Les entreprises croulent souvent sous une multitude d’outils de gestion des identités et des accès (IAM), engendrant complexité, coûts inutiles et risques accrus. Pour optimiser leur sécurité et rationaliser leurs opérations, les experts préconisent une approche méthodique axée sur la consolidation, l’automatisation et une gouvernance rigoureuse.
La première étape consiste à dresser un inventaire exhaustif de tous les outils IAM et d’accès utilisés – authentification, autorisation, gestion des accès privilégiés, audit, etc. – en documentant pour chacun le propriétaire, le taux d’utilisation, le coût et les éventuels chevauchements de fonctionnalités. Une évaluation précise est ensuite nécessaire : chaque outil doit être examiné à l’aune de trois questions clés. Réduit-il un risque d’accès réel ? Une solution déjà en place pourrait-elle assumer cette fonction ? Son coût et sa complexité sont-ils justifiés ? Les outils affichant de faibles scores devraient se voir fixer une date limite de suppression, et leurs propriétaires chargés de les désactiver ou de les fusionner avec d’autres solutions. Le suivi des économies réalisées et de la réduction du nombre d’outils constitue un indicateur clé de cette démarche.
Parallèlement, il est crucial d’adopter une approche basée sur une plateforme centralisée. L’objectif est de définir une architecture cible où une seule plateforme gère l’identité unifiée, l’accès basé sur les rôles, l’accès privilégié, l’application cohérente des politiques et la journalisation d’audit. Tout nouvel outil acquis doit s’intégrer à cette plateforme ou être progressivement abandonné. Les organisations peuvent se fixer un objectif de consolidation, par exemple, limiter le nombre de fournisseurs majeurs d’IAM à trois dans un délai de 12 mois. Un tableau de bord simple, surveillant le nombre de plateformes, le pourcentage d’événements d’accès passant par la plateforme principale et le nombre d’outils autonomes restants, permet de suivre les progrès.
L’automatisation des tâches répétitives est également essentielle. Les flux de travail manuels à volume élevé liés à la gestion des identités et des accès – intégration et désintégration des utilisateurs, approbations de changement de rôle, révisions d’accès, enregistrement des sessions privilégiées – doivent être identifiés. Il est recommandé de commencer par automatiser un processus spécifique, par exemple, la suppression automatique de tous les accès d’un employé dès que les ressources humaines enregistrent son départ. Après avoir documenté les étapes actuelles, créé et testé les tâches d’automatisation, il est important de mesurer le temps gagné et la réduction des erreurs. Ces résultats peuvent ensuite servir de base à une analyse de rentabilité pour justifier une automatisation plus poussée.
Enfin, une gouvernance solide est indispensable. La création d’un comité d’examen de l’architecture, réunissant mensuellement des représentants de la sécurité, des opérations informatiques, des unités commerciales et des achats, permet de garantir une approche cohérente. Une liste de contrôle rigoureuse pour l’acquisition de nouveaux outils doit s’assurer qu’ils ne dupliquent pas des fonctionnalités existantes et qu’ils s’intègrent à la plateforme d’identité et au système centralisé de gestion des informations de sécurité et des événements (SIEM). Des rapports réguliers sur les indicateurs clés de performance – nombre d’outils retirés, économies de coûts par outil, nombre de licences orphelines, taux d’achèvement des révisions d’accès, nombre de tâches d’accès manuelles restantes – doivent être examinés trimestriellement pour faire appliquer la politique : aucun nouvel outil ne doit être acheté sans l’approbation du comité.
À lire aussi
