Identifier et gérer les risques liés à l'identité et aux droits d'accès

La gestion des risques en matière IGA consiste à identifier, évaluer et atténuer les risques liés aux identités des utilisateurs et à leurs accès aux systèmes d'une organisation. Elle garantit que les bonnes personnes disposent du niveau d'accès approprié aux ressources adéquates, ni plus, ni moins. En combinant politiques de gouvernance, automatisation et analyse de données, la gestion des risques IGA renforce la sécurité et la conformité, tout en réduisant les erreurs humaines et les menaces internes.

Capacités clés

1. Valeurs, priorisation et notation des risques : Évaluer les risques liés aux utilisateurs et aux droits d’accès en fonction de leur criticité pour l’entreprise, de la sensibilité des rôles et des informations comportementales.
2. Détection des risques d'accès : Détection et signalement automatiques des utilisateurs présentant un risque élevé et/ou critique
3. Examens des droits d'accès : examens ponctuels et continus des droits d'accès, certifications d'accès et contrôles de conformité continus.
4. Surveillance continue : Suivez les changements du cycle de vie des identités et les anomalies d'accès grâce à dashboard et des alertes.
5. Minimisez les risques grâce à d'autres cas d'utilisation M42 IGA comme la SoD (ségrégation des tâches), automatisez les droits de naissance, les accès basés sur les rôles, les attributs et l'organisation, utilisez par exemple un verrouillage d'urgence pour les informations d'identification des utilisateurs exposés afin de minimiser les risques liés aux droits d'accès.

Valeur et avantages pour le client

• Sécurité renforcée : réduit l'exposition aux menaces internes et aux accès non autorisés.
• Conformité réglementaire : simplifie les audits et facilite la conformité aux normes SOX, RGPD, HIPAA, etc.
• Efficacité opérationnelle : Automatise la détection et la correction des risques d'accès, réduisant ainsi la charge de travail liée aux vérifications manuelles.
• Confiance des entreprises : Renforce la confiance dans le fait que l'accès aux identités est conforme aux règles de l'entreprise, minimisant ainsi les risques opérationnels et de réputation.

< image >

Niveaux de risque, priorisation et notation

La première étape d'une gestion efficace des risques consiste à définir clairement les niveaux de risque liés aux droits d'accès. La solution M42 IGA offre des fonctionnalités prêtes à l'emploi et faciles à utiliser pour l'évaluation et la priorisation des risques, avec des niveaux de risque prédéfinis, des paramètres pour les règles de calcul des risques et une évaluation automatisée des risques d'identité. Ceci garantit une évaluation cohérente et objective des risques liés à l'accès au sein de l'organisation et permet de prendre des décisions de gouvernance proactives.

Il suffit de commencer par définir le niveau de risque pour les droits d'accès, de sélectionner le niveau de risque prédéfini approprié et d'enregistrer les informations (pour en savoir plus, consultez le cas d'utilisation de la gestion des droits ).

1. Faible
   • L'accès ou l'activité liée à l'identité a un impact minimal sur l'organisation. Il concerne généralement des systèmes non sensibles, des rôles d'utilisateur standard ou des autorisations en lecture seule. Aucune violation de politique n'a été détectée et l'accès est conforme aux fonctions de l'utilisateur.
   • Exemple : Accès des employés à des applications publiques ou peu sensibles.
2. Risque moyen
   • Un certain niveau de préoccupation est à prévoir en raison de privilèges élevés, d'accès interfonctionnels ou d'exceptions mineures aux politiques. Un examen pourrait être nécessaire, mais cela ne menace pas immédiatement la sécurité ni la conformité.
   • Exemple : Utilisateur disposant d'un accès en écriture limité à un système financier départemental.
3. Risque élevé
   • L'utilisation abusive de cet accès pourrait avoir des conséquences importantes sur la sécurité, la conformité ou les opérations. Cela peut impliquer des rôles privilégiés, des conflits de séparation des tâches (SoD) ou l'accès à des données sensibles/confidentielles.
   • Exemple : Administrateur informatique disposant d'un accès étendu aux environnements de production et de développement.
4. Risque critique
   • Cet accès ou cette activité représente une menace immédiate et grave pour l'organisation. Cela indique souvent des violations de politiques, des comptes privilégiés orphelins ou une compromission potentielle. Cela exige une action corrective immédiate et une remontée d'information aux équipes de sécurité et de conformité.
   • Exemple : Un ancien compte d’employé est toujours actif et dispose d’un accès administrateur au système financier principal.

Avant même de définir les risques liés aux droits d'accès, la solution M42 IGA propose une priorisation automatique des différents types de risques. Ainsi, si plusieurs risques s'appliquent à une identité, le risque le plus critique pour l'organisation est identifié et sert à déterminer le niveau de risque associé à cette identité.

1. Critique
   • Urgence maximale ; priorité absolue, action immédiate requise quelles que soient les autres obligations.
2. Grave
   • Urgence critique ; doit être traitée immédiatement pour rétablir le fonctionnement ou éviter des dommages.
3. Très haut
   • Très élevée – Urgence majeure ; les objectifs commerciaux sont menacés si la situation n’est pas résolue rapidement.
4. Haut
   • Situation extrêmement urgente ; nécessite une intervention rapide pour éviter toute escalade.
5. Moyen
   • Impact notable ; devrait être intégré à la file d'attente des tâches normales.
6. Mineure
   • Impact limité ; léger désagrément mais aucune perturbation des objectifs.
7. Faible
   • Impact mineur ; à prendre en compte mais sans urgence.
8. Très bas
   • Urgence minimale ; peut être programmé selon vos disponibilités.

L'étape suivante consiste à définir les risques spécifiques pertinents pour l'organisation, ainsi que leur priorité et leur niveau de risque respectifs. Ce processus constitue la base de l'évaluation automatisée des risques liés à l'identité au sein de la solution IGA .

Le système comprend un ensemble de catégories de risques prédéfinies, personnalisables pour refléter le cadre d'évaluation des risques propre à chaque organisation. Les clients peuvent configurer des valeurs telles que la probabilité, l'impact et la criticité pour l'activité afin de garantir que la notation des risques reflète fidèlement leurs politiques internes et leurs niveaux de tolérance.

Les risques prédéfinis sont,

• Utilisateur disposant uniquement de droits de niveau faible, le niveau de risque est de xx
  • Niveau de risque : Le client choisit parmi des niveaux de risque prédéfinis ou définit ses propres niveaux de risque.
  • Priorité des risques : Le client choisit parmi des priorités prédéfinies ou définit ses propres priorités.
  • Exemple : Ce risque est classé prioritairement au niveau 6 (Mineur). Si l’utilisateur ne dispose que de droits d’accès de bas niveau, le niveau de risque est de 1 (Faible).
• Utilisateur disposant de droits de niveau faible et de moins de xx % des droits de niveau moyen, le niveau de risque est de xx
  • xx % des droits de type moyen
  • Niveau de risque : Le client choisit parmi des niveaux de risque prédéfinis ou définit ses propres niveaux de risque.
  • Priorité des risques : Le client choisit parmi des priorités prédéfinies ou définit ses propres priorités.
  • Exemple : Ce risque est classé prioritairement à 5 (Moyen). Si l’utilisateur dispose de droits de niveau faible et de moins de 70 % de droits de niveau moyen, le niveau de risque est de 2 (Moyen).
• Utilisateur disposant de droits de niveau faible et de plus de xx % de droits de niveau moyen, le niveau de risque est de xx
  • xx % des droits de type moyen
  • Niveau de risque : Le client choisit parmi des niveaux de risque prédéfinis ou définit ses propres niveaux de risque.
  • Priorité des risques : Le client choisit parmi des priorités prédéfinies ou définit ses propres priorités.
  • Exemple : Ce risque est classé prioritairement à 4 (Élevé). Si l’utilisateur dispose de droits de niveau faible et de plus de 70 % de droits de niveau moyen, le niveau de risque est de 3 (Élevé).
• L'utilisateur possède xx % de droits de haut niveau.
  • Niveau de risque : Le client choisit parmi des niveaux de risque prédéfinis ou définit ses propres niveaux de risque.
  • Priorité des risques : Le client choisit parmi des priorités prédéfinies ou définit ses propres priorités.
  • Exemple : Ce risque est classé prioritairement à 3 (Très élevé). Si l’utilisateur dispose de 15 % de droits d’accès de haut niveau, le niveau de risque est de 3 (Élevé).
• L'utilisateur possède xx % des droits d'accès critiques, le niveau de risque est de xx
  • Niveau de risque : Le client choisit parmi des niveaux de risque prédéfinis ou définit ses propres niveaux de risque.
  • Priorité des risques : Le client choisit parmi des priorités prédéfinies ou définit ses propres priorités.
  • Exemple : Ce risque est classé prioritairement au niveau 2 (Grave). Si l’utilisateur dispose de 20 % de droits d’accès critiques, le niveau de risque est de 4 (Critique).
• L'utilisateur est un approbateur pour les droits à haut risque.
  • Niveau de risque : Le client choisit parmi des niveaux de risque prédéfinis ou définit ses propres niveaux de risque.
  • Priorité des risques : Le client choisit parmi des priorités prédéfinies ou définit ses propres priorités.
  • Exemple : Ce risque est classé prioritairement au niveau 1 (Critique). Si l’utilisateur est habilité à approuver les autorisations/rôles professionnels à haut risque, le niveau de risque passe à 4 (Critique).

Détection des risques d'accès

La détection des risques dans le cadre IGA identifie les conditions d'accès et d'identité qui contribuent au score de risque global d'un utilisateur. Elle évalue la conformité de l'accès, du comportement et des attributs du compte de l'utilisateur avec les politiques de gouvernance et l'appétit pour le risque de l'entreprise.

Dimensions de détection clés

• Sensibilité d'accès : Détecte les accès aux applications et aux données critiques ou à forte valeur ajoutée.
• Niveau de privilège : Identifie les utilisateurs disposant de droits d’administrateur ou de privilèges élevés.
• État du compte : Signale les comptes orphelins, inactifs ou partagés qui augmentent l’exposition au risque.
• Volume d'accès : détecte les utilisateurs disposant d'un nombre anormalement élevé de droits ou de rôles.