spécifiques peuvent créer leur propre identity fabric associant code personnalisé et API.

Bien que la nature et la structure des identity fabrics puissent varier, la plupart des entreprises utilisent une combinaison de ces éléments pour créer leurs structures :

Les logiciels d’orchestration des identités coordonnent les systèmes IAM disparates pour créer des workflows de gestion des identités cohérents, fluides (connexion et intégration des utilisateurs ; provisionnement des comptes), qui couvrent plusieurs systèmes.

La plateforme d’orchestration des identités fait office de plan de contrôle central pour tous les systèmes d’identité du réseau. Chaque outil de gestion des identités s’intègre à la plateforme d’orchestration pour créer une structure unifiée.

Les outils d’orchestration des identités sont souvent utilisés pour créer des systèmes de connexion unique (SSO), qui permettent aux utilisateurs d’accéder à plusieurs applications à l’aide des mêmes identifiants.

Les solutions de détection et de réponse aux menaces liées à l’identité (ITDR ) surveillent les systèmes pour repérer et éliminer les menaces pesant sur l’identité, comme l’élévation des privilèges et le piratage de compte, qui peuvent entraîner une violation de données et d’autres problèmes. 

Lorsqu’une solution ITDR détecte un comportement potentiellement malveillant, elle alerte l’équipe de sécurité et déclenche une réponse automatisée, par exemple en bloquant immédiatement l’accès du compte aux données sensibles.

Les applications héritées ne prennent pas toujours en charge les mesures de sécurité modernes telles que l’authentification à étapes (MFA) et les architectures Zero Trust. Bon nombre de plateformes d’orchestration des identités et de solutions de identity fabric proposent des outils low code et no-code pour optimiser ces applications.

Ces outils fournissent une interface visuelle de type glisser-déposer pour configurer les workflows de gestion des identités, en plus des applications existantes. Par exemple, si l’application ne prend pas en charge la MFA, un outil d’orchestration des identités permettra de relier cette application à une solution MFA pour mettre en place un workflow rationalisé entre les deux systèmes. 

Également connue sous le nom d’authentification adaptative, l’authentification basée sur les risques (RBA) évalue en temps réel le niveau de risque posé par chaque utilisateur qui tente d’accéder aux actifs de l’entreprise. La RBA ajuste les exigences d’authentification de façon dynamique, en fonction de ces évaluations.

La RBA évalue les comportements des utilisateurs tels que la vitesse de frappe, l’utilisation des appareils et l’emplacement physique, afin de déterminer le niveau de risque que présente l’utilisateur. L’utilisateur qui affiche un comportement normal, c’est-à-dire qui utilise un appareil connu et se connecte à partir du même emplacement, est considéré comme un faible risque. Il lui faudra probablement saisir son mot de passe pour confirmer son identité.

Par ailleurs, un utilisateur qui se connecte à partir d’un appareil inconnu ou d’un nouvel emplacement peut être considéré comme présentant un risque plus élevé. Le système RBA peut soumettre l’utilisateur à des mesures de contrôle d’accès supplémentaires, comme la reconnaissance d’empreintes digitales.

Les services d’annuaire sont des référentiels qui stockent et gèrent les informations relatives aux utilisateurs des systèmes et des applications. La synchronisation des services d’annuaire dans l’environnement informatique de l’entreprise offre une vue unique et fiable de chaque utilisateur. Cette approche permet à l’entreprise d’appliquer des politiques de sécurité des identités uniformes pour chaque utilisateur et sur chaque système, au lieu de mettre en place des politiques distinctes pour chaque annuaire. 

Les outils IGA (gouvernance et administration des identités) permettent de gérer les identités utilisateur tout au long de leur cycle de vie, de l’intégration au départ en passant par la révocation des droits d’accès. L’objectif de l’IGA est de s’assurer que les politiques d’accès et l’activité des utilisateurs sont conformes aux différentes exigences, comme le Règlement général sur la protection des données (RGPD) et la loi HIPAA (Health Insurance Portability and Accountability Act).

Les outils IGA permettent d’automatiser et de rationaliser des activités telles que le provisionnement des utilisateurs, la mise en œuvre des politiques d’accès et la vérification des droits d’accès. 

Les outils de gestion des accès privilégiés (PAM) régissent et sécurisent les comptes à privilèges (tels que les comptes administrateurs) et les activités à privilèges (comme la manipulation de données sensibles).

Les comptes privilégiés exigent une meilleure protection, car il s’agit de cibles importantes, que les pirates peuvent exploiter pour causer des dommages significatifs. L’approche PAM consiste à appliquer des mesures de sécurité avancées, comme le stockage des identifiants en coffre-fort et l’accès juste-à-temps, afin de contrôler strictement la manière dont les utilisateurs obtiennent des privilèges élevés et dont ils s’en servent.

Les systèmes IAM fragmentés et les annuaires d’utilisateurs peuvent engendrer des silos d’identité, ce qui veut dire que les entreprises ont à gérer des identités et des contrôles d’accès différents pour chaque système. Mettre en œuvre une identity fabric permet d’éliminer ces silos et de rationaliser la gestion des identités et des accès. 

L’architecture de type identity fabric unifie les services d’identité déconnectés afin de créer une identité numérique unique pour chaque utilisateur. Ce cadre permet à l’entreprise de définir et d’appliquer des autorisations et politiques uniformes, qui accompagnent chaque utilisateur dans les environnements cloud, les systèmes hérités et les applications. Cette conception permet de garantir une expérience utilisateur cohérente, quels que soient l’application ou le système auxquels l’utilisateur accède.

Les identity fabrics prennent également en charge l’évolutivité du système. Les entreprises n’ont pas à se soucier de savoir si l’introduction de nouveaux outils ou actifs sur un réseau pourrait perturber leurs systèmes d’identité. Chaque nouvelle ressource est intégrée dans la même structure.

Les entreprises utilisent souvent une identity fabric qui sert de point de contrôle centralisé pour la mise en œuvre des dernières technologies et pratiques en matière de cybersécurité. Par exemple, une entreprise peut souhaiter mettre en place l’authentification multifacteur (MFA) ou appliquer une approche zero-trust, dans laquelle aucune confiance n’est accordée par défaut au moindre utilisateur.

Dans un système fragmenté composé de nombreuses solutions IAM et répertoires d’utilisateurs, il serait difficile de mettre enf œuvre ces mesures de cybersécurité de manière cohérente. Cependant, grâce à une identity fabric, l’entreprise bénéficie d’une visibilité et d’un contrôle unifiés sur les politiques de sécurité des identités. Elle peut centraliser l’application d’un accès sécurisé aux ressources, et suivre et analyser le comportement des utilisateurs sur l’ensemble des systèmes afin de détecter les menaces potentielles. 

Bon nombre d’entreprises font le choix d’une identity fabric centralisée pour simplifier leur démarche de protection des données et de mise en conformité. Elles peuvent ainsi appliquer des politiques d’accès aux données sensibles selon le rôle de chaque utilisateur, suivre l’utilisation qui est faite de ces données et s’assurer que le principe du moindre privilège est respecté.

En gérant les identités numériques à l’aide d’un système unifié, les entreprises sont en mesure d’appliquer les normes de conformité et de consigner simultanément l’activité des utilisateurs sur tous les systèmes et toutes les applications. Cette fonction facilite la production de pistes d’audit et de rapports de conformité à l’intention des organismes de réglementation.