Déprovisionnement
Qu'est-ce que le déprovisionnement ?
Dans votre gestion des identités et des accès, le déprovisionnement est le processus visant à retirer les comptes et droits précédemment attribués. Le déprovisionnement est un processus important, car une bonne organisation permet d'éviter que les utilisateurs conservent inutilement des droits d'accès coûteux pendant trop longtemps. Dans cet article de référence, nous abordons donc spécifiquement les points d'attention liés au déprovisionnement. Nous le faisons à partir des différentes méthodes de provisionnement au sein d'une solution moderne de Gestion des Identités et des Accès telle que HelloID.
Pourquoi le déprovisionnement est-il important ?
L'organisation du provisionnement des comptes et des droits reçoit naturellement beaucoup d'attention lors de la mise en place de vos processus de gestion des identités et des accès. Pourtant, la plupart des personnes réalisent rapidement qu'une bonne stratégie de déprovisionnement est tout aussi importante (voir plus), pour les raisons suivantes :
Pour les comptes et droits attribués automatiquement, il n'est généralement pas difficile d'automatiser également le déprovisionnement en temps voulu. Toutefois, dans de nombreuses organisations, environ 20 % de tous les droits sont configurés manuellement. Le déprovisionnement automatique ne fonctionne alors pas.
La législation et la réglementation ne font toutefois aucune distinction entre la gestion automatisée et manuelle des droits. Le principe du moindre privilège s'applique à tous les droits. Vous devez donc garantir que les comptes et droits attribués manuellement soient également déprovisionnés en temps voulu.
La non-conformité peut en outre avoir un impact considérable, notamment lorsqu'elle entraîne effectivement des violations de données. Elle peut conduire à des sanctions, des demandes d'indemnisation et une atteinte à la réputation.
Par ailleurs, le maintien inutile de comptes et de droits actifs peut entraîner des coûts de licence très élevés. Les responsables oublient de les surveiller et les utilisateurs restituent rarement leurs droits de manière proactive. Les personnes ont tendance à accumuler les droits.
Parallèlement, vous améliorez l'expérience utilisateur en veillant à ce que les droits soient déprovisionnés en temps voulu. Vous démontrez ainsi votre professionnalisme et les collaborateurs comprennent que vous traitez également leurs propres données avec soin.
Comment fonctionnent le provisionnement et le déprovisionnement automatiques en pratique
Avec HelloID, nous automatisons l'attribution des comptes et des droits sur la base du contrôle d'accès basé sur les rôles, ou Role Based Access Control, RBAC, et du contrôle d'accès basé sur les attributs, ou Attribute Based Access Control, ABAC. Avec ces concepts, vous attribuez des comptes et des droits sur la base de données utilisateur enregistrées de manière univoque. La fonction ou le rôle d'une personne au sein de l'organisation, mais aussi d'autres attributs tels que le service, le site ou les compétences, peuvent être utilisés. Ces données sont enregistrées de manière univoque dans un système source tel que l'application RH. HelloID peut alors déterminer quels comptes et droits sont nécessaires pour chaque personne. La plateforme veille ensuite à ce que ces paramètres soient automatiquement appliqués dans les systèmes cibles concernés. Dans HelloID, vous pouvez par exemple utiliser des règles métier afin que les infirmiers d'un hôpital n'obtiennent automatiquement accès qu'aux données des patients du service dans lequel ils travaillent. Nous évitons ainsi les accès non autorisés à d'autres services.
L'avantage de cette attribution automatique est que les modifications sont également appliquées automatiquement. Si une personne change de fonction ou si un collaborateur commence à travailler dans un autre service, ces modifications sont enregistrées dans le système RH. HelloID détecte ces modifications et adapte automatiquement les comptes et droits d'accès concernés. Cela inclut également le fait que, lorsqu'une personne n'a plus besoin de certains droits ou comptes, HelloID assure automatiquement le déprovisionnement. Les droits sont retirés, les comptes sont bloqués et, selon les règles métier configurées, ils sont finalement supprimés. Lorsque le contrat de travail prend fin, tous les comptes sont ainsi automatiquement déprovisionnés. Il ne s'agit donc pas seulement de provisionnement automatique, mais également de déprovisionnement automatisé.
Grâce à cette automatisation, vous savez que chacun respecte à tout moment le principe du moindre privilège, ou Principle of Least Privilege, PoLP. Ce principe signifie simplement que chacun ne doit disposer à tout moment que des comptes et droits strictement nécessaires à ses tâches et responsabilités. Grâce à notre attribution automatique, une personne reçoit toujours uniquement les droits indispensables. Grâce au déprovisionnement automatique, nous veillons également à ce que les droits superflus soient immédiatement retirés. Vous disposez toujours des droits requis, mais jamais de davantage que nécessaire.
Déprovisionner des droits individuels
Notre expérience montre qu'il est généralement possible d'automatiser environ 80 % des comptes et droits d'accès sur la base du RBAC ou de l'ABAC. Toutefois, des droits d'accès individuels restent toujours nécessaires. Si une personne exerce également les fonctions de secouriste d'entreprise en plus de son poste habituel, elle peut parfois avoir besoin de licences ou de droits supplémentaires. Une telle tâche additionnelle n'est généralement pas enregistrée dans le système RH. Il en va de même pour une personne qui participe à un projet spécifique. Cette information ne figure pas non plus dans ses données RH, alors qu'elle doit par exemple obtenir l'accès au dossier de projet correspondant ou avoir besoin d'une licence spécifique.
Ces comptes et droits ne peuvent donc être attribués qu'individuellement, et les demandes correspondantes sont souvent soumises et traitées manuellement via le service d'assistance. Avec le module HelloID Service Automation, nous pouvons toutefois mieux structurer et automatiser ces demandes. Vous pouvez par exemple traiter un maximum de demandes via un portail en libre-service, en utilisant des workflows configurables pour demander automatiquement l'autorisation du ou des responsables appropriés. Toutes les demandes traitées sont également enregistrées automatiquement à des fins d'audit.
Même si nous structurons ainsi l'attribution individuelle des comptes et droits, leur déprovisionnement reste un point d'attention. Avec l'attribution automatique des droits, nous savons que ces mêmes droits seront également déprovisionnés automatiquement lorsqu'ils ne sont plus nécessaires. Pour les droits d'accès individuels, il n'est souvent pas clair combien de temps les personnes en ont besoin. Il en résulte que les personnes conservent parfois leurs droits beaucoup trop longtemps. Comment résoudre ce problème ? Nous l'expliquons ci-dessous.
Déprovisionnement et conformité
Lors de l'attribution individuelle, le risque est donc que celle-ci soit accordée pour une durée indéterminée. Un responsable a par exemple demandé l'accès à un dossier de projet pour un collaborateur ou a demandé une licence distincte. Lors de la soumission de la demande, une vérification explicite est effectuée afin de confirmer que la personne a réellement besoin de ces ressources et que cela respecte les règles de gestion. Toutefois, par la suite, le droit concerné disparaît souvent du champ de vision. Le risque est qu'à partir de ce moment, la personne dispose des droits concernés, que personne ne les surveille plus et que l'utilisateur les conserve jusqu'à son départ de l'organisation. Cette situation est indésirable pour deux raisons :
La force de l'attribution et du déprovisionnement automatiques des droits réside dans le fait que vous respectez à tout moment le principe du moindre privilège. Les droits attribués sont également retirés automatiquement au bon moment. Cela n'est pas garanti avec l'attribution individuelle de droits. Vous n'êtes donc pas conforme à ce principe. Pour le RGPD, ainsi que pour les directives de sécurité de l'information telles que l'ISO 27001, le BIO ou la NEN 7510, il s'agit d'une exigence importante.
Vous dépensez également inutilement des montants importants pour des licences coûteuses. Au lieu d'attribuer une licence temporairement pour quelques mois, une personne la conserve pour le reste de son contrat de travail, parfois pendant des années. Si votre organisation n'a pas de visibilité sur ces licences attribuées individuellement, cela peut devenir un poste de coût considérable sans que vous vous en aperceviez.
Il est donc important d'intégrer également, pour ces comptes et droits individuels, des processus permettant de déprovisionner les droits en temps voulu. Avec HelloID, nous proposons deux mécanismes de déprovisionnement automatique :
Tout d'abord, lors de l'attribution de licences et de droits individuels, vous pouvez immédiatement définir une durée de validité limitée, par exemple de six mois. Les droits sont ensuite retirés automatiquement. Pour les comptes et droits dont la durée nécessaire est connue dès le départ, cette approche est la plus simple.
Pour les droits attribués pour une durée indéterminée, vous pouvez planifier des campagnes de recertification avec le module Governance. À l'aide de filtres spécifiques, par exemple les licences coûteuses ou les droits d'accès à haut risque, vous pouvez constituer des campagnes dans lesquelles les responsables ayant précédemment approuvé ces droits doivent les réévaluer. Le droit n'est prolongé que si le responsable approuve à nouveau le droit concerné et qu'aucun autre blocage n'est présent. Une application peut par exemple ne plus être conforme à la politique informatique. Dans le cas contraire, le compte ou le droit d'accès est déprovisionné.
Avec ces deux mesures, vous pouvez également garantir le déprovisionnement en temps voulu des droits attribués individuellement. Nous restons ainsi conformes à la législation et à la réglementation pertinentes, tout en réduisant nos coûts de licence.
Résumé : différence entre provisionnement et déprovisionnement
Vous constatez donc que, pour une gestion professionnelle des identités et des accès, il ne suffit pas d'organiser correctement le provisionnement des comptes et des droits. Le déprovisionnement correct et en temps voulu des droits et comptes doit également être garanti. Nous cherchons à automatiser cela autant que possible. Nous offrons ainsi la meilleure garantie de conformité à la législation et à la réglementation. Nous résumons ci-dessous le rôle du provisionnement et du déprovisionnement à travers les différentes phases du cycle de vie des identités.
| Provisionnement | Déprovisionnement |
Processus d'intégration | Les comptes et droits sont attribués automatiquement sur la base des attributs utilisateur, par exemple la fonction d'une personne | - |
Processus de mobilité interne | En cas de modifications, nouvelle fonction, nouveau service, etc., de nouveaux comptes et/ou droits peuvent être nécessaires. Ils sont provisionnés automatiquement | En cas de modifications, des comptes et/ou droits précédemment attribués peuvent ne plus être nécessaires. Ils sont déprovisionnés automatiquement |
Demandes individuelles | Lorsque cela est pertinent et sur demande, des comptes et/ou droits individuels peuvent être provisionnés. Cela peut se faire via le service d'assistance ou en libre-service. | Lorsqu'un compte et/ou droit précédemment attribué individuellement n'est plus nécessaire, il doit être déprovisionné. |
Processus de départ | - | Lorsqu'un utilisateur quitte l'organisation, tous les comptes et droits sont d'abord bloqués. Ils sont ensuite déprovisionnés au moment approprié, conformément aux règles de gestion. |
Conseils et astuces de déprovisionnement
Nous avons déjà souligné l'importance du déprovisionnement automatique. Il permet d'éviter les non-conformités, les violations de données et les demandes d'indemnisation. Pour le déprovisionnement des droits attribués occasionnellement, nous avons également cité des outils tels que la fonctionnalité de recertification. Il existe d'autres moyens de garantir que les droits inutilisés soient supprimés aussi rapidement que possible. En voici quelques-uns :
Sensibilisation. Il est particulièrement important de sensibiliser les responsables et les collaborateurs aux coûts et aux risques liés aux licences et droits attribués occasionnellement. Personne ne laisse intentionnellement un robinet ouvert. Vous devez développer la même sensibilisation concernant vos ressources informatiques.
Continuez à optimiser. Avec le module Governance, vous disposez d'outils tels que le role mining pour améliorer votre modèle de rôles. Vous pouvez également éviter l'attribution de droits conflictuels. Cela vous aide à attribuer le moins de droits possible et à automatiser ce processus autant que possible.
Contrôlez la cohérence entre les comptes et droits enregistrés dans votre plateforme IAM et la situation réelle dans les systèmes cibles. Vous évitez ainsi que des comptes et droits n'existent plus d'un point de vue administratif, tout en restant actifs dans les systèmes cibles. Vous pouvez utiliser pour cela la fonctionnalité de rapprochement de HelloID.
Plus d'informations sur les possibilités de déprovisionnement de HelloID ?
Avec la fonctionnalité de provisionnement automatisé des utilisateurs, vous garantissez dans HelloID que le déprovisionnement est effectué autant que possible automatiquement. Notre module Service Automation peut également assurer le déprovisionnement automatique après une période définie pour les droits attribués individuellement. Enfin, les fonctionnalités de gouvernance permettent de contrôler que les droits ne sont pas attribués inutilement ou trop longtemps. Vous trouverez plus d'informations sur les possibilités dans notre aperçu des modules HelloID.