La sécurité des entreprises s’est focalisée presque exclusivement sur les identités humaines. Nous avons mis en place l’authentification multifacteur (MFA) et l’authentification unique (SSO) afin de vérifier que « John Doe » était bien John Doe. Cependant, dans un monde où les employés, les prestataires et les partenaires accèdent aux ressources depuis un panel d’ordinateurs portables professionnels gérés et d’appareils personnels non gérés, l’appareil lui-même est devenu une identité non humaine nécessitant une gestion des accès.
Pour de nombreuses entreprises, il existe une faille de sécurité liée à l’identité des appareils : les utilisateurs sont vérifiés de manière rigoureuse, tandis que les appareils sont considérés par défaut comme des terminaux de confiance. Cette omission découle d’idées reçues fréquentes :
- L’illusion des « appareils gérés » : penser qu’un appareil est intrinsèquement sécurisé dès la connexion sous prétexte qu’il est inscrit dans une solution de gestion des terminaux mobiles (MDM).
- Le problème des « silos » : considérer l’accès aux appareils et la gestion de la posture des appareils comme distincts de la sécurité de l’identité.
Gartner identifie la sécurité centrée sur l’identité comme une tendance majeure en cybersécurité, en soulignant que l’adoption des principes du tissu d’identité permet d’éviter 85 % des nouvelles attaques. Cette stratégie inclut spécifiquement l’intégration des appareils au cœur du modèle de confiance en matière d’identité. Si vous ne considérez pas les identités des appareils comme des identités à part entière, votre architecture Zero Trust revient à installer une serrure de haute technologie sur une porte moustiquaire.
Définir l’identité des appareils au-delà du numéro de série
Dans un environnement Zero Trust, les identités des appareils ne sont pas des attributs statiques ; il s’agit d’identités non humaines qui doivent être vérifiées et qui fournissent un contexte essentiel pour les décisions d’accès. Le terminal par lequel un utilisateur accède aux ressources d’entreprise est un point critique pour l’application des mesures de sécurité. Chaque demande d’accès à des données sensibles doit être explicitement vérifiée en fonction de l’identité de l’utilisateur, de l’identité de l’appareil, de la posture de l’appareil et du niveau de criticité de la ressource.
Pour développer une posture de sécurité résiliente, il est essentiel de considérer l’identité des appareils comme un contrôle de sécurité fondamental qui agit à deux niveaux :
- En tant que point de contrôle : sécuriser l’accès à l’appareil lui-même grâce à la vérification de l’identité et à l’attestation de l’appareil avant qu’une personne puisse le déverrouiller ou se connecter à son ordinateur.
- En tant que source de signaux de posture de sécurité : pour éclairer les décisions d’accès à l’exécution grâce à un retour continu sur la posture et la conformité des appareils
L’identité d’un appareil englobe non seulement son empreinte matérielle unique et ses identifiants, mais aussi son état de sécurité actuel : niveaux de correctifs, état du chiffrement, statut de la protection du terminal et niveau de conformité. En intégrant l’identité du terminal dans les politiques de contrôle des accès contextuels, les entreprises peuvent prendre des décisions granulaires, fondées sur le risque, qui s’adaptent à l’état du terminal en temps réel, sur l’ensemble des points de connexion.
Regardez : sécuriser les identités de vos appareils avec Okta Device Access
Découvrez comment Okta Device Access rassemble les appareils et l’identité, en sécurisant tous vos points de connexion grâce à une authentification multifacteur sans mot de passe, à des sessions protégées par le matériel et à des réponses automatisées aux menaces, tout en offrant à vos équipes une expérience de connexion unifiée et fluide.
Le socle lié aux appareils d’un écosystème de sécurité des identités unifié
Pour sécuriser la diversité des appareils détenus, gérés et non gérés (BYOD) que l’on trouve couramment dans l’entreprise moderne, il faut un écosystème de sécurité des identités, une approche intégrée pour gérer et surveiller l’ensemble des identités, humaines et non humaines. Il ne remplace pas nécessairement les outils existants ; il les relie plutôt au sein d’une structure cohérente qui offre un niveau unifié de visibilité et de gouvernance, permettant aussi bien une détection des menaces plus rapide qu’une meilleure conformité aux exigences de sécurité.
L’identité des appareils ne peut pas exister isolément ; elle doit être un pilier fondamental d’un écosystème de sécurité des identités unifié, où le fournisseur d’identité joue le rôle de système nerveux central, en reliant le contexte utilisateur, les signaux des appareils et la sensibilité des ressources à chaque décision d’accès. Lorsque vous intégrez l’identité des appareils dans l’ensemble du dispositif, la sécurité passe d’une approche réactive à une approche proactive, avec plusieurs résultats majeurs :
Décisions d’accès fondées sur le contexte
Au lieu d’un simple choix binaire « autoriser/refuser » fondé sur un mot de passe, le système prend des décisions plus nuancées. Par exemple : « Autoriser John Doe à accéder à l’application Finance, mais uniquement parce qu’il utilise un appareil connu et géré, doté d’un chiffrement de disque actif et d’un score de risque faible. »
Configuration d’appareil « day 1 » hautement sécurisée
Traditionnellement, le processus d’onboarding d’une nouvelle recrue est manuel et contraignant, ce qui crée des lacunes en matière de sécurité. Un écosystème de sécurité des identités unifié permet un déploiement sans intervention, offrant aux entreprises la possibilité d’envoyer un appareil directement à un utilisateur. Après plusieurs étapes de vérification d’identité, le processus crée et associe automatiquement le compte de l’appareil de l’utilisateur à l’identité professionnelle, intégrant la sécurité avant même l’ouverture de la première application.
Évaluation continue plutôt que contrôles statiques
Avec un écosystème unifié de sécurité des identités, le système évalue en continu la posture et le niveau de risque. Si le niveau de risque d’un appareil évolue en cours de session, l’écosystème de sécurité des identités peut automatiquement mettre fin à la session sur toutes les applications et déconnecter l’utilisateur de son appareil.
Lorsque l’identité de l’appareil est intégrée, connue et fiable, les entreprises peuvent réduire les frictions lors de la connexion, permettant aux utilisateurs de rester productifs avec moins de demandes de MFA, tout en maintenant une posture défensive plus solide en cas d’évolution des conditions.
Prochaine étape : le parcours vers le Device Trust
La sécurisation des identités des appareils ne se fait pas du jour au lendemain, mais il s’agit d’une priorité pour l’entreprise et d’une exigence réglementaire émergente. À mesure que le périmètre réseau traditionnel disparaît, le terminal devient un point clé de détection et réponse aux menaces d’identité. En considérant les appareils comme des identités à part entière au sein d’un écosystème de sécurité des identités unifié, vous ne faites pas que combler une lacune, vous posez également les bases d’une entreprise résiliente et agile.
Prêt à passer à l’étape suivante ? Ces ressources peuvent vous aider à élaborer et à mettre en œuvre votre stratégie d'identité des appareils :
- Définir votre stratégie : téléchargez A Framework for Securing Device Identities at Scale pour accéder à une liste essentielle sur la gestion de toutes les identités humaines et non humaines. Cela vous aidera à faire évoluer l’identité des appareils, en passant d’un attribut isolé à un élément central de votre programme de sécurité.
- Sécuriser le poste de travail : lisez la présentation de solution Okta Device Access pour découvrir comment Okta peut proposer un accès sécurisé, de la connexion à l’appareil jusqu’à la connexion aux applications.
- Appliquer des politiques dynamiques : consultez la fiche produit Okta Adaptive MFA pour découvrir comment mettre en place un accès contextuel. Découvrez comment renforcer l’authentification uniquement en cas de modification du comportement des utilisateurs, de l’état de l’appareil ou de la localisation.
Toute mention de produits, fonctions, fonctionnalités ou certifications futurs dans cet article de blog revêt un caractère purement informatif. Ces éléments ne constituent pas des engagements et ne doivent pas être considérés comme un facteur déterminant dans les décisions d’achat.
