Pourquoi les entreprises doivent-elles davantage se préoccuper de la gestion des identités des machines ?

La gestion des identités des machines (IAM) est une des composantes clé de la politique de cybersécurité. Les identités des machines (clés cryptographiques ou certificats numériques) permettent d'identifier et de connecter en toute sécurité tout ce qui se trouve dans le réseau d'une entreprise (workloads, services, appareils, etc).

Les entreprises s'appuient sur des milliers d'appareils et d'applications pour mener à bien leurs activités quotidiennes. Ils nécessitent, au même titre que les employés d'une entreprise, d'une identité propre que les équipes de sécurité doivent gérer et sécuriser.

La principale difficulté liée à l'IAM est la durée de vie des certificats ; la tendance étant de la réduire. Les équipes informatiques n'ont, de ce fait, ni le temps ni les ressources nécessaires pour gérer les cycles de vie des centaines de milliers de certificats au sein de leur entreprise.

Cependant, si les identités des machines ne sont pas traitées comme une infrastructure critique pour la sécurité des entreprises, elles peuvent entraîner des interruptions de services et causer des dommages irrémédiables, non seulement à l'activité de l'entreprise, mais également à sa réputation.

Toutefois, il semble que de nombreuses entreprises commencent à prendre conscience de l'importance de l'IAM. Pour quelles raisons y accordent-elles aujourd'hui plus d'attention et quelles sont les tendances à suivre pour préparer le futur ?

Pourquoi de plus en plus d'entreprises se concentrent sur l'identité des machines ?

La plupart des entreprises ont consacré beaucoup de temps et d'efforts à la rationalisation de leurs identités humaines. Elles les ont identifiées et savent comment elles interagissent entre elles et s'authentifient en toute sécurité, il est désormais le moment d'engager la même démarche avec les machines.

Plusieurs approches, telles que le zero trust et le passage au cloud, ont accéléré le besoin des entreprises en matière de gestion des identités machine. Les entreprises appréhendent mieux la sécurité des appareils qu'elles utilisent, les communications entre ces appareils et les systèmes frontaux et dorsaux associés. Elles réalisent que l'identité des machines peut être efficace et agile pour la gestion du cycle de vie et des incidents.

Quels changements ont bouleversé la façon dont les entreprises gèrent les identités des machines ?

L'identité des machines est passée au premier plan car les entreprises ont constitué différentes équipes pour gérer l'identité. Ainsi, la PKI et les certificats X.509, traditionnellement du ressort d'un groupe de sécurité particulier, sont dorénavant confiée à l'équipe de gestion des identités. Cette consolidation renforce l'idée que l'identité n'est pas seulement une question de sécurité et amène les entreprises à reconsidérer leur gestion globale de l'identité au sein de l'entreprise.

Quels sont les défis que les entreprises tentent de relever pour faire évoluer leur gestion des identités ?

Les entreprises ont un point commun ; elles ne savent pas très bien où se trouvent les informations d'identification et les identités, et ne peuvent de fait pas évaluer l'ampleur du problème. Elles s'efforcent de répondre aux questions suivantes : Combien y a-t-il de certificats dans l'entreprise ? Combien y a-t-il de clés SSH ? Où se trouvent les certificats ? À quoi servent-ils ? D'où sont-ils émis ? Sont-ils conformes à la norme actuelle ? Existe-t 'il un protocole de gestion du cycle de vie?

Les réponses à ces questions se compliquent, à mesure que l'entreprise évolue et que les certificats se multiplient. Dans un récent rapport sur l'état de la gestion de l'identité des machines, 70 % des entreprises déclaraient que l'augmentation du nombre de clés et de certificats avait alourdi la charge opérationnelle. Les entreprises se tournent donc vers l'automatisation pour alléger cette charge et continuer à développer leur activité.

Comment résoudre les problèmes d'IAM ?

Une solution de gestion du cycle de vie des certificats (CLM), combinée à une infrastructure à clé publique (PKI), peut aider les entreprises à gérer les certificats numériques et la cryptographie à clé publique, en toute confiance.

Dans un premier temps, elle dresse un inventaire complet de l'entreprise et pointe l'origine du problème d'IAM. Puis elle gère l'attribution de la propriété, la création de groupes interfonctionnels et l'identification des propriétaires des justificatifs. Un même justificatif peut avoir plusieurs propriétaires, par exemple, un identifiant peut représenter un serveur web, mais sur ce serveur web se trouve également une application. La propriété peut donc être répartie entre plusieurs équipes différentes.

La dernière étape, mais non la moindre, consiste à automatiser. Une fois que l'automatisation est en place et qu'il n'est plus nécessaire de renouveler et de déployer manuellement les informations d'identification, l'entreprise est mieux armée pour évoluer en toute sécurité.

Quelles sont les tendances à adopter pour se préparer à l'IAM du futur ?

Plusieurs évolutions se préparent, notamment l'informatique quantique et les futurs standards cryptographiques. L'informatique quantique pourrait mettre fin aux algorithmes cryptographiques existants. Elle obligera bientôt les entreprises à modifier la façon dont les identités des machines sont générées à l'aide de cryptographie.

Le risque potentiel est la modification des normes et des protocoles cryptographiques à laquelle les entreprises doivent se préparer dès maintenant. Si elles n'anticipent pas, elles seront en difficulté et exposées à des risques de sécurité importants.

Pierre Codis, Directeur Commercial France & Europe du Sud - KeyFactor.