Gestion des identités et des risques - cgi.com

1 2012 GROUPE CGI INC. Gestion des identit s et des risques : Se pr parer un nouveau monde _la force de l engagementMC PROPOS DE CETTE ARTICLE Dans le domaine de la Gestion des identit s et des risques , l poque du statu quo est r volue. La vitesse croissante avec laquelle le Web , l informatique en nuage et la mobilit s imposent d sormais dans les activit s d une entreprise l exige. Les organisations doivent penser autrement si elles souhaitent maintenir leur avantage concurrentiel. Il ne suffit plus d valuer les enjeux li s aux TI, comme la s curit , d un point de vue purement technique. En effet, une approche viable et durable de Gestion des identit s et des risques doit provenir de la haute direction, de leaders, qui comprennent et mettent en uvre une approche de gouvernance solide afin de composer avec un environnement o les interactions de plusieurs plusieurs sont monnaie courante.

2 Cette tude aborde la fa on dont les leaders peuvent se pr parer ce monde nouveau auquel on peut acc der gr ce diff rents canaux et de multiples dispositifs, pour am liorer la s curit et mieux att nuer les risques . La Gestion des identit s et des risques comporte son lot de nouveaux d fis pour les organisations gouvernementales et les entreprises. Toutefois, plusieurs d entre elles travaillent toujours comme il y a 10 ans. L poque des interactions d affaires g r es efficacement selon une approche de un plusieurs , o la norme consistait en un nom d utilisateur et un mot de passe sur un r seau local, est r volue. Aujourd hui, on observe un virage vers un environnement de plusieurs plusieurs intervenants gr ce Internet. Dans ce nouvel environnement complexe, aliment par le Web , l informatique en nuage et les services mobiles, les partenaires d affaires, les fournisseurs de services et les clients sont souvent r partis partout dans le monde.

3 De plus, les donn es internes des organisations deviennent plus vuln rables aux intrusions, et des pr occupations surgissent quant l identit des tiers avec lesquels ces derni res partagent des donn es. la lumi re de ces nouveaux d fis, rares sont les organisations qui peuvent se permettre de poursuivre leurs activit s sans s adapter. De plus, ces organisations ne peuvent plus envisager les enjeux li s la s curit , plus pr cis ment la Gestion des identit s et des risques , d un point de vue purement technique. Gestion des identit s et des risques : une nouvelle r alit Nombre d industries doivent composer avec cette nouvelle r alit . Prenons les soins de sant . Auparavant, les professionnels de la sant avaient acc s aux renseignements sur les patients au sein d un seul tablissement. Aujourd hui, gr ce aux dossiers m dicaux lectroniques, ces professionnels jouissent d un acc s instantan aux renseignements de patients qui ne sont pas les leurs, et ce, avec ou sans le consentement du client, tout d pendant de la juridiction.

4 Dans le domaine des services publics, des entreprises comme Orange en France acceptent d sormais les profils publics de leurs clients, comme ceux g n r s sur Windows Live, Google ou Yahoo, dans leur propre environnement d identit f d r e. Il s agit d une volution majeure par rapport l poque o les bases de donn es priv es de clients constituaient la norme. Enfin, parlons gouvernements, o dans la plupart des cas, le partage des donn es et la cybers curit , plus particuli rement la Gestion des identit s, de l authentification et des autorisations, constituent des sujets d actualit . En effet, les organismes gouvernementaux se penchent de plus en plus sur les fa ons de valider les identit s de fa on r currente et interop rable. L initiative am ricaine Gestion des identit s et des risques Se pr parer un monde nouveau _la force de l engagementMC Les technologies de l'information appliqu es aux solutions d affairesMD 2012 GROUPE CGI INC.

5 Gestion des identit s et des risques : Se pr parer un nouveau monde LABORER UN CADRE DE GOUVERNANCE DES IDENTIT S L laboration d un cadre de gouvernance des identit s s av re indispensable pour mieux relever les d fis que comporte la Gestion des risques et des identit s. Ce type de cadre de gouvernance requiert une participation de la haute direction, et doit noncer avec clart les r les et les responsabilit s gr ce un mod le d imputabilit et une vision claire quant au choix des personnes devant faire l objet d une identification et d une authentification forte. FICAM (Federal Identity, Credential and Access Management) refl te cette pr occupation. Ce virage vers les changes de plusieurs plusieurs dans plusieurs secteurs d activit illustre la n cessit d une nouvelle approche en mati re de Gestion des identit s et des risques .

6 Alors que, auparavant, une organisation n avait qu fournir un mot de passe usage unique, de type SecurID, pour s curiser l acc s d un utilisateur un r seau d entreprise, le processus de v rification de l identit atteint maintenant un tout autre niveau de complexit et permet de valider l identit d une personne avant de lui donner acc s aux actifs informationnels de l organisation. Cadre de gouvernance de la Gestion des identit s : mis de l avant par la haute direction La mise en place d un cadre de gouvernance de la Gestion des identit s doit constituer la premi re tape franchir pour relever les d fis d aujourd hui en mati re de Gestion des identit s et des risques . Plus que jamais, la haute direction doit comprendre que c est elle, et non son service technique, qui est ultimement responsable des actifs informationnels et des donn es de son organisation.

7 Toutefois, il arrive trop souvent qu elle adopte aveugl ment une solution technique livr e par un produit en vogue sans d abord r aliser une analyse co t-avantage. Cette approche compromet souvent l efficacit et entra ne des co ts. De 80 % 90 % des approches efficaces en mati re de Gestion des identit s et des acc s mettent l accent sur la strat gie d affaires. L aspect identit requiert des proc dures, des processus et des bases juridiques, lesquelles doivent reposer sur un cadre de gouvernance des identit s solide, labor sous la gouverne de la haute direction, et qui respecte la l gislation, la r glementation, les normes et les pratiques de l industrie en question. Finalement, le cadre de gouvernance d termine quels sont les individus qui doivent se soumettre un processus d identification rigoureux et disposer d une authentification forte.

8 Par exemple, si une organisation utilise des renseignements publics ou peu sensibles, elle n aura pas besoin d un processus d authentification forte. Toutefois, si celle-ci uvre dans les domaines de l information m dicale ou du renseignement criminel, elle doit absolument se doter d un cadre de gouvernance bien articul . Pour tre efficace, un cadre de gouvernance doit se r f rer aux exigences l gales et la cat gorisation d actifs pour d terminer le niveau de confiance requis des tiers voulant y acc der. L organisation applique alors le processus de Gestion de l identit pr vu dans son cadre de r f rence en mati re d identification et d authentification. _la force de l engagementMC Les technologies de l'information appliqu es aux solutions d affairesMD 2012 GROUPE CGI INC. Gestion des identit s et des risques : Se pr parer un nouveau monde Web , mobilit , informatique en nuage : conna tre les d fis Tout cadre efficace doit tre en mesure de composer avec trois types de d fis, soit le Web , la mobilit et l informatique en nuage.

9 T t ou tard, une organisation aura sans doute recours ces services, et il sera essentiel qu elle comprenne la valeur de la Gestion des identit s au sein de chacun de ces environnements. Dans le contexte du Web (plus pr cis ment les m dias sociaux), une organisation peut facilement tre victime de vols d identit s ou de fuites de donn es, et ce, non seulement par l entremise de stratag mes techniques sophistiqu s. Pour commettre de tels vols, les criminels peuvent simplement utiliser une approche amis d amis afin d obtenir l acc s des renseignements privil gi s ou sensibles. Si vous tes cadre dans un organisme gouvernemental ou une entreprise, m fiez-vous de la facilit avec laquelle vos employ s peuvent tre identifi s sur le site Web de tout grand m dia social et, par extension, la facilit avec laquelle ces m mes employ s peuvent tre utilis s pour obtenir des renseignements relatifs la propri t intellectuelle ou la strat gie de l entreprise.

10 Par exemple, le seul fait pour un employ de mentionner sur sa page Facebook qu il travaille pour un organisme d application de la loi, ou que cette information soit mentionn e sur la page d un ami Facebook, pourrait nuire au r sultat d une intervention polici re. Cette vuln rabilit , qui s applique tout type d organisation, fait en sorte que la mise en place d un cadre uniforme r gissant l utilisation des m dias sociaux au sein de votre entreprise ou votre organisme gouvernemental s av re essentielle. Ce cadre devrait clairement indiquer qu aucun employ ne peut divulguer des renseignements, peu importe leur importance, par l entremise des m dias sociaux. Les appareils mobiles soul vent galement des probl mes de s curit . En effet, avec des appareils tels que les iPhone, iPad et BlackBerry, les donn es essentielles la mission d une entreprise ne sont souvent qu un doigt de l cran.