{"partition": "head_middle", "source_domain": "www.zdnet.fr", "digest": "sha1:TPOQTM555PI66XLXP7TKD27KBSEPPKGL", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2016-26/000_00018.parquet"}
Habilitations et IAM : un casse-tête pour RSSI
Avis d'expert : La sécurité des systèmes d’information passe notamment par le respect de bonnes pratiques en matière de droits des utilisateurs. Mais lister les habilitations peut virer au casse-tête et constitue une étape nécessaire à un projet d’IAM. Témoignages des RSSI d’AG2R La Mondiale, du Crédit Agricole et de SMABTP.
Mercredi 30 Novembre 2011
C’est le cheval de bataille du directeur de l’ANSSI : l’hygiène informatique. Et parmi les règles élémentaires de sécurité à appliquer pour réduire les risques figure la limitation des droits d’accès sur le système d'information.La question n’est toutefois pas tant de limiter ces droits de l’utilisateur que de les adapter afin qu'ils correspondent aux besoins de son activité dans l’entreprise. Mais ce passage en revue des habilitations des utilisateurs du SI ne tient pas forcément de la promenade de santé, en particulier dans les environnements hétérogènes, legacy et décentralisés.Dans le domaine des habilitations, et peut-être plus globalement de la sécurité informatique, le « poids de l’existant » porte souvent bien son nom. Le RSSI de l’assureur SMABTP, Philippe Fontaine peut en témoigner.SMABTP : besoin de visibilité sur les habilitationsLa SMABTP emploie 3.000 personnes (salariés et prestataires) répartis sur environ 80 sites. Côté infrastructure, et comme souvent dans l’assurance, le mainframe est encore bien présent. Cela se traduit par une certaine hétérogénéité avec des systèmes Windows, AS400, zOS et Unix.Pour des raisons de conformité, SMABTP souhaitait contrôler les habilitations sur le système d’information. La finalité était ainsi de s’assurer que chaque collaborateur avait les droits nécessaires et suffisants pour exercer son activité au sein du groupe.Y parvenir supposait toutefois la production « des listes d’habilitations et de s’appuyer sur des correspondants informatiques locaux. On avait imaginé s’appuyer sur eux pour valider les habilitations, pour chaque individu - collaborateur ou prestataire-, auprès de son responsable hiérarchique » relate Philippe Fontaine.La mise en œuvre se heurte à la complexité. Pour établir ces listes d’habilitations, il était nécessaire en effet de « récupérer les données au niveau des différents systèmes et annuaires et de faire des extractions sur des applications métiers qui vont nous sortir des listes en différents formats. En tout une vingtaine de sources différentes » chiffre le RSSI.Ces informations sur les droits ont été associées à chaque utilisateur du SI identifiés grâce aux données extraites cette fois de la messagerie électronique d’entreprise (Lotus Notes). Pour compiler les données, SMABTP s'est appuyé sur une solution du marché (Kleverware), préférée à un développement interne ou sur-mesure par un tiers.L’acquisition est amortie grâce à un usage récurrent (tous les un an, un an et demi). De nouvelles listes sont dressées et contrôlées localement afin de tenir compte de la mobilité interne et des recrutements. « Ce sont des listes qui peuvent être fastidieuses puisqu’elles vont jusqu’au niveau des répertoires. J’accompagne les correspondants informatiques. Je les oriente en les amenant à s’intéresser aux collaborateurs qui ont souvent changé de fonction et à comparer des postes équivalents entre eux » précise Philippe Fontaine.AG2R La Mondiale : un échauffement avant du role miningDu côté d’AG2R La Mondiale, l’extraction de données dans un système d’information, lui aussi marqué par une forte hétérogénéité (7 ou 8 systèmes historiques), a également tenu du casse-tête. En outre, le besoin – simple sur le papier – s’est inscrit dans un contexte difficile : la conduite d’un projet de gestion des identités. « En 2007, 2008, nous avons fait plusieurs lancements de projets qui sont tous allés dans le mur » confie le RSSI de l’assureur, Jean-François Louâpre. Suite au rapprochement des groupes AG2R et La Mondiale, la décision a été prise de mener le projet de gestion des identités à l’échelle de la nouvelle entité. La direction souhaitait par ailleurs mettre en place un intranet groupe. Un intranet comprenant une fonction classique : un annuaire pages blanches.Une verrue au projet IAM est donc faite pour répondre à cette demande fonctionnelle. « Nous avons commencé à faire du rapprochement d’identités avec des comptes techniques, dans un premier temps à la main. Il s’agissait au début simplement de rapprocher des noms de personnes, enregistrées dans des documents RH, avec des numéros de téléphone inscrits dans des fichiers techniques » décrit le RSSI.Problèmes, avec trois fichiers SIRH distincts, dans des formats différents, de multiples listes de prestataires et partenaires, là aussi dans des formats divers, et des extractions dans deux Active Directory, les rapprochements sont fastidieux. Et le développement d’un petit outil pour automatiser les rapprochements ne permettra pas de franchir le cap des 70% de réconciliations.En urgence et pour répondre à un besoin « assez spécifique », l’équipe sécurité se tournera finalement vers K-Audit et pourra ainsi mouliner ses données pour constituer son annuaire interne. Les réalisations futures devraient toutefois être plus ambitieuses.« Sur la base de ce que nous avons pu faire pour réconcilier nos données d’AD avec nos données d’identité, nous sommes convaincus de pouvoir nous appuyer sur le produit lorsque nous commencerons les phases de role mining de notre projet d’IAM, c’est-à-dire aller au-delà des accès poste de travail pour déterminer qui à accès à quoi dans nos systèmes d’information applicatifs » vise Jean-François Louâpre.Crédit Agricole : définir un standard pour une convergence d’envergureLa banque de détail ne fait pas de détail avec l’hétérogénéité des SI. Un jeu de mots qui traduit la forte diversité des systèmes, jusqu’à il y a peu encore, du Crédit Agricole. « Vingt ans plus tôt, dans la banque de distribution, il y en avait 80. Il y a 6 ans, encore 6 » comptabilise le RSSI des GIE de la banque, David Billet.A l’issue de son congrès de Nice (également nom de son projet : nouvelle informatique communautaire évolutive) de 2008, la banque a décidé de remédier à cette particularité de son informatique.Pour cela, les caisses régionales doivent à terme migrer sur un nouveau système, unique. Une première phase, Nice V1, consistait à faire converger des caisses sur un système unique, mais en partant d’une souche d’un des systèmes existants.« En gros, c’était faire entrer des caisses régionales au chausse-pied dans un SI » métaphorise David Billet. Une difficulté, « ces caisses ont des systèmes différents, avec des écarts fonctionnels relativement importants, notamment au niveau des systèmes d’habilitations. »Autre complication, le système souche (en fait 9 caisses) n’avait pas de standard en termes d’habilitations. En clair, au niveau même du système cible, les écarts étaient notables. Pour boucler Nice V1, la banque a donc dû travailler sur un modèle d’habilitations.Un modèle statistique, basé sur les systèmes de la souche, a été modélisé grâce à K-Audit de Kleverware. Cette représentation a ensuite servi de base aux discussions avec les métiers des caisses régionales impliquées, afin ainsi de formaliser le système d’habilitations amené à devenir le standard.« L’outil a été utilisé pour impliquer fortement les métiers aux travaux sur les habilitations afin qu’ils s’associent à cette problématique et aux orientations prises. D’autre part, nous avions l’ambition d’aller extrêmement vite sur la convergence compte tenu des enjeux économiques [Ndlr : Nice est évalué à 1 million de jours/hommes] (…) Nous avons l’ambition de mener un projet d’IAM sur Nice v2, et ce travail est un peu l’antichambre de l’IAM » considère le RSSI.Propos recueillis en octobre 2011 à l'occasion des Assises de la sécurité de Monaco. Sujet: Priorités IT Sécurité Système d'exploitation Suivre via: RSS
Articles relatifs	Sanofi-Aventis démarre sa gestion des identités par le SSO
Sécurité : mettre en place un projet de gestion des identités
Gestion des mots de passe : Parexel combine SSO et RFID
La gendarmerie nationale renforce la sécurité de l’accès à son SI
Réagissez à l'article	Connectez vous ou Enregistrez-vous pour commencer la discussion
publicité A la une de ZDNet	Dernières news