Gestion des identités et des accès et atténuation des risques
←
→
Transcription du contenu de la page
Si votre navigateur ne rend pas la page correctement, lisez s'il vous plaît le contenu de la page ci-dessous
La sécurité dans le cloud Gestion des identités et des accès et atténuation des risques Avec une forte croissance de la demande en services cloud, l'identité en tant que service sera un atout primordial dans l'optique de relever les défis liés à l'accès sécurisé et à la fluidité des expériences numériques. auth0.com Paper written by IDG, 2021
2 | Synthèse Synthèse ★ Les perturbations à l'échelle mondiale ont ★ Construire ou acheter ? Les systèmes accéléré l'adoption de l'infrastructure cloud et internes sur mesure auront du mal à évoluer, à la migration des applications vers le cloud s'intégrer, à être conformes et à fournir un bon retour sur investissement ★ Cela n'a fait qu'augmenter le risque de cyber- attaques, ce qui a conduit à une refonte ★ AWS dispose de fonctions de sécurité nécessaire de la gestion de l'authentification et intégrées avancées pour sécuriser des identités l'infrastructure de cloud sous-jacente et il incombe aux clients de sécuriser les données ★ Les entreprises ont besoin de solutions de dans le cloud gestion des identités et des accès (GIA/ IAM) qui peuvent s'intégrer facilement aux ★ Avec une solution de GIA (IAM) agile, évolutive principaux fournisseurs de cloud comme AWS et rentable, les organisations peuvent se libérer de manière à focaliser leurs ressources sur les besoins essentiels de l'activité qui sont à la base de l'innovation auth0.com: Gestion des identités
Introduction | 3 Le cloud est-il sur le point de connaître une crise d'identité ? Alors que l'environnement tout-numérique actuel a Pour renforcer les capacités des salariés en sans aucun doute accéléré l'adoption du cloud et la télétravail, encourager la collaboration à distance migration des applications vers celui-ci, nous n'avons et servir efficacement les clients et les chaînes pas encore vraiment conscience de ce que cela d'approvisionnement, les entreprises doivent avoir signifie réellement sur le long terme. Naturellement, confiance, non seulement en leur capacité en matière la majorité des organisations se concentrent sur la de cloud, mais aussi en la sécurité de celui-ci. Et continuité et, dans certains cas, sur la survie. La c'est là que l'identité entre en jeu. Alors que les vision à court terme prévaut, ne serait-ce que pour fournisseurs de cloud comme AWS sont responsables éviter la faillite. de la sécurité du cloud, à qui revient la sécurité de tout ce qui se trouve dans celui-ci ? Comme le suggère Gartner dans son rapport Quand le cloud rencontre la COVID-19, opportunités et Ce que nous savons, c'est que des failles de sécurité menaces émergent, tandis que de plus en plus sont monnaie courante. De la chaîne hôtelière Marriott d'entreprises augmentent leur dépendance vis-à- à la société de jeux vidéo Nintendo, en passant par vis du cloud, cela a été fait à un tel rythme que cela Life Labs au Canada, de nombreuses organisations soulève des questions importantes. Par exemple, ont été victimes de violations en 2020. Si les y a-t-il des préoccupations concernant la sécurité, méthodes d'attaque ont varié, il existe des thèmes en termes de périmètre et de données client ? communs des leçons à tirer. Malheureusement, Dans quelle mesure les salariés en télétravail l'erreur humaine et la mauvaise gouvernance étaient sont-ils équipés et formés pour veiller à la bonne à prévoir. La gestion des identités reste un problème gouvernance et au respect de la conformité ? complexe que les responsables de la sécurité n'ont manifestement toujours pas réglé. Selon une enquête IDSA menée auprès de 502 décideurs dans le domaine de la sécurité, 79 % des organisations ont connu une faille de sécurité liée à l'identité au cours des deux dernières années. Compte tenu de l'augmentation rapide du télétravail et de la migration des entreprises vers des applications basées sur le cloud, ce problème ne va que s'aggraver. Pour pouvoir répondre à la demande croissante en informatique basée sur le cloud, les entreprises devront s'assurer qu'elles disposent d'une solution IAM robuste et évolutive, mais comment ? Dans cet e-book, nous identifions certains des principaux défis de gestion des identités auxquels sont confrontées les entreprises aujourd'hui. Nous explorons les principales tendances et proposons des solutions, en donnant un aperçu sur notre propre fonctionnement et sur la relation continue avec la plate-forme AWS Cloud. auth0.com: Gestion des identités
4 | Défis Construire ou acheter : quels sont les principaux défis auxquels les organisations sont confrontées en matière de gestion des identités ? La mise en place et la gestion d'un accès moderne aux identités peuvent s'avérer extrêmement délicates. Suivre l'évolution des normes et des bonnes pratiques est complexe et chronophage. En outre, corriger en permanence les bugs de sécurité vous coûte du temps et de l'argent que vous ne pouvez pas consacrer à votre activité principale. Les menaces évoluent constamment et des employés quittent ou rejoignent sans cesse l'entreprise. C'est un cycle perpétuel de changement et de risque qui doit être géré. Certaines entreprises choisiront de résoudre ce défi de gestion des identités par des solutions sur mesure, conçues en interne ; Mais qu'est-ce qui fonctionne le mieux ? Nous avons formulé ici cinq questions clés auxquelles les entreprises doivent répondre lorsqu'elles comparent la gestion des identités en interne et en externe. Les systèmes d'authentification des identités conçus en interne sont-ils pérennes ? La réponse évidente à cette question est que cela dépend de qui développe le système et pour quelle taille et type d'entreprise, mais même alors, des limites subsistent. Dans les entreprises numériques actuelles, qui évoluent rapidement, il devient de plus en plus complexe de gérer l'authentification sur des applications et points d'accès multiples. De nombreuses organisations sont confrontées à des problèmes d'applications cloisonnées qui nécessitent des connexions multiples et il peut advenir très rapidement que vos meilleurs développeurs passent leur temps à écrire de plus en plus de code pour rendre l'ensemble viable. auth0.com: Gestion des identités
Défis | 5 Pourriez-vous créer une identité en interne et vous en Quel est l'impact d'une mauvaise migration et sortir avec une solution qui répond à vos besoins ? Bien intégration ? sûr, avec la bonne équipe, c'est certainement possible. Mais cela en vaut-il la peine ? Probablement pas. Entre Laisser un utilisateur exposé en raison d'une mauvaise les délais allongés, la complexité du processus et les intégration entraînera une mauvaise expérience utilisateur ramifications à long terme de la gestion de la conception, et une fidélité amoindrie, ainsi qu'un risque accru c'est une tâche plus importante que vous ne l'imaginez. d'attaque et de perte potentielle de données. La migration vers et depuis votre solution de gestion des identités Quels sont les défis de conformité auxquels doit être prise en charge sans restriction. Assurez-vous est confrontée l'entreprise ? qu'il n'y ait pas de verrouillage du fournisseur susceptible d'empêcher les utilisateurs de migrer hors du système à Si l'on vous demande des certifications professionnelles tout moment. La solution doit également se connecter auxquelles vous n'avez pas réfléchi ou que vous n'avez à n'importe quelle base de données utilisateurs que pas prises en compte, il est clair que votre système vous utilisez déjà, et ne doit pas obliger les utilisateurs à interne d'authentification des identités n'est pas adapté. Il réinitialiser manuellement leurs mot de passe lors de la existe un certain nombre de certifications et d'obligations migration vers la nouvelle solution. auxquelles il faut se conformer et un manquement à ces obligations peut entraîner de lourdes amendes et, bien Le retour sur investissement est-il entendu, des failles importantes et des pertes de revenus. satisfaisant ? Votre entreprise a-t-elle besoin d'agilité et de Pour les entreprises qui développent des solutions en scalabilité ? interne, ces coûts seront initialement calculés en fonction du temps nécessaire à la mise en place du système, puis De toute évidence, toute entreprise en pleine croissance à la gestion continue de celui-ci. Étant donné que les devra faire évoluer son authentification afin de limiter mots de passe incorrects et les comptes de connexion les risques et d'intégrer les notions d'agilité pour incohérents représentent un volume important du trafic pouvoir réagir à des scénarios changeants. Un système du service d'assistance en général, les coûts de gestion développé en interne peut-il s'adapter à l'évolutivité du continue peuvent être importants, surtout s'ils nécessitent cloud ? À mesure que les entreprises se transforment un traitement manuel. Les intégrations personnalisées numériquement, cherchent à travailler à distance et complexes avec les partenaires commerciaux et les ajoutent des applications dans le cloud, un système conçu audits manuels peuvent augmenter considérablement les en interne est-il suffisamment évolutif pour garantir que dépenses globales de maintenance et de support, ce qui chaque nouvelle application et nouvel utilisateur soient repousse de plusieurs années le retour sur investissement correctement authentifiés et atténuer les risques liés aux de l'authentification développée en interne. Les systèmes cyber-attaques automatisées ou manuelles ? IAM obsolètes entraînent donc d'énormes coûts de maintenance, aliènent les utilisateurs et rendent les Il est également important de déterminer si l'organisation entreprises vulnérables aux risques de sécurité. Une est en mesure de s'adapter pour assurer la protection chose est cependant claire : l'identité est cruciale pour autour d'événements ponctuels, comme le Black Friday. votre entreprise. Réfléchissez en termes de première Grâce à la gestion de l'accès et de l'identification des impression, en considérant par exemple que l'espace clients (CIAM), par exemple, les entreprises peuvent offrir de connexion est à la gestion de l'identité ce qu'un aux utilisateurs un moyen simple et fluide de se connecter, interrupteur est au système électrique de votre maison. afin de stimuler les conversions et la fidélité des clients. Mais bien entendu, l'IAM est bien plus que cela. Elle La protection des données sensibles contre les intrusions englobe un ensemble complexe de fonctions qui peuvent malveillantes et la prise de mesures pour prévenir les avoir un impact mesurable sur vos résultats violations de données sont essentielles à une politique de sécurité solide et au respect des lois sur la confidentialité des données. auth0.com: Gestion des identités
Défis | 6 Une solution IAM moderne peut permettre une réussite commerciale rapide mais aussi offrir une valeur élevée à long terme en réduisant les coûts, en augmentant le chiffre d'affaires et en rendant les entreprises plus adaptables dans un paysage technologique et juridique en constante évolution. Par exemple, la marque de renom Gymshark a économisé £900,000 par an et a amélioré l'expérience de la communauté d'utilisateurs en centralisant l'IAM pour 15 applications. auth0.com: Gestion des identités
7 | Défis Six indicateurs qui indiquent à une entreprise qu'elle doit passer à un système d'identité prêt à l'emploi ★ Vous avez besoin d'une solution basée ★ Vos meilleurs développeurs consacrent leur sur des normes, telle qu'OpenID Connect, temps à créer et maintenir la gestion des SAML, WS-Federation, et/ou OAuth. identités et l'authentification au lieu de créer des applications essentielles à l'activité. ★ Vous avez des utilisateurs qui s'authentifient auprès de divers fournisseurs d'identité, ★ Votre entreprise a été confrontée à un type mais vous ne disposez d'aucun moyen pour quelconque de violation de données ou lier leurs comptes. vous vous inquiétez d'une possible violation des données. ★ Vous avez des applications sur différents domaines et vous demandez aux utilisateurs ★ On vous demande des certifications de se connecter séparément pour chacun industrielles que vous n'avez pas de ces domaines. envisagées ou prises en compte. auth0.com: Gestion des identités
Solutions | 8 Conçu avec la sécurité en ligne de mire : AWS, les applications et la sécurisation du cloud L'IAM ou simplement la gestion des identités désigne un service ou une plateforme qui identifie les individus et contrôle leur accès aux ressources du système par le biais de droits et de restrictions utilisateur. La gestion des identités est importante pour la sécurité et accroît la productivité des utilisateurs par l'implémentation d'un répertoire central : les utilisateurs n'ont pas besoin de mémoriser et de gérer plusieurs noms d'utilisateur et mots de passe différents. La gestion de l'identité est complexe, mais ce n'est pas un état de fait immuable. C'est pourquoi Auth0 et AWS travaillent ensemble afin que les clients AWS puissent disposer de la solution d'identité rapide et facile à mettre en œuvre dont ils ont besoin pour leur application spécifique. Êtes-vous prêt à avoir votre solution d'identité prête à l'emploi en quelques minutes ou tout au plus en quelques jours (pour les cas d'utilisation les plus courants) ? Eugenio Pace, le PDG et co-fondateur d'Auth0, explique pourquoi Auth0 peut vous rendre ce service dans cette interview avec AWS Startups, et pourquoi nous avons également intégré une extensibilité approfondie afin d'anticiper vos besoins de personnalisation de dernière minute. EUGENIO PACE, PDG ET CO-FONDATEUR, AUTH0 Associée à AWS, l'IAM est un élément essentiel de la sécurisation des applications et des données. Nous allons découvrir ci-dessous comment et pourquoi l'IAM et les services cloud constituent un duo nécessaire et puissant pour réduire les risques. auth0.com: Gestion des identités
9 | Solutions Une responsabilité partagée « Le plus gros problème que je constate, et de très loin, est que les entreprises n'ont aucune AWS a construit une infrastructure pour « répondre aux exigences des entreprises les plus sensibles en matière de idée des ports, protocoles et applications sécurité ». C'est une entreprise, selon son PDG Andy Jassy, qu'elles présentent au grand public. » où la sécurité est absolument centrale. AWS exploite le cloud Daniel Miessler, expert en cybersécurité sur le modèle de la responsabilité partagée en matière de sécurité, ce qui signifie qu'elle est responsable de la sécurité du cloud et que ses clients sont responsables de la sécurité Sécurité intégrée avancée dans le cloud. AWS possède plusieurs services de sécurité à l'échelle du cloud intégrés à sa plateforme qui simplifient la création Pour les fournisseurs IAM, ce modèle présente deux et l'exploitation d'une architecture de sécurité avancée, avantages principaux. Premièrement, personne n'a à notamment : s'inquiéter de la sécurité de l'infrastructure sous-jacente et, deuxièmement, tous les membres de l'écosystème d'AWS ★ Le contrôle d'accès affiné et éphémère via les rôles d'IAM bénéficient des exigences de l'autre. Par exemple, AWS sécurise le cloud selon les normes requises par la NASA, le ★ Des services de cryptage (y compris la gestion des clés et le cryptage des données) NASDAQ et le gouvernement fédéral. Cela signifie que les services sont soutenus par un vaste régime de conformité, ★ L'enregistrement détaillé des audits qui comprend ISO 27001, PCI DSS, CSA STAR et FedRAMP. ★ Des services de défense de réseau à l'échelle du cloud avec Guard Duty et AWS Shield Test de pénétration : problème résolu L'utilisation de l'IAM permet aux organisations d'appliquer Grâce à une modification récente de la politique de le principe du moindre privilège, en limitant de manière tests d'intrusion d'AWS, les clients d'AWS ont désormais transparente l'accès des ingénieurs, aux seules ressources plus de liberté lorsqu'ils effectuent des analyses de dont ils ont besoin pour remplir leur rôle spécifique. Les sécurité de leurs ressources AWS. Avant la mise à jour utilisateurs bénéficient d'un accès de courte durée pour de la politique, les clients d'AWS devaient soumettre une exécuter l'action approuvée et actualisent régulièrement leur demande d'autorisation de test de pénétration et attendre accès : les équipes de sécurité peuvent progressivement l'approbation avant d'être autorisés à effectuer une analyse. abandonner les informations d'identification statiques et Ce changement de politique permet d'effectuer des tests longue durée. de pénétration sur de nombreux services AWS sans avoir besoin d'une approbation préalable. "Les services de cryptage d'AWS permettent également la mise en œuvre de contrôles de cryptage critiques à grande Pratiquement tous les ingénieurs de la sécurité du cloud échelle de façon fluide pour les équipes de sécurité et ont eu à un moment donné remplir une demande de test de d'ingénierie. Le service pénétration d'AWS et d'attendre une réponse. Ce processus Key Management Service (KMS) d'AWS est une base manuel a considérablement réduit la vitesse à laquelle il de stockage de clés validée par FIPS 140 qui permet était possible d'effectuer des analyses de vulnérabilité, de protéger les clés et d'effectuer une rotation entre laissant souvent les équipes de sécurité dans l'obligation de celles-ci." rattraper le temps perdu. Les fournisseurs de cloud comme AWS facilitent la mise en place de services sur Internet, Le cryptage Elastic Block Store (EBS) permet le cryptage ce qui rend encore plus difficile le contrôle des ports et de toutes les données inactives par défaut, tandis que le protocoles que vous exposez au grand public. service d'audit d'AWS CloudTrail fournit un enregistrement des audits détaillé et granulaire pour chaque changement La nouvelle politique de test de pénétration ouvre la voie à la dans un environnement de cloud. résolution de ces problèmes. Pour en savoir plus, consultez Qu'est-ce que l'authentification auth0.com: Gestion des identités unique ? (Un guide pour les non-développeurs)
Solutions | 10 Quels sont les avantages de l'IAM ? ★ Identité fédérée : La ★ Authentification unique cookie est généré pour gestion fédérée des (SSO) : L'authentification authentifier l'utilisateur sur identités est une méthode unique SSO est un type plusieurs domaines. de transfert des données de gestion des identités d'authentification fédérée. L'authentification ★ Fédération d'entreprises: sans violation de la unique SSO est utilisée Une Fédération politique d'origine, lorsqu'un utilisateur se d'entreprises est une généralement connecte à un client gestion des identités en utilisant un serveur et qu'il se connecte fédérées avec des d'autorisation externe. ensuite à d'autres clients connexions d'entreprise automatiquement, telles que Active Directory, indépendamment des LDAP, ADFS, SAML, différences au niveau Google Apps, etc. de la plate-forme, de la technologie ou du domaine. Un jeton ou auth0.com: Gestion des identités
11 | Études de cas Études de cas: ChaosSearch et Auth0 s'associent pour libérer la puissance des données sur AWS ChaosSearch est un service d'analyse de L'équipe de ChaosSearch souhaitait se recherche de données entièrement géré concentrer sur la mise au point de sa plate- et sécurisé sur AWS, exécuté comme un forme et laisser les experts prendre en logiciel en tant que service (SaaS) et soutenu charge les identités fédérées. Après avoir par Amazon S3 en tant que data store. fait preuve de diligence raisonnable et Selon Thomas Hazel, fondateur et directeur effectué des études de marché, Thomas technique de la société, la plate-forme a été Hazel a décidé de faire appel à Auth0, un fondée pour « créer un service autour du partenaire technologique avancé du réseau stockage d'objets, basé sur une technologie de partenaires d'AWS. Les résultats, selon d'indexation que j'ai développée, qui aide les Thomas Hazel lui-même, ont changé la donne. gens à libérer de manière rentable le potentiel des téraoctets, voire pétaoctets, des données Pour l'équipe de ChaosSearch, Auth0 réduit qu'ils stockent dans Amazon S3. » considérablement le temps nécessaire pour intégrer de nouveaux utilisateurs en toute Au fur et à mesure que l'entreprise a sécurité, simplifiant les essais gratuits tout en commencé à se développer et à évoluer, augmentant la productivité. l'équipe a évalué et discuté des points sensibles pour les clients avec les premiers « Avoir la possibilité d'utiliser une utilisateurs. L'authentification unique (SSO) et authentification Google, par exemple, via la facilitation du provisionnement et de l'accès Auth0 nous permet de savoir immédiatement des utilisateurs sont rapidement devenues qui est le client ; il clique et intègre rapidement les priorités. Mais comme l'explique Thomas notre système », explique Thomas Hazel. Hazel, « le provisionnement des utilisateurs « Cela change notre business model en à grande échelle peut être un véritable raison du nombre de personnes qui peuvent cauchemar. désormais accéder à leurs données par le biais de notre service. L'utilisation d'Auth0 sur AWS L'idée que l'accès rapide et facile au système rationalise la fédération d'entreprise. Avec pour nos clients est une pratique courante Auth0, nous pouvons intégrer des milliers de est tout simplement cruciale. Il est devenu clients immédiatement, ce qui nous fait gagner essentiel d'aider nos clients à créer des du temps sur les tâches administratives, que utilisateurs rapidement et en toute fluidité, nous pouvons ensuite consacrer à d'autres ainsi que de fournir une authentification projets à valeur ajoutée, et cela facilite la vie unique, pour permettre aux clients de tirer de nos clients. » parti efficacement de la puissance de notre plate-forme. » Pour plus d'informations sur ce témoignage client, voir ChaosSearch rationalise l'authentification unique et aide les entreprises à tirer parti des données sur AWS auth0.com: Gestion des identités
Conclusion | 12 « AWS est la plate-forme cloud la plus mature du marché. Elle a cinq ans d'avance sur les autres solutions, ce qui signifie que nous pouvons compter sur AWS pour nos exigences en matière d'évolutivité et de fiabilité. » Matias Woloski, directeur technique et co-fondateur d'Auth0 La gestion des identités peut être complexe, et cette clients, gérer ses données et se conformer à l'étendue complexité s'intensifie quotidiennement en raison de des réglementations et normes. Par conséquent, les l'évolution des modèles de travail en entreprise, des organisations doivent déployer une solution de gestion transformations numériques rapides et des menaces des accès aux identités intelligente et proactive. liées à la cybersécurité. À mesure que de plus en plus d'entreprises migrent leurs applications vers le cloud, L'IAM en tant que service est un moyen d'assurer la les risques s'accroissent et la nécessité d'une sécurité sécurité et l'évolutivité pour l'avenir, de la même manière d'accès aux identités plus stricte et plus agile se renforce. que les infrastructures de cloud offrent agilité et évolutivité aux organisations qui sont en croissance et en Il y a un point de bascule à partir duquel il devient difficile cours de transformation numérique, et qui doivent gérer de suivre. La capacité à faire évoluer la gestion des davantage de télétravail et d'accès à distance. Il s'agit identités et à être suffisamment agile pour faire face d'une période inhabituelle où les organisations doivent à l'évolution des circonstances, comme les pics et les constamment s'adapter pour répondre à l'évolution périodes creuses créés par des événements spéciaux des besoins des clients, ce qui soulève des problèmes (Black Friday et Cyber Monday, par exemple) est permanents de sécurité, de conformité et d'expérience essentielle pour toute entreprise en développement. Le utilisateur. Malheureusement, les cyber-criminels maintien d'une bonne expérience utilisateur est également perçoivent le changement comme une opportunité essentiel pour fidéliser la clientèle. L'identité devient majeure, ayant conscience que les entreprises sont donc plus qu'un simple outil de sécurité. Elle englobe la exposées à un nombre accru de points d'accès et à des manière dont une entreprise souhaite interagir avec ses applications potentiellement non sécurisées. Tandis que ces criminels sont en mesure de détecter les faiblesses, il est impératif que les organisations réagissent et veillent à ce que seuls les employés autorisés puissent accéder à leurs systèmes et données. Le défi pour toute organisation est de savoir comment y parvenir rapidement. L'intégration avec les principaux fournisseurs de cloud est essentielle. Toute solution doit évoluer et s'automatiser. En résumé, votre organisation peut transformer sa gestion des identités et des accès : au lieu d'être un point de risque critique et bloquer ainsi le développement de votre société, cela peut devenir un système qui permet à votre entreprise non seulement de générer du chiffre d'affaires, mais de les accroître. auth0.com: Gestion des identités
Prochaine étape Pour plus d'informations au sujet d'Auth0 sur AWS et comment, ensemble, nous résolvons la complexité inhérente à l'identité et à l'authentification, rendez-vous sur la page partenaire AWS + Auth0 ou rencontrez-nous. À propos d'Auth0 Auth0 propose une plateforme permettant d'authentifier, d'autoriser et de sécuriser l'accès pour les applications, les périphériques et les utilisateurs. Les équipes de sécurité et d'applications s'appuient sur la simplicité, l'évolutivité et l'expertise d'Auth0 pour rationaliser les identités à tous les niveaux. En protégeant des milliards de transactions de connexion chaque mois, Auth0 sécurise les identités afin que les innovateurs puissent innover, et permet aux entreprises internationales d'assurer des expériences numériques fiables et optimales à leurs clients du monde entier. Pour plus d'informations, consultez https://auth0.com ou suivez @auth0 sur Twitter. auth0.com
Vous pouvez aussi lire