Gérer tous les accès avec HelloID ?

• Produit et technologie

Il y a déjà environ quinze ans, le ver Stuxnet s’est propagé dans le complexe nucléaire de Natanz en Iran via un périphérique USB manipulé. Les auteurs ont utilisé cette ruse parce que, d’un point de vue sécurité, le complexe était totalement isolé des autres réseaux numériques. Une attaque en ligne n’était tout simplement pas possible.

C’est sans doute l’attaque hybride la plus célèbre, mais certainement pas la dernière, avec des caractéristiques à la fois physiques et numériques. Rien d’étonnant, car il est souvent bien plus difficile de pénétrer en ligne un réseau d’entreprise correctement sécurisé que d’entrer dans les locaux et de brancher quelque part un appareil manipulé sur le réseau. De la même manière, des conteneurs à papier non surveillés constituent souvent un point de départ idéal pour des attaques d’ingénierie sociale; et une intrusion physique commence souvent par la neutralisation du réseau de caméras. En bref, les frontières entre attaques physiques et numériques s’estompent.

Convergence en matière de sécurité

Les spécialistes de la sécurité reconnaissent ce risque, c’est pourquoi l’attention portée à la cohérence entre mesures de sécurité physiques et numériques est aujourd’hui bien plus forte. On parle alors de convergence de la sécurité, avec pour principe que la sécurité doit être organisée comme un tout unifié. Cela semble évident, mais en réalité ces deux domaines ont toujours été fortement séparés; et la sécurité physique et la sécurité IT relèvent souvent de services différents.

Il existe de nombreux domaines où la collaboration entre systèmes numériques et mesures de sécurité physiques peut être améliorée. Chez Tools4ever, nous nous intéressons surtout à ce que l’on pourrait appeler la convergence de la sécurité des accès. Car même si les systèmes d’accès numériques et physiques deviennent toujours plus avancés, leur gestion reste la plupart du temps totalement séparée. Avec notre HelloID plateforme, nous souhaitons contribuer à combler ce fossé.

Aujourd’hui : gestion des accès séparée

De nombreuses organisations disposent aujourd’hui d’une sécurité d’accès moderne pour leurs applications IT comme pour leurs sites physiques. Dans les environnements IT, en plus des mots de passe, l’authentification multifacteur et les méthodes biométriques sont désormais fréquemment utilisées pour sécuriser l’accès. Dans le domaine physique, le badge d’accès personnalisé est aujourd’hui un minimum; de plus en plus souvent, l’accès est accordé via une reconnaissance de l’iris ou votre smartphone.

Mais le véritable défi réside dans la gestion des droits d’accès individuels. Comment gérer l’accès à vos actifs si votre organisation compte des milliers de collaborateurs, utilise des dizaines d’applications et dispose de plusieurs sites:

• Les comptes utilisateurs et les droits d’accès aux systèmes IT sont généralement organisés avec une plateforme GIA qui attribue comptes et droits d’accès en fonction de la fonction et du service. Vous garantissez ainsi que chaque collaborateur n’accède qu’aux applications et aux données nécessaires à ses tâches. Un collaborateur financier obtient donc, selon son rôle, l’accès aux systèmes financiers, tandis qu’un administrateur IT ne l’obtient normalement pas.

• La sécurité d’accès physique est le plus souvent gérée par un système central qui attribue, par exemple, des badges aux utilisateurs et active les droits d’accès adéquats sur ces badges. Vous définissez ainsi qui peut accéder à quels bâtiments et à quelles salles; ainsi que les jours et plages horaires autorisés. Vous pouvez également déterminer si différentes équipes disposent d’espaces physiques dédiés non accessibles aux personnes d’autres services.

Les deux s’appuient sur une plateforme de gestion centrale, mais elles ne sont généralement pas interconnectées. Que se passe-t-il lorsqu’un collaborateur change de fonction et passe du service Finance à l’équipe IT? Une plateforme GIA comme HelloID adapte automatiquement les droits numériques. Mais qu’en est-il de l’accès physique? Il existe souvent encore un processus séparé dans lequel vous devez demander, via le système de tickets, à l’administrateur du système de badges de modifier les droits. Le risque est donc de voir apparaître des incohérences et que des personnes accumulent, sans s’en rendre compte, toujours plus de droits d’accès physiques.

HelloID pour améliorer votre convergence de la sécurité ?

Ne pourrions-nous pas professionnaliser cela en synchronisant les deux systèmes? Avec une plateforme GIA centrale, ne pourrions-nous pas gérer à la fois les droits d’accès numériques et physiques? Avec HelloID, c’est déjà possible et nous le proposons à deux niveaux:

• De base: dans ce cas, le système de sécurité physique gère encore lui-même les droits d’accès détaillés par personne. Notre plateforme GIA veille cependant à ce que les comptes des nouveaux collaborateurs soient automatiquement ajoutés et activés dans le système. Nous garantissons aussi qu’en fin de contrat l’utilisateur est à nouveau désactivé et supprimé du système. Nous maintenons ainsi l’inventaire des utilisateurs du système de sécurité physique toujours synchronisé avec l’effectif réel.

• Avancé: l’attribution des droits d’accès physiques est également orchestrée de manière centralisée depuis la plateforme GIA. Cela est fondé autant que possible sur le rôle de la personne et sur d’autres attributs que la plateforme GIA reçoit du système RH. Une personne travaillant au service IT obtient donc automatiquement l’accès aux applications IT et aux locaux du service IT. Tandis qu’un collaborateur financier obtient automatiquement l’accès aux logiciels financiers et aux autres installations de son service.

De cette manière, avec un seul environnement GIA, nous gérons de façon cohérente tous les droits d’accès, physiques et logiques. Nous évitons non seulement une accumulation inutile de droits, mais aussi les incohérences entre droits d’accès physiques et numériques. Votre organisation devient plus efficace, plus sûre et démontrablement conforme.

Comment cela fonctionne-t-il dans HelloID ?

Précisons cela de manière plus concrète. HelloID dispose d’un vaste ensemble de connecteurs pour relier les systèmes. Nous pouvons ainsi connecter les systèmes RH comme systèmes sources. Un système RH enregistre, par collaborateur, la fonction et le service. Sur cette base, HelloID peut ensuite créer les comptes nécessaires et attribuer les autorisations dans différents systèmes cibles, allant d’Active Directory au système CRM.

Notre catalogue de connecteurs est organisé en plusieurs catégories et, si vous filtrez sur « Gestion et sécurité IT », vous y trouverez des applications telles que Nedap AEOS, Dormakaba, iLOQ, iProtect et Salto Space. Il s’agit d’exemples de solutions d’entreprise dédiées à la gestion des bâtiments et à la sécurité physique. Salto Space est, par exemple, une plateforme intégrée et intelligente de contrôle d’accès pour les différents espaces d’un bâtiment. Le système Salto gère les autorisations des utilisateurs et les organisations peuvent choisir, selon leurs besoins, le smartphone, un code PIN ou une carte d’accès comme méthode d’authentification.

Avec le connecteur Salto Space, HelloID peut synchroniser les paramètres d’accès de Salto Space avec les informations du système source. Nous veillons ainsi à ce que les collaborateurs aient accès aux bâtiments et aux espaces qui correspondent à leur rôle et à leurs missions. Pour différents groupes de salariés, vous pouvez aussi configurer des groupes d’accès avec un ensemble de droits prédéfinis. L’administration est alors comparable à la gestion des droits de vos applications métier. Pour un nouveau collaborateur, HelloID crée automatiquement un compte dans le système afin qu’il puisse commencer immédiatement. Et si la fonction de quelqu’un est modifiée dans le système RH, HelloID adapte automatiquement les droits d’accès physiques nécessaires. Nous mettons ainsi en place une gestion des accès, physique et numérique, entièrement intégrée.

En savoir plus sur HelloID pour votre sécurité d’accès physique ?

L’intégration optimale de vos gestions des accès physiques et numériques nécessite évidemment une préparation rigoureuse. Elle implique, entre autres, l’élaboration d’une politique de gestion des clés fondée sur les différents rôles et leurs missions. Cette politique doit ensuite être intégrée dans les règles métier de la plateforme HelloID. Vous souhaitez en savoir plus sur les possibilités d’intégration de votre sécurité d’accès numérique et physique avec HelloID ? Nous vous expliquons tout en détail.