SlideShare une entreprise Scribd logo
1  sur  46
Télécharger pour lire hors ligne
La Gestion des Identités
et des Accès
… à la façon OKIOK
Claude Vigeant Ing.
Sept 2015
Agenda
2
L’expérience OKIOK
Réflexions sur la GIA
L’approche OKIOK
 Focus sur la gouvernance des identités et des accès
L’offre OKIOK en GIA
 Leadership et accompagnement en GIA
 La conformité des identités en tant que service (ICAAS)
 RAC/M Identity – Un outil performant pour prendre le contrôle des
identités et des accès
Démonstration
Questions ?
L’expérience OKIOK
30 ans d’innovations en solutions de GIA
Confidentiel 3
Années 80
 Conception de la carte RAC/M pour gérer les accès aux ordinateurs
personnels tournant sous DOS, Windows et OS/2
Années 90
 Conception de Branch Manager pour gérer les accès aux ordinateurs
personnels de façon centralisées en appliquant le modèle RBAC
 Conception de Focal Point, une solution de logon unique (ESSO) –
devenue SAM ESSO
Années 2000
 Conception de Global Trust, une solution de gestion des accès Web
incluant la fédération d’identité avec SAML2 et l’approvisionnement
automatisé sous SPML2 – devenue Siemens DirX Access
Années 2010
 Conception de RAC/M Identity, une solution de gouvernance des
identités et des accès
 Lancement de l’offre « Identity Compliance As A Service » (ICAAS)
L’expérience OKIOK
15 ans de leadership de projets de GIA
Confidentiel 4
 Conception de l’Infrastructure de Corporative de Sécurité (ICS) de la
Banque Nationale qui met en œuvre les concepts de sécurité en
profondeur par l’utilisation de jetons, modèle de gestion basé sur les rôles
(RBAC), signature unique et gestion des accès Web (Web SSO)
Ces principes et éléments technologiques ont donnés naissance à la solution
Global Trust
 Prestation de services d’accompagnement en GIA chez plusieurs clients
québécois et internationaux
Banque Laurentienne, Banque Nationale, Desjardins, Fonds FTQ, CUSM,
AT&T, Banque KBC, Groupe Malakoff, CHU Ste-Justine, Hôpital Charles-
Lemoyne, Atos
 Prestation de GIA en mode service chez plusieurs clients québécois
 Lancement de l’offre ICAAS sur le marché local et international
 Leadership d’un projet majeur de GIA à portée Nord-Américaine pour un
groupe multinational (en cours)
La majorité des projets de GIA
échouent…
Confidentiel 5
Souvent pour des raisons évidentes
Confidentiel 6
Si une méthode ne fonctionne
pas…
Confidentiel 7
pourquoi persister dans la même voie ?
Pour réussir, il faut faire autrement
Confidentiel 8
Traditionnellement, les projets de GIA visent
l’automatisation de l’approvisionnement…
Confidentiel 9
Un but difficile
à atteindre…
L’approche OKIOK…
Axer sur la gouvernance des accès – un but plus réaliste
Confidentiel 10
L’approche OKIOK…
Créer des conditions gagnantes
Confidentiel 11
L’offre OKIOK en GIA
Confidentiel 12
Leadership et accompagnement
de projets de GIA
Conformité des Identités et des
Accès en mode service
Solution RAC/M Identity
Leadership et accompagnement en GIA
L’approche OKIOK, agile et axée sur la réduction des risques
13
 Définir des objectifs réalistes
 Prioriser la gouvernance des
identités et des accès
 Créer des conditions gagnantes
 Assurer d’avoir toute la latitude
nécessaire
 Établir la vision du projet
 S’assurer du support du client
 Appliquer notre modèle de
gestion de projet proactive
 Assurer l’expertise technique du
plus haut calibre - manufacturier
 Éliminer les éléments de risque
hors de notre contrôle direct
Résultats
 Succès à 100%
Leadership et accompagnement en GIA
L’approche conventionnelle, souvent problématique
14
 Objectifs irréalistes et/ou mal
définis
 Lourdeur liée au cadre de
gestion rigide
 Enjeux technologiques élevés
 Absence de leviers pour régler
les problèmes techniques
 Expertise technique limitée
Résultats
 Délais
 Démobilisation
 Dépassement de coûts
 Insatisfaction
Leadership et accompagnement en GIA
Prestation type en étapes et phases
Étape 1 – Analyse préliminaire
 État de la nation
 Cible fonctionnelle et
d’architecture
 Plan d’action
 Trois livrables
 12 à 15 semaines
Étape 2 - Réalisation
 Phase 1 – fonctionnalité de
base (Gouvernance)
 Mise en œuvre du référentiel
 Revue initiale des accès
 Phase 2 – fonctionnalité
avancée
 Revue périodique des accès
 Modélisation des accès en rôles
 Libre service
 Phase 3-
 Automatisation des retraits et
de l’approvisionnement si requis
Confidentiel 15
Leadership et accompagnement en GIA
Exemple d’un projet réel
16
Description
L’unité d’affaire nord-américaine d’une multinationale doit rehausser
ses processus de GIA pour l’année de référence 2014 afin de passer
avec succès les audits SSAE16
Environnements
 5 centres de données au Canada et USA
 Services et infrastructure distribués en Europe, Inde, Asie
 >20,000 serveurs Wintel, UNIX/Linux, centrales Z/OS, AS400
 300 serveurs dans la portée de la phase 1
Déroulement
 Étape 1 – Janvier à avril 2013
 Étape 2 – Juin à décembre 2013 (phase 1) – livraison en 72 jrs ouvrables
Janvier 2014 à Décembre 2015 (phase 2) - 20,000 serveurs
Leadership et accompagnement en GIA
Exemple réel d’un plan de projet
Confidentiel 17
Conformité des Identités et des
Accès en mode service (ICAAS)
Confidentiel 18
Bien adapté aux PMEs
 Aucun investissement en capitalisation
 Capacité limitée d’exploiter une infrastructure
 Capital humain limité (expertise, compétences, disponibilité)
 Particulièrement utile pour la mise en conformité périodique
requise par les cadres règlementaires
Avantages - résultats ultra-rapides
 Démarrage des campagnes de révision en moins d’une semaine
 Travaux complétés typiquement entre 5 et 10 semaines pour
20,000 comptes d’accès, 30 applications
 Coûts très avantageux
Conformité des Identités et des
Accès en mode service (ICAAS)
19
Modalités
 Infrastructure hébergée chez OKIOK ou partenaire (RAC/M Identity)
 Données d’accès du client transportées et stockées de façon sécuritaire
dans un centre de traitement sécurisé (utilisation de S-Filer)
Déroulement typique
 Rencontre de planification avec le client
 Déploiement des collecteurs (agents d’extraction)
 Traitement initiaux, construction du référentiel
 Production des premiers rapports
 Validation avec le client
 Représentant(s) du client valide les accès avec les lignes d’affaires
 Les ajustements sont apportés aux systèmes cibles
 Itérations jusqu’à ce que les critères de terminaison soient atteints
 Clôture et post-mortem du projet
 Durée typique de 5 à 10 semaines pour 20,000 comptes, 30 applications
Un exemple réel
Confidentiel 20
Entreprise dans le domaine du transport
 7,000 utilisateurs
 8,000 identités
 20,000 comptes d’accès
 20 applications
Nature de la prestation
 Mise en conformité par révision systématique des accès par les
gestionnaires de service
 3 itérations – Collecte de données, production des rapports,
validation
Temps total
 5 semaines (25 jours ouvrables)
LA SOLUTION RAC/M IDENTITY
21
Facilite et optimise la gestion des
identités et des accès aux actifs de votre
entreprise
22
Entreprise
Actifs TI et
biens
confiés
Utilisateurs
RAC/M Identity
23
La problématique
24
Impossible de savoir (et de démontrer)
 Qui a accès à quoi
 Quels comptes d’accès et quels privilèges sont requis
 Quels biens doivent être confiés (cartes d’accès, téléphones, etc.)
 Combien de licences de logiciels sont réellement requises
 Qui doit approuver les demandes d’accès
 Quels biens ont été confiés à une personne
 Que les accès accordés sont juste ce qui est requis
 Que les accès d’un utilisateur qui quitte ont été retirés
 Que les biens confiés ont été récupérés
 Que les accès attribués en exception ont été bien retirés au
moment opportun
Les cadres normatifs tels que SOX, PCI, NERC, HIPAA, CobiT, SSAE16 et autres
requièrent qu’une entreprise puisse démontrer qu’elle est en contrôle des
accès aux actifs informationnels critiques.
Plusieurs défis…
25
Multitude de systèmes hétéroclites
Documentation défaillante ou inexistante
Organisation complexe et en mouvance
Modèles de gestion variés
Lien d’emplois multiples et dynamiques
Incohérence des données d’accès
Écarts entre les processus RH et la réalité
Équipe de gestion des accès surchargée
Coupures budgétaires
Gestion proactive des accès
logiques et des biens confiés
26
Personnes Identités
Chantale St-Germain
Accès
logiques
Biens confiés
Grands principes
27
Constituer un référentiel
 Centraliser les informations d’accès pour offrir une vision complète et
cohérente
Décentraliser les processus de GIA
 Habiliter les personnes qui connaissent les utilisateurs (principe d’AVI)
 Implanter un portail libre service
Automatiser les traitements
 Automatiser l’extraction et le traitement des données
 Initier les traitements sur les événements déclencheurs
 Embauche / terminaison / mouvement
 Requêtes en mode libre-service
 Modifications au modèle d’accès
Arrimer aux systèmes connexes
 Systèmes d’information
 Systèmes de gestion des accès
 Ex: Générateur / service d’IUN du MSSS
Fonctionnalités de RAC/M Identity
28
Analytique
Déterminer qui a accès à quoi et
établir un modèle d’accès
Gouvernance
Formaliser les processus de
requêtes et de révision
Opérations
Implanter le libre service et
les flux de travail
Automatisation
Ajouter, modifier et retirer
automatiquement les accès
Planification des étapes
Confidentiel 29
Installer RAC/M
Définir
Connecteurs /
collecteurs
Définir
séquences
Lancer
collecte
initiale
Apparier les
personnes
Identifier sources
d’identités et
systèmes cibles
Apparier les
comptes
Réviser les
accès
Initier les
campagnes de
révision
Modéliser les
accès par rôles
Automatiser les
ajouts / retraits
/ modifications
Épurer le
référentiel
Déployer les flux
d’approbation &
libre service
Phase initiale de
construction
Phase de
montée en charge
Phase
opération et
évolution
Construction du référentiel
Confidentiel 30
Première étape du déploiement
 Comprend la phase de construction initiale et la montée en charge
 On doit viser à intégrer l’ensemble des sources d’identités dès le
départ afin d’éviter l’accumulation de comptes « orphelins » c’est-
à-dire qui ne peuvent être associés à des identités
 On intègre ensuite un petit nombre de systèmes cibles choisi parmi
les plus importants ou critiques. AD fait habituellement partie des
premiers systèmes à intégrer
 On procède ensuite à l’importation des identités et à la promotion
des identités en personnes. Ceci n’est fait que la première fois
qu’une nouvelle source d’identités est intégrée, si les identités ne
peuvent être appariées aux personnes
Le référentiel en 3 clics
Personne -> Identités -> Applications -> Profils (groupes AD)
31
Plusieurs types de rapports
32
Campagnes de revue des accès
Confidentiel 33
Qui accède à quoi
Principe de forage des rôles
Personnes
(identités)
Actifs
Les identités
peuvent être
filtrées par des
critères arbitraires
tels que:
Métier
Départements
Équipes, Groupes
Classe
Centre de coût
Site
Souscription
Inscription
Certification
Les actifs peuvent
être filtrés par
des critères
arbitraires tels
que:
Type
Platforme
Application
Client
Site
Fournisseur
Etc.
Le forage permet de
déterminer quels accès sont
détenus par un sous-
ensemble de personnes
Assignation de critères
de filtrage aux identités
et aux actifs si requis
Définition d’une
session de forage en
fonction des critères de
filtrage déterminés
Génération d’un ou
plusieurs rôles dans le
contexte de la session
de forage
Inspection et
raffinement des rôles
Activation des nouveaux
rôles et mise en
production
1 2 3
4 5
Raffinement des
critères de filtrage
si requis et
répétition au
besoin
Démarche de forage
Analytique – Forage de Rôles
Permissions
dans le rôle
Sur privilèges
Sous privilèges
Processus de gestion du référentiel
Confidentiel 37
Administrateur GIA
Suivi des opérations
Sources
d'identités
Systèmes et
applications
cibles
Administrateur GIA
analyse et résolution
des anomalies
Connecteurs ICF ou
extraction automatisée
Production automatisée
de rapports d’anomalies
et courriels
traitement
automatisé
Rapports sur
demande
Données de
référence
Import
périodique
Console
de gestion
@
Processus de gestion des requêtes
Arrivées / départs / déplacements
Confidentiel 38
Gestionnaires
Approuver / refuser /
transférer requête
Sources
d'identités
Systèmes et
applications
cibles
Génération de courriels
et/ou billets
Traitements
automatisés
Flux
d’approbation
@
Pilotes de
systèmes
Gestion des
accès
Ajouts / retraits /
modifications automatisés
Utilisateur, Super
utilisateur,
Gestionnaire
Requête d’accès
Portail libre
service
Propriétaires de systèmes
Approuver / refuser /
transférer requête
Référentiel
RAC/M@
Notifications,
rappels
Processus de revue périodique des
accès
Confidentiel 39
RAC/M
Administrateur
GIA
Officier
de sécurité
Campagne de révision ou
demande de révision ad hoc
Extraction
et routage
ou
Validation sur fichier
ou intéractive
Gestionnaires
et propriétaires
Gestionnaires
et propriétaires
Gestionnaires
et propriétaires
Processus d'audit
Confidentiel 40
RAC/M
Administrateur
GIA
Demande
d'extraction
de listes d'accès
Génération
de listes ad hoc
Listes d'accès et
justification des accès
Vérificateur
Validation des comptes
et des accès
Active
Directory
Systèmes et
applications
Extractions
manuelles
RAC/M Identity
41
Facilite la mise en conformité à l’échelle de l’entreprise
 Constitution d’un référentiel d’identités et d’accès et épuration initiale
 Mise en place de processus récurrents de validation et de révision
périodiques des accès
 Optimisation des accès et des coûts en identifiant ceux qui sont requis et
en éliminant les comptes et accès superflus
Optimise la gestion et de l’attribution des accès
 Modèle d’accès ascendant et descendant basé sur des rôles, des règles,
des attributs constituant un contexte
 Libre-service et flux de travail pour l’approbation des requêtes
 Intégration aux processus d’affaires
Réduit le risque
 Identification et élimination des comptes et accès superflus
 Identification des comptes surprivilégiés
 Gestion serrée des exceptions
Bénéfices
42
Coûts d’acquisition, de déploiement and d’opération minimes
 Solution complète – inclus tous les éléments technologiques requis;
 Utilisation de règles pour éliminer la gestion laborieuse des rôles;
 Mécanismes d’intégration permettant d’éliminer les opérations manuelles;
 Flux d’approbation flexibles permettant le partage de charge, la délégation et
l’escalade;
Évolue selon vos besoins d’affaires sans programmation
 Ajout / retrait d’applications et systèmes cibles;
 Évolution de la logique d’affaires et des blocs et séquences de traitement;
 Génération de rapports ad hoc;
Réduction des risques de sécurité
 Retrait rapide des accès non-requis lors des départs et mouvements;
 Suivi serré des droits attribués vs ce qui est requis;
 Réconciliation périodique entre les sources d’identités et les systèmes cibles;
Réduction dramatique des coûts, efforts et des délais pour la mise en conformité
 Application proactive des règles d’affaires et du modèle d’accès;
 Génération de listes et rapports sur les droits accordés ainsi que sur les écarts et
exceptions;
RAC/M Identity
Spécifications fonctionnelles
43
Fonction analytiques
 Construction et maintien d’un
référentiel d’identités et d’accès
 Traitement des sources d’identités,
données complémentaires et
systèmes cibles
 Appariement automatique et
manuel des personnes aux
identités et aux comptes d’accès
 Gestion des comptes génériques,
homonymes et techniques
 Résolution des droits d’accès
effectifs sous UNIX/Linux, Windows
et Z/OS incluant les groupes
imbriqués, globaux/locaux
 Résolution des droits d’accès aux
objets et aux fichiers
 Forage & modélisation des rôles
Fonctions de gouvernance
 Formalisation des approbations
 Gestion et traitements des
événements d’audit
 Séparation des tâches
 Gestion des campagnes de révision
et certification des accès
 Rapports d’inventaire et exceptions
 Courriels de notification
Fonctions opérationnelles
 Portail libre service pour requêtes
d’accès
 Gestion des queues de requêtes
 Notifications par courriel
 Génération de billets
 Création / modification / retrait
des comptes et des accès
RAC/M Identity
Spécifications techniques
44
Mécanismes d’intégration
 Toutes formes de fichiers plats
CSV, XLS, XLSX, LDIF, autres
 Services Web d’audit, de portail
libre-service et
d’approvisionnement (SPML)
 Connecteurs ICF (logiciel libre)
Technologie
 Java J2EE, conteneur Tomcat
intégré
 Flux de travail JBOSS
 Serveur de BD
 SQL Express intégré
 MS SQL recommandé
Compatibilité
 SAP
 Logibec
 OACIS
 Active Directory
 Windows server (2003, 2008, 2012)
 HP UX 11.31
 AIX
 Linux (SUSE, RedHat)
 Z/OS
 RAC/F
 Top Secret
 ACF2
 Tous serveurs LDAP
 Toutes BD SQL
 Tous systèmes de billetterie - ex:
C2, Omnitracker
Références intéressantes
Confidentiel 45
http://www.puttyq.com/blog/2010/top-10-reasons-why-identity-management-
projects-fail
http://evolvingidentity.blogspot.ca/2011/09/dirty-secret-of-identity-
management_30.html
http://www.youtube.com/watch?v=iMhdksPFhCM
MERCI !
Confidentiel

Contenu connexe

Tendances

Gestion des identités : par où commencer ?
Gestion des identités : par où commencer ?Gestion des identités : par où commencer ?
Gestion des identités : par où commencer ?Identity Days
 
Conix - EBIOS Risk Manager
Conix - EBIOS Risk ManagerConix - EBIOS Risk Manager
Conix - EBIOS Risk ManagerThierry Pertus
 
Audit sécurité des systèmes d’information
Audit sécurité des systèmes d’informationAudit sécurité des systèmes d’information
Audit sécurité des systèmes d’informationAbbes Rharrab
 
Gouvernance de la sécurite des Systèmes d'Information Volet-1
Gouvernance de la sécurite des Systèmes d'Information Volet-1Gouvernance de la sécurite des Systèmes d'Information Volet-1
Gouvernance de la sécurite des Systèmes d'Information Volet-1PRONETIS
 
Sécurité des systèmes d'informations
Sécurité des systèmes d'informations Sécurité des systèmes d'informations
Sécurité des systèmes d'informations Emna Tfifha
 
La protection de données, La classification un premier pas
La protection de données, La classification un premier pasLa protection de données, La classification un premier pas
La protection de données, La classification un premier pasAlghajati
 
Audit de sécurité informatique
Audit de sécurité informatiqueAudit de sécurité informatique
Audit de sécurité informatiqueMohamed Ali Hadhri
 
La sécurité et le Cloud Computing
La sécurité et le Cloud ComputingLa sécurité et le Cloud Computing
La sécurité et le Cloud ComputingTactika inc.
 
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMESPRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMESTelecomValley
 
La sécurité de l’information et les auditeurs internes
La sécurité de l’information et les auditeurs internesLa sécurité de l’information et les auditeurs internes
La sécurité de l’information et les auditeurs internesISACA Chapitre de Québec
 
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...Bachir Benyammi
 
EBIOS RM - Cryptovirus & COVID-19
EBIOS RM - Cryptovirus & COVID-19EBIOS RM - Cryptovirus & COVID-19
EBIOS RM - Cryptovirus & COVID-19Thierry Pertus
 
Test d’intrusion dans le cadre du cycle de développement (Vumetric)
Test d’intrusion dans le cadre du cycle de développement (Vumetric)Test d’intrusion dans le cadre du cycle de développement (Vumetric)
Test d’intrusion dans le cadre du cycle de développement (Vumetric)Vumetric
 
Présentation Méthode EBIOS Risk Manager
Présentation Méthode EBIOS Risk ManagerPrésentation Méthode EBIOS Risk Manager
Présentation Méthode EBIOS Risk ManagerComsoce
 
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...PECB
 
ISO/IEC 27005 : processus de traitement des risques et conformité
ISO/IEC 27005 : processus de traitement des risques et conformitéISO/IEC 27005 : processus de traitement des risques et conformité
ISO/IEC 27005 : processus de traitement des risques et conformitéPECB
 
la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)Diane de Haan
 

Tendances (20)

Gestion des identités : par où commencer ?
Gestion des identités : par où commencer ?Gestion des identités : par où commencer ?
Gestion des identités : par où commencer ?
 
Implémenter et gérer un projet iso 27001
Implémenter et gérer un projet iso 27001Implémenter et gérer un projet iso 27001
Implémenter et gérer un projet iso 27001
 
Conix - EBIOS Risk Manager
Conix - EBIOS Risk ManagerConix - EBIOS Risk Manager
Conix - EBIOS Risk Manager
 
Audit sécurité des systèmes d’information
Audit sécurité des systèmes d’informationAudit sécurité des systèmes d’information
Audit sécurité des systèmes d’information
 
Gouvernance de la sécurite des Systèmes d'Information Volet-1
Gouvernance de la sécurite des Systèmes d'Information Volet-1Gouvernance de la sécurite des Systèmes d'Information Volet-1
Gouvernance de la sécurite des Systèmes d'Information Volet-1
 
Sécurité des systèmes d'informations
Sécurité des systèmes d'informations Sécurité des systèmes d'informations
Sécurité des systèmes d'informations
 
La protection de données, La classification un premier pas
La protection de données, La classification un premier pasLa protection de données, La classification un premier pas
La protection de données, La classification un premier pas
 
Audit de sécurité informatique
Audit de sécurité informatiqueAudit de sécurité informatique
Audit de sécurité informatique
 
La sécurité et le Cloud Computing
La sécurité et le Cloud ComputingLa sécurité et le Cloud Computing
La sécurité et le Cloud Computing
 
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMESPRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
 
La sécurité de l’information et les auditeurs internes
La sécurité de l’information et les auditeurs internesLa sécurité de l’information et les auditeurs internes
La sécurité de l’information et les auditeurs internes
 
Identity Access Management (IAM)
Identity Access Management (IAM)Identity Access Management (IAM)
Identity Access Management (IAM)
 
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
 
EBIOS RM - Cryptovirus & COVID-19
EBIOS RM - Cryptovirus & COVID-19EBIOS RM - Cryptovirus & COVID-19
EBIOS RM - Cryptovirus & COVID-19
 
Test d’intrusion dans le cadre du cycle de développement (Vumetric)
Test d’intrusion dans le cadre du cycle de développement (Vumetric)Test d’intrusion dans le cadre du cycle de développement (Vumetric)
Test d’intrusion dans le cadre du cycle de développement (Vumetric)
 
Présentation Méthode EBIOS Risk Manager
Présentation Méthode EBIOS Risk ManagerPrésentation Méthode EBIOS Risk Manager
Présentation Méthode EBIOS Risk Manager
 
ISO 27001
ISO 27001ISO 27001
ISO 27001
 
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
 
ISO/IEC 27005 : processus de traitement des risques et conformité
ISO/IEC 27005 : processus de traitement des risques et conformitéISO/IEC 27005 : processus de traitement des risques et conformité
ISO/IEC 27005 : processus de traitement des risques et conformité
 
la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)
 

En vedette

Oracle Identity Management : Sécurisation de l’entreprise étendue – Guy Chiasson
Oracle Identity Management : Sécurisation de l’entreprise étendue – Guy ChiassonOracle Identity Management : Sécurisation de l’entreprise étendue – Guy Chiasson
Oracle Identity Management : Sécurisation de l’entreprise étendue – Guy ChiassonISACA Chapitre de Québec
 
Université laval présentation sur la gestion des risques 31-03-2015 vf2
Université laval   présentation sur la gestion des risques 31-03-2015 vf2Université laval   présentation sur la gestion des risques 31-03-2015 vf2
Université laval présentation sur la gestion des risques 31-03-2015 vf2ISACA Chapitre de Québec
 
Le processus de gestion des habilitations
Le processus de gestion des habilitationsLe processus de gestion des habilitations
Le processus de gestion des habilitationsemc 2p
 
Sécurité et ITIL: une approche pragmatique
Sécurité et ITIL: une approche pragmatiqueSécurité et ITIL: une approche pragmatique
Sécurité et ITIL: une approche pragmatiqueISACA Chapitre de Québec
 
L'innovation systématique en GIA - Serge Lapointe
L'innovation systématique en GIA - Serge LapointeL'innovation systématique en GIA - Serge Lapointe
L'innovation systématique en GIA - Serge LapointeISACA Chapitre de Québec
 
Jérôme Kerviel. Le rôle de la GIA corporative dans la plus grande fraude fina...
Jérôme Kerviel. Le rôle de la GIA corporative dans la plus grande fraude fina...Jérôme Kerviel. Le rôle de la GIA corporative dans la plus grande fraude fina...
Jérôme Kerviel. Le rôle de la GIA corporative dans la plus grande fraude fina...ISACA Chapitre de Québec
 
L'offre d'ISACA en matière de GIA - David Henrard
L'offre d'ISACA en matière de GIA - David HenrardL'offre d'ISACA en matière de GIA - David Henrard
L'offre d'ISACA en matière de GIA - David HenrardISACA Chapitre de Québec
 
La gouvernance de la sécurité et la PRP, ISACA Québec, 17 février 2015
La gouvernance de la sécurité et la PRP, ISACA Québec, 17 février 2015La gouvernance de la sécurité et la PRP, ISACA Québec, 17 février 2015
La gouvernance de la sécurité et la PRP, ISACA Québec, 17 février 2015ISACA Chapitre de Québec
 
La GIA en 2015 - Du principe à la pratique - Bruno Guay, Claude Vigeant
La GIA en 2015 - Du principe à la pratique - Bruno Guay, Claude VigeantLa GIA en 2015 - Du principe à la pratique - Bruno Guay, Claude Vigeant
La GIA en 2015 - Du principe à la pratique - Bruno Guay, Claude VigeantISACA Chapitre de Québec
 
Brainwave - Smposium GIA - Québec - Jacob Verret, Mathieu Roseau
Brainwave - Smposium GIA - Québec - Jacob Verret, Mathieu RoseauBrainwave - Smposium GIA - Québec - Jacob Verret, Mathieu Roseau
Brainwave - Smposium GIA - Québec - Jacob Verret, Mathieu RoseauISACA Chapitre de Québec
 
Déploiement d'une infrastructure à  clé publique enjeux et conformité 1.2
Déploiement d'une infrastructure à  clé publique   enjeux et conformité 1.2Déploiement d'une infrastructure à  clé publique   enjeux et conformité 1.2
Déploiement d'une infrastructure à  clé publique enjeux et conformité 1.2ISACA Chapitre de Québec
 
Nouveau cadre de gouvernance de la sécurité de l'information
Nouveau cadre de gouvernance de la sécurité de l'informationNouveau cadre de gouvernance de la sécurité de l'information
Nouveau cadre de gouvernance de la sécurité de l'informationISACA Chapitre de Québec
 
La protection de la vie privée à l'heure du BIG DATA
La protection de la vie privée à l'heure du BIG DATALa protection de la vie privée à l'heure du BIG DATA
La protection de la vie privée à l'heure du BIG DATAISACA Chapitre de Québec
 
Nouveau cadre de gouvernance de la sécurité de l’information
Nouveau cadre de gouvernance de la sécurité de l’informationNouveau cadre de gouvernance de la sécurité de l’information
Nouveau cadre de gouvernance de la sécurité de l’informationISACA Chapitre de Québec
 
Les audits des contrôles de sociétés de services SOC I – SOC II – SOC III
Les audits des contrôles de sociétés de services SOC I – SOC II – SOC IIILes audits des contrôles de sociétés de services SOC I – SOC II – SOC III
Les audits des contrôles de sociétés de services SOC I – SOC II – SOC IIIISACA Chapitre de Québec
 
Isaca quebec présentation grc-31 mars 2015_site_2
Isaca quebec présentation grc-31 mars 2015_site_2Isaca quebec présentation grc-31 mars 2015_site_2
Isaca quebec présentation grc-31 mars 2015_site_2ISACA Chapitre de Québec
 
CA Symposium GIA Québec - CA Identity Suite - Mike Berthold
CA Symposium GIA Québec - CA Identity Suite - Mike BertholdCA Symposium GIA Québec - CA Identity Suite - Mike Berthold
CA Symposium GIA Québec - CA Identity Suite - Mike BertholdISACA Chapitre de Québec
 
Évolution et révolution en gestion des identités et des accès (GIA)
Évolution et révolution en gestion des identités et des accès (GIA)Évolution et révolution en gestion des identités et des accès (GIA)
Évolution et révolution en gestion des identités et des accès (GIA)ISACA Chapitre de Québec
 
Comment Microsoft gère la sécurité de ses offres de Cloud public
Comment Microsoft gère la sécurité de ses offres de Cloud publicComment Microsoft gère la sécurité de ses offres de Cloud public
Comment Microsoft gère la sécurité de ses offres de Cloud publicMicrosoft
 

En vedette (20)

Oracle Identity Management : Sécurisation de l’entreprise étendue – Guy Chiasson
Oracle Identity Management : Sécurisation de l’entreprise étendue – Guy ChiassonOracle Identity Management : Sécurisation de l’entreprise étendue – Guy Chiasson
Oracle Identity Management : Sécurisation de l’entreprise étendue – Guy Chiasson
 
Université laval présentation sur la gestion des risques 31-03-2015 vf2
Université laval   présentation sur la gestion des risques 31-03-2015 vf2Université laval   présentation sur la gestion des risques 31-03-2015 vf2
Université laval présentation sur la gestion des risques 31-03-2015 vf2
 
Le processus de gestion des habilitations
Le processus de gestion des habilitationsLe processus de gestion des habilitations
Le processus de gestion des habilitations
 
Sécurité et ITIL: une approche pragmatique
Sécurité et ITIL: une approche pragmatiqueSécurité et ITIL: une approche pragmatique
Sécurité et ITIL: une approche pragmatique
 
L'innovation systématique en GIA - Serge Lapointe
L'innovation systématique en GIA - Serge LapointeL'innovation systématique en GIA - Serge Lapointe
L'innovation systématique en GIA - Serge Lapointe
 
Jérôme Kerviel. Le rôle de la GIA corporative dans la plus grande fraude fina...
Jérôme Kerviel. Le rôle de la GIA corporative dans la plus grande fraude fina...Jérôme Kerviel. Le rôle de la GIA corporative dans la plus grande fraude fina...
Jérôme Kerviel. Le rôle de la GIA corporative dans la plus grande fraude fina...
 
L'offre d'ISACA en matière de GIA - David Henrard
L'offre d'ISACA en matière de GIA - David HenrardL'offre d'ISACA en matière de GIA - David Henrard
L'offre d'ISACA en matière de GIA - David Henrard
 
La gouvernance de la sécurité et la PRP, ISACA Québec, 17 février 2015
La gouvernance de la sécurité et la PRP, ISACA Québec, 17 février 2015La gouvernance de la sécurité et la PRP, ISACA Québec, 17 février 2015
La gouvernance de la sécurité et la PRP, ISACA Québec, 17 février 2015
 
La GIA en 2015 - Du principe à la pratique - Bruno Guay, Claude Vigeant
La GIA en 2015 - Du principe à la pratique - Bruno Guay, Claude VigeantLa GIA en 2015 - Du principe à la pratique - Bruno Guay, Claude Vigeant
La GIA en 2015 - Du principe à la pratique - Bruno Guay, Claude Vigeant
 
Brainwave - Smposium GIA - Québec - Jacob Verret, Mathieu Roseau
Brainwave - Smposium GIA - Québec - Jacob Verret, Mathieu RoseauBrainwave - Smposium GIA - Québec - Jacob Verret, Mathieu Roseau
Brainwave - Smposium GIA - Québec - Jacob Verret, Mathieu Roseau
 
Déploiement d'une infrastructure à  clé publique enjeux et conformité 1.2
Déploiement d'une infrastructure à  clé publique   enjeux et conformité 1.2Déploiement d'une infrastructure à  clé publique   enjeux et conformité 1.2
Déploiement d'une infrastructure à  clé publique enjeux et conformité 1.2
 
Nouveau cadre de gouvernance de la sécurité de l'information
Nouveau cadre de gouvernance de la sécurité de l'informationNouveau cadre de gouvernance de la sécurité de l'information
Nouveau cadre de gouvernance de la sécurité de l'information
 
La protection de la vie privée à l'heure du BIG DATA
La protection de la vie privée à l'heure du BIG DATALa protection de la vie privée à l'heure du BIG DATA
La protection de la vie privée à l'heure du BIG DATA
 
Nouveau cadre de gouvernance de la sécurité de l’information
Nouveau cadre de gouvernance de la sécurité de l’informationNouveau cadre de gouvernance de la sécurité de l’information
Nouveau cadre de gouvernance de la sécurité de l’information
 
Les audits des contrôles de sociétés de services SOC I – SOC II – SOC III
Les audits des contrôles de sociétés de services SOC I – SOC II – SOC IIILes audits des contrôles de sociétés de services SOC I – SOC II – SOC III
Les audits des contrôles de sociétés de services SOC I – SOC II – SOC III
 
Isaca quebec présentation grc-31 mars 2015_site_2
Isaca quebec présentation grc-31 mars 2015_site_2Isaca quebec présentation grc-31 mars 2015_site_2
Isaca quebec présentation grc-31 mars 2015_site_2
 
L'audit et la gestion des incidents
L'audit et la gestion des incidentsL'audit et la gestion des incidents
L'audit et la gestion des incidents
 
CA Symposium GIA Québec - CA Identity Suite - Mike Berthold
CA Symposium GIA Québec - CA Identity Suite - Mike BertholdCA Symposium GIA Québec - CA Identity Suite - Mike Berthold
CA Symposium GIA Québec - CA Identity Suite - Mike Berthold
 
Évolution et révolution en gestion des identités et des accès (GIA)
Évolution et révolution en gestion des identités et des accès (GIA)Évolution et révolution en gestion des identités et des accès (GIA)
Évolution et révolution en gestion des identités et des accès (GIA)
 
Comment Microsoft gère la sécurité de ses offres de Cloud public
Comment Microsoft gère la sécurité de ses offres de Cloud publicComment Microsoft gère la sécurité de ses offres de Cloud public
Comment Microsoft gère la sécurité de ses offres de Cloud public
 

Similaire à La gestion des identités et des accès... à la façon OKIOK - Claude Vigeant

ItSMF 2011 : Tablettes, VDI, Cloud, Opportunités et impacts pour la Gestion d...
ItSMF 2011 : Tablettes, VDI, Cloud, Opportunités et impacts pour la Gestion d...ItSMF 2011 : Tablettes, VDI, Cloud, Opportunités et impacts pour la Gestion d...
ItSMF 2011 : Tablettes, VDI, Cloud, Opportunités et impacts pour la Gestion d...Patrick Joubert
 
Atelier IDaaS - Les assises de la sécurité - 2013
Atelier IDaaS - Les assises de la sécurité - 2013Atelier IDaaS - Les assises de la sécurité - 2013
Atelier IDaaS - Les assises de la sécurité - 2013Marc Rousselet
 
Comment sélectionner les applications de gestion de projet appropriées?
Comment sélectionner les applications de gestion de projet appropriées?Comment sélectionner les applications de gestion de projet appropriées?
Comment sélectionner les applications de gestion de projet appropriées?PMI-Montréal
 
Identity as a Service - Etude IDaaS
Identity as a Service - Etude IDaaSIdentity as a Service - Etude IDaaS
Identity as a Service - Etude IDaaSMarc Rousselet
 
Accélérez vos métiers avec les infrastructures convergées !
Accélérez vos métiers avec les infrastructures convergées !Accélérez vos métiers avec les infrastructures convergées !
Accélérez vos métiers avec les infrastructures convergées !Microsoft Décideurs IT
 
Accélérez vos métiers avec les infrastructures convergées !
Accélérez vos métiers avec les infrastructures convergées !Accélérez vos métiers avec les infrastructures convergées !
Accélérez vos métiers avec les infrastructures convergées !Microsoft Technet France
 
Atelier comment choisir et déployer un erp - CCI Bordeaux et Prodware - 07 ...
Atelier   comment choisir et déployer un erp - CCI Bordeaux et Prodware - 07 ...Atelier   comment choisir et déployer un erp - CCI Bordeaux et Prodware - 07 ...
Atelier comment choisir et déployer un erp - CCI Bordeaux et Prodware - 07 ...polenumerique33
 
Cwin16 - Paris - fédération d'identités
Cwin16 - Paris - fédération d'identitésCwin16 - Paris - fédération d'identités
Cwin16 - Paris - fédération d'identitésCapgemini
 
Présentation de l'offre IAM de LINAGORA LinID
Présentation de l'offre IAM de LINAGORA LinIDPrésentation de l'offre IAM de LINAGORA LinID
Présentation de l'offre IAM de LINAGORA LinIDMichel-Marie Maudet
 
Industrialiser le développement avec silverlight 4 et wcf ria services
Industrialiser le développement avec silverlight 4 et wcf ria servicesIndustrialiser le développement avec silverlight 4 et wcf ria services
Industrialiser le développement avec silverlight 4 et wcf ria servicesArnaud Auroux
 
Élaboration d'une stratégie de modernisation par Chris Koppe
Élaboration d'une stratégie de modernisation par Chris KoppeÉlaboration d'une stratégie de modernisation par Chris Koppe
Élaboration d'une stratégie de modernisation par Chris KoppeFresche Solutions
 
Réinventez votre stratégie de données en 2021 avec la Data Virtualization
Réinventez votre stratégie de données en 2021 avec la Data VirtualizationRéinventez votre stratégie de données en 2021 avec la Data Virtualization
Réinventez votre stratégie de données en 2021 avec la Data VirtualizationDenodo
 
Présentation Mcia Solution (Fr)
Présentation Mcia Solution (Fr)Présentation Mcia Solution (Fr)
Présentation Mcia Solution (Fr)MCia
 
[Webinaire avec Océane Consulting] Utiliser Vaadin pour intégrer Nuxeo et Lif...
[Webinaire avec Océane Consulting] Utiliser Vaadin pour intégrer Nuxeo et Lif...[Webinaire avec Océane Consulting] Utiliser Vaadin pour intégrer Nuxeo et Lif...
[Webinaire avec Océane Consulting] Utiliser Vaadin pour intégrer Nuxeo et Lif...Nuxeo
 
Logiciel Efficient 360
Logiciel Efficient 360Logiciel Efficient 360
Logiciel Efficient 360Groupe SIRIUS
 
Améliorer l'expérience client dans la banque
Améliorer l'expérience client dans la banqueAméliorer l'expérience client dans la banque
Améliorer l'expérience client dans la banqueNuxeo
 
Déjeuner-débat EIM360 | Casser les silos pour améliorer l’efficacité métiers ...
Déjeuner-débat EIM360 | Casser les silos pour améliorer l’efficacité métiers ...Déjeuner-débat EIM360 | Casser les silos pour améliorer l’efficacité métiers ...
Déjeuner-débat EIM360 | Casser les silos pour améliorer l’efficacité métiers ...Sollan France
 

Similaire à La gestion des identités et des accès... à la façon OKIOK - Claude Vigeant (20)

ItSMF 2011 : Tablettes, VDI, Cloud, Opportunités et impacts pour la Gestion d...
ItSMF 2011 : Tablettes, VDI, Cloud, Opportunités et impacts pour la Gestion d...ItSMF 2011 : Tablettes, VDI, Cloud, Opportunités et impacts pour la Gestion d...
ItSMF 2011 : Tablettes, VDI, Cloud, Opportunités et impacts pour la Gestion d...
 
Atelier IDaaS - Les assises de la sécurité - 2013
Atelier IDaaS - Les assises de la sécurité - 2013Atelier IDaaS - Les assises de la sécurité - 2013
Atelier IDaaS - Les assises de la sécurité - 2013
 
Comment sélectionner les applications de gestion de projet appropriées?
Comment sélectionner les applications de gestion de projet appropriées?Comment sélectionner les applications de gestion de projet appropriées?
Comment sélectionner les applications de gestion de projet appropriées?
 
SSO une solution pertinente
SSO une solution pertinenteSSO une solution pertinente
SSO une solution pertinente
 
Identity as a Service - Etude IDaaS
Identity as a Service - Etude IDaaSIdentity as a Service - Etude IDaaS
Identity as a Service - Etude IDaaS
 
Accélérez vos métiers avec les infrastructures convergées !
Accélérez vos métiers avec les infrastructures convergées !Accélérez vos métiers avec les infrastructures convergées !
Accélérez vos métiers avec les infrastructures convergées !
 
Accélérez vos métiers avec les infrastructures convergées !
Accélérez vos métiers avec les infrastructures convergées !Accélérez vos métiers avec les infrastructures convergées !
Accélérez vos métiers avec les infrastructures convergées !
 
Atelier comment choisir et déployer un erp - CCI Bordeaux et Prodware - 07 ...
Atelier   comment choisir et déployer un erp - CCI Bordeaux et Prodware - 07 ...Atelier   comment choisir et déployer un erp - CCI Bordeaux et Prodware - 07 ...
Atelier comment choisir et déployer un erp - CCI Bordeaux et Prodware - 07 ...
 
Cwin16 - Paris - fédération d'identités
Cwin16 - Paris - fédération d'identitésCwin16 - Paris - fédération d'identités
Cwin16 - Paris - fédération d'identités
 
Présentation de l'offre IAM de LINAGORA LinID
Présentation de l'offre IAM de LINAGORA LinIDPrésentation de l'offre IAM de LINAGORA LinID
Présentation de l'offre IAM de LINAGORA LinID
 
Industrialiser le développement avec silverlight 4 et wcf ria services
Industrialiser le développement avec silverlight 4 et wcf ria servicesIndustrialiser le développement avec silverlight 4 et wcf ria services
Industrialiser le développement avec silverlight 4 et wcf ria services
 
DSI As A services.ppt
DSI As A services.pptDSI As A services.ppt
DSI As A services.ppt
 
Élaboration d'une stratégie de modernisation par Chris Koppe
Élaboration d'une stratégie de modernisation par Chris KoppeÉlaboration d'une stratégie de modernisation par Chris Koppe
Élaboration d'une stratégie de modernisation par Chris Koppe
 
Réinventez votre stratégie de données en 2021 avec la Data Virtualization
Réinventez votre stratégie de données en 2021 avec la Data VirtualizationRéinventez votre stratégie de données en 2021 avec la Data Virtualization
Réinventez votre stratégie de données en 2021 avec la Data Virtualization
 
Présentation Mcia Solution (Fr)
Présentation Mcia Solution (Fr)Présentation Mcia Solution (Fr)
Présentation Mcia Solution (Fr)
 
[Webinaire avec Océane Consulting] Utiliser Vaadin pour intégrer Nuxeo et Lif...
[Webinaire avec Océane Consulting] Utiliser Vaadin pour intégrer Nuxeo et Lif...[Webinaire avec Océane Consulting] Utiliser Vaadin pour intégrer Nuxeo et Lif...
[Webinaire avec Océane Consulting] Utiliser Vaadin pour intégrer Nuxeo et Lif...
 
2014-05-AMfine-offre-Communication
2014-05-AMfine-offre-Communication2014-05-AMfine-offre-Communication
2014-05-AMfine-offre-Communication
 
Logiciel Efficient 360
Logiciel Efficient 360Logiciel Efficient 360
Logiciel Efficient 360
 
Améliorer l'expérience client dans la banque
Améliorer l'expérience client dans la banqueAméliorer l'expérience client dans la banque
Améliorer l'expérience client dans la banque
 
Déjeuner-débat EIM360 | Casser les silos pour améliorer l’efficacité métiers ...
Déjeuner-débat EIM360 | Casser les silos pour améliorer l’efficacité métiers ...Déjeuner-débat EIM360 | Casser les silos pour améliorer l’efficacité métiers ...
Déjeuner-débat EIM360 | Casser les silos pour améliorer l’efficacité métiers ...
 

Plus de ISACA Chapitre de Québec

Identification sur Internet - Login social - Thierry Brisset
Identification sur Internet - Login social - Thierry BrissetIdentification sur Internet - Login social - Thierry Brisset
Identification sur Internet - Login social - Thierry BrissetISACA Chapitre de Québec
 
20150527-Bilan annuel ISACA Québec 2014-2015
20150527-Bilan annuel ISACA Québec 2014-201520150527-Bilan annuel ISACA Québec 2014-2015
20150527-Bilan annuel ISACA Québec 2014-2015ISACA Chapitre de Québec
 
Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseau
Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseauReprenez le contrôle de votre sécurité et chassez les pirates de votre réseau
Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseauISACA Chapitre de Québec
 
Vie privée et sécurité de l'information dans les nuages : Réalisme ou utopie?...
Vie privée et sécurité de l'information dans les nuages : Réalisme ou utopie?...Vie privée et sécurité de l'information dans les nuages : Réalisme ou utopie?...
Vie privée et sécurité de l'information dans les nuages : Réalisme ou utopie?...ISACA Chapitre de Québec
 
L’optimisation de l’audit des contrôles TI : se démarquer avec des ressources...
L’optimisation de l’audit des contrôles TI : se démarquer avec des ressources...L’optimisation de l’audit des contrôles TI : se démarquer avec des ressources...
L’optimisation de l’audit des contrôles TI : se démarquer avec des ressources...ISACA Chapitre de Québec
 
Compte-rendu du panel d'experts sur COBIT - ISACA Québec (2013-11-07)
Compte-rendu du panel d'experts sur COBIT - ISACA Québec (2013-11-07)Compte-rendu du panel d'experts sur COBIT - ISACA Québec (2013-11-07)
Compte-rendu du panel d'experts sur COBIT - ISACA Québec (2013-11-07)ISACA Chapitre de Québec
 
L'adoption de l'agilité: les impacts sur l'organisation
L'adoption de l'agilité: les impacts sur l'organisationL'adoption de l'agilité: les impacts sur l'organisation
L'adoption de l'agilité: les impacts sur l'organisationISACA Chapitre de Québec
 

Plus de ISACA Chapitre de Québec (12)

ISACA Chapitre de Québec 2016
ISACA Chapitre de Québec 2016ISACA Chapitre de Québec 2016
ISACA Chapitre de Québec 2016
 
Identification sur Internet - Login social - Thierry Brisset
Identification sur Internet - Login social - Thierry BrissetIdentification sur Internet - Login social - Thierry Brisset
Identification sur Internet - Login social - Thierry Brisset
 
20150527-Bilan annuel ISACA Québec 2014-2015
20150527-Bilan annuel ISACA Québec 2014-201520150527-Bilan annuel ISACA Québec 2014-2015
20150527-Bilan annuel ISACA Québec 2014-2015
 
Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseau
Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseauReprenez le contrôle de votre sécurité et chassez les pirates de votre réseau
Reprenez le contrôle de votre sécurité et chassez les pirates de votre réseau
 
Vie privée et sécurité de l'information dans les nuages : Réalisme ou utopie?...
Vie privée et sécurité de l'information dans les nuages : Réalisme ou utopie?...Vie privée et sécurité de l'information dans les nuages : Réalisme ou utopie?...
Vie privée et sécurité de l'information dans les nuages : Réalisme ou utopie?...
 
L’optimisation de l’audit des contrôles TI : se démarquer avec des ressources...
L’optimisation de l’audit des contrôles TI : se démarquer avec des ressources...L’optimisation de l’audit des contrôles TI : se démarquer avec des ressources...
L’optimisation de l’audit des contrôles TI : se démarquer avec des ressources...
 
Optimisation de l’audit des contrôles TI
Optimisation de l’audit des contrôles TIOptimisation de l’audit des contrôles TI
Optimisation de l’audit des contrôles TI
 
Compte-rendu du panel d'experts sur COBIT - ISACA Québec (2013-11-07)
Compte-rendu du panel d'experts sur COBIT - ISACA Québec (2013-11-07)Compte-rendu du panel d'experts sur COBIT - ISACA Québec (2013-11-07)
Compte-rendu du panel d'experts sur COBIT - ISACA Québec (2013-11-07)
 
GTAG: Documents de référence
GTAG: Documents de référenceGTAG: Documents de référence
GTAG: Documents de référence
 
Les guides d'audit TI de l'ISACA
Les guides d'audit TI de l'ISACALes guides d'audit TI de l'ISACA
Les guides d'audit TI de l'ISACA
 
L'adoption de l'agilité: les impacts sur l'organisation
L'adoption de l'agilité: les impacts sur l'organisationL'adoption de l'agilité: les impacts sur l'organisation
L'adoption de l'agilité: les impacts sur l'organisation
 
Un virage agile: réalité ou utopie?
Un virage agile: réalité ou utopie?Un virage agile: réalité ou utopie?
Un virage agile: réalité ou utopie?
 

La gestion des identités et des accès... à la façon OKIOK - Claude Vigeant

  • 1. La Gestion des Identités et des Accès … à la façon OKIOK Claude Vigeant Ing. Sept 2015
  • 2. Agenda 2 L’expérience OKIOK Réflexions sur la GIA L’approche OKIOK  Focus sur la gouvernance des identités et des accès L’offre OKIOK en GIA  Leadership et accompagnement en GIA  La conformité des identités en tant que service (ICAAS)  RAC/M Identity – Un outil performant pour prendre le contrôle des identités et des accès Démonstration Questions ?
  • 3. L’expérience OKIOK 30 ans d’innovations en solutions de GIA Confidentiel 3 Années 80  Conception de la carte RAC/M pour gérer les accès aux ordinateurs personnels tournant sous DOS, Windows et OS/2 Années 90  Conception de Branch Manager pour gérer les accès aux ordinateurs personnels de façon centralisées en appliquant le modèle RBAC  Conception de Focal Point, une solution de logon unique (ESSO) – devenue SAM ESSO Années 2000  Conception de Global Trust, une solution de gestion des accès Web incluant la fédération d’identité avec SAML2 et l’approvisionnement automatisé sous SPML2 – devenue Siemens DirX Access Années 2010  Conception de RAC/M Identity, une solution de gouvernance des identités et des accès  Lancement de l’offre « Identity Compliance As A Service » (ICAAS)
  • 4. L’expérience OKIOK 15 ans de leadership de projets de GIA Confidentiel 4  Conception de l’Infrastructure de Corporative de Sécurité (ICS) de la Banque Nationale qui met en œuvre les concepts de sécurité en profondeur par l’utilisation de jetons, modèle de gestion basé sur les rôles (RBAC), signature unique et gestion des accès Web (Web SSO) Ces principes et éléments technologiques ont donnés naissance à la solution Global Trust  Prestation de services d’accompagnement en GIA chez plusieurs clients québécois et internationaux Banque Laurentienne, Banque Nationale, Desjardins, Fonds FTQ, CUSM, AT&T, Banque KBC, Groupe Malakoff, CHU Ste-Justine, Hôpital Charles- Lemoyne, Atos  Prestation de GIA en mode service chez plusieurs clients québécois  Lancement de l’offre ICAAS sur le marché local et international  Leadership d’un projet majeur de GIA à portée Nord-Américaine pour un groupe multinational (en cours)
  • 5. La majorité des projets de GIA échouent… Confidentiel 5
  • 6. Souvent pour des raisons évidentes Confidentiel 6
  • 7. Si une méthode ne fonctionne pas… Confidentiel 7 pourquoi persister dans la même voie ?
  • 8. Pour réussir, il faut faire autrement Confidentiel 8
  • 9. Traditionnellement, les projets de GIA visent l’automatisation de l’approvisionnement… Confidentiel 9 Un but difficile à atteindre…
  • 10. L’approche OKIOK… Axer sur la gouvernance des accès – un but plus réaliste Confidentiel 10
  • 11. L’approche OKIOK… Créer des conditions gagnantes Confidentiel 11
  • 12. L’offre OKIOK en GIA Confidentiel 12 Leadership et accompagnement de projets de GIA Conformité des Identités et des Accès en mode service Solution RAC/M Identity
  • 13. Leadership et accompagnement en GIA L’approche OKIOK, agile et axée sur la réduction des risques 13  Définir des objectifs réalistes  Prioriser la gouvernance des identités et des accès  Créer des conditions gagnantes  Assurer d’avoir toute la latitude nécessaire  Établir la vision du projet  S’assurer du support du client  Appliquer notre modèle de gestion de projet proactive  Assurer l’expertise technique du plus haut calibre - manufacturier  Éliminer les éléments de risque hors de notre contrôle direct Résultats  Succès à 100%
  • 14. Leadership et accompagnement en GIA L’approche conventionnelle, souvent problématique 14  Objectifs irréalistes et/ou mal définis  Lourdeur liée au cadre de gestion rigide  Enjeux technologiques élevés  Absence de leviers pour régler les problèmes techniques  Expertise technique limitée Résultats  Délais  Démobilisation  Dépassement de coûts  Insatisfaction
  • 15. Leadership et accompagnement en GIA Prestation type en étapes et phases Étape 1 – Analyse préliminaire  État de la nation  Cible fonctionnelle et d’architecture  Plan d’action  Trois livrables  12 à 15 semaines Étape 2 - Réalisation  Phase 1 – fonctionnalité de base (Gouvernance)  Mise en œuvre du référentiel  Revue initiale des accès  Phase 2 – fonctionnalité avancée  Revue périodique des accès  Modélisation des accès en rôles  Libre service  Phase 3-  Automatisation des retraits et de l’approvisionnement si requis Confidentiel 15
  • 16. Leadership et accompagnement en GIA Exemple d’un projet réel 16 Description L’unité d’affaire nord-américaine d’une multinationale doit rehausser ses processus de GIA pour l’année de référence 2014 afin de passer avec succès les audits SSAE16 Environnements  5 centres de données au Canada et USA  Services et infrastructure distribués en Europe, Inde, Asie  >20,000 serveurs Wintel, UNIX/Linux, centrales Z/OS, AS400  300 serveurs dans la portée de la phase 1 Déroulement  Étape 1 – Janvier à avril 2013  Étape 2 – Juin à décembre 2013 (phase 1) – livraison en 72 jrs ouvrables Janvier 2014 à Décembre 2015 (phase 2) - 20,000 serveurs
  • 17. Leadership et accompagnement en GIA Exemple réel d’un plan de projet Confidentiel 17
  • 18. Conformité des Identités et des Accès en mode service (ICAAS) Confidentiel 18 Bien adapté aux PMEs  Aucun investissement en capitalisation  Capacité limitée d’exploiter une infrastructure  Capital humain limité (expertise, compétences, disponibilité)  Particulièrement utile pour la mise en conformité périodique requise par les cadres règlementaires Avantages - résultats ultra-rapides  Démarrage des campagnes de révision en moins d’une semaine  Travaux complétés typiquement entre 5 et 10 semaines pour 20,000 comptes d’accès, 30 applications  Coûts très avantageux
  • 19. Conformité des Identités et des Accès en mode service (ICAAS) 19 Modalités  Infrastructure hébergée chez OKIOK ou partenaire (RAC/M Identity)  Données d’accès du client transportées et stockées de façon sécuritaire dans un centre de traitement sécurisé (utilisation de S-Filer) Déroulement typique  Rencontre de planification avec le client  Déploiement des collecteurs (agents d’extraction)  Traitement initiaux, construction du référentiel  Production des premiers rapports  Validation avec le client  Représentant(s) du client valide les accès avec les lignes d’affaires  Les ajustements sont apportés aux systèmes cibles  Itérations jusqu’à ce que les critères de terminaison soient atteints  Clôture et post-mortem du projet  Durée typique de 5 à 10 semaines pour 20,000 comptes, 30 applications
  • 20. Un exemple réel Confidentiel 20 Entreprise dans le domaine du transport  7,000 utilisateurs  8,000 identités  20,000 comptes d’accès  20 applications Nature de la prestation  Mise en conformité par révision systématique des accès par les gestionnaires de service  3 itérations – Collecte de données, production des rapports, validation Temps total  5 semaines (25 jours ouvrables)
  • 21. LA SOLUTION RAC/M IDENTITY 21
  • 22. Facilite et optimise la gestion des identités et des accès aux actifs de votre entreprise 22 Entreprise Actifs TI et biens confiés Utilisateurs
  • 24. La problématique 24 Impossible de savoir (et de démontrer)  Qui a accès à quoi  Quels comptes d’accès et quels privilèges sont requis  Quels biens doivent être confiés (cartes d’accès, téléphones, etc.)  Combien de licences de logiciels sont réellement requises  Qui doit approuver les demandes d’accès  Quels biens ont été confiés à une personne  Que les accès accordés sont juste ce qui est requis  Que les accès d’un utilisateur qui quitte ont été retirés  Que les biens confiés ont été récupérés  Que les accès attribués en exception ont été bien retirés au moment opportun Les cadres normatifs tels que SOX, PCI, NERC, HIPAA, CobiT, SSAE16 et autres requièrent qu’une entreprise puisse démontrer qu’elle est en contrôle des accès aux actifs informationnels critiques.
  • 25. Plusieurs défis… 25 Multitude de systèmes hétéroclites Documentation défaillante ou inexistante Organisation complexe et en mouvance Modèles de gestion variés Lien d’emplois multiples et dynamiques Incohérence des données d’accès Écarts entre les processus RH et la réalité Équipe de gestion des accès surchargée Coupures budgétaires
  • 26. Gestion proactive des accès logiques et des biens confiés 26 Personnes Identités Chantale St-Germain Accès logiques Biens confiés
  • 27. Grands principes 27 Constituer un référentiel  Centraliser les informations d’accès pour offrir une vision complète et cohérente Décentraliser les processus de GIA  Habiliter les personnes qui connaissent les utilisateurs (principe d’AVI)  Implanter un portail libre service Automatiser les traitements  Automatiser l’extraction et le traitement des données  Initier les traitements sur les événements déclencheurs  Embauche / terminaison / mouvement  Requêtes en mode libre-service  Modifications au modèle d’accès Arrimer aux systèmes connexes  Systèmes d’information  Systèmes de gestion des accès  Ex: Générateur / service d’IUN du MSSS
  • 28. Fonctionnalités de RAC/M Identity 28 Analytique Déterminer qui a accès à quoi et établir un modèle d’accès Gouvernance Formaliser les processus de requêtes et de révision Opérations Implanter le libre service et les flux de travail Automatisation Ajouter, modifier et retirer automatiquement les accès
  • 29. Planification des étapes Confidentiel 29 Installer RAC/M Définir Connecteurs / collecteurs Définir séquences Lancer collecte initiale Apparier les personnes Identifier sources d’identités et systèmes cibles Apparier les comptes Réviser les accès Initier les campagnes de révision Modéliser les accès par rôles Automatiser les ajouts / retraits / modifications Épurer le référentiel Déployer les flux d’approbation & libre service Phase initiale de construction Phase de montée en charge Phase opération et évolution
  • 30. Construction du référentiel Confidentiel 30 Première étape du déploiement  Comprend la phase de construction initiale et la montée en charge  On doit viser à intégrer l’ensemble des sources d’identités dès le départ afin d’éviter l’accumulation de comptes « orphelins » c’est- à-dire qui ne peuvent être associés à des identités  On intègre ensuite un petit nombre de systèmes cibles choisi parmi les plus importants ou critiques. AD fait habituellement partie des premiers systèmes à intégrer  On procède ensuite à l’importation des identités et à la promotion des identités en personnes. Ceci n’est fait que la première fois qu’une nouvelle source d’identités est intégrée, si les identités ne peuvent être appariées aux personnes
  • 31. Le référentiel en 3 clics Personne -> Identités -> Applications -> Profils (groupes AD) 31
  • 32. Plusieurs types de rapports 32
  • 33. Campagnes de revue des accès Confidentiel 33
  • 34. Qui accède à quoi Principe de forage des rôles Personnes (identités) Actifs Les identités peuvent être filtrées par des critères arbitraires tels que: Métier Départements Équipes, Groupes Classe Centre de coût Site Souscription Inscription Certification Les actifs peuvent être filtrés par des critères arbitraires tels que: Type Platforme Application Client Site Fournisseur Etc. Le forage permet de déterminer quels accès sont détenus par un sous- ensemble de personnes
  • 35. Assignation de critères de filtrage aux identités et aux actifs si requis Définition d’une session de forage en fonction des critères de filtrage déterminés Génération d’un ou plusieurs rôles dans le contexte de la session de forage Inspection et raffinement des rôles Activation des nouveaux rôles et mise en production 1 2 3 4 5 Raffinement des critères de filtrage si requis et répétition au besoin Démarche de forage
  • 36. Analytique – Forage de Rôles Permissions dans le rôle Sur privilèges Sous privilèges
  • 37. Processus de gestion du référentiel Confidentiel 37 Administrateur GIA Suivi des opérations Sources d'identités Systèmes et applications cibles Administrateur GIA analyse et résolution des anomalies Connecteurs ICF ou extraction automatisée Production automatisée de rapports d’anomalies et courriels traitement automatisé Rapports sur demande Données de référence Import périodique Console de gestion @
  • 38. Processus de gestion des requêtes Arrivées / départs / déplacements Confidentiel 38 Gestionnaires Approuver / refuser / transférer requête Sources d'identités Systèmes et applications cibles Génération de courriels et/ou billets Traitements automatisés Flux d’approbation @ Pilotes de systèmes Gestion des accès Ajouts / retraits / modifications automatisés Utilisateur, Super utilisateur, Gestionnaire Requête d’accès Portail libre service Propriétaires de systèmes Approuver / refuser / transférer requête Référentiel RAC/M@ Notifications, rappels
  • 39. Processus de revue périodique des accès Confidentiel 39 RAC/M Administrateur GIA Officier de sécurité Campagne de révision ou demande de révision ad hoc Extraction et routage ou Validation sur fichier ou intéractive Gestionnaires et propriétaires Gestionnaires et propriétaires Gestionnaires et propriétaires
  • 40. Processus d'audit Confidentiel 40 RAC/M Administrateur GIA Demande d'extraction de listes d'accès Génération de listes ad hoc Listes d'accès et justification des accès Vérificateur Validation des comptes et des accès Active Directory Systèmes et applications Extractions manuelles
  • 41. RAC/M Identity 41 Facilite la mise en conformité à l’échelle de l’entreprise  Constitution d’un référentiel d’identités et d’accès et épuration initiale  Mise en place de processus récurrents de validation et de révision périodiques des accès  Optimisation des accès et des coûts en identifiant ceux qui sont requis et en éliminant les comptes et accès superflus Optimise la gestion et de l’attribution des accès  Modèle d’accès ascendant et descendant basé sur des rôles, des règles, des attributs constituant un contexte  Libre-service et flux de travail pour l’approbation des requêtes  Intégration aux processus d’affaires Réduit le risque  Identification et élimination des comptes et accès superflus  Identification des comptes surprivilégiés  Gestion serrée des exceptions
  • 42. Bénéfices 42 Coûts d’acquisition, de déploiement and d’opération minimes  Solution complète – inclus tous les éléments technologiques requis;  Utilisation de règles pour éliminer la gestion laborieuse des rôles;  Mécanismes d’intégration permettant d’éliminer les opérations manuelles;  Flux d’approbation flexibles permettant le partage de charge, la délégation et l’escalade; Évolue selon vos besoins d’affaires sans programmation  Ajout / retrait d’applications et systèmes cibles;  Évolution de la logique d’affaires et des blocs et séquences de traitement;  Génération de rapports ad hoc; Réduction des risques de sécurité  Retrait rapide des accès non-requis lors des départs et mouvements;  Suivi serré des droits attribués vs ce qui est requis;  Réconciliation périodique entre les sources d’identités et les systèmes cibles; Réduction dramatique des coûts, efforts et des délais pour la mise en conformité  Application proactive des règles d’affaires et du modèle d’accès;  Génération de listes et rapports sur les droits accordés ainsi que sur les écarts et exceptions;
  • 43. RAC/M Identity Spécifications fonctionnelles 43 Fonction analytiques  Construction et maintien d’un référentiel d’identités et d’accès  Traitement des sources d’identités, données complémentaires et systèmes cibles  Appariement automatique et manuel des personnes aux identités et aux comptes d’accès  Gestion des comptes génériques, homonymes et techniques  Résolution des droits d’accès effectifs sous UNIX/Linux, Windows et Z/OS incluant les groupes imbriqués, globaux/locaux  Résolution des droits d’accès aux objets et aux fichiers  Forage & modélisation des rôles Fonctions de gouvernance  Formalisation des approbations  Gestion et traitements des événements d’audit  Séparation des tâches  Gestion des campagnes de révision et certification des accès  Rapports d’inventaire et exceptions  Courriels de notification Fonctions opérationnelles  Portail libre service pour requêtes d’accès  Gestion des queues de requêtes  Notifications par courriel  Génération de billets  Création / modification / retrait des comptes et des accès
  • 44. RAC/M Identity Spécifications techniques 44 Mécanismes d’intégration  Toutes formes de fichiers plats CSV, XLS, XLSX, LDIF, autres  Services Web d’audit, de portail libre-service et d’approvisionnement (SPML)  Connecteurs ICF (logiciel libre) Technologie  Java J2EE, conteneur Tomcat intégré  Flux de travail JBOSS  Serveur de BD  SQL Express intégré  MS SQL recommandé Compatibilité  SAP  Logibec  OACIS  Active Directory  Windows server (2003, 2008, 2012)  HP UX 11.31  AIX  Linux (SUSE, RedHat)  Z/OS  RAC/F  Top Secret  ACF2  Tous serveurs LDAP  Toutes BD SQL  Tous systèmes de billetterie - ex: C2, Omnitracker