Gestion des identits et des accs au SI

Bonnes pratiques de la gestion des identits et des accs au systme dinformation (IAM)
Lionel GAULIARDON
Solutions techniques et Organisations

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

SOMMAIRE

IAM Quest-ce que cest et quoi cela sert

Cas concrets
Identity and Access Management / Externe et Interne Gestion des droits utilisateurs / Interne

Points abords :
Besoins, Souhaits ou Obligations ? Organisation

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Identity and Access Management

En franais : Gestion des identits et des habilitations En 3 mots:
Authentification Autorisation Traabilit

Besoins internes et externes

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Identity and Access Management

CAS CONCRET : (Tl-)Maintenance

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Offres de scurit
DONNEES
Intgrit

Confidentialit

Disponibilit

APPLICATIONS
Scurisation de laccs
Performance/ Haute Disponibilit

INFRASTRUCTURE

Scurit Stockage

Scurit Systme

Scurit de laccs

Scurit du Scurit des terminaux rseau

Confidential

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Offre de scurit : Bastion de connexions

DONNEES
Intgrit

Confidentialit

Disponibilit

APPLICATIONS
Scurisation de laccs
Performance/ Haute Disponibilit

INFRASTRUCTURE

Scurit Stockage

Scurit Systme

Scurit de laccs

Scurit du Scurit des terminaux rseau

Confidential

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

En complment des solutions de scurisation de la connexion au SI plus classique,

Surveiller les accs des prestataires externes

Objectifs:

Tracer compltement lactivit ralise pour les ressources sensibles Mieux grer les ressources qui peuvent tre atteintes par le prestataire (Nom des ressources et mots de passe) Faciliter le d-provisioning scuris des accs en cas de changement de prestataire (Comptes prestataire et mots de passe commun)

Tracer les accs administrateurs (Rseau, Scurit, Systme, Application)

Raliss depuis linterne et faciliter lapplication de la politique de scurit lie la gestion des mots de passe des ressources atteintes (Durcissement, Frquence des modifications)

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Les contraintes et recommandations rglementaires

Recommandations de LANSSI (Agence Nationale de Scurit des systmes dinformation): Etude sur la Maitrise des risques de linfogrance. Externalisation des Systmes dinformations Mettre en uvre une passerelle scurise pour Authentifier lutilisateur, Scuriser la donne et Tracer les actions ralises

ISO27001
A8.3.3: Retrait des droits daccs A11.4.2: Authentification de lutilisateur pour les connexions externes A11.5.3: Systme de gestion des mots de passe

ISO27002
10.2.2: Surveillance et rexamen des services Tiers 10.2.3: Gestion des modifications dans les services Tiers

Contrler plus efficacement chaque processus de l'entreprise, La traabilit est liste comme un point cl pour contrler et surveiller les processus

LSF (Loi de Scurit financire)

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Les solutions actuelles ou initiales

Solutions de VPN IPSEC ou VPN SSL en mode Tunnel Scurise laccs au SI Gestion complexe via du filtrage rseau laccs aux ressources Solutions de VPN SSL en mode publication Scurise laccs au SI Gestion de la publication des ressources simplifies Serveur de rebond

Pas de visibilit sur ce qui a t rellement fait. (logs uniquement) Politique dauthentification par quipement. Pas de centralisation des mdp

Rend visible les actions effectues Limite le nombre de ressources directement atteignables de lextrieur
Plateforme de prise de main distance (WebEx, SecureMeeting,) Rend visible les actions effectues Permet de contrler les actions effectues en temps rel

Ncessite dtre prsent et disponible lors des connexions pour contrler ce qui est rellement fait Pas industrialisable si beaucoup de connexions en parallle

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

BASTION : NOUVEAU PRODUIT ?

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Les solutions de bastion

Serveur Unix / Linux Serveur Windows Bastion

Equipement rseau

Internet, Intranet

Administrateurs Dveloppeurs Responsable scurit Firewall

Applicatif

Traabilit Contrle daccs

Prestataires externes

Authentification centralise Gestion des mots de passe cibles

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Visualisation des traces

Lecture Vido en Temps rel

Texte complet de la trace

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

BASTION

CAS DUTILISATIONS

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Bastion dadministration Les cas dutilisations

Contrle des prestataires externes : 60 % des projets raliss Contrle des actions menes par les prestataires externes et du turnover Vrification du respect des SLAs Recommandation forte de lANSSI pour les oprateurs vitaux
Conformit:

20 % des projets raliss Obligation de traabilit (Ble II, SOX, ISO 27001) Donnes caractre personnel, PCI DSS, : Donnes CB, agrments secteur sant, rgulation jeux en ligne Confidentialit: 20 % des projets raliss Secret industriel, secret dfense Traabilit des actions menes sur des applications sensibles

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Identity and Access Management

CAS CONCRET : Gestion des droits utilisateurs internes

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

LExplosion Des Donnes Sommes-nous Prt?

Toujours PLUS + de donnes + de Collaboration + dquipes transverses + dexigences de scurit = PLUS de Containers PLUS dACLs PLUS de temps pour la gestion

91%
Ne parviennent pas
identifier les propritaires des donnes

Est-ce que lIT a la rponse ?

Qui a accs ces dossiers ? A quels dossiers cet utilisateur ou ce groupe peut-il accder? Qui accde rellement ce dossier et que fait-il ? Si les permissions sont modifies sur des dossiers critiques, serai-je averti ?

76%
Ne sont pas capables
de dterminer qui sont les personnes qui accdent aux donnes
SOURCE: PONEMON INSTITUTE

Qui est le propritaire des

donnes ? O sont mes donnes sensibles, qui y a accs, qui y accde ? Comment y remdier ? Part o commencer ?
Page 15

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

10 Choses Que Devrait Faire lIT

1. Auditer laccs aux donnes Faire linventaire des permissions Hirarchiser le traitement des donnes Rvoquer les permissions globales Identifier le propritaire mtier des donnes Recertifier les autorisations rgulirement 7. Aligner les groupes de scurit aux donnes 8. Auditer les changements de groupes et de permissions 9. Verrouiller, archiver ou effacer les donnes primes ou inactives 10. Nettoyer les groupes inutiles et les contrles daccs obsoltes

2.
3. 4. 5. 6.

Page 16 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

1. Auditer les accs Pourquoi Est-Ce Important ?

Un mcanisme daudit (simple et sans impact sur la production) est ncessaire pour rpondre aux questions cls :
Qui utilise quels fichiers et quels dossiers ?
Qui nutilise pas certaines donnes ?
Quelles autorisations sont inutiles ? Que pouvons-nous archiver ? Qui a supprim mes fichiers ? Qui a modifi mes fichiers ? Qui sont les propritaires des donnes ?

Quelles donnes ne sont pas utilises du tout ?

Questions IT courantes :

Questions de scurit courantes :

A quoi cette personne accde ?
Page 17 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

1. Auditer les accs Que Faut-il Examiner ?

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

2. Inventaire des Permissions Pourquoi Est-Ce Important ?

Les autorisations sont notre faon de grer l'accs Elles existent sur tous les types de containers
Les dossiers, les sites SharePoint, les botes aux lettres, etc.

Sans une visibilit sur les autorisations, nous ne pouvons pas savoir :
Qui a accs quels fichiers, quels dossiers, etc Quelles sont les donnes auxquels un utilisateur ou un groupe a accs Quels sont les autorisations mal configures ou trop permissives
Page 19 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Une Visibilit Sur Les Permissions : Que Faut-il Examiner ?

Non-intrusive

Serveurs de Fichiers Boites aux Lettres & Dossiers Publics Exchange SharePoint UNIX
Active Directory, LDAP, NIS et/ou comptes Locaux

Fait le lien entre utilisateurs & groupes et les ressources Complte & permanente (contrle continu)
Bi-directionnelle

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Une Visibilit Sur Les Permissions : Que Faut-il Examiner ?

Page 21 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Une Visibilit Sur Les Permissions Que Faut-il Examiner ?

Double-Cliquez sur un Utilisateur ou un Groupe

Fichiers Accessibles Boites aux Lettres et Dossiers Partages Exchange accessibles

Rpertoires Unix Accessibles

Sites SharePoint Accessibles

Page 22 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

3. Hirarchiser les donnes Pourquoi Est-ce Important ?

La plupart des organisations ont plusieurs traoctets de donnes non-structures Des milliers de dossiers ont besoin dun assainissement cause des :
Accs trop permissifs Groupes trop larges

Il est important de donner la priorit aux donnes les plus critiques La question principale est :
Quelles donnes doit-on scuriser en priorit ?
Page 23 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Hirarchiser les donnes Que Faut-il Examiner ?

Liste Exposed des dossiers Data prioritaires devant Sensitive Data

tre traits
Ceux contenant un pourcentage important de donnes sensibles -ETCeux disposant dautorisations excessives/permissives Page 24 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Hirarchiser les donnes Que Faut-il Examiner ?

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

4. Nettoyer les Accs Ouverts Pourquoi Est-ce Important ?

Des donnes accessibles lensemble de lentreprise

Systmes Ouverts de Partages Autorisations de type Everyone , Utilisateurs Authentifies , Utilisateurs

RISQUE SUR LA SENSIBILITE DES INFORMATIONS

Page 26 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

5. Identifier les Propritaires Pourquoi Est-ce Important ?

Qui dcide de lutilisation des donnes ?

Qui doit pouvoir y accder ? Quelle utilisation est approprie ?

Cette personne doit tre dfinie ?

Cela nest probablement pas le service IT

Rponses Communes :
Nous avons un outil de ticketing pour traiter les demandes Si la demande arrive au helpdesk, cest quelle est approuve par le mtier, nous affectons les droits

Page 27 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

6. Rviser les autorisations Pourquoi Est-ce Important ?

Les contrles daccs doivent voluer car :

Le rle et les postes des utilisateurs changent Les quipes se composent et se dcomposent

Question Principale
Comment pouvons-nous rviser les autorisations de manire efficace et volutive ?

Page 29 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

7. Aligner les Groupes aux Donnes Pourquoi Est-ce Important ?

Lexistence de nombreux groupes nest pas justifie

Quel groupe peut accder quelle ressource ?

UNKNOWN

Page 31 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

7. Aligner les Groupes aux Donnes Que Faut-il Examiner?

Visualiser les permissions Simuler les modifications Identifier les groupes inutiliss et vides

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

8. Auditer les Changements de Permissions Pourquoi Est-ce Important ?

Aprs avoir assaini lenvironnement, il est ncessaire de lentretenir par le biais des :
ACLs Appartenances aux groupes

Les changements doivent tre approuvs par les propritaires

Page 33 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

8. Auditer les Changements dAccs Que Faut-il Examiner?

Des ressources faciles utiliser et trier Des ressources sous forme de rapport

Page 34 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

9. Identifier les donnes primes Pourquoi Est-ce Important ?

40 60 % des donnes sont primes et peuvent tre archives sans affecter lactivit de lentreprise

Combien dpensez-vous dans le stockage ? Combien de donnes inutiles sont accessibles ? Page 35 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

9. Identifier les donnes primes Que Faut-il Examiner ?

Lactivit relle des utilisateurs Sous forme de rapports

Page 36 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

10. Nettoyer Pourquoi Est-ce Important?

La complexit est source derreurs Les autorisations sans objet et les donnes sans utilit nuisent aux performances

Page 37 CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

10 Choses Que lIT Doit Faire

1. Auditer laccs aux donnes 2. Faire linventaire des permissions 3. Hirarchiser le traitement des donnes 4. Rvoquer les permissions gnrales 5. Identifier le propritaire mtier des donnes 6. Rviser les autorisations rgulirement 7. Aligner les groupes de scurit aux donnes 8. Auditer les changements de groupes et de permissions 9. Verrouiller, archiver ou effacer les donnes primes ou inactives 10. Nettoyer les groupes inutiles et les contrles daccs sans objet

A intgrer la gouvernance de votre SI

CLUSIR Rha, Le 15 janvier 2014

Page 39

Gestion des identits et des accs au SI

La Secure Collaboration valorise lactivit

Valeur Maximum

Pas dAccs Pas de Collaboration

Pas de Valeur

Des Accs Corrects

Des Accs trop Nombreux et Incontrls Une Collaboration Valeur Negative

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

La Secure Collaboration
Les donnes sensibles mritent le mme contrle que les actifs financiers:
Seules les personnes autorises doivent y avoir accs Les accs doivent tre enregistrs et conservs Lutilisation doit tre contrle Les abus doivent tre observs et contrls
Confiance
Accs Restreints Identification des Propritaires Rvisions des Autorisations

Vrification
Audit des Accs Analyse de lUtilisation Rduction des risques

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Merci de votre attention, vous

CLUSIR Rha, Le 15 janvier 2014

Gestion des identits et des accs au SI

Contact
Lionel Gauliardon

Consultant Snior

lionel.gauliardon@telindus.fr

CLUSIR Rha, Le 15 janvier 2014