IAM

Ce que ça change pour une organisation

L’IAM répond à une question simple en apparence : qui a accès à quoi, et pourquoi. Le glossaire du NIST le décrit comme le fait d’établir et de gérer les rôles et les privilèges d’accès des utilisateurs d’un réseau. La CNIL y rattache, en plus de l’authentification, la gestion du cycle de vie des identités numériques (enregistrement, création du compte, délivrance des facteurs d’authentification, suspension ou révocation) et la gestion d’annuaire avec les mécanismes de fédération d’identité, dont l’authentification unique.

Pour les droits d’accès, la CNIL recommande de définir des profils d’habilitation qui séparent les tâches et les domaines de responsabilité, de faire valider chaque demande par un responsable, de retirer les droits dès que la personne n’est plus habilitée (changement de poste, fin de contrat) et de réaliser une revue au moins annuelle, avec les métiers, pour supprimer les comptes inutilisés et réaligner les droits sur les fonctions. Elle déconseille aussi les comptes partagés non tracés et les droits d’administrateur donnés à qui n’en a pas besoin. Un IAM maîtrisé est ainsi la condition pratique du moindre privilège.

Exemple

Exemple générique : une personne change de service. Sans processus d’IAM, ses anciens droits s’ajoutent aux nouveaux et elle accumule, au fil des années, des accès sans lien avec sa fonction. Avec un processus d’IAM, les nouveaux droits sont validés par un responsable, les anciens sont retirés au changement de poste et la revue annuelle vérifie que les droits correspondent toujours aux fonctions exercées.

À ne pas confondre avec

• Le SSO : mécanisme de connexion unique à plusieurs services, qui constitue une brique de l’IAM et non l’IAM entier.
• L’authentification multifacteur : elle renforce la preuve d’identité au moment de la connexion, alors que l’IAM couvre aussi la création des comptes, l’attribution et le retrait des droits.