Gestion des identités et des accès au Rwanda

Qu’est-ce que la gestion des identités et des accès, et qui en a besoin

Elle couvre toute la vie des accès d’un utilisateur : créer une identité à son arrivée, accorder les accès dont son rôle a besoin, les modifier quand il change de poste, les revoir périodiquement et les révoquer entièrement à son départ. Idéalement, tout passe par un fournisseur d’identité central avec authentification unique, plutôt que par une administration séparée dans chaque application. Toute organisation où personne ne peut dire avec certitude qui a accès au système comptable, à la paie ou aux dossiers patients a besoin de ce travail.

Le problème qu’elle résout

Des accès gérés application par application s’accumulent. Les accès temporaires ne sont jamais retirés, ceux qui changent de poste gardent leurs anciennes autorisations, les identifiants partagés masquent qui a fait quoi, et les anciens employés conservent des comptes actifs. C’est à la fois un risque de sécurité, car chaque compte superflu peut être compromis, et un problème d’audit. Les identifiants volés sont l’une des voies d’entrée les plus courantes des attaquants, et une bonne gestion des identités rend un mot de passe volé bien moins utile.

Les principes sur lesquels nous construisons

Une identité par personne. Pas d’identifiants partagés pour le travail courant. Lorsqu’une boîte ou un service partagé est nécessaire, on y accède par des comptes individuels, pour que chaque action soit traçable.

Le moindre privilège. Chacun reçoit les accès dont son rôle a besoin, pas tout par défaut. Les droits d’administration sont attribués à des comptes distincts, utilisés uniquement pour l’administration.

L’authentification multifacteur partout, avec des méthodes plus solides pour les administrateurs, et le blocage des anciennes méthodes de connexion qui ne peuvent pas l’utiliser.

L’accès conditionnel. Les connexions peuvent être limitées selon l’état de l’appareil ou le lieu, pour qu’un mot de passe volé utilisé depuis un appareil inconnu soit refusé.

Arrivées, mobilités et départs. Les RH déclenchent chaque changement, pour que les accès suivent le rôle réel de la personne plutôt que la mémoire de quelqu’un.

Une revue régulière. Les responsables confirment périodiquement que les accès de leur équipe sont toujours justes.

Ce que comprend le travail

1. Inventaire. Nous listons vos systèmes, la façon dont les utilisateurs s’y connectent, et chaque compte, y compris les comptes partagés et administrateurs.
2. Nettoyage. Nous désactivons les comptes des anciens employés, retirons les accès inutilisés et remplaçons les identifiants partagés.
3. Identité centrale. Nous configurons le fournisseur d’identité et connectons les applications par authentification unique lorsqu’elles la prennent en charge.
4. Rôles et règles. Nous définissons les accès par rôle, mettons en place l’authentification multifacteur et l’accès conditionnel, et séparons les comptes administrateurs.
5. Processus. Nous rédigeons avec les RH les étapes d’arrivée, de mobilité et de départ, ainsi qu’une revue périodique des accès.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

Pour une organisation déjà sous Microsoft 365, la mise en place initiale prend généralement trois à cinq jours, plus le temps nécessaire au personnel pour s’inscrire à l’authentification multifacteur. Le coût dépend du nombre d’applications à connecter, surtout les anciens systèmes sans authentification unique, du nombre de comptes à nettoyer et du niveau de détail des accès par rôle.

Équipements généralement utilisés

Un fournisseur d’identité central, généralement Microsoft Entra ID lorsque Microsoft 365 est utilisé, ou l’équivalent de Google Workspace. Des applications d’authentification sur les téléphones du personnel comme second facteur standard, et des clés de sécurité matérielles pour les administrateurs et la comptabilité, les plus ciblés. Des connecteurs d’authentification unique pour les applications métier compatibles avec les standards de connexion modernes. Un gestionnaire de mots de passe pour les identifiants partagés qui ne peuvent pas encore être remplacés, comme un portail fournisseur, pour les stocker de façon sécurisée et journaliser leur usage plutôt que de les faire circuler dans des messages.

Les erreurs que nous voyons souvent

Aucune procédure de départ, si bien que les partants gardent leurs accès pendant des mois. Des identifiants partagés par commodité, qui rendent impossible de savoir qui a fait quoi. L’authentification multifacteur pour une partie du personnel seulement, ce qui laisse les autres comme porte d’entrée facile. Des administrateurs qui utilisent leur compte du quotidien, avec tous les droits, pour lire leurs e-mails et naviguer sur le web. Et des accès accordés pour un besoin temporaire, jamais revus ensuite.