Jacques	
  Folon	
  
www.folon.com	
  
Partner	
  Edge	
  Consulting	
  
Maître	
  de	
  conférences	
  	
  
Université	
...
Cette présentation est
disponible sur
WWW.FOLON.COM
onglet cours (Infosafe)
2
IAM
1. C’est	
  quoi	
  ?	
  
2. Quel	
  est	
  le	
  contexte	
  
actuel?	
  
3. IAM	
  &	
  cloud	
  computing	
  
4. Po...
1.	
  IAM	
  c’est	
  quoi	
  ?
Provisioning
Single	
  Sign	
  	
  On
PKI
Strong	
  
Authentication
Federation
Directories...
5
Remote Employees
Suppliers
PartnersCustomers
Employees
EN 2015 NOMBREUX CONTEXTES
5
6
5 Questions 

7
Q: What’s posted on this
monitor?
a – password to financial application
b – phone messages
c – to-do’s
8
Q: What determines your
employee’s access?
a – give Alice whatever Wally
has
b – roles, attributes, and
requests
c – whate...
Q: Who is the most
privileged user in your
enterprise?
a – security administrator
b – CFO
c – the summer intern who is now...
Q: How secure is your

identity data?
a – It is in 18 different secured stores
b – We protect the admin passwords
c – Priv...
Q: How much are
manual compliance
controls costing your
organization?
a – nothing, no new headcount
b – don’t ask
c – don’...
Today’s IT Challenges
More Agile
Business
• More accessibility for
employees, customers
and partners
• Higher level of B2B...
State Of Security In Enterprise
• Incomplete
• Multiple point solutions from many vendors
• Disparate technologies that do...
Identity Management Values
• Trusted and reliable security
• Efficient regulatory compliance
• Lower administrative and de...
15
La gestion des identités consiste à gérer le cycle de vie
des personnes (embauche, promotion, mutation, départ,
etc.) a...
• Cette gestion des identités doit pouvoir être faite
d'un point de vue fonctionnel par des non-
informaticiens (exemple :...
17
La solution de gestion d’identités doit être une solution globale sur la base d’une
infrastructure centralisée avec une...
• What	
  is	
  Identity	
  Management	
  ?	
  
	
   “Identity	
  management	
  is	
  the	
  set	
  of	
  
business	
  pro...
19
Identity and Access Management is the process for managing the lifecycle
of digital identities and access for people, s...
IAM	
  c’est	
  par	
  exemple…
•“Bonjour	
  je	
  suis	
  Julie,	
  une	
  
étudiante	
  
d’INFOSAFE.”	
  	
  	
  (Identi...
Mais	
  c’est	
  aussi…
• Un	
  nouveau	
  professeur	
  
• Donc	
  une	
  adresse	
  email,	
  à	
  
donner	
  dès	
  que...
Quelles	
  sont	
  les	
  questions	
  à	
  se	
  poser??
• Les	
  personnes	
  sont-­‐elles	
  ce	
  
qu’elles	
  disent	...
Exemples	
  de	
  questions
– Quel	
  mot	
  type	
  de	
  mot	
  de	
  passe	
  donner?	
  
– Quelles	
  sont	
  les	
  a...
24
Le	
  triple	
  A	
  de	
  l’IAM
Authentication
WHO ARE YOU?
Authorization / Access
Control
WHAT CAN YOU DO?
Audit
WHAT...
Components	
  of	
  IAM
• Administration	
  
– User	
  Management	
  
– Password	
  Management	
  
– Workflow	
  
– Delega...
2.	
  Contexte	
  actuel
	
   Quel	
  est	
  le	
  contexte	
  actuel	
  
qui	
  est	
  à	
  la	
  base	
  du	
  
développ...
27
Les	
  identités	
  multiples	
  selon	
  F	
  Cavazza
28
28
Les	
  identités	
  varient	
  selon	
  les	
  plateformes
29
29
Entre	
  l’identité	
  virtuelle	
  et	
  ...
Dans ce contexte, l’amoncellement de parcelles laissées plus ou moins à
l...
• Internet	
  est	
  basé	
  sur	
  des	
  
communications	
  anonymes	
  
• Les	
  entreprises	
  participent	
  à	
  de	...
Sujet	
  d’actualité…
32
33
Explosion	
  of	
  IDs
Pre	
  1980’s 1980’s 1990’s 2000’s
#	
  of	
  
Digital	
  IDs
Time
Applications
Mainframe
Client	
 ...
The	
  Disconnected	
  Reality
• “Identity	
  Chaos”	
  	
  
– Nombreux	
  utilisateurs	
  et	
  applications	
  	
  
– No...
Your	
  COMPANY	
  and

your	
  EMPLOYEES
Your	
  SUPPLIERS
Your	
  PARTNERS
Your	
  REMOTE	
  and

VIRTUAL	
  EMPLOYEES
Y...
37
37
3.	
  IAM	
  &	
  Cloud	
  computing
38
Cloud	
  Computing:	
  Definition
• No	
  Unique	
  Definition	
  or	
  General	
  Consensus	
  about	
  what	
  Cloud	
  ...
Cloud	
  Computing:	
  Implications
• Enterprise:	
  	
  
	
  	
  	
  Paradigm	
  Shift	
  from	
  “Close	
  &	
  Controll...
Identity	
  in	
  the	
  Cloud:	
  Enterprise	
  Case
Enterprise
Data	
  
Storage	
  
Service
Office	
  
Apps
On	
  Demand...
Identity	
  in	
  the	
  Cloud:	
  Enterprise	
  Case
Issues	
  and	
  Risks	
  [1/2]	
  
•	
  Potential	
  Proliferation	...
Identity	
  in	
  the	
  Cloud:	
  Enterprise	
  Case
Issues	
  and	
  Risks	
  [2/2]	
  
•	
  Migration	
  of	
  Services...
4.Pourquoi	
  en	
  avons	
  nous	
  besoin?
•Sécurité	
  
•Compliance	
  
•Réduction	
  des	
  coûts	
  
•Support	
  pour...
Source:	
  ftp://ftp.boulder.ibm.com/software/uk/productnews/tv/vh_-­‐_access_and_identity_management.pdf	
  
45
Economies	
  possibles
• Directory	
  Synchronization	
  
“Improved	
  updating	
  of	
  user	
  data:	
  $185	
  per	
  u...
Can	
  We	
  Just	
  Ignore	
  It	
  All?
• Today,	
  average	
  corporate	
  user	
  spends	
  
16	
  minutes	
  a	
  day...
IAM	
  Benefits
Benefits to take you
forward 	
  
(Strategic)
Benefits today	
  
(Tactical)
Save money and improve operati...
5.	
  IAM	
  to	
  do	
  list
• Création	
  et	
  suppression	
  
automatique	
  de	
  comptes	
  
• Gestion	
  des	
  tra...
52
Les	
  trois	
  éléments
50
6.	
  La	
  protection	
  des	
  données	
  personnelles
51
Source	
  :	
  https://www.britestream.com/difference.html.	
  
52
Les	
  informations	
  circulent	
  	
  
Qui	
  vérifie?
53
Qui	
  doit	
  avoir	
  accès	
  à	
  quoi?

Limitations	
  légales	
  !	
  
54
Responsabilités	
  de	
  l’organisation
55
TELETRAVAIL	
  
56
Informations	
  sensibles

57
58
58
59http://fr.slideshare.net/MicrosoftEntrepreneurs/rdi105-byod-resister-ou-embrasser?qid=d1192010-03b1-49ee-a555-ab31c4e7a1...
http://fr.slideshare.net/MicrosoftEntrepreneurs/rdi105-byod-resister-ou-embrasser?qid=d1192010-03b1-49ee-a555-ab31c4e7a1cd...
http://fr.slideshare.net/MicrosoftEntrepreneurs/rdi105-byod-resister-ou-embrasser?qid=d1192010-03b1-49ee-a555-ab31c4e7a1cd...
62
63
7.	
  IAM	
  et	
  Contrôle
64
Le	
  maillon	
  faible…
65
Données	
  reçues	
  et	
  transférées
66
67
• Que	
  peut-­‐on	
  
contrôler?	
  
• Limites?	
  
• Correspondance	
  
privée	
  
• Saisies	
  sur	
  salaire	
  
• San...
• Sécurité	
  organisationnelle	
  
– Département	
  sécurité	
  
– Consultant	
  en	
  sécurité	
  
– Procédure	
  de	
  ...
• Sécurité	
  technique	
  
– Risk	
  analysis	
  
– Back-­‐up	
  
– Procédure	
  contre	
  incendie,	
  vol,	
  etc.	
  
...
• Sécurité	
  juridique	
  
– Contrats	
  d’emplois	
  et	
  
information	
  
– Contrats	
  avec	
  les	
  sous-­‐
contrac...
Qui	
  contrôle	
  quoi	
  ?
72
8.	
  E-­‐discovery
73
Definition	
  of	
  e-­‐discovery
• Electronic	
  discovery	
  (or	
  e-­‐discovery)	
  refers	
  to	
  discovery	
  in	
 ...
Recommandations
Organizations	
  should	
  update	
  and/or	
  create	
  information	
  
management	
  policies	
  and	
  ...
76
Comment	
  l’implémenter	
  ?
• Trouver	
  des	
  sources	
  authentiques	
  (il	
  peut	
  y	
  en	
  avoir	
  
plusie...
77
Ne	
  pas	
  oublier	
  la	
  résistance	
  au	
  changement
• Pourquoi	
  n’ai-­‐je	
  plus	
  accès	
  à…	
  ?	
  
• ...
9.	
  Conclusion
• IAM	
  n’est	
  pas	
  uniquement	
  une	
  question	
  
informatique	
  	
  
• LES	
  RH	
  DOIVENT	
 ...
L’IAM	
  est	
  aussi	
  une	
  opportunité
• Repenser	
  la	
  sécurité	
  
• Limiter	
  les	
  risques	
  
• Réduire	
  ...
80
Et	
  demain?
http://www.novell.com/docrep/2013/09/The_Forrester_Wave_IAM_9_4_13.pdf
80
81
http://ts.fujitsu.com/rl/Fujitsu_Forum_2013/documentation/BOSB110a_20131030_v3_final_Security.pdf
81
Je suis prêt à répondre à vos questions
82
Jacques Folon	
  
Jacques.folon@ichec.be
83
Prochain SlideShare
Chargement dans…5
×

Identity access management

845 vues

Publié le

Cours donné à INFOSAFE en janvier 2015

Publié dans : Formation
0 commentaire
1 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

Aucun téléchargement
Vues
Nombre de vues
845
Sur SlideShare
0
Issues des intégrations
0
Intégrations
9
Actions
Partages
0
Téléchargements
38
Commentaires
0
J’aime
1
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive

Identity access management

  1. 1.  Jacques  Folon   www.folon.com   Partner  Edge  Consulting   Maître  de  conférences     Université  de  Liège     Professeur   ICHEC  Brussels  Management  School     Professeur  invité     Université  de  Lorraine     ESC  Rennes  School  of  Business   Gestion des profils (Identity Access Management) 1
  2. 2. Cette présentation est disponible sur WWW.FOLON.COM onglet cours (Infosafe) 2
  3. 3. IAM 1. C’est  quoi  ?   2. Quel  est  le  contexte   actuel?   3. IAM  &  cloud  computing   4. Pourquoi  en  avons  nous   besoin?   5. To  do  list   6. IAM  et  vie  privée   7. IAM  et  contrôle   8. e-­‐discovery   9. Conclusion 3
  4. 4. 1.  IAM  c’est  quoi  ? Provisioning Single  Sign    On PKI Strong   Authentication Federation Directories Authorization Secure   Remote     Access Password   Management Web   Services   Security Auditing  &   Reporting Role  based   Management DRM Source:  Identity  and  Access  Management:  OverviewRafal  Lukawiecki  -­‐    Strategic  Consultant,  Project   Botticelli  Ltd  rafal@projectbotticelli.co.uk
 4
  5. 5. 5 Remote Employees Suppliers PartnersCustomers Employees EN 2015 NOMBREUX CONTEXTES 5
  6. 6. 6
  7. 7. 5 Questions 
 7
  8. 8. Q: What’s posted on this monitor? a – password to financial application b – phone messages c – to-do’s 8
  9. 9. Q: What determines your employee’s access? a – give Alice whatever Wally has b – roles, attributes, and requests c – whatever her manager says 9
  10. 10. Q: Who is the most privileged user in your enterprise? a – security administrator b – CFO c – the summer intern who is now working for your competitor 10
  11. 11. Q: How secure is your
 identity data? a – It is in 18 different secured stores b – We protect the admin passwords c – Privacy? We don’t hold credit card numbers 11
  12. 12. Q: How much are manual compliance controls costing your organization? a – nothing, no new headcount b – don’t ask c – don’t know 12
  13. 13. Today’s IT Challenges More Agile Business • More accessibility for employees, customers and partners • Higher level of B2B integrations • Faster reaction to changing requirements More Secured Business • Organized crime • Identity theft • Intellectual property theft • Constant global threats More Compliant Business • Increasing regulatory demands • Increasing privacy concerns • Business viability concerns 13
  14. 14. State Of Security In Enterprise • Incomplete • Multiple point solutions from many vendors • Disparate technologies that don’t work together • Complex • Repeated point-to-point integrations • Mostly manual operations • ‘Non-compliant’ • Difficult to enforce consistent set of policies • Difficult to measure compliance with those policies 14
  15. 15. Identity Management Values • Trusted and reliable security • Efficient regulatory compliance • Lower administrative and development costs • Enable online business networks • Better end-user experience 15
  16. 16. 15 La gestion des identités consiste à gérer le cycle de vie des personnes (embauche, promotion, mutation, départ, etc.) au sein de la société et les impacts induits sur le système d’information (création de Comptes utilisateurs, attribution de Profils utilisateurs, mise en œuvre du contrôle d'accès, etc.). source  clusif   IAM    n’est  pas  uniquement  une  tâche   informatique,  c’est  aussi  un  projet  RH  ! 16
  17. 17. • Cette gestion des identités doit pouvoir être faite d'un point de vue fonctionnel par des non- informaticiens (exemple : Ressources Humaines, Maîtrise d’ouvrage, l’utilisateur lui-même) • et •d'un point de vue technique par des informaticiens (exemple : administrateur, Maîtrise d’œuvre). 16 IAM    n’est  pas  uniquement  une  tâche   informatique  ! source  clusif   17
  18. 18. 17 La solution de gestion d’identités doit être une solution globale sur la base d’une infrastructure centralisée avec une gestion fonctionnelle distribuée et qui intègre les fonctionnalités suivantes : • la gestion du référentiel central des utilisateurs (alimentation à partir de référentiels utilisateurs sources), • la gestion du référentiel central des ressources concernées par la gestion des droits d’accès, • la gestion des habilitations (gestion des Profils, Rôles, gestion des utilisateurs, workflow), • le provisioning (synchronisation des référentiels cibles de sécurité), • l’administration décentralisée, • l’auto-administration (gestion par les utilisateurs des mots de passe et des données privées), • l’audit et le reporting, • le contrôle d’accès (authentification, autorisation). source  clusif   18
  19. 19. • What  is  Identity  Management  ?     “Identity  management  is  the  set  of   business  processes,  and  a  supporting   infrastructure,  for  the  creation,   maintenance,  and  use  of  digital   identities.”  The  Burton  Group  (a   research  firm  specializing  in  IT   infrastructure  for  the  enterprise)   • Identity  Management  in  this   sense  is  sometimes  called   “Identity  and  Access   Management”  (IAM) Définition 19
  20. 20. 19 Identity and Access Management is the process for managing the lifecycle of digital identities and access for people, systems and services. This includes: User Management – management of large, changing user populations along with delegated- and self-service administration. Access Management – allows applications to authenticate users and allow access to resources based upon policy. Provisioning and De-Provisioning – automates account propagation across applications and systems. Audit and Reporting – review access privileges, validate changes, and manage accountability. C A IAM : J. Tony Goulding CISSP, ITIL CA t ony.goulding@ca.com 20
  21. 21. IAM  c’est  par  exemple… •“Bonjour  je  suis  Julie,  une   étudiante   d’INFOSAFE.”      (Identité)   •“Ceci  est  mon  mot  de  passe.”       (Authentification)   •“Je  veux  accéder  à  la   plateforme”       (Authorisation  accordée)   •“Je  veux  améliorer  la  note  de   mon  examen.”       (Autorisation  refusée) 21
  22. 22. Mais  c’est  aussi… • Un  nouveau  professeur   • Donc  une  adresse  email,  à   donner  dès  que  possible   • Un  mot  de  passe  sur   Claroline   • Un  mot  de  passe  Intranet   • Définir  les  autres  services   auxquel  il  a  accès 22
  23. 23. Quelles  sont  les  questions  à  se  poser?? • Les  personnes  sont-­‐elles  ce   qu’elles  disent  être?   • Sont-­‐elles  des  membres  réels  de   notre  communauté  ?   • Ont-­‐elles  reçu  les  autorisations   nécessaires  ?   • Le  respect  de  leurs  données   personnelles  est-­‐il  mis  en  place? 23
  24. 24. Exemples  de  questions – Quel  mot  type  de  mot  de  passe  donner?   – Quelles  sont  les  activités  autorisées?   – Quelles  sont  les  activités  interdites?   – A  quelle  catégorie  de  personne  cette  nouvelle   identité  doit-­‐elle  être  attachée?   – A  quel  moment  du  processus  d’entrée  les   autorisations  doivent-­‐elles  être  données?   – Quelles  modalités  de  contrôle  sont  mises  en   place?  Peut-­‐on  prouver  tout  cela  à  un  auditeur  ? 24
  25. 25. 24 Le  triple  A  de  l’IAM Authentication WHO ARE YOU? Authorization / Access Control WHAT CAN YOU DO? Audit WHAT HAVE YOU DONE?24 25
  26. 26. Components  of  IAM • Administration   – User  Management   – Password  Management   – Workflow   – Delegation   • Access  Management   – Authentication     – Authorization   • Identity  Management   – Account  Provisioning   – Account  Deprovisioning   – Synchronisation Reliable Identity Data Administration Authorization Authentication Source:  Identity  and  Access  Management:  OverviewRafal  Lukawiecki  -­‐    Strategic  Consultant,  Project   Botticelli  Ltd  rafal@projectbotticelli.co.uk
 26
  27. 27. 2.  Contexte  actuel   Quel  est  le  contexte  actuel   qui  est  à  la  base  du   développement  de  l’IAM? 27
  28. 28. 27 Les  identités  multiples  selon  F  Cavazza 28
  29. 29. 28 Les  identités  varient  selon  les  plateformes 29
  30. 30. 29 Entre  l’identité  virtuelle  et  ... Dans ce contexte, l’amoncellement de parcelles laissées plus ou moins à l’abandon dessine un portrait par petites touches. Un peu comme les tableaux pointillistes : de manière unitaire, aucune des traces n’est réellement significative. Mais le tableau général, lui, représente le sujet dans son ensemble. À la vue de tous et pas forcément sous un angle souhaité… http://www.buschini.com/2009/12/04/identite-­‐traditionnelle-­‐versus-­‐identite-­‐numerique/ 30
  31. 31. • Internet  est  basé  sur  des   communications  anonymes   • Les  entreprises  participent  à  de   nombreux  réseaux  générant  de   multiples  identités   • Les  systèmes  internes  ont  parfois  des   systèmes  d’identifiants  différents   • Les  utilisateurs  sont  les  maillons   faibles  de  la  sécurité   • La  criminalité  informatique   augmente   • La  mise  en  place  de  contrôles   impose  l’identification   • La  gestion  des  traces  est   indispensables   • La  protection  de  la  vie  privée  impose   des  contrôles Welcome  to  a  digital  world   31
  32. 32. Sujet  d’actualité… 32
  33. 33. 33
  34. 34. Explosion  of  IDs Pre  1980’s 1980’s 1990’s 2000’s #  of   Digital  IDs Time Applications Mainframe Client  Server Internet Business   Automation Company   (B2E) Partners   (B2B) Customers   (B2C) Mobility Source:  Identity  and  Access  Management:  OverviewRafal  Lukawiecki  -­‐    Strategic  Consultant,  Project   Botticelli  Ltd  rafal@projectbotticelli.co.uk
 34
  35. 35. The  Disconnected  Reality • “Identity  Chaos”     – Nombreux  utilisateurs  et  applications     – Nombreuses  ID   – Plusieurs  identité  par  utilisateur   – Plusieurs  log  in  et  mots  de  passe     – Multiple  repositories  of  identity  information   – Multiple  user  IDs,  multiple  passwords   – Management  décentralisé   – Conflits  business  <-­‐>  IT Enterprise Directory HR Infra   Application Office In-House   Application                                                                                              External app Finance employee   Application •Authentication •Authorization •Identity Data Source:  Identity  and  Access  Management:  OverviewRafal  Lukawiecki  -­‐    Strategic  Consultant,  Project   Botticelli  Ltd  rafal@projectbotticelli.co.uk
 •Authentication •Authorization •Identity Data •Authentication •Authorization •Identity Data •Authentication •Authorization •Identity Data •Authentication •Authorization •Identity Data •Authentication •Authorization •Identity Data •Authentication •Authorization •Identity Data 35
  36. 36. Your  COMPANY  and
 your  EMPLOYEES Your  SUPPLIERS Your  PARTNERS Your  REMOTE  and
 VIRTUAL  EMPLOYEES Your  CUSTOMERS Customer  satisfaction  &  customer  intimacy   Cost  competitiveness   Reach,  personalization Collaboration   Outsourcing   Faster  business   cycles;  process   automation   Value  chain M&A   Mobile/global   workforce   Flexible/temp   workforce Multiple  Contexts 36
  37. 37. 37 37
  38. 38. 3.  IAM  &  Cloud  computing 38
  39. 39. Cloud  Computing:  Definition • No  Unique  Definition  or  General  Consensus  about  what  Cloud   Computing  is  …   • Different  Perspectives  &  Focuses  (Platform,  SW,  Service  Levels…)   • Flavours:   – Computing  and  IT    Resources  Accessible  Online   – Dynamically  Scalable  Computing  Power     – Virtualization  of  Resources   – Access  to  (potentially)  Composable  &  Interchangeable  Services     – Abstraction  of  IT  Infrastructure            !  No  need  to  understand  its  implementation:  use  Services  &  their  APIs   – Some  current  players,  at  the  Infrastructure  &  Service  Level:          SalesfoRce.com,  Google  Apps,  Amazon,  Yahoo,  Microsoft,  IBM,  HP,  etc. 
 
The  Future  of  Identity  in  the  Cloud:  Requirements,  Risks  &  OpportunitiesMarco Casassa Mont marco.casassa-mont@hp.com HP Labs Systems Security Lab Bristol, UK - EEMA  e-­‐Identity  Conference,  2009
 
 39
  40. 40. Cloud  Computing:  Implications • Enterprise:          Paradigm  Shift  from  “Close  &  Controlled”  IT  Infrastructures  and   Services  to  Externally  Provided  Services  and  IT  Infrastructures     • Private  User:          Paradigm  Shift  from  Accessing  Static  Set  of  Services  to  Dynamic   &  Composable  Services     • General  Issues:   –  Potential  Loss  of  Control  (on  Data,  Infrastructure,  Processes,   etc.)   –  Data  &  Confidential  Information  Stored  in  The  Clouds   –  Management  of  Identities  and  Access  (IAM)  in  the  Cloud   –  Compliance  to  Security  Practice  and  Legislation     –  Privacy  Management  (Control,  Consent,  Revocation,  etc.)   –  New  Threat  Environments   –  Reliability  and  Longevity  of  Cloud  &  Service  Providers
 
The  Future  of  Identity  in  the  Cloud:  Requirements,  Risks  &  OpportunitiesMarco Casassa Mont marco.casassa-mont@hp.com HP Labs Systems Security Lab Bristol, UK - EEMA  e-­‐Identity  Conference,  2009
 
 40
  41. 41. Identity  in  the  Cloud:  Enterprise  Case Enterprise Data   Storage   Service Office   Apps On  Demand   CPUsPrinting   Service Cloud     Provider  #1 Cloud     Provider  #2 Internal  Cloud CRM   Service … Service  3 Backup   Service  ILM   Service Service Service Service Business   Apps/Service Employee … … … The     Internet Identity  &   Credentials Identity  &   Credentials Identity  &   Credentials Identity  &   Credentials Identity  &   Credentials Identity  &   Credentials Identity  &   Credentials Authentication   Authorization   Audit Authentication   Authorization   Audit Authentication   Authorization   Audit Authentication   Authorization   Audit User  Account   Provisioning/   De-­‐provisioning User  Account   Provisioning/   De-­‐provisioning User  Account   Provisioning/   De-­‐provisioning User  Account   Provisioning/   De-­‐provisioning Data   &  Confidential   Information Data   &  Confidential   Information Data   &  Confidential   Information Data   &  Confidential   Information IAM  Capabilities     and  Services   Can  be     Outsourced  in   The  Cloud  … 
 
 The  Future  of  Identity  in  the  Cloud:  Requirements,  Risks  &  OpportunitiesMarco Casassa Mont marco.casassa-mont@hp.com HP Labs Systems Security Lab Bristol, UK - EEMA  e-­‐Identity  Conference,  2009
 
 41
  42. 42. Identity  in  the  Cloud:  Enterprise  Case Issues  and  Risks  [1/2]   •  Potential  Proliferation  of  Required  Identities  &  Credentials  to  Access  Services        !  Misbehaviours  when  handling  credentials  (writing  down,  reusing,  sharing,  etc.)   •  Complexity  in  correctly  “enabling”  Information  Flows  across  boundaries          !  Security  Threats                  (Enterprise  !  Cloud  &  Service  Providers,  Service  Provider  !  Service  Provider,  …_   •  Propagation  of  Identity  and  Personal  Information  across  Multiple  Clouds/Services        !  Privacy  issues  (e.g.  compliance  to  multiple    Legislations,  Importance  of  Location,  etc.)      !  Exposure  of  business  sensitive  information                (employees’  identities,  roles,  organisational  structures,  enterprise  apps/services,  etc.)      !  How  to  effectively  Control  this  Data?   •  Delegation  of  IAM  and  Data  Management  Processes  to  Cloud  and  Service  Providers        !  How  to  get  Assurance  that  these  Processes  and  Security  Practice    are  Consistent  with                        Enterprise  Policies?              -­‐  Recurrent  problem  for  all  Stakeholders:  Enterprise,  Cloud  and  Service  Providers  …        !  Consistency  and  Integrity  of  User  Accounts  &  Information  across  various  Clouds/Services      !  How  to  deal  with  overall  Compliance  and  Governance  issues?     
 
 The  Future  of  Identity  in  the  Cloud:  Requirements,  Risks  &  OpportunitiesMarco Casassa Mont marco.casassa-mont@hp.com HP Labs Systems Security Lab Bristol, UK - EEMA  e-­‐Identity  Conference,  2009
 
 42
  43. 43. Identity  in  the  Cloud:  Enterprise  Case Issues  and  Risks  [2/2]   •  Migration  of  Services  between  Cloud  and  Service  Providers      !  Management  of  Data  Lifecycle   •  Threats  and  Attacks  in  the  Clouds  and  Cloud  Services        !  Cloud  and  Service  Providers  can  be  the  “weakest  links”  in  Security  &  Privacy          !  Reliance  on  good  security  practice  of  Third  Parties         
 
 The  Future  of  Identity  in  the  Cloud:  Requirements,  Risks  &  OpportunitiesMarco Casassa Mont marco.casassa-mont@hp.com HP Labs Systems Security Lab Bristol, UK - EEMA  e-­‐Identity  Conference,  2009
 
 43
  44. 44. 4.Pourquoi  en  avons  nous  besoin? •Sécurité   •Compliance   •Réduction  des  coûts   •Support  pour  l’audit   •Contrôle  d’accès 44
  45. 45. Source:  ftp://ftp.boulder.ibm.com/software/uk/productnews/tv/vh_-­‐_access_and_identity_management.pdf   45
  46. 46. Economies  possibles • Directory  Synchronization   “Improved  updating  of  user  data:  $185  per  user/year”   “Improved  list  management:  $800  per  list”   -­‐  Giga  Information  Group   • Password  Management   “Password  reset  costs  range  from  $51  (best  case)  to  $147  (worst  case)  for  labor   alone.”  –  Gartner   • User  Provisioning   “Improved  IT  efficiency:  $70,000  per  year  per  1,000  managed  users”   “Reduced  help  desk  costs:  $75  per  user  per  year”   -­‐  Giga  Information  Group     46
  47. 47. Can  We  Just  Ignore  It  All? • Today,  average  corporate  user  spends   16  minutes  a  day  logging  on   • A  typical  home  user  maintains  12-­‐18   identities   • Number  of  phishing    sites  grew  over   1600%  over  the  past  year   • Corporate  IT  Ops  manage  an  average   of  73  applications  and  46  suppliers,   often  with  individual  directories   • Regulators  are  becoming  stricter   about  compliance  and  auditing   • Orphaned  accounts  and  identities   lead  to  security  problems Source:  Microsoft’s  internal  research  and  Anti-­‐phishing  Working  Group   47
  48. 48. IAM  Benefits Benefits to take you forward   (Strategic) Benefits today   (Tactical) Save money and improve operational efficiency Improved time to deliver applications and service Enhance Security Regulatory Compliance and Audit New ways of working Improved time to market Closer Supplier, Customer,   Partner and Employee relationships Source:  Identity  and  Access  Management:  OverviewRafal  Lukawiecki  -­‐    Strategic  Consultant,  Project  Botticelli  Ltd  rafal@projectbotticelli.co.uk
 48
  49. 49. 5.  IAM  to  do  list • Création  et  suppression   automatique  de  comptes   • Gestion  des  traces   • Archivage  (durée??)   • Vie  privée   • Compliance     • Sécurité  <>  risques   • De  plus  en  plus  d’utilisateurs   • E-­‐business 49
  50. 50. 52 Les  trois  éléments 50
  51. 51. 6.  La  protection  des  données  personnelles 51
  52. 52. Source  :  https://www.britestream.com/difference.html.   52
  53. 53. Les  informations  circulent     Qui  vérifie? 53
  54. 54. Qui  doit  avoir  accès  à  quoi?
 Limitations  légales  !   54
  55. 55. Responsabilités  de  l’organisation 55
  56. 56. TELETRAVAIL   56
  57. 57. Informations  sensibles
 57
  58. 58. 58 58
  59. 59. 59http://fr.slideshare.net/MicrosoftEntrepreneurs/rdi105-byod-resister-ou-embrasser?qid=d1192010-03b1-49ee-a555-ab31c4e7a1cd&v=default&b=&from_search=4 59
  60. 60. http://fr.slideshare.net/MicrosoftEntrepreneurs/rdi105-byod-resister-ou-embrasser?qid=d1192010-03b1-49ee-a555-ab31c4e7a1cd&v=default&b=&from_search=4 60
  61. 61. http://fr.slideshare.net/MicrosoftEntrepreneurs/rdi105-byod-resister-ou-embrasser?qid=d1192010-03b1-49ee-a555-ab31c4e7a1cd&v=default&b=&from_search=4 61
  62. 62. 62
  63. 63. 63
  64. 64. 7.  IAM  et  Contrôle 64
  65. 65. Le  maillon  faible… 65
  66. 66. Données  reçues  et  transférées 66
  67. 67. 67
  68. 68. • Que  peut-­‐on   contrôler?   • Limites?   • Correspondance   privée   • Saisies  sur  salaire   • Sanctions  réelles     • Communiquer  les   sanctions? 68
  69. 69. • Sécurité  organisationnelle   – Département  sécurité   – Consultant  en  sécurité   – Procédure  de  sécurité   – Disaster  recovery 69
  70. 70. • Sécurité  technique   – Risk  analysis   – Back-­‐up   – Procédure  contre  incendie,  vol,  etc.   – Sécurisation  de  l’accès  au  réseau  IT   – Système  d’authentification  (identity  management)   – Loggin  and  password  efficaces 70
  71. 71. • Sécurité  juridique   – Contrats  d’emplois  et   information   – Contrats  avec  les  sous-­‐ contractants   – Code  de  conduite   – Contrôle  des  employés   – Respect  complet  de  la   réglementation 71
  72. 72. Qui  contrôle  quoi  ? 72
  73. 73. 8.  E-­‐discovery 73
  74. 74. Definition  of  e-­‐discovery • Electronic  discovery  (or  e-­‐discovery)  refers  to  discovery  in  civil   litigation  which  deals  with  information  in  electronic  format  also   referred  to  as  Electronically  Stored  Information  (ESI).     • It  means  the  collection,  preparation,  review  and  production  of   electronic  documents  in  litigation  discovery.     • Any  process  in  which  electronic  data  is  sought,  located,  secured,   and  searched  with  the  intent  of  using  it  as  evidence  in  a  civil  or   criminal  legal  case   • This  includes  e-­‐mail,  attachments,  and  other  data  stored  on  a   computer,  network,  backup  or  other  storage  media.  e-­‐Discovery   includes  metadata. 74
  75. 75. Recommandations Organizations  should  update  and/or  create  information   management  policies  and  procedures  that  include:   – e-­‐mail  retention  policies,  On  an  individual  level,  employees  tend  to   keep  information  on  their  hard  drives  “just  in  case”  they  might  need  it.   – Work  with  users  to  rationalize  their  storage  requirements  and   decrease  their  storage  budget.   – off-­‐line  and  off-­‐site  data  storage  retention  policies,     – controls  defining  which  users  have  access  to  which  systems  andunder   what  circumstances,     – instructions  for  how  and  where  users  can  store  data,  and  •  backup  and   recovery  procedures.   – Assessments  or  surveys  should  be  done  to  identify  business  functions,   data  repositories,  and  the  systems  that  support  them.   – Legal  must  be  consulted.  Organizations  and  their  legal  teams  should   work  together  to  create  and/or  update  their  data  retention  policies   and  procedures  for  managing  litigation  holds. 75
  76. 76. 76 Comment  l’implémenter  ? • Trouver  des  sources  authentiques  (il  peut  y  en  avoir   plusieurs)   • Partir  des  listes  existantes  des  collaborateurs   • Définir  les  rôles  (c’est  le  business  donc  les  RH  qui  le   font,  pas  l’Informatique)   • N’oubliez  pas  l’audit  (externe)  donc  il  faut  justifier:   • qui  a  accès  à  quoi?  depuis  quand?   • qui  a  approuvé  ?   • comptes  orphelins  ? 76
  77. 77. 77 Ne  pas  oublier  la  résistance  au  changement • Pourquoi  n’ai-­‐je  plus  accès  à…  ?   • ce  n’est  pas  une  priorité   • L’informatique  n’a  pas  le  temps   • il  vaut  mieux  tout  contrôler   • crainte  de  perte  de  pouvoir 77
  78. 78. 9.  Conclusion • IAM  n’est  pas  uniquement  une  question   informatique     • LES  RH  DOIVENT  ETRE  IMPLIQUES     • les  aspects  juridiques  et  de  gestion  sont  essentiels   • Attention  aux  aspects  compliance   • Plus  de  sécurité  nécessaire   – Cloud  computing   – Virtualisation   – Data  privacy   – archivage   • Transparence     • E-­‐discovery 78
  79. 79. L’IAM  est  aussi  une  opportunité • Repenser  la  sécurité   • Limiter  les  risques   • Réduire  les  coûts   • Repréciser  les  rôles  et   responsabilités   • Appréhender  les  risques  futurs 79
  80. 80. 80 Et  demain? http://www.novell.com/docrep/2013/09/The_Forrester_Wave_IAM_9_4_13.pdf 80
  81. 81. 81 http://ts.fujitsu.com/rl/Fujitsu_Forum_2013/documentation/BOSB110a_20131030_v3_final_Security.pdf 81
  82. 82. Je suis prêt à répondre à vos questions 82
  83. 83. Jacques Folon   Jacques.folon@ichec.be 83

×