gestion des identités et des accès bonne pratique for enhanced security

gestion des identités et des accès (IAM) bonne pratique aider les organisations à gérer et à sécuriser l'identité numérique par le biais d'une framework de processus d'entreprise, de politiques et de technologies tout en garantissant une expérience utilisateur positive (UX).

Points à retenir :

• Implémentation résistante au phishing authentification multifacteur (authentification multifacteur).
• Établissez une gouvernance centralisée des identités avec un contrôle des accès basé sur les rôles.
• Déployez une authentification unique sécurisée (authentification unique) avec les contrôles appropriés de la fédération.
• Permettre un contrôle continu et une révision régulière des autorisations d'accès.
• Maintenir les principes de Zero Trust pour tous les accès aux ressources.

Gestion essentielle des identités et des accès bonne pratique

Le paysage des menaces d'aujourd'hui présente une demande d'authentification importante à mesure que les environnements hybrides et en nuage évoluent. Si les systèmes IAM permettent des contrôles de sécurité cruciaux, leur complexité exige une mise en œuvre minutieuse et une gestion continue.

D'après les renseignements conjoints de la NSA et de la CISA dans la gestion des identités et des accès guide de bonnes pratiquesles attaques basées sur l'identité, telles que le vol d'identifiants, phishing, et les attaques par force brute, représentent une menace importante pour les organisations. Le rapport d'enquête sur la brèche de données de Verizon a révélé que 80% des attaques d'applications web s'appuyaient sur des identifiants volés, que 40% des brèches impliquaient des identifiants volés et que près de 20% impliquaient phishing.

Mettre en place une authentification forte

authentification forte est le fondement d'une gestion sécurisée des identités. La NSA et la CISA soulignent que toutes les authentifications multifacteurs solutions n'offrent pas la même protection contre les méthodes d'attaque modernes.

• Déployez un système d'authentification multifacteur résistant au phishing: Les directives fédérales recommandent l'authentificateur FIDO et les identifiants PKI (comme les cartes à puce) comme options résistantes au phishing, en notant que le mot de passe à usage unique (OTP) et la notification push ne protègent généralement pas contre phishing.
• Établir des identifiants politiques : IT administrateur doit Choisir l'authentification multifacteur solutions en fonction des exigences d'assurance de son organisation tout en tenant compte de NIST fournisseur de services 800-63 lignes directrices pour l'évaluation des risques.
• Activez l'authentification adaptative : Les décisions d'accès doivent intégrer des signaux de risque tels que l'état de santé du terminal, la localisation et le modèle comportemental pour déterminer la force d'authentification requise.
• surveiller l'authentification Événements : l'implémentation nécessite une journalisation et une analyse complètes des tentatives d'authentification afin de détecter les modèles anormaux.

Déployer des solutions d'authentification unique

authentification unique crée une authentification centralisée framework qui réduit les risques de sécurité tout en améliorant l'expérience utilisateur en éliminant le besoin d'identifiants multiples dans différents systèmes et applications.

• Centraliser les contrôles d'authentification : Déployez une plateforme d'authentification qui gère l'autorisation d'accès par le biais d'une politique de sécurité standardisée afin de fournir un contrôle cohérent sur toutes les applications connectées tout en conservant une piste d'audit détaillée.
• Configurez les protocoles de fédération : Implémentez SAML et OIDC pour sécuriser les relations de confiance, gérer les certificats et surveiller le trafic de fédération afin de garantir un accès protégé aux ressources au-delà des frontières de l'organisation.
• surveiller les activités uniques d'authentification : Examinez le modèle d'authentification avec une analyse en temps réel des comportements de connexion, du modèle d'accès géographique et des méthodes d'authentification afin d'identifier les tentatives de compromission ou d'attaque potentielles des identifiants.
• Permettez les flux de travail des utilisateurs : Rationalisez les processus d'accès avec des flux de travail automatisés sur provisioning, des capacités de libre-service et des processus d'approbation intégrés qui maintiennent la sécurité tout en améliorant l'interface utilisateur.

identité dans le cloud architecture

L'identité dans l'architecture en nuage nécessite des considérations de sécurité spécifiques qui répondent à la demande unique d'authentification de la gestion de l'identité dans des environnements distribués tout en maintenant des contrôles de sécurité cohérents.

• Établir des services de fédération : Configurez l'authentification multicloud avec des relations de confiance entre les fournisseurs d'identité, y compris le contrôle détaillé de l'affirmation de la fédération et la validation régulière des configurations de confiance.
• Configurez la synchronisation hybride : Maintenez des rôles d'utilisateur cohérents dans tous les environnements grâce à une synchronisation automatique des annuaires, avec un contrôle en temps réel de l'état de la synchronisation et des alertes immédiates en cas de défaillance de la synchronisation.
• Sécurisez l'accès aux applications : Mettez en place des contrôles d'identité distincts pour chaque nuage de services, y compris une politique d'accès conditionnel, une gestion d'autorisation granulaire et un enregistrement détaillé des activités pour maintenir la sécurité dans toute la gamme d'applications.
• Permettre une surveillance détaillée : Capturez tous les événements liés à l'identité dans le nuage de services, avec une analyse et une corrélation centralisées sur log pour détecter les problèmes de sécurité potentiels dans l'environnement distribué.

Implémentation de l'accès basé sur le rôle

Le contrôle des accès basé sur les rôles construit un site framework évolutif pour gérer l'autorisation basée sur les fonctions et les responsabilités professionnelles, garantissant à l'utilisateur un accès approprié tout en maintenant les limites de sécurité.

• Créez des hiérarchies de rôles : Développez des structures de rôles claires qui s'alignent sur les fonctions de l'entreprise, les relations reporting et les exigences de sécurité, avec un modèle d'héritage documenté et des contrôles de séparation des tâches.
• Examinez les définitions des rôles : Effectuez un audit des rôles pour vérifier que les autorisations attribuées correspondent aux besoins actuels de l'entreprise, en identifiant et en supprimant les droits d'accès inutiles, tout en veillant à ce que les rôles évoluent en fonction des changements organisationnels.
• Documenter les affectations : surveiller les affectations de rôles à l'aide d'une documentation claire pour l'approbation des flux de travail, des justifications commerciales et des examens périodiques à l'appui du principe du moindre privilège.

Le contrôle des accès basé sur les attributs (ABAC) permet de prendre des décisions d'accès plus granulaires en tenant compte des attributs de l'utilisateur, des ressources et de l'environnement (par exemple, le rôle, l'emplacement, l'heure de la journée, la sécurité du terminal). ABAC permet une autorisation flexible et en temps réel, basée sur une combinaison de facteurs allant au-delà du seul rôle.

Gestion des accès à privilèges

L'accès privilégié nécessite des contrôles de sécurité, une surveillance et une gouvernance renforcés afin de protéger les capacités administratives susceptibles d'avoir un impact significatif sur la sécurité de l'organisation.

• Déployez un poste de travail administrateur : Exécutez des tâches administratives à partir d'un poste de travail dédié et renforcé, avec des contrôles de sécurité renforcés, un accès au réseau restreint et un enregistrement complet des activités.
• Activer l'accès à durée limitée : Accordez des droits à privilèges uniquement pour des fenêtres de temps spécifiques avec expiration automatique, en exigeant une nouvelle autorisation pour chaque site administratif session afin de limiter l'exposition.
• Enregistrez les actions à privilèges : Enregistrez toutes les activités à privilèges à l'aide de métadonnées consultables, d'un stockage sécurisé et d'alertes en temps réel pour les opérations à haut risque.
• Procédez à des examens réguliers : Évaluez les droits d'accès privilégiés tous les trimestres afin de valider les besoins de l'entreprise, d'examiner le modèle d'utilisation et de garantir une séparation appropriée des tâches.

DevOps modèle de sécurité

DevOps les environnements ont besoin de contrôles d'identité spécialisés qui maintiennent la sécurité tout en permettant des processus de développement et de déploiement automatisés, en accordant une attention particulière à la gestion des comptes de service et des secrets.

• Automatisez la rotation des identifiants : Effectuez la rotation de service compte identifiants par programmation selon des calendriers définis avec des mécanismes de distribution sécurisés, validez la réussite de la rotation et définissez des alertes immédiates en cas de défaillance de la rotation.
• Centraliser la gestion des secrets : Mettez en place un site solutions dédié qui assure un stockage sécurisé, un contrôle des accès, un enregistrement détaillé sur audit et une distribution automatisée des identifiants aux systèmes et services autorisés.
• Pipeline de déploiement sécurisé : Construisez et déployez avec des contrôles d'identité spécifiques pour pipeline- compte de service spécifique, autorisation temporairement élevée, et enregistrement complet de toutes les authentifications et décisions d'autorisation.
• surveiller les changements de configuration : Automatisez la validation, le suivi des modifications et la vérification de la conformité dans les environnements DevOps afin d'empêcher toute modification non autorisée des contrôles d'identité.

Gestion du cycle de vie des identités

identité gestion du cycle de vie des utilisateurs automatise la création, la modification et la suppression du droit d'accès tout au long de la relation d'un utilisateur avec une organisation, depuis le site onboarding jusqu'à son départ, en passant par les transitions de rôle.

• Déployez des flux de travail automatisés : Mettez en œuvre des processus automatisés pour déclencher les changements d'accès appropriés lorsque les employés quittent l'entreprise, sont transférés dans d'autres services ou changent de rôle, afin de garantir des mises à jour immédiates de tous les systèmes et applications connectés.
• Planifiez les révisions d'accès : Certifiez les droits des utilisateurs au moins une fois par trimestre pour les systèmes sensibles et une fois par an pour l'accès au site standard, le responsable devant valider le maintien de la nécessité commerciale de chaque autorisation.
• surveiller les changements de statut : Documentez les transitions d'identité automatisées entre les systèmes, en indiquant ce qui a changé, pourquoi et qui a donné son accord, afin de maintenir la sécurité et la conformité.
• Contrôlez les accès temporaires : Intégrez des dates d'expiration, des processus de révocation automatisés et une validation régulière des besoins de l'entreprise dans l'autorisation du prestataire et de l'employé temporaire.

Zero Trust identité contrôles

Zero Trust L'implémentation établit qu'aucun utilisateur ou système n'est fiable par défaut, ce qui nécessite une vérification continue de l'identité et du statut de sécurité lors de l'octroi de l'accès aux ressources.

• Permettre une validation constante : Veillez à ce que les demandes d'accès soient soumises à une authentification et à une autorisation en temps réel, quel que soit le lieu ou le réseau, afin de garantir que chaque demande de ressources est légitime et appropriée.
• Déployez la politique tbd : Incorporez plusieurs facteurs, dont l'identité de l'utilisateur, la santé du terminal, la localisation et le modèle comportemental, pour déterminer la force de l'authentification et l'accessibilité des ressources.
• Intégrer l'état du terminal : Surveillez en permanence l'état de sécurité du terminal, le niveau de correction et l'état de conformité, qui sont des facteurs déterminants pour l'octroi ou le maintien de l'accès à la ressource d'entreprise.
• Mettez en œuvre la microsegmentation : Exploitez le contrôle d'accès au réseau qui utilise la vérification de l'identité et le contexte de sécurité actuel pour isoler et protéger les ressources grâce à l'application dynamique de la politique.

Surveillance et audit de la sécurité

Le contrôle de la sécurité offre une visibilité permanente sur toutes les actions liées à l'identité afin que les organisations puissent détecter et répondre aux incidents de sécurité potentiels tout en respectant les exigences de conformité.

• surveiller l'accès Événements : enregistrer les tentatives d'authentification avec tbd informations, y compris l'horodatage, l'emplacement, le type de terminal et la méthode d'authentification, afin d'établir standard modèle et d'identifier les anomalies.
• surveiller les activités administratives : Utilisez une journalisation améliorée et des alertes en temps réel qui enregistrent l'exécution des commandes, les modifications du système et le modèle d'accès aux données afin d'empêcher l'utilisation abusive d'une autorisation élevée.
• Examiner les changements d'autorisation : contrôler toutes les modifications apportées aux autorisations d'accès (qui a effectué le changement, ce qui a été modifié et la justification commerciale) afin de maintenir la posture de sécurité et de répondre aux exigences de support audit .
• Analyser le modèle d'utilisateur : Utilisez l'analyse comportementale pour évaluer le modèle d'accès type, l'utilisation des ressources et le calendrier des activités de toutes les populations d'utilisateurs afin d'identifier les compromissions potentielles de comptes ou les menaces internes.

Contrôles de sécurité mobile

La sécurité de l'accès mobile nécessite des contrôles spécifiques qui concilient la protection des ressources d'entreprise avec la flexibilité du travail à distance, tout en maintenant une vérification solide de l'identité.

• Déployez l'authentification mobile multifacteur : Équipez les terminaux mobiles de couches de sécurité supplémentaires, y compris le certificat du terminal, les options biométriques et l'accès conditionnel politique basé sur l'état de santé et de conformité du terminal.
• Configurez la biométrie : Mettez en œuvre l'authentification biométrique avec détection de la présence, des taux de fausse acceptation appropriés et des méthodes d'authentification de secours tout en protégeant la confidentialité des données biométriques.
• Protégez les applications : Déployez l'application mobile Enterprise avec l'authentification tbd, le stockage sécurisé des données et l'application automatisée de la politique de sécurité pour empêcher tout accès non autorisé.
• terminal géré politique : Tirer parti de contrôle des accès qui évalue l'état de sécurité du terminal (chiffrement, niveau de correctif et présence d'une gestion des terminaux mobiles) avant d'accorder l'accès aux ressources.

Fondements de la conformité

La conformité réglementaire du système identité exige des contrôles structurés, une documentation et une surveillance continue afin de répondre aux normes industrielles et aux exigences légales.

• Maintenir la documentation : Documentez les architectures d'identité, la politique d'accès, les contrôles de sécurité et les procédures opérationnelles qui démontrent la conformité aux exigences réglementaires.
• Générez des rapports : Automatisez la conformité à l'adresse reporting, qui comprend les examens d'accès, les événements d'authentification, les exceptions politiques et les incidents de sécurité.
• Préservez la piste d'audit: enregistrez toutes les activités liées à l'identité à l'aide d'un stockage sécurisé, d'une détection des altérations et d'une politique de conservation qui répondent aux exigences réglementaires et permettent d'enquêter sur les incidents.
• Évaluer l'efficacité : Mettez en place des tests de contrôle continus pour valider les mesures de sécurité de l'identité, répondre aux exigences de conformité et documenter les preuves de l'efficacité des contrôles.

Infrastructure technique

Le site technique framework d'un système d'identité doit comporter une architecture de sécurité complète pour protéger les mécanismes d'authentification, le service d'annuaire et tous les composants d'appui tout en garantissant une grande disponibilité.

• Segmenter les réseaux : Déployez l'infrastructure d'identités dans des zones de réseau dédiées avec un contrôle strict des accès, surveillez les points d'intégration et protégez les canaux de communication entre les composants d'identité et les systèmes d'entreprise.
• Mettre en œuvre le chiffrement : Crypter toutes les données liées à l'identité en transit et au dépôt avec des processus de gestion des clés appropriés, des révisions régulières des algorithmes cryptographiques et un stockage sécurisé des identifiants d'authentification.
• surveiller l'infrastructure : surveiller la santé du système en contrôlant tous les composants du service d'identité avec des alertes automatisées pour les problèmes de disponibilité, la dégradation des performances et les événements de sécurité qui pourraient avoir un impact sur les services d'authentification.
• Maintenir la redondance : Sécurisez les services d'identité critiques en utilisant une redondance géographique, des capacités de basculement automatisées et en testant régulièrement les procédures de reprise après incident afin de garantir un fonctionnement continu.

éducation et sensibilisation des utilisateurs

Les programmes de sensibilisation à la sécurité doivent créer une culture de la sécurité de l'identité en aidant les utilisateurs à comprendre leur rôle dans la protection des ressources de l'organisation tout en fournissant des conseils pratiques pour un comportement sûr.

• Programme de formation : La formation à la sécurité couvre les pratiques de mot de passe fort, l'utilisation de l'authentification multifacteur, la résistance à phishing et le traitement sécurisé des identifiants, avec une formation spécifique aux rôles pour les administrateurs et les utilisateurs puissants.
• Réalisez des évaluations : Mettez en place des tests de sensibilisation à la sécurité, y compris des tentatives simulées de phishing, des contrôles de compréhension de la politique de sécurité et des exercices pratiques sur les pratiques d'identité sécurisée.
• Mettez à jour les orientations : Communiquez les modifications apportées à la politique de sécurité par le biais de plusieurs canaux en utilisant des exemples pratiques et des conseils spécifiques pour les différents rôles et niveaux d'accès des utilisateurs.
• Fournir des ressources : Fournir à l'utilisateur un accès à la documentation actuelle sur la sécurité, aux outils de gestion du libre-service mot de passe et aux procédures pour reporting les problèmes de sécurité.

Durcissement de l'infrastructure

Le renforcement de l'infrastructure pour les systèmes d'identité établit plusieurs couches de contrôles de sécurité qui protègent les services d'authentification de base, l'infrastructure d'annuaire et les composants de gestion des accès.

• Protégez l'annuaire : Renforcez les mesures de sécurité par une surveillance en temps réel, des restrictions d'accès privilégié, des évaluations de sécurité régulières et des mécanismes de sauvegarde protégés qui garantissent la disponibilité et la sécurité des données d'identité.
• Sécurisez l'authentification : Veillez à ce que les systèmes d'authentification multifacteur soient régulièrement corrigés, correctement configurés et protégés par des contrôles de sécurité supplémentaires, notamment la segmentation réseau et les communications cryptées.
• Contrôlez l'accès à API: Exigez une authentification forte, une limitation du débit, une validation des entrées et une journalisation complète de toutes les opérations sur API afin d'empêcher les accès non autorisés et de détecter les abus potentiels.
• surveiller la disponibilité : Améliorez la santé du service grâce à des tests automatisés de tous les composants d'identité, au suivi de la métrique des performances et à des alertes proactives en cas de problèmes potentiels de sécurité ou d'exploitation.

reprise après incident et continuité de l'activité

Créez un plan complet pour la résilience des services d'identité afin de garantir que les services d'authentification et d'autorisation restent disponibles en cas de perturbations tout en maintenant les contrôles de sécurité.

• Assurez la redondance : Mettez en place des capacités de basculement automatique entre différents sites géographiques, en testant régulièrement les procédures de basculement et en validant les contrôles de sécurité dans les environnements de sauvegarde afin de protéger les services d'identité critiques.
• Documenter les procédures : Élaborez des instructions détaillées, étape par étape, pour le rétablissement des services d'identité, y compris les exigences de configuration, les étapes de validation de la sécurité et les rôles et responsabilités spécifiques pendant les opérations de rétablissement.
• Testez les plans de reprise : Pratiquez régulièrement des exercices de reprise après incident pour valider les capacités de reprise technique et les procédures de réponse de l'équipe, avec des scénarios incluant des cyberattaques, des défaillances d'infrastructure et la perte de personnel clé.
• Maintenez l'accès d'urgence : Confirmez que les procédures de bris de glace comprennent des contrôles stricts, y compris une autorisation multipartite, un accès limité dans le temps et un enregistrement complet de toutes les utilisations de l'accès d'urgence.

FAQ sur la gestion des identités et des accès bonne pratique

Q : Quel est l'avantage de l'authentification unique ?
R : L'authentification unique centralise l'authentification tout en offrant une meilleure interface utilisateur et en facilitant l'application de la politique de sécurité par les services informatiques.

Q : Comment les organisations peuvent-elles protéger à privilèges compte ?
R : La mise en œuvre d'une gestion des accès avec authentification robuste et le contrôle régulier de l'utilisation des comptes administratifs contribuent à sécuriser les privilèges des comptes.

Q : Quels sont les avantages de l'adoption d'un modèle d'accès au réseau Zero Trust (ZTNA) ?
R : ZTNA améliore la visibilité du modèle d'accès, permet un meilleur contrôle de l'utilisation des ressources et réduit l'impact en cas de compromission des identifiants.

Q : Comment gérer l'identité dans le nuage et sur site ?
R : Mettez en place une gouvernance unifiée des identités dans tous les environnements en utilisant la fédération, une politique cohérente et un contrôle centralisé.

Tirez parti de la puissance de l'identité avec Okta

Protégez vos organisations, habilitez votre personnel et accélérez la croissance de votre entreprise grâce à une approche de la sécurité axée sur l'identité.

En savoir plus