Voici quelques questions que l'on nous pose réguliérement. Vous avez une autre question ? N'hésitez pas à nous contacter.

Questions :

Comment aborder mon projet IAM ?

Tout bon projet IAM passe par une succession d'étapes importantes afin de garantir le bon déroulement et la bonne utilisation de la future solution :

  • Définition du périmètre : dedans et en dehors ?
    • Contrôle de la sécurité
    • Gestion des accès
    • Gestion des Identités
    • Gouvernance des accès et des identités
  • Définition actuelle et future des cas d’usage et processus
    • Cycle de vie de l’utilisateur
    • Cycle de vie des rôles
    • Authentification
    • SSO
    • Fédération
    • Contrôles d'accès
    • Gestion des risques
    • Politique de sécurité
  • Choix des pre-requis pour chaque cas d'usage
    • Administration déléguée
    • Approbateurs
    • Workflows
    • Certifications des comptes
    • Séparation des pouvoirs (SOD)
    • Habilitations et modèles associés (RBAC,...)
  • Séléction des meilleures technologies
    • Annuaires
    • Provisioning (connecteurs)
    • Gestion des rôles
    • Accès WEB
    • Authentification forte (Tokens, smartcards,..)
    • PKI
  • Comment les technologies peuvent-elles être intégrées ?
    • SAML, OAUTH
    • ODBC/JDBC
    • LDAP
    • SPML
    • Web Services
    • Fournisseurs d'identités
  • Comment déployer la solution ?
    • Sur site
    • Mode SaaS
    • Hébérgement
    • Service Provider
Combien de temps dure un projet de role management ?

Il n'est pas facile de répondre à cette question. Toutes les organisations sont différentes. Néanmoins, nous savons que de certains critères dépendra le délai final :

  • la granularité souhaitée dans la définition des rôles métiers.
  • le nombre d'applications métiers ou d'infrastructure à prendre en considération pour la définition des rôles.
  • les dimensions à intégrer (rôle, organisation, lieu, compétences transverses, ...)
  • la complexité du modèle de droits techniques des applications.
  • la capacité à réconcilier ou extraire des informations pertinentes permettant des rapprochements.

Tous les outils ne se valent pas, ainsi en fonction de votre contexte il pourra être souhaitable d'orienter votre choix vers un outil riche en connecteurs ou bien un outil permettant des découpages métiers profonds afin par exemple de définir des rôles pour des utilisateurs spécifiques.

Comment m'assurer que mes rapports sont conformes ?

De nombreux progiciels proposent en standard des rapports portant sur les rôles technique de l'outil, les actions liées à une identité, les mouvements entre organisations,... Nous constatons que ces templates fournis ne suffisent pas toujours pour répondre aux problématiques de nos clients.

Les informations liées à des applications sensibles n'ont pas toutes la même importance en fonction du contexte dans lequel nous nous trouvons. Par exemple dans le cas de la réforme de Solvabilité II (Solvency II) nous chercherons à démontrer que les risques d'accès à des fonctionnalités d'applications sensibles sont maitrisés. Les différentes réformes actuelles et futures démontrent que nous devons adapter régulièrement les rapports de conformité et qu'en fonction des contextes clients nous pouvons difficilement les utiliser "out of the box".

Quand débuter mon chantier conduite du changement ?

La conduite du changement est trop souvent négligée lors de déploiements de solutions de gestion d'identités. Sous prétexte de l'apparition de procédures automatisées qui vont apporter à l'utilisateur simplifications dans son quotidien...

Il ne s'agit pas là de former l'utilisateur à une nouvelle solution mais de lui expliquer les impacts entre ses actes de gestion actuels et futurs. Il s'agit de mettre en avant des apports fonctionnels, de lever des freins sur l'apparition de nouveaux processus qui viendraient alourdir la charge d'un utilisateur ou d'une population. De ce fait, les futurs utilisateurs doivent être préparés à la nouvelle solution et comprendre les enjeux associés. Il convient donc de prévoir un laps de temps suffisamment long (en fonction du nombre de personnes à adresser et de la façon dont elles peuvent être adressées).L'AMOA ou la MOA ne sont pas suffisamment disponibles lors des derniers cycles de livraisons / vérifications pour assurer la conduite du changement. D'où le besoin de créer une équipe dédiée qui interviendrait plusieurs mois avant l'ouverture de service et quelques mois après afin d'assurer une assistante, vérifier le suivi des procédures définies (support utilisateur, escalade,...) et synthétiser les remontées utilisateurs.

SSO puis IAM ou IAM puis SSO ?

L'implémentation d'un projet SSO (Enteprise ou Web) est basée sur un référentiel d'authentification. Que celui çi héberge un compte secondaire d'authentification commun à plusieurs applications compatibles ou bien différents comptes applicatifs dans des branches dédiées, le besoin initial sera de l'alimenter en données de qualité dans les meilleurs délais.

Cette alimentation sera effectuée à terme par une solution IAM. Que mettre en place en premier ? Les workflows et rapports de la solution ou bien le connecteur vers le référentiel ? Quel est l'enjeu principal du projet ? Sécurité et contrôle d'accès ? Automatisation des processus fonctionnels, rapports d'audits ? Mise en place d'une brique afin d'afficher les avancées d'une réfléxion globale sécuritaire ? Les réponses permettront de planifier le déploiement des fonctionnalités à mettre en œuvre une fois le socle technique déployé.

Top 5 des questions d'authentification afin de réinitialiser le mot de passe

La possibilité de demander à l'utilisateur final la saisie de réponses personnelles à des questions définies par l'entreprise doit permettre à chaque individu d'accéder par exemple à un processus de saisie de nouveau mot de passe. Afin d'assurer une sécurité accrue quelques règles sont à respecter pour la saisie des réponses aux questions :

  • comprend au moins cinq caractères
  • n'est connue que de l'utilisateur
  • n'est liée d'aucune façon au mot de passe
  • ne changera probablement pas au fil du temps
  • serait très difficile à deviner par d'autres personnes même si elles connaissaient la question d'authentification

Les 5 questions les plus demandées sont :

  • Nom de jeune fille de votre mère ?
  • 2eme prénom de votre père ?
  • Quelle est la première entreprise où vous avez travaillé ?
  • Dans quelle rue avez-vous grandi ?
  • Quelle est votre couleur préférée ?