Le clonage des droits d’accès, un phénomène en plein essor mais non sans risque

Le clonage des droits d’accès, très tendance, peut être à l’origine de problèmes dans les entreprises. Mais de quoi s’agit-il exactement et comment les organisations peuvent-elles faire pour en limiter l’utilisation ?

L’évocation du mot « clone » peut faire penser à une expérience menée dans un laboratoire d’avant-garde rempli de scientifiques en blouse blanche, voire à l’armée des StormTroopers fabriquée de toutes pièces dans l’un des épisodes de la saga Star Wars. Pourtant, le clonage est une notion bien réelle, et très problématique, lorsqu’il s’agit de la gestion des identités et des accès (IGA / IAM).

Dans ce contexte, le clonage des droits d’accès, très tendance, peut être à l’origine de problèmes dans les entreprises. Mais de quoi s’agit-il exactement et comment les organisations peuvent-elles faire pour en limiter l’utilisation ?

Qu’entend-t-on par « clone d’accès » ?

Pour bien comprendre, prenons l’exemple d’un salarié dont c’est le premier jour dans une entreprise. Trader au sein d’une banque d’investissement, il fait le tour des locaux, accompagné par un de ses nouveaux collègues. Il se dirige vers le bureau des RH pour remplir des papiers administratifs, indiquer qui est son manager et dresser la liste des applications dont il aura besoin pour travailler. Son collègue qui fait les présentations et travaille dans l’entreprise depuis plusieurs années indique aux RH que tous deux devront accomplir les mêmes tâches et qu’il est donc logique de lui accorder les mêmes droits d’accès. Un clone d’accès est créé.

Dans cet exemple, il est clair que le clonage part d’une bonne intention. Les RH veulent accorder un accès dans les plus brefs délais au nouvel utilisateur, qui souhaite être productif rapidement. L’approche n’est pourtant pas sans risque.

En effet, les utilisateurs initiaux se voient affecter des droits d’accès au fil du temps qui auraient dû être révoqués en fin de projet ou lors d’un changement de poste. La révocation intervient très rarement, si bien que les risques se voient accrus lors de la création des clones d’accès.

Prenons le cas d’un pharmacien qui pourrait s’auto-prescrire des médicaments, ou d’un trader qui pourrait valider une transaction d’un montant conséquent sans supervision. Le risque est évident, car les utilisateurs sont en en mesure de contourner les mécanismes de contrôle et de valider directement des opérations.

Peut-on éviter le clonage ?

Pour pouvoir lutter contre les écueils du clonage, les responsables de service devraient certifier la pertinence des accès de façon régulière. Les accès non liés aux profils d’activité qui ne sont pas ou plus démontrés doivent être supprimés, ou identifiés comme exceptions, mettant alors en application le principe du moindre privilège. Les solutions de gouvernance des identités et des accès peuvent faciliter ce travail car elles vérifient le bien-fondé des certifications, délestant ainsi les RSSI et leurs équipes de cette tâche. Ils peuvent dès lors se concentrer sur leur mission principale de gestion du risque, pour protéger les systèmes de leur organisation, ses applications, ses fichiers, ses données ainsi que ses processus contre l’utilisation ou l’accès sans autorisation.

La gouvernance des identités et des accès permet également aux organisations d'appliquer une politique de séparation des tâches. Cela pourrait être formalisé à l’écrit afin de s’assurer, par exemple, que personne ne dispose des droits permettant à la fois de préparer une transaction et de l’exécuter. Dès lors, les droits des utilisateurs sur des applications gérées peuvent être répertoriées, et toute infraction à ces règles peut être punie.

Alors que la gouvernance des identités et des accès peut contribuer à la lutte contre les dangers du clonage des droits d’accès inappropriés, son impact reste limité par le besoin d’une intervention humaine. De nombreux employés de longue date estiment que le passage en revue de ces droits leur fait perdre du temps au quotidien, et cherchent alors à se débarrasser de cette tâche le plus vite possible. Pour ce faire, ils choisissent souvent l’option « Tout sélectionner » ou « Suivant », ce qui n’applique absolument pas le principe du moindre privilège.

Même un responsable de service consciencieux risque de penser, à tort, que deux salariés disposant du même niveau d’accès ont besoin des mêmes droits. Dans ce type de scénario, les clones s’avèrent utiles en se protégeant mutuellement.

A noter que les politiques qui peuvent être mises en place pour se prémunir des dérives du clonage des droits d’accès, comme celle de la séparation des tâches, doivent être élaborées manuellement, diffusées et validées par chacun des responsables de services. Ainsi, même si elles peuvent être mises en application de façon automatique, l’organisation reste vulnérable face aux risques que pose le facteur humain.