Une data scientist senior d'un fournisseur d'analytique cloud avait accumulé des accès pendant trois ans au fil d'une série d'octrois raisonnables pris individuellement. À son arrivée dans l'entreprise, elle avait reçu un accès d'analyste standard : un accès en lecture à la plateforme d'analytique et au principal segment de données clients sur lequel elle travaillait. Six mois plus tard, un projet a nécessité l'accès à un deuxième segment de données clients : accès approuvé et accordé, projet terminé, accès non supprimé. Un an plus tard, elle a rejoint une initiative de qualité des données et a eu besoin d'un accès en écriture à la base de données de reporting : accès approuvé pour l'initiative, initiative terminée, accès non supprimé. Il y a dix-huit mois, elle est devenue responsable par intérim d'une migration de la plateforme d'analytique et a eu besoin de droits d'administrateur pour configurer de nouvelles connexions de données : projet terminé, accès non revu. Trois ans après son arrivée, son profil d'accès comprenait un accès en lecture aux douze segments de données clients, un accès en écriture à deux environnements de bases de données et des droits d'administrateur sur la plateforme d'analytique. Chaque octroi individuel avait été approprié en son temps. Le profil d'accès accumulé dépassait de loin ce qu'exigeait son rôle actuel, n'avait jamais été formellement revu en tant que profil complet et représentait un risque important de menace interne et de compromission d'identifiants. La revue des accès menée six mois plus tôt avait examiné chaque octroi individuellement au regard du projet qui l'avait autorisé : aucun n'avait été révoqué, car chacun pouvait être rattaché à un projet approuvé.
Que recouvre réellement le problème de l'accumulation de privilèges ?
L'accumulation de privilèges est l'accroissement progressif des droits d'accès au fil du temps, lorsque des personnes reçoivent de nouveaux accès pour des finalités précises sans perdre les accès précédents lorsque ces finalités prennent fin. Chaque octroi individuel suit le processus de provisionnement correct : demande, approbation, accès. Le déprovisionnement qui devrait accompagner la fin de la finalité (fin d'un projet, changement de rôle, transfert de fonction) n'a pas lieu, car aucun processus ne le déclenche et personne n'a de visibilité sur le profil d'accès accumulé dans son ensemble.
L'asymétrie du cycle de vie est la cause structurelle profonde. Le provisionnement des accès est piloté par les événements : il est déclenché par une demande, traité par un workflow d'approbation et documenté dans un système de gestion des accès. Le déprovisionnement des accès est piloté par l'expiration de la finalité : il devrait être déclenché lorsque la finalité qui justifiait l'octroi n'est plus d'actualité. L'expiration de la finalité n'est pas un événement qui génère une notification dans la plupart des systèmes de gestion des accès. L'achèvement d'un projet, l'évolution d'un rôle et le transfert d'une fonction sont des événements organisationnels qui ne sont pas forcément reliés automatiquement à la revue et à la suppression des accès.
C'est le profil de risque cumulé qui fait de l'accumulation de privilèges une préoccupation de sécurité importante, indépendamment de tout octroi individuel. Un analyste disposant d'un accès en lecture à un segment de données représente un risque de menace interne limité. Un analyste disposant d'un accès en lecture aux douze segments de données, d'un accès en écriture à deux environnements de bases de données et de droits d'administrateur sur la plateforme d'analytique présente un profil de risque équivalent à celui d'un initié disposant de privilèges élevés, non pas parce que son rôle le justifie, mais parce que personne n'a revu le profil accumulé au regard de ses besoins actuels réels.
- Accès non supprimés à la fin des projets : des accès propres à un projet restent actifs après la fin du projet
- Évolution des rôles sans retrait des accès : changements de rôle qui élargissent le périmètre d'accès sans retirer les accès liés au rôle précédent
- Profil cumulé non revu : les revues des accès examinent les octrois individuels plutôt que les profils accumulés
- Aucun déclencheur de déprovisionnement à l'expiration de la finalité : la suppression d'un accès exige une demande active au lieu d'être déclenchée par la fin de la finalité
- Accumulation de privilèges invisible dans les indicateurs de provisionnement : le nombre d'accès augmente sans signalement des profils accumulés
Pourquoi c’est important
L'accumulation de privilèges est importante pour la TPRM, car elle crée un risque de menace interne invisible pour les évaluations centrées sur les octrois d'accès individuels. Un fournisseur qui confirme que tous les accès sont formellement approuvés et revus peut avoir une population d'utilisateurs dont les profils d'accès cumulés dépassent de loin les exigences de leur rôle actuel, parce que chaque octroi individuel était correct et que chaque revue a examiné les octrois individuellement plutôt que les profils accumulés.
L'amplification en cas de compromission d'identifiants est la conséquence de sécurité la plus directe. Lorsque les identifiants d'un utilisateur dont le profil d'accès a accumulé des privilèges sont compromis (par hameçonnage, bourrage d'identifiants ou ingénierie sociale), l'attaquant hérite non pas des accès appropriés au rôle actuel de l'utilisateur, mais de l'intégralité du profil d'accès accumulé au fil de trois ans d'octrois jamais retirés. Une compromission d'identifiants qui devrait donner un accès limité d'analyste donne au contraire des droits d'administrateur sur la plateforme d'analytique et un accès en lecture à tous les segments de données clients.
Là où la plupart des équipes se trompent
La défaillance la plus constante consiste à considérer la maturité du processus de provisionnement comme équivalente à la maturité de la gouvernance du cycle de vie. Un processus de provisionnement mature garantit que les accès sont accordés correctement. Un processus mature de gouvernance du cycle de vie garantit que les accès sont retirés lorsque leur justification expire. Les deux processus sont complémentaires mais distincts, et la robustesse du provisionnement ne compense pas la faiblesse du déprovisionnement.
- Considérer la maturité du provisionnement comme une maturité de la gouvernance du cycle de vie
- Revues des accès examinant les octrois individuels et non les profils cumulés
- Aucun déclencheur de déprovisionnement à l'expiration de la finalité
- Octrois liés à un projet non revus à la fin du projet
- Évolution des rôles ne déclenchant pas de revue de retrait des accès
À quoi ressemblent les bonnes pratiques
Les programmes matures de gouvernance du cycle de vie des privilèges associent la rigueur du processus de provisionnement à des déclencheurs de déprovisionnement : retrait des accès automatisé ou imposé par un processus à la fin des projets, revues de profil déclenchées par les changements de rôle et évaluation des profils d'accès cumulés au regard des exigences du rôle actuel lors des revues des accès.
- Déprovisionnement à la fin des projets : les accès accordés pour des projets précis sont revus et supprimés lorsque les projets prennent fin
- Revue du profil d'accès lors des changements de rôle : les transitions de rôle déclenchent une revue des accès accumulés au regard des exigences du nouveau rôle
- Évaluation des profils cumulés dans les revues des accès : les revues comparent le profil accumulé complet aux exigences du rôle actuel
- Plateforme IGA pour la gestion du cycle de vie : workflows automatisés de cycle de vie reliant les événements RH à la revue et au retrait des accès
- Détection de l'accumulation de privilèges : détection des anomalies sur les profils d'accès qui se sont accumulés au-delà des normes du groupe de pairs
Outils
Gouvernance des identités : SailPoint, Saviynt, Omada
Les plateformes IGA offrent des workflows de gestion du cycle de vie qui relient les événements de changement de rôle et de fin de projet à des déclencheurs de revue des accès, automatisant ainsi le processus de déprovisionnement que la gestion manuelle du cycle de vie ne peut pas assurer à grande échelle. SailPoint IdentityIQ fournit une analyse des profils d'accès cumulés qui identifie les utilisateurs dont les accès accumulés dépassent le profil habituel de leur groupe de pairs. Pour les professionnels de la TPRM, demander si le fournisseur utilise une solution IGA dotée d'une gestion du cycle de vie et d'une analyse des profils cumulés constitue une question précise sur la gouvernance de l'accumulation de privilèges.
Gestion des accès privilégiés : CyberArk, BeyondTrust
Les plateformes PAM mettent en œuvre des octrois d'accès privilégiés limités dans le temps, c'est-à-dire des accès qui expirent automatiquement après une période définie au lieu de subsister indéfiniment. Pour les accès privilégiés propres à un projet, un provisionnement limité dans le temps empêche l'accumulation qui résulte d'une persistance indéfinie.
Enjeux de gouvernance
Le défi de gouvernance de l'accumulation de privilèges tient au cloisonnement organisationnel entre la gestion des accès et la gestion de projet. Les systèmes de gestion des accès savent quels accès existent. Les systèmes de gestion de projet savent quand les projets prennent fin. Les deux systèmes communiquent rarement : la fin d'un projet ne déclenche donc pas automatiquement de revue des accès, et les octrois propres à un projet subsistent après la fin du projet qui les justifiait.
- Demander si les revues des accès examinent les profils cumulés ou les octrois individuels
- S'informer des déclencheurs de déprovisionnement à la fin des projets
- Demander si les changements de rôle déclenchent une revue complète du profil d'accès
- S'informer de la capacité de détection de l'accumulation de privilèges : détection des anomalies sur les profils d'accès accumulés
- Intégrer l'évaluation des profils cumulés à l'évaluation des revues des accès des fournisseurs
Si vous êtes une petite équipe
Posez à vos fournisseurs les plus à risque une question qui fait immédiatement apparaître l'accumulation de privilèges : pour les utilisateurs présents dans votre organisation depuis trois ans ou plus, leur profil d'accès accumulé a-t-il été revu au cours des douze derniers mois au regard des exigences de leur rôle actuel, et quel pourcentage de ces revues a abouti à une suppression d'accès ? Cette question cible directement la population la plus susceptible d'avoir accumulé des accès excessifs, ainsi que la qualité des revues, qui détermine si le problème a été traité.
- S'informer des revues des profils d'accès cumulés pour les utilisateurs présents depuis longtemps
- S'informer des processus de déprovisionnement à la fin des projets
- Demander si les revues des accès examinent les profils accumulés ou les octrois individuels
Ce qu’il faut exiger
Demandez directement :
« Pour les utilisateurs présents dans votre organisation depuis trois ans ou plus, leur profil d'accès accumulé a-t-il été revu au regard des exigences de leur rôle actuel, non pas octroi par octroi, mais dans son intégralité ? »
« Lorsqu'un projet ayant justifié l'octroi d'un accès prend fin, quel processus garantit que cet accès est revu et supprimé, et ce processus est-il déclenché automatiquement ou nécessite-t-il une intervention manuelle ? »
Preuves attendues
- Preuves de revue des profils cumulés pour la population présente depuis longtemps
- Documentation du processus de déprovisionnement à la fin des projets
- Confirmation du déclencheur de retrait des accès lors des changements de rôle
- Plateforme IGA de gestion du cycle de vie, le cas échéant
Un fournisseur qui répond à la question du profil cumulé par « tous les accès sont formellement approuvés » a, une fois de plus, confirmé le processus de provisionnement. Demandez précisément si les revues examinent le profil accumulé complet de chaque utilisateur au regard de son rôle actuel, c'est-à-dire la totalité de ce dont il dispose, et non chaque octroi individuel au regard du projet qui l'a autorisé. Le provisionnement, c'est l'octroi. La gouvernance du cycle de vie, c'est le retrait.
Comment le prouver
- Registres des revues de profils cumulés
- Preuves du déprovisionnement à la fin des projets
- Documentation du retrait des accès lors des changements de rôle
- Preuves de détection de l'accumulation de privilèges
À retenir
Chaque octroi d'accès était raisonnable. L'analyste avait besoin d'accéder à ce segment pour ce projet. L'approbation était appropriée. La piste d'audit est complète. Et trois ans plus tard, la piste d'audit est le relevé complet de toutes les décisions raisonnables qui ont produit une accumulation déraisonnable. L'accumulation de privilèges n'est pas une défaillance du provisionnement. C'est une défaillance du cycle de vie : le moment de l'octroi était encadré, celui de l'expiration de la finalité ne l'était pas. Encadrer l'ensemble du cycle de vie des accès exige un déclencheur de déprovisionnement pour chaque événement de provisionnement, c'est-à-dire un processus défini qui referme ce que le processus de provisionnement a ouvert, déclenché lorsque la finalité qui justifiait l'octroi prend fin. Le processus de provisionnement est la porte. Le processus de cycle de vie est celui qui la referme.