Par Mhicole A. Moral, Special Features and Content Writer

Alors que les entreprises accélèrent leurs opérations numériques, l’identité s’est imposée comme l’une des priorités déterminantes de la cybersécurité d’entreprise. De plus en plus, les sociétés s’appuient sur la gestion des identités et des accès (IAM) pour déterminer qui peut accéder aux informations critiques, à quel moment cet accès est accordé et comment il est surveillé en continu. Cette évolution a été amplifiée par l’adoption massive du cloud et la multiplication des applications software-as-a-service, qui ont considérablement élargi le nombre de comptes utilisateurs et de chemins d’accès à gérer pour les équipes de sécurité.

Lors de la troisième table ronde du BusinessWorld Cybersecurity Summit — intitulée « Identity and Access Management in the Enterprise » — des dirigeants technologiques ont examiné pourquoi des systèmes d’identité et d’accès plus robustes sont devenus indispensables pour les organisations modernes.

Au-delà des mots de passe et de l’authentification multifacteur

Catherine Anne Paleracio, Chief Information Security Officer (CISO) chez Tonik, a souligné que le paysage de l’identité a évolué parallèlement à l’accessibilité croissante des services numériques. Alors que les organisations s’appuyaient autrefois fortement sur des méthodes d’authentification conventionnelles, l’environnement actuel exige des équipes de sécurité qu’elles aillent bien au-delà des noms d’utilisateur, des mots de passe et de l’authentification multifacteur.

« About 30% of attacks are credential-based », a déclaré Mme Paleracio. « This calls for organizations to act according to the landscape that we're in right now, and it triggers us to think about a different strategy on how we're usually approaching IAM. »

Jan Martin Encina, directeur de la sécurité de l’information chez Maya Philippines, Inc., a expliqué que la gestion des identités et des accès a toujours été une préoccupation fondamentale pour les fonctions de sécurité et d’audit, car le contrôle des accès reste le socle de la protection des ressources de l’entreprise.

Même si la gestion des accès peut sembler routinière, il a indiqué que les organisations devraient mettre en place des pratiques solides afin d’obtenir des bénéfices qui vont bien au-delà de la réduction du risque cyber.

« If an organization is able to get their IAM right, it serves as a very important value driver for that organization. You’re able to make your process a lot more efficient, and really be able to engage your employees », a-t-il noté.

Cet impact sur l’activité explique aussi pourquoi les attaquants ciblent souvent les identités avant de tenter des attaques plus techniquement avancées.

« Access is like the first choice of our adversaries, simply because it’s so basic that everyone has it. Before a threat actor attempts any sort of complicated, sophisticated exploit, they will try to gain access first », a déclaré M. Encina. « If you can get that password from that administrator, from that finance manager who can transfer funds, from someone who can escalate your privileges, there’s nothing technical about that. It’s all social engineering. »

Le défi des terminaux distants

Mark Anthony P. Almodovar, executive director, Risk Services — Cybersecurity and Privacy chez PwC Philippines, a indiqué que les organisations ont dû passer d’une sécurité concentrée dans les bureaux de l’entreprise à la protection de milliers de terminaux distants.

Pendant la pandémie de COVID-19, par exemple, de nombreuses entreprises ont demandé aux employés d’emporter les ordinateurs de bureau à domicile afin de maintenir les opérations, ce qui a considérablement élargi le nombre d’environnements que les équipes de sécurité devaient protéger.

« The endpoint is actually tied up to an individual », a expliqué M. Almodovar. « So it’s really hard as well to protect it. We still rely on the trust basis. »

Il a précisé que les organisations supposent généralement que la personne qui se connecte à un compte d’entreprise est l’employé autorisé, mais vérifier cette hypothèse pour des milliers d’utilisateurs chaque jour reste difficile.

Les risques cyber à identifier

Les améliorations de la sécurité d’entreprise ont aussi influencé le comportement des attaquants. À mesure que les organisations renforçaient leurs défenses techniques grâce à de meilleures technologies et à une sensibilisation accrue à la sécurité, les acteurs malveillants ont davantage ciblé les personnes et les identifiants.

« The weakest thing sometimes in the chain is not the process, it’s not the technology, but it’s really the people. Even if you have the most sophisticated security systems, if your admins are giving out their passwords, then just forget your multimillion-dollar investment in security », a expliqué M. Encina.

M. Almodovar a partagé le même avis, estimant que le contrôle d’accès reste le contrôle de sécurité de l’information le plus fondamental, car il est plus facile pour les attaquants de manipuler les personnes que de vaincre la technologie.

« For the most part, people are still the most vulnerable », a-t-il déclaré. « At least, the technology is playing a good part in terms of enforcing people to use, to some extent, a more sophisticated authentication. »

Mme Paleracio a ajouté que les campagnes de phishing restent parmi les vecteurs d’attaque les plus simples et les plus efficaces, car elles visent des personnes qui disposent déjà d’un accès précieux.

Elle a indiqué que les attaquants sont susceptibles de cibler les administrateurs, les fournisseurs et les employés ayant accès à des informations critiques, car la compromission d’un compte de confiance peut ouvrir un accès direct aux systèmes sans nécessiter d’exploits techniques complexes.

Le “Zero Trust” comme prérequis

Bien que l’identité soit devenue le point central de la sécurité d’entreprise, les intervenants ont estimé que la mise en œuvre du Zero Trust reste un processus progressif qui dépend autant de la gouvernance et de l’alignement business que de la technologie.

Mme Paleracio a décrit le Zero Trust comme un concept de sécurité solide, mais sa traduction dans les opérations quotidiennes exige des investissements soutenus et une planification rigoureuse. Les organisations diffèrent aussi fortement dans leur capacité à mettre en œuvre ce modèle, car l’échelle influe directement sur la complexité.

Par exemple, une entreprise plus petite peut déployer des contrôles Zero Trust plus rapidement, tandis que les organisations comptant des milliers d’employés doivent gérer bien davantage d’utilisateurs, de systèmes et de relations d’accès.

« The challenge is basically defining what you really need and limiting it based on the business needs », a ajouté Mme Paleracio. « At the end of the day, it will be everyone’s role, everyone’s responsibility to have cybersecurity in place. We need to make sure we become enablers while we’re putting up the security controls. »

De même, M. Encina a déclaré que le Zero Trust ne peut réussir que si toutes les parties prenantes participent au processus.

« Security is everybody’s responsibility because Zero Trust can only be implemented if all of the stakeholders are actually doing it », a-t-il noté.

Il a expliqué que les contrôles de sécurité deviennent inefficaces si les employés les contournent. Des politiques trop restrictives peuvent pousser les utilisateurs à recourir à des appareils personnels, à des applications d’intelligence artificielle non approuvées ou à des technologies non autorisées, ce qui crée des risques supplémentaires que les organisations ne peuvent pas surveiller.

Plutôt que d’imposer des contrôles une fois les systèmes déjà construits, M. Encina a plaidé pour l’intégration de la sécurité dès les premières étapes du développement, selon une approche secure-by-design.

Les organisations devraient donc définir les exigences de gestion des identités et des accès avant de sélectionner ou de déployer de nouvelles technologies. Les systèmes qui ne peuvent pas s’intégrer aux plateformes d’identité de l’entreprise ne répondent pas aux exigences métier dès le départ, plutôt que de devenir des exceptions de sécurité après déploiement.

Le soutien de la direction reste tout aussi important, car les politiques ne peuvent pas réussir sans engagement organisationnel, selon M. Almodovar.

Il a évoqué des discussions avec des organisations qui tentaient de renforcer leurs politiques d’authentification malgré la résistance de dirigeants de haut niveau remettant en question la nécessité de contrôles plus stricts après des années sans incident de sécurité. Cette réticence, a-t-il mentionné, retarde souvent les investissements de sécurité jusqu’à ce que les organisations subissent des pertes.

« Access control is the most basic and most fundamental control in information security », a déclaré M. Almodovar. « Most of the time, only when they experience it, when they are compromised, when they lose money, their accounts have been taken over, that’s the time when they will start implementing it. »

Renforcer la gouvernance

Les intervenants sont revenus à plusieurs reprises sur le leadership et la culture organisationnelle comme facteurs déterminants du succès des programmes de sécurité. Chaque employé contribue à la sécurité de l’entreprise parce qu’il dispose d’un accès à des systèmes, des applications et des informations.

« Every single person in the organization has access. Every single person in the organization has a role to play in your systems », a déclaré M. Encina.

Il a ajouté qu’une gestion efficace des identités et des accès nécessite un parrainage de la direction, car les programmes de sécurité affectent simultanément la technologie, les opérations métier et le comportement des employés. Sans soutien visible de la hiérarchie, les organisations ont souvent du mal à établir une gouvernance cohérente des identités entre les différents services.

Il a également mis en garde contre le fait de s’appuyer uniquement sur les exigences de conformité pour mesurer la sécurité.

« It’s extremely dangerous to have people implement technology without having the right set of policies and governance », a-t-il expliqué. « But it’s also ineffective to be all governance and not do anything about technology. »

De son côté, M. Almodovar a souligné que la protection des organisations dépend en fin de compte de la protection des personnes. Comme de nombreux cybercriminels exploitent des individus peu sensibilisés à la cybersécurité, les dirigeants devraient lancer des programmes pour renforcer les contrôles au-delà des mots de passe et des codes à usage unique בלבד.

Même ainsi, la technologie ne peut pas compenser de mauvaises habitudes de sécurité.

« Before implementing technology, the governance and management parts are still the first requirement », a déclaré M. Almodovar. « How can we secure something if we don’t understand what we are trying to secure? »

Il a noté que les organisations doivent d’abord bien comprendre leurs actifs, leurs processus d’approbation, leurs responsabilités de propriété et leurs structures de décision avant d’automatiser la gestion des identités.

Les intervenants ont tous convenu que les organisations doivent d’abord comprendre leurs propres risques, les adversaires les plus probables et le niveau de sensibilisation à la sécurité au sein de leurs équipes, plutôt que de supposer que la seule conformité réglementaire offre une protection suffisante.