Au-delà du périmètre : mise en œuvre d’une gestion des identités et des accès (IAM) de type « Zero Trust » dans les environnements hybrides et multicloud

Les environnements modernes s’appuient sur des plateformes cloud, des applications SaaS et des infrastructures hybrides, rendant ainsi obsolètes les frontières réseau. L’identité constitue le point de contrôle le plus cohérent pour l’ensemble des services, des applications et des environnements. 

On parle de « prolifération des identités » lorsque les comptes, les identifiants et les autorisations sont répartis sur des plateformes isolées les unes des autres, ce qui engendre des angles morts et affaiblit la gouvernance. 

Les identités des machines se multiplient plus rapidement que celles des humains et ne font souvent l’objet d’aucune gestion de leur cycle de vie, d’aucune rotation ni d’aucune surveillance, ce qui rend leur protection manuelle difficile. 

En unifiant les systèmes d’identité, en imposant une authentification forte, en contrôlant en permanence les accès eten supprimant la confiance implicite entre les systèmes. 

Répertorier toutes les identités, regrouper les plateformes, imposer l’authentification multifactorielle (MFA), automatiser la gouvernance, segmenter les accès et appliquer des politiques de vérification continue.

Veuillez regarder la vidéoicipour consulter la transcription horodatée

Bonjour à tous, bienvenue dans « Beyond the Perimeter ».

Je trouve que cette session a un titre génial.

C’est un excellent titre de film, mais euh… dans cette session, nous n’allons pas parler de
cinéma.

Nous allons aborder votre système IAM et vous expliquer comment le modèle « Zero Trust » peut vous
vous aider à sécuriser vos systèmes IAM et à renforcer la sécurité de vos réseaux.

Voici quelques-uns des principaux objectifs que nous allons aborder au cours de cette présentation.

Nous allons expliquer pourquoi l’identité constitue désormais le nouveau périmètre de sécurité.

Nous aborderons également les principes fondamentaux de l’IAM Zero Trust qui, selon nous, sont les plus importants pour
votre système de gestion des identités et des accès.

Et nous aborderons certaines stratégies que nous pouvons mettre en œuvre pour unifier, renforcer
et vérifier les accès au sein de votre système de gestion des identités et des accès.

À la fin, je vous présenterai également une feuille de route qui, je l’espère, vous
vous fournira des conseils pratiques et des étapes concrètes à suivre pour mettre en œuvre le modèle Zero Trust au sein de votre

un système IAM qui vous aidera vraiment à vous lancer et à obtenir vos premiers résultats, peut-être même dès la semaine prochaine
, lorsque vous réfléchirez à vos projets « Zero Trust ».

Je m’appelle Ron Robbins, je suis chef de produit senior chez Commvault et je travaille dans
le domaine de la résilience des identités. J’aide les clients à 

à relever les défis liés à la résilience des identités au sein de leur organisation.

Allons-y et entrons dans le vif du sujet.

Ce que j’ai surtout retenu en préparant cette présentation,
et ce qu’il est, à mon avis, essentiel de garder à l’esprit, c’est que

L’identité est le nouveau périmètre.

Avant, notre sécurité se limitait au pare-feu, n’est-ce pas ?

Nous étions habitués aux modèles de réseau traditionnels où

nous mettions en place des pare-feu, nous configurions des VPN, et nous considérions que notre réseau ou notre centre
Les données étaient protégées par ces pare-feu et ces VPN.

Ce n’est plus le cas.

Vous savez, nous avons ajouté de nouvelles charges de travail et de nouvelles applications SaaS.

Nous avons intégré de nouvelles plateformes cloud à notre environnement.

Et comme l’a dit John Hawley dans un article du magazine CSO publié en 2012, nos centres de données
sont de plus en plus fragmentés.

Ils sortent du périmètre de sécurité rassurant offert par les pare-feu et les VPN, ce qui, je
Je pense que c’est une excellente image pour réfléchir à la situation dans laquelle nous nous trouvons tous

aujourd’hui, alors que nous ne disposons plus de ce réseau traditionnel sur place où nous étions
protégés par un pare-feu et un VPN.

Mais nous sommes allés bien au-delà de cela.

Par exemple, la plupart d’entre nous se trouvent dans cette situation hybride où nous disposons d’une

et où nous utilisons également de nombreuses plateformes cloud.

Euh… Nos déploiements de messagerie instantanée sont vraiment mis à rude épreuve par cela, et Geoff Cairns soulève ce point dans un
article qu’il a rédigé pour présenter le rapport « Forrester Wave™ ».

Il explique que les déploiements actuels de messagerie instantanée se caractérisent par une prolifération des identités et par la multiplicité des comptes utilisateurs
et des identifiants dispersés dans des systèmes cloisonnés, ce qui se traduit par une mauvaise gestion des identités

conséquence.

Et c’est vraiment quelque chose que nous devons maîtriser, car ce phénomène ne
ne cesse de s’amplifier de jour en jour.

De plus, si l’on ajoute à cela le problème de l’IA génétique, on assiste à une explosion
de ce qu’on appelle les identités non humaines (NHI).

Dans une étude de contexte réalisée en 2025, CyberArk a constaté que les identités des machines recensées auprès de ses
clients

Elles sont désormais 82 fois plus nombreuses que les identités humaines, ce qui est tout
Tout simplement époustouflant.

Le nombre d’agents qui utilisent ces identités et le nombre de comptes de service qui les exploitent
.

Auparavant, nous avions cette conception d’un réseau où chaque personne disposait d’une seule identité.

Et autrefois, nous ne gérions qu’un petit nombre d’identités.

Aujourd’hui, nous devons
gérer des milliers et des milliers de comptes de service

portant des noms tels que « compte de service 01 », « compte de service 02 », et cela devient tout simplement un énorme
problème pour nous : c’est un véritable casse-tête que de gérer cette explosion d’identités et de garantir

maintenir une bonne hygiène dans l’ensemble de cet environnement.

C’est pourquoi, aujourd’hui plus que jamais, je pense sincèrement que nous avons besoin d’une stratégie de type « zero trust » pour
notre environnement IAM.

Voyons donc un peu plus en détail à quoi cela ressemble
le défi du cloud hybride et du multi-cloud.

Je me demande combien d’entre vous ont mis en place une stratégie multicloud ?

Si vous n’utilisiez qu’AWS, l’actualité récente vous a peut-être montré qu’une stratégie
Le multicloud est une solution que vous devriez envisager d’adopter, dans le cadre de laquelle vos applications doivent être réparties

sur plusieurs plateformes, sur plusieurs clouds, ou au moins de disposer d’un basculement entre
les clouds, si possible.

Nous intégrons donc ces plateformes cloud à notre organisation afin d’assurer notre résilience.

Et nous avons alors découvert que chacune de ces plateformes cloud utilisées par notre organisation
avait besoin de disposer de ses propres systèmes IAM.

Et ces systèmes IAM ont chacun leur propre langage.

Par exemple, si vous prenez Active Directory et que vous souhaitez y
Pour ajouter un rôle, la procédure est totalement différente de celle consistant à ajouter un rôle dans AWS IAM.

Je veux dire, certains concepts se ressemblent, n’est-ce pas ?

Mais le langage et la procédure à suivre dans Active Directory et dans
AWS IAM

sont deux choses totalement différentes.

Ce que je veux dire par là, c’est qu’AWS IAM s’apparente davantage à un langage de script permettant d’accéder à un rôle ou d’y
ajouter un rôle à Active Directory.

Ainsi, au-delà de l’interface utilisateur, la situation est bien plus complexe et manque de cohérence.
d’un système IAM à un autre.

Cela nous pose donc un véritable problème lorsque nous voulons faire respecter certaines règles et appliquer
des politiques cohérentes sur toutes les plateformes et dans toutes les applications.

De plus, les fusions et acquisitions aggravent le problème.

Nous sommes donc constamment confrontés à des fusions et acquisitions, ou à l’arrivée de nouvelles entreprises au sein de notre
organisation, qui peuvent disposer de leurs propres comptes et de leurs propres

les comptes que nous devons gérer.

Et elles peuvent s’accompagner de problèmes d’hygiène des identités auxquels nous n’avions même pas pensé
auparavant.

Je travaillais auparavant pour une organisation — je ne citerai d’ailleurs aucun nom afin de
de protéger les responsables —

Mais je travaillais auparavant pour une organisation qui menait de nombreuses opérations de fusion et d’acquisition.

Nous avons réalisé un audit « zero trust » et avons découvert qu’il existait de nombreux comptes cloud
qui n’étaient tout simplement pas gérés, dont nous n’avions tout simplement pas tenu compte en raison de leur nombre

les acquisitions qui avaient eu lieu au cours de l’année écoulée.

Nous avons découvert que nous avions 12 comptes cloud dont nous ignorions même l’existence.

Et au sein de chacun de ces 12 comptes cloud, nous disposions de comptes administrateur qui étaient distincts

à un utilisateur individuel.

Ainsi, un seul utilisateur pouvait disposer de 12 comptes administrateur différents sur l’ensemble de ces 12
plateformes cloud.

Cela nous a donc posé un véritable problème.

De plus, lorsque ces utilisateurs quittaient l’entreprise, cela entraînait la création de nombreux comptes orphelins.

Il y avait donc des comptes administrateurs orphelins, ce qu’il faut vraiment éviter au
faire partie d’une organisation.

La gestion des identités devient donc un véritable casse-tête dès lors que l’on commence à prendre en compte

le nombre de plateformes cloud que l’on prend en compte, ainsi que le nombre d’applications SaaS
.

Nous avons donc plus que jamais besoin d’une stratégie concernant nos systèmes d’identité.

Et je pense qu’il existe certains principes issus du modèle Zero Trust que nous pouvons appliquer à nos systèmes IAM
afin de renforcer la sécurité.

La première règle est la suivante : ne jamais se fier à personne et toujours vérifier.

Chaque utilisateur, chaque appareil,

Pour chaque élément qui accède à votre réseau, vous devez vous assurer qu’il prouve son identité.

Vous devez vous assurer qu’il justifie son identité et qu’il s’agit bien d’un élément
digne de confiance, autorisé à accéder à votre réseau et à y effectuer des opérations.

De plus, vous devez appliquer le principe du « privilège minimal » à vos identités.

Ainsi, les utilisateurs ne doivent disposer que des droits d’accès nécessaires à l’exécution d’une tâche ou de leurs fonctions professionnelles, et
rien de plus.

Ainsi, s’ils ont accès à quoi que ce soit qui dépasse le cadre de leurs fonctions,

leur compte dispose de privilèges excessifs.

Imaginez ce qui pourrait se passer si un acteur malveillant s’emparait de ce compte et parvenait à
se connecter pour effectuer des opérations qu’il n’est pas censé effectuer au sein de votre organisation.

De plus, vous devez mettre en place une authentification forte et une authentification multifactorielle (MFA) partout où ce n’est pas déjà le cas.

L’authentification repose sur trois éléments.

Elle repose sur quelque chose que vous connaissez, quelque chose que vous possédez et quelque chose qui vous caractérise.

Il est donc important qu’une authentification forte comprenne ces trois éléments, ou au moins
deux d’entre eux si vous ne pouvez pas les mettre en œuvre tous les trois à ce stade sur votre réseau.

C’est très important.

Les décisions d’accès doivent être fondées sur le contexte et la posture de sécurité.

Qu’est-ce que cela signifie ?

Imaginons qu’une personne se connecte au réseau avec un ordinateur portable et qu’elle
qu’elle se soit connectée quelque part dans la région du New Jersey.

Elle commence alors à effectuer des opérations sur le réseau et, tout à coup, cinq minutes plus tard,

l’adresse IP de son ordinateur change pour correspondre à une adresse IP située
, disons, en Californie, et elle commence à mener des opérations sur le réseau depuis la Californie.

Or, il est impossible que cette personne ait pu traverser tout le pays en cinq
procès-verbal.

C’est un déplacement impossible.

Et si vous constatez cela au cours de cette session, vous devrez soit mettre fin
lors de cette session, soit demander à l’utilisateur de s’authentifier à nouveau afin de vous assurer qu’il s’agit bien de la personne en question

ce qu’elle a prétendu être lors de son identification.

C’est pourquoi il est important de vérifier l’état de l’appareil

et il est essentiel de vérifier le contexte.

Et la vérification continue va de pair avec cela.

Il s’agit de s’assurer que la personne que vous avez authentifiée une première fois continue de se montrer digne de confiance
tout au long de la session.

Ainsi, si elle commence à adopter des comportements à risque, si elle accède à des comptes auxquels elle n’est pas
autorisée à accéder, si elle supprime des données ou effectue des actions destructrices, vous devez

de la revérifier ou

que vous mettiez fin à la séance si la situation présente un risque.

Un autre avantage majeur du modèle « zero trust » est qu’il faut toujours partir du principe qu’une intrusion a eu lieu ou adopter cette
C’est un peu l’état d’esprit de la « violation présumée », n’est-ce pas ?

Vous devez concevoir votre réseau en partant du principe qu’il y a déjà des acteurs malveillants à l’intérieur.

Et je pense qu’un exercice stimulant, voire amusant pour certains d’entre vous
Pour ceux qui aiment jouer les enquêteurs, il faudrait partir du principe que quelqu’un s’est déjà introduit

votre réseau chaque jour.

Allez vérifier les sessions, observez les actions des utilisateurs,

Déterminez si quelqu’un commet quotidiennement des actes malveillants sur votre réseau, et essayez de le démasquer
les acteurs malveillants pris en flagrant délit.

Si vous partez toujours du principe qu’il y a une intrusion, vous resterez toujours prudent, vous prendrez
Prenez toujours vos précautions et surveillez en permanence ce qui se passe sur votre réseau

et dans vos systèmes d’identité.

Quelles sont donc les stratégies que nous pouvons mettre en œuvre pour appliquer certaines de ces politiques « zero trust » ?

Eh bien, la première chose que nous pouvons faire, à mon avis, c’est d’unifier l’identité, l’authentification et
l’accès.

Et qu’est-ce que j’entends par là ?

Eh bien, euh

avec toutes ces plateformes cloud, avec toutes ces applications SaaS que nous avons mises en place,
nous sommes confrontés à des cloisonnements identitaires.

J’aime les appeler des « îlots d’identité », ces îlots d’identité que l’on trouve un peu partout.

Et la solution la plus simple pour les maîtriser toutes consiste à briser ces cloisonnements ou
pour faire tomber les barrières entre toutes ces « îles d’identité » et les rassembler.

Mettez en place une source unique de vérité pour vos identités.

Parfois, dans la plupart des organisations, il peut s’agir d’un système RH : lorsque les personnes sont embauchées, elles
saisissent leurs informations dans ce système.

Cela peut constituer la seule source de vérité et c’est peut-être à partir de là que vous créez des comptes.

Il peut également s’agir d’un système d’identité en tant que service, comme par exemple Entra AD, Ping ou Octa
, entre autres.

L’essentiel ici est de parvenir à une identité unique par utilisateur.

Il est bien plus facile de gérer les utilisateurs et leurs identités lorsque chaque utilisateur dispose d’une seule identité.

De plus, il est plus facile d’harmoniser cette identité à travers plusieurs systèmes et plusieurs
services lorsqu’on dispose d’une identité unique par utilisateur.

Et c’est la prochaine étape.

Ce qu’il vous faut faire, c’est consolider cette identité.

J’ai un bon exemple tiré d’une ancienne organisation avec laquelle j’ai travaillé.

Je vous promets que ce ne sera pas la même organisation, mais là encore, il s’agit d’une organisation anonyme.

Nous avions mis en place un service FTP.

Ce service FTP n’a pas pu être fédéré

en suivant notre stratégie de fédération habituelle.

Il disposait donc de son propre référentiel d’identités.

Il disposait également de son propre module d’authentification multifactorielle (MFA).

À l’époque, nous n’étions pas vraiment à l’aise avec l’association entre notre environnement
l’entreprise et notre environnement cloud.

Ainsi, une personne souhaitant accéder à ce service FTP dans le cloud devait d’abord se connecter au
VPN d’entreprise à l’aide d’un compte utilisateur et d’un identifiant, puis passer un test d’authentification à deux facteurs.

Elle devait ensuite se connecter à notre plateforme cloud

à l’aide d’un compte utilisateur d’entreprise, d’un identifiant et d’un mot de passe, ainsi que d’une authentification multifactorielle.

Enfin, elle devait se connecter au service FTP à l’aide d’un identifiant, d’un mot de passe et d’une
authentification multifactorielle.

Et toutes ces identités portaient le même nom.

Du coup, chaque fois qu’une personne appelait le service d’assistance pour un problème d’identité ou lié à
sur l’un de ses comptes utilisant l’authentification multifactorielle, nous n’avons pas pu déterminer de quel compte il s’agissait.

En gros,

de deviner et de déterminer lequel posait problème, et les utilisateurs n’étaient pas en mesure de
nous expliquer clairement de quel compte il s’agissait.

Du coup, parfois leurs problèmes étaient résolus, parfois non, et nous n’avions vraiment aucune
une idée de l’origine des problèmes d’identité sur ce système en particulier.

Il est donc très important de parvenir, d’une manière ou d’une autre, à cette identité unique par utilisateur.

De plus, le fait de disposer d’une identité unique facilite grandement l’harmonisation des politiques et des modèles d’accès basés sur les rôles d’une plateforme à 
l’autre.

De même, lorsqu’on en arrive à automatiser le provisionnement et la gouvernance tout au long du cycle de vie des
Pour les utilisateurs, cela s’avère beaucoup, beaucoup plus simple avec une identité unique et un environnement d’identité consolidé.

Parlons maintenant du renforcement de la sécurité des accès privilégiés.

C’est également très important.

L’une des mesures à prendre consiste à considérer vos administrateurs comme des identités
qui présente le plus grand risque au sein de votre organisation.

Ce sont les comptes les plus dangereux et ce sont eux qui sont le plus

visé en cas d’infraction.

Ce sont eux qui ont le plus de valeur aux yeux des cybercriminels, n’est-ce pas ?

Aucun membre de votre organisation ne devrait disposer en permanence de droits étendus.

Aucun administrateur ne devrait disposer de droits privilégiés de manière permanente.

Ils n’en ont tout simplement pas besoin.

Ils n’en ont pas besoin pour naviguer sur Internet ou pour lire les actualités sur ce qui se passe dans le monde.

Vous devez mettre en place un système d’élévation des privilèges « juste à temps »

, dans laquelle les administrateurs ne disposent de comptes dotés de privilèges élevés que pendant la durée nécessaire à 
la mise en œuvre de l’action qu’ils souhaitent mener.

Si vous associez cela au principe du « zero trust », vous obtiendrez un
compte d’administrateur dont l’accès ne sera valable que pendant la durée nécessaire à l’exécution de la tâche requise.

Et il n’aura accès qu’à la fonction spécifique que nous lui avons autorisée
.

Cela renforce donc considérablement la sécurité de vos comptes administrateurs.

Vous devriez également mettre en place une sorte de comptes d’urgence contrôlés.

J’ai une anecdote très révélatrice à ce sujet.

Je me demande, posez-vous simplement la question : combien d’entre vous ont un Bob dans leur entourage ?

Vous voyez de qui je parle, vous connaissez Bob.

Bob, c’est ce type qui est le seul à pouvoir accéder à ce serveur poussiéreux,
rangé dans une vieille armoire de câblage quelque part sur site, au sein de votre organisation

et il est le seul à pouvoir s’y connecter.

Et si Bob venait à quitter l’entreprise ou si, Dieu nous en préserve, il venait à décéder, vous
vous perdriez l’accès à ce serveur.

Vous ne pourriez plus vous y connecter.

Vous ne pourriez plus effectuer de sauvegardes ni de restaurations.

Vous ne pourriez plus le mettre à jour.

Et Bob le sait, et Bob sait qu’il est très précieux.

Vous devez donc veiller à vous débarrasser de ce genre de personnes de votre entourage.

Vous souhaitez disposer de comptes « d’urgence » que vous pouvez activer et auxquels vous pouvez recourir en
en cas de besoin, si l’impensable venait à se produire, en cas de catastrophe, et qui soient

des sessions surveillées et contrôlées, des comptes que vous pouvez « retirer » et « rendre » pour effectuer
les actions les plus sensibles, comme par exemple un accès root à un compte cloud dont vous pourriez être le propriétaire.

Une autre mesure importante pour renforcer la sécurité et gérer les privilèges consiste à exiger une double validation pour les actions à haut risque
impact.

Qu’est-ce que j’entends par là ?

Imaginons qu’un administrateur doive se connecter et modifier 50 comptes.

Il ne le fait généralement jamais, mais vous savez, c’est une action aux conséquences très importantes.

Ce serait une action très destructrice s’il surveillait 50 comptes, s’il gérait 50
comptes simultanément et procédait à une modification ayant un impact significatif sur votre organisation.

Vous souhaitez disposer d’un mécanisme nécessitant une double authentification ou
une double validation pour cette action spécifique, de sorte que lorsque Bob effectue cette modification,

il doive obtenir l’accord d’une autre personne, peut-être un supérieur hiérarchique
qui devrait également approuver cette mesure.

Et c’est donc très important.

Si un malfaiteur mettait la main sur le compte de Bob ou sur celui de n’importe qui d’autre… Écoutez, je prends juste
Prenons l’exemple de Bob : il lui faudrait disposer d’un deuxième compte pour pouvoir effectuer ces

actions destructrices ou ayant un fort impact.

De plus, chaque session privilégiée, chaque session d’administrateur, doit
être enregistrée.

Assurez-vous qu’elles fassent toutes l’objet d’une surveillance et d’un audit.

Et informez ensuite vos collaborateurs que ces sessions font l’objet d’un audit et sont enregistrées.

Je constate que les administrateurs se montrent beaucoup plus prudents s’ils savent que leurs actions sont surveillées.

Ils veillent beaucoup plus à ne pas commettre d’erreurs et à ne pas adopter de
des comportements qu’ils ne devraient pas adopter… euh… s’ils savent que leurs sessions sont

sont surveillées et que leurs sessions font l’objet d’un audit.

Je pense donc que ce sont là des éléments importants pour renforcer la sécurité des accès privilégiés.

Ajoutons ensuite la vérification continue.

La vérification continue s’apparente en quelque sorte au modèle « zero trust », mais il s’agit d’un « zero trust » en temps réel.

Ce que nous faisons, c’est que nous validons en permanence les utilisateurs et vérifions s’ils disposent ou non des
les droits d’accès nécessaires à l’exécution des tâches requises.

Vous savez, il est très important de garder à l’esprit que le simple fait d’avoir
Le fait d’avoir authentifié un utilisateur une première fois ne signifie pas qu’il est considéré comme fiable pendant toute la durée de sa

en ligne ou pendant toute la durée de sa session.

Les jetons de session

peuvent être volés et les sessions peuvent être détournées ; celles-ci peuvent être prises en main par des acteurs malveillants qui peuvent alors effectuer des actions
à risque.

Il est donc important de vérifier en permanence les actions de l’utilisateur tout au long de sa session et d’analyser
l’état de sécurité de son appareil.

Si l’appareil qui se connecte à la session est un appareil d’entreprise ou s’il s’agit, disons, de
son appareil personnel susceptible d’introduire des logiciels malveillants dans votre

réseau, il est essentiel d’en assurer le suivi.

Vous devez disposer d’un système d’authentification renforcée pour les opérations à risque.

Ainsi, si un utilisateur se connecte et souhaite étendre ses droits d’accès ou créer un
Pour le compte administrateur, une authentification renforcée doit être exigée.

Un bon exemple est celui de la connexion à votre banque : lorsque vous vous connectez à 
votre compte bancaire à l’aide de votre identifiant et de votre mot de passe, et éventuellement d’une authentification multifactorielle (MFA) si vous êtes client d’une

bonne banque, et que vous vous connectez simplement pour consulter votre compte ou vos transactions,

, mais que vous souhaitez ensuite transférer une somme importante vers un autre compte, ce que vous ne faites jamais d’habitude
.

La banque peut alors vous demander une authentification multifactorielle supplémentaire ou vous envoyer un e-mail vous invitant à 
Saisissez le code qu’elle vient de vous envoyer par e-mail afin de confirmer cette transaction.

C’est un exemple d’authentification renforcée.

C’est une mesure facile à mettre en place au sein de votre organisation et à appliquer aux
comportements à risque.

Vous devez surveiller les sessions afin de détecter d’éventuelles anomalies.

Assurez-vous que, si une anomalie survient au cours d’une session, l’utilisateur soit soumis à une nouvelle authentification
.

Ainsi, si un utilisateur n’accède généralement pas aux données financières dans SharePoint et qu’il commence à y accéder
Si vous ne parvenez pas à accéder à ces informations ou si vous souhaitez en demander l’accès, il est peut-être temps de procéder à une nouvelle authentification ou d’examiner cette

session et de vérifier que l’accès est toujours justifié pour cet utilisateur.

De plus, vous devriez ajuster le niveau de risque de manière dynamique en fonction du risque

ou en fonction de ce qu’il est en train de faire.

Prenons par exemple le cas des déplacements impossibles.

Imaginons par exemple qu’un utilisateur, au cours de sa session, commence à effectuer des actions à risque à 2
heures du matin

le matin, alors que ses horaires de travail habituels vont de 9 h à 17 h.

Dans ce cas, vous voudrez peut-être vous assurer que la session de cette personne n’a pas été piratée, que
son jeton n’a pas été volé et réutilisé ailleurs par quelqu’un à l’étranger ou par quelqu’un

qui, euh, tente de commettre des actes malveillants au sein de votre réseau.

Vous devez disposer d’un moyen de détecter et de mettre fin immédiatement aux sessions
renoncez dès que vous constatez qu’il existe un risque ou que

des acteurs malveillants sont impliqués.

Bon, maintenant que nous avons abordé la stratégie, parlons de quelques mesures
des mesures concrètes que vous pourriez mettre en œuvre dès maintenant au sein de votre organisation pour appliquer le modèle « zero trust » à vos systèmes IAM.

Je sais que ces mesures ne s’appliqueront pas à toutes les organisations.

J’ai essayé de m’en tenir à un niveau général tout en restant concret.

Mais voici quelques pistes de réflexion qui, je l’espère, vous donneront des idées pour réussir
au sein de votre organisation et mettre en œuvre certaines des politiques « zero trust » dans votre

organisation.

Donc, au cours des 30 premiers jours, je pense que l’une des priorités est de généraliser l’authentification multifactorielle (MFA)
).

Si vous ne disposez pas encore de l’authentification à plusieurs facteurs (MFA), c’est une mesure qui porte ses fruits très rapidement.

Si vous pouvez mettre en place un système d’authentification à plusieurs facteurs (MFA) au sein de votre organisation, un système qui demande aux utilisateurs de saisir un
code, ou si vous disposez déjà d’une authentification multifactorielle (MFA) généralisée, vous pourriez peut-être

vous souhaiteriez peut-être passer à une authentification multifactorielle résistante au phishing, conforme à la norme FIDO2 ou à une autre norme
de ce genre.

C’est également une excellente mesure, facile à mettre en œuvre au sein de votre organisation, qui
rendra vos comptes bien plus sûrs.

Commencez également à recenser vos silos d’identités.

Déterminez où se trouvent toutes vos identités, sur quelles « îles » elles sont situées, où
où se trouvent vos applications cloud, quelles plateformes cloud vous utilisez et quels silos d’identité existent

au sein de celles-ci.

Essayez de repérer tous ces éléments et dressez un inventaire très complet.

Ensuite, vous devrez sécuriser vos comptes administrateurs et vos comptes de service.

C’est une mesure que vous pouvez mettre en œuvre dès le premier jour.

Rendez-les plus sûrs, quelle que soit la méthode utilisée, même si ce n’est que de façon minime.

Commencez par prendre de petites mesures progressives pour renforcer la sécurité de ces comptes administrateurs et ne laissez pas
personne ne doit disposer en permanence de privilèges lui permettant d’intervenir au sein de votre organisation.

Au cours des 30 premiers jours, il est important de remporter des victoires.

Il est important de justifier

l’importance de ce projet « Zero Trust ».

Au cours des 90 jours à venir, veillez à faire preuve de cohérence.

Lancez votre plan de consolidation des identités.

Commencez à mettre en œuvre une consolidation des identités.

Regroupez tous vos « îlots d’identité », fusionnez vos silos.

Veillez à ce que chaque personne dispose d’une identité unique.

Définissez à quoi ressemblera votre cadre stratégique.

Même si vous ne le mettez pas encore en œuvre, il est important de commencer à le définir, parallèlement à la gestion du
cycle de vie.

À quoi ressemblera votre processus de cycle de vie ?

Comment les utilisateurs intègrent-ils votre organisation ?

Comment quittent-ils votre organisation ?

Comment gérez-vous les départs au sein de votre organisation ?

Comment supprimez-vous leurs comptes ?

Il est important de définir cela dès le départ afin de pouvoir mettre
Mettez en place une automatisation à mesure que votre organisation se développe.

Mettez également en place une politique de sécurité des appareils.

Si ce n’est pas déjà le cas, il est important de vérifier vos appareils afin de vous
s’assurer qu’ils sont fiables et que les personnes qui les utilisent

disposent d’appareils fiables, qu’ils soient dotés d’une image de marque ou qu’ils répondent à une
norme spécifique à l’entreprise, et signalez ces appareils comme présentant un risque s’ils ne sont pas

conforme à cette norme.

Ensuite, créez ces comptes de classe de rupture.

Nous ne voulons pas que Bob décède, nous ne voulons pas qu’il quitte l’entreprise, et nous ne voulons
ne pas perdre l’accès à ce serveur rangé dans ce placard poussiéreux auquel seul Bob a accès.

Veillez donc à créer ces comptes de classe « break » assez rapidement.

Ensuite, efforcez-vous d’atteindre la maturité à long terme.

Élargissez votre périmètre de consolidation.

Veillez à disposer d’une source unique de vérité, qu’il s’agisse du système ER ou d’un
système IDAS.

Passez à un mode d’authentification plus avancé.

Il pourrait s’agir, dans votre cas, d’une authentification sans mot de passe reposant sur une norme telle que FIDO2.

J’adore vraiment l’authentification.

Je pourrais en parler pendant 30 minutes d’affilée.

Mais l’authentification sans mot de passe est une fonctionnalité que vos utilisateurs apprécieront vraiment et qui
, à mon avis, renforce considérablement votre sécurité.

Les mots de passe ne constituent tout simplement pas une méthode sûre pour authentifier l’utilisateur.

Veillez à intégrer une surveillance comportementale à votre processus de vérification ou à votre vérification continue
.

Comme je l’ai mentionné, il s’agit par exemple d’un accès au réseau à 2 heures du matin,

alors que vous travaillez normalement de 9 h à 17 h.

C’est un exemple de surveillance comportementale que vous pouvez intégrer à vos séances pour renforcer
votre sécurité.

Intégrez l’automatisation à la gouvernance de votre cycle de vie et à 

cycle de vie de vos identités.

Ainsi, lorsqu’un utilisateur intègre l’entreprise, il bénéficie immédiatement des accès dont il a besoin.

Et lorsqu’il quitte l’organisation, il perd complètement les droits d’accès dont il disposait, ce
qui vous permet de vous assurer qu’il n’y a pas de comptes orphelins et de protéger votre

réseau.

Appliquez ensuite vos politiques sous forme de code afin de garantir une mise en œuvre cohérente.

Considérez vos politiques comme du code.

Disposez, pour ainsi dire, d’un référentiel de politiques.

Veillez à tester vos politiques de temps à autre.

Veillez à mettre en place un système de gestion des versions pour vos politiques et assurez-vous qu’elles soient traitées comme du code, c’est-à-dire
quelles soient enregistrées et extraites lorsqu’elles sont modifiées.

J’espère donc que cela vous a fourni suffisamment d’informations pour comprendre comment mettre en œuvre une politique « zero trust »
» pour vos systèmes IAM et renforcer ainsi véritablement la sécurité de votre réseau.

Il y a deux ou trois points que je voudrais que vous reteniez de cette session.

Je tiens à ce que vous gardiez à l’esprit qu’il est important d’améliorer votre « hygiène identitaire ».

Le nombre d’identités explose,

les identités dans le « New Perimeter » ; veillez donc à disposer d’un plan permettant d’apporter
des améliorations, qu’il s’agisse de consolidation, de suppression de ces silos et de ces

, ou simplement mettre en œuvre des politiques et des pratiques cohérentes à l’échelle de votre
organisation.

Essayez toujours de mettre en place des mesures qui vous donneront l’avantage, au cas où un acteur
un individu malveillant parviendrait à s’emparer de l’une de vos identités.

Et s’il y a une chose vraiment importante à retenir de toute cette présentation, c’est que

La confiance n’est pas quelque chose que l’on accorde une seule fois lorsque l’utilisateur s’authentifie.

C’est quelque chose qui doit être vérifié en permanence, à la lumière de ses actions et
pour ce qu’il fait au sein de votre organisation.

C’est donc un élément qui doit faire l’objet d’une surveillance constante.

J’espère donc que cela vous aura été utile.

Si je devais vous suggérer quelques étapes suivantes, je vous conseillerais
notamment écouter un podcast à la demande.

Nous proposons un podcast ou un webcast consacré à la résilience des identités Active Directory.

C’est un excellent webcast que je vous recommande vivement de regarder.

Vous pouvez également en savoir plus sur la cyber-résilience et sur la manière dont Commvault vous aide à la
renforcez-la en vous inscrivant à un atelier sur la cyber-résilience ou en suivant une formation sur la préparation à la cyber-résilience

, et vous trouverez à l’écran les liens permettant d’y accéder.

Je tiens à vous remercier chaleureusement pour le temps que vous m’avez consacré aujourd’hui et pour votre
Attention.

J’espère sincèrement que cela vous aidera dans votre transition vers un modèle « zero trust » pour vos systèmes de messagerie
instantanée à l’avenir.

Un grand merci pour votre présence aujourd’hui et merci beaucoup d’y avoir participé.