La sécurité de l'entreprise commence par l'identité

Avec l'émergence de l'identité comme nouveau périmètre, son rôle dans le soutien de la transformation numérique, de l'adoption du cloud et d'une main-d'œuvre distribuée n'est pas négligé par les entreprises d'aujourd'hui. Selon un rapport récent (inscription requise), 64 % des acteurs informatiques considèrent que la gestion et la sécurisation efficaces des identités numériques sont soit la première priorité (16 %) de leur programme de sécurité, soit l'une des trois premières (48 %). Malgré cela, les entreprises continuent d'être confrontées à des violations d'identité : 84 % des professionnels de la sécurité et de l'informatique ont déclaré que leur organisation avait subi une telle violation au cours de l'année écoulée.

Obtenir l’adhésion à une sécurité centrée sur l’identité est vital, mais plaider en faveur d’un investissement dans la cybersécurité ne consiste pas à trafiquer du FUD (peur, incertitude et doute). Pousser l'identité plus loin dans les discussions stratégiques nécessite la capacité de démontrer la valeur commerciale - pour montrer comment la sécurité basée sur l'identité s'aligne et soutient les objectifs de l'entreprise.

Presque tous les participants à l'enquête (98 %) ont déclaré que le nombre d'identités dans leur organisation était en augmentation, les causes fréquemment citées étant notamment l'adoption du cloud, l'augmentation du nombre d'employés utilisant la technologie, l'augmentation des relations avec des tiers et le nombre croissant d'identités de machines. Dans cet environnement, beaucoup de les entreprises d'aujourd'hui se trouvent sous une immense pression pour garantir un accès transparent et sécurisé aux données et aux ressources dans un environnement de plus en plus distribué et complexe.

Cette complexité, combinée à des attaquants motivés et au nombre croissant d'identités à gérer, rend une gestion efficace des identités, un élément essentiel pour permettre aux entreprises opérations. Parmi les organisations qui ont subi une violation d'identité au cours de l'année écoulée, les points communs étaient des problèmes tels que le vol d'identifiants, le phishing et les privilèges mal gérés. Les impacts directs d'une violation sur l'entreprise peuvent être importants : 42 % citent une distraction importante de leur activité principale, 44 % notent des coûts de récupération et 35 % signalent un impact négatif sur la réputation de l'organisation. Une perte de revenus (29 %) et une attrition de clients (16 %) ont également été signalées.

Traduire les besoins informatiques en besoins métiers

Les arguments en faveur de l’accent mis sur l’identité sont clairs, mais comment commencer à traduire les besoins informatiques en besoins métier ? La première étape consiste à aligner les priorités de l’organisation sur la place que peut prendre la sécurité centrée sur l’identité. Les objectifs commerciaux ont tendance à tourner autour de la réduction des coûts, de l’augmentation de la productivité et de la minimisation des risques. Les conversations sur la sécurité basée sur l’identité doivent donc démontrer comment cette approche peut faire progresser tout ou partie de ces points.

Du point de vue de la productivité, par exemple, une gouvernance stricte des identités simplifie le provisionnement des utilisateurs et la révision des droits d'accès. Cela signifie que les employés peuvent être intégrés plus rapidement et que tout employé qui part verra son accès automatiquement révoqué. L'élimination des efforts manuels réduit les risques d'erreur, y compris ceux des utilisateurs disposant de privilèges excessifs, créant ainsi un risque d'exposition inutile. Plus les processus de gestion des identités sont rationalisés et automatisés, plus l'entreprise est efficace et plus sécurisée.

Comme indiqué précédemment, l’adoption du cloud et l’augmentation du nombre d’identités de machines sont parmi les facteurs déterminants de la croissance des identités. La croissance des identités machines est en partie liée aux appareils et aux robots de l’Internet des objets (IoT). L’IoT et le cloud font souvent partie de stratégies de transformation numérique qui peuvent facilement être bloquées par des préoccupations concernant l’accès et l’application cohérente des politiques de sécurité. Cette réalité offre l’opportunité d’orienter les discussions sur la sécurité autour de la manière dont l’entreprise peut adopter ces technologies en toute sécurité et sans sacrifier les exigences de conformité et de sécurité.

Encadrer les discussions sur la sécurité dans un contexte de violation

L’authentification multifacteur (MFA), par exemple, a été citée par de nombreux professionnels de l’informatique et de la sécurité comme une mesure qui aurait pu prévenir ou minimiser l’impact des violations qu’ils ont subies. La MFA est essentielle pour appliquer le contrôle d’accès, en particulier pour les entreprises avec des travailleurs à distance ou celles qui utilisent des applications et une infrastructure cloud. Qu’on les veuille ou non, les mots de passe sont omniprésents. Mais ils constituent également une cible attrayante (et relativement facile) pour les acteurs malveillants qui cherchent à accéder aux ressources et à s’implanter plus profondément dans votre environnement. Parallèlement à d'autres bonnes pratiques centrées sur l'identité qui améliorent la posture de sécurité, la MFA fournit une autre couche de défense qui peut renforcer la sécurité d'une organisation.

Outre l'authentification multifacteur, les professionnels de l'informatique et de la sécurité ont généralement souligné qu'un examen plus rapide des accès privilégiés et une découverte continue de tous les droits d'accès des utilisateurs auraient empêché ou atténué les effets d'une violation. Même si bon nombre de ces projets sont encore en cours, dans l’ensemble, il semble que les organisations commencent à comprendre le message.

Lorsqu'on leur a demandé si, au cours de l'année écoulée, le programme d'identité de leur organisation avait été inclus comme domaine d'investissement dans le cadre de l'une de ces initiatives stratégiques (confiance zéro, adoption du cloud, transformation numérique, investissements dans la cyber-assurance et gestion des fournisseurs), presque tout le monde a répondu au moins un. Cinquante et un pour cent ont déclaré que l’identité avait été investie dans le cadre d’efforts de confiance zéro. Soixante-deux pour cent ont déclaré que cela faisait partie des initiatives cloud, et 42 % ont déclaré que cela faisait partie de la transformation numérique.

Se lancer dans la sécurité basée sur l’identité ne doit pas nécessairement être une tâche fastidieuse. Toutefois, cela nécessite un compréhension de votre environnement et des priorités de votre entreprise. par En se concentrant sur la façon dont une approche de la sécurité centrée sur l'identité peut soutenir les objectifs de l'entreprise, les professionnels de l'informatique peuvent obtenir l'adhésion des dirigeants dont ils ont besoin pour mettre en œuvre la technologie et les processus qui élèveront la barrière d'entrée pour les acteurs de la menace.