L’authentification unique : l’équilibre entre le pouvoir et la responsabilité

François Amigorena, fondateur et PDG d’IS Decisions, partage son expertise sur le sujet.

Mais comme l’Oncle Ben de Peter Parker l’a dit « un grand pouvoir implique de grandes responsabilités » et le pouvoir potentiel de la SSO est effectivement très grand.

Connaitre les risques de sécurité de la SSO

Etant donné que l’objectif principal de la SSO est de fournir l’accès plutôt que de le restreindre, il y a forcément de nombreux risques (comme avec n’importe quelle autre forme d’accès).

Mais quels sont précisément les risques de sécurité de la SSO ?

• Un compte pour plusieurs accès

Du point de vue utilisateur, c’est l’idéal. Mais côté IT il s’agit d’une crainte et de potentiels risques supplémentaires.

• A un clic du désastre

Il ne s’agit pas d’être dramatique, mais un clic accidentel de la part d’un membre de l’équipe technique peut donner à des utilisateurs des accès à des données sensibles qu’ils n’ont pas à avoir dans le cadre de leur fonction au sein de l’entreprise.

• Une extension instantanée du périmètre de sécurité

Il est loin le temps où l’entreprise était définie par quatre murs de béton. L’infrastructure IT moderne de l’entreprise et plus particulièrement la SSO, donnent aux utilisateurs sur site ou à distance la possibilité d’accéder instantanément aux applications de l’entreprise sur le web et dans le cloud.

• Une vulnérabilité pour les mouvements latéraux

Une fois que des attaquants externes ont un pied au sein de votre entreprise (généralement un terminal infecté par un malware), leur prochain but sera de pénétrer dans l’intégralité du réseau de l’entreprise. Cette action nécessite généralement de nouvelles informations de connexion. En d’autres termes, elles essaieront d’accéder aux applications et données à partir du terminal contaminé. Cela vous rappelle quelque chose ? Un peu comme ce que fait exactement la SSO ? Tout à fait, la SSO permet l’accès aux applications et données dont les utilisateurs ont besoin dans le cadre de leur fonction (à condition que l’équipe informatique la mette en place sans erreur…), mais il s’agit aussi d’une porte ouverte sur de nombreuses opportunités pour les attaquants.

Cela veut-il dire que la SSO est une mauvaise idée ? Bien-sûr que non. Mais il est important de connaitre les risques liés à la SSO.

C’est logique quand on y pense : lorsque vous simplifiez les accès de plusieurs applications pour les utilisateurs à travers le monde et sur chaque appareil, cela représente un risque potentiel pour un catastrophe (souvenez-vous du grand pouvoir…)

Assumer les responsabilités informatiques

Une fois que l’équipe informatique connait et couvre les risques itinérants liés à la SSO, elle peut alors tirer parti du plein pouvoir et des bénéfices de la SSO. La SSO n’augmente pas seulement la productivité des utilisateurs, une équipe informatique astucieuse saura l’employer de sorte à augmenter la sécurité de leur organisation.

Par conséquent, quelles sont les responsabilités de l’équipe informatique, compte tenu de la grande puissance de la SSO ?

Généralement, l’informatique a pour responsabilités de reconnaitre :

• Une abondance des accès

L’avertissement de l’oncle Ben à Peter Parker portait autant sur la maîtrise de soi que sur la simple reconnaissance de l’existence du pouvoir. Vous ne pouvez pas faire le premier sans le second. Parallèlement, assumer la responsabilité de la SSO exige de reconnaître d’abord ce que son pouvoir nous permet de faire.

• Le danger réel et présent

Aujourd’hui les organisations cybercriminelles enquêtent systématiquement, codent, testent les vulnérabilités, ce qui les rend aussi efficaces en tant que « méchants » que vos fournisseurs de sécurité le sont en tant que « gentils ». Vous devez être en état d’alerte constant. Un terminal d’accès infecté peut appeler à une fuite de données, une perte de productivité, ou une baisse de la réputation de votre entreprise.

• L’avantage de l’authentification sur site

Ce n’est pas parce que vous souhaitez rendre l’accès au cloud plus facile que vous avez besoin d’une nouvelle façon de les authentifier. Maintenez sur site votre répertoire de serveur Windows pour l’authentification des utilisateurs, pour une sécurité optimale, sans oublier la facilité de gestion (qui a le temps de gérer des répertoires en double ?).

• Le besoin de l’authentification multi facteurs

Généralement, la SSO prend en charge deux facteurs d’authentification ou plus. Puisque vous donnez potentiellement aux utilisateurs un accès « dès qu’ils veulent, d’où ils veulent » à des tas de données et applications, il est crucial de les protéger. Combiner La SSO et l’authentification multi facteurs peut demander un effort à vos utilisateurs, néanmoins c’est une étape essentielle pour garantir que vos exigences en matière de sécurité s’équilibrent avec ce gain de productivité.

• L’importance de l’ouverture de session en fonction du contexte

Pour la plupart des entreprises, la SSO est davantage une question de productivité que de sécurité. Vous voulez garder la sécurité aussi légère que possible et qu’elle se concentre sur le point le plus important du processus SSO : la connexion. Vous faites cela pour deux raisons : 1) pas de connexion, pas d’accès, et 2) une fois connecté il est trop tard pour couvrir les risques. Parce que la connexion Windows est souvent la seule vérification de sécurité qu’une entreprise utilise, il est important de contrôler autant que possible ces connexions, qu’elles soient natives de l’environnement Windows ou que vous utilisiez des solutions tierces qui contrôlent et gèrent la sécurité de l’ouverture de sessions et la gestion des accès. Cette action est essentielle pour la sécurité de la bonne mise en place de la SSO.

Faire de la responsabilité un état d’esprit

En fin de compte, la responsabilité est un état d’esprit. Et comme la plupart des états d’esprit elle peut éventuellement devenir un changement de comportement. Le pouvoir de la SSO demande à l’informatique une approche responsable pour assurer la sécurité que requiert la SSO. Ce faisant, les services informatiques exploitent la puissance de la SSO et en font non seulement un outil de productivité, mais aussi un outil de sécurité.