III. Justifications de besoin d'un SGI
Dans cette partie nous allons explique les besoins
d'utilisation des systèmes de gestion des entités .leur
rôle ainsi que la manière dont ces systèmes
répondent à des besoins de sécurité, de vie
privée.
Plus un citoyen a des activités en ligne, plus il
s'expose à des risques de sécurité ou de violation de sa
vie privée. Les technologies d'identification permettront aux citoyens
de gérer ces risques et deviendront donc un élément
essentiel de la communication Internet, quel que soit son objectif. C'est
pourquoi l'adoption de ces technologies aura des répercussions directes
sur l'adoption de l'ensemble des services de la société de
l'information [14].
Si nous avons besoin d'un référencement d'un
nouvel utilisateur dans un Système d'Information, nous pouvons
identifier les actions suivantes :
embauche dans une entreprise ~ Référencement
dans le système de gestion de la paie.
attribution d'un bureau ~ référencement dans la
base du service logistique. attribution d'un numéro de
téléphone ~ Référencement dans la base
téléphonique. attribution d'un ordinateur, d'un identifiant et
d'un mot de passe pour accéder au réseau ~
Référencement dans le système bureautique.
Chapitre II Les systèmes de gestion
d'identité
33
attribution d'un badge pour l'accès aux locaux ~
Référencement dans le système de gestion des badges.
droits d'accès à un restaurant d'entreprise ~
Référencement dans la base du restaurant d'entreprise.
droits d'accès sur une application ~
Référencement dans la base de l'application. etc.
Dans la majorité des entreprises, ces opérations
font appel à des annuaires qui ne sont ni compatibles entre eux, ni
synchronisés (cf. Figure II.3 ci-dessous). Ainsi pour un nouvel
utilisateur il faut saisir plusieurs fois les mêmes informations dans des
systèmes différents par des personnes différentes et il en
va de même en cas de modification d'une information. Cette mise à
jour est parfois très longue ou que partiellement
réalisée.
Figure II.3 : Standards Existants de la gestion
des entités et des droits d'accès. [15]
L'absence de gestion globale des identités et des
droits d'accès peut générer de nombreux problèmes,
parmi lesquels :
la perte de productivité due aux délais d'obtention
des droits d'accès.
une charge importante d'administration (multiplication des
administrateurs, réinitialisation des mots de passe, etc.).
l'impossibilité de tracer les actions d'administration
des droits et d'en contrôler la cohérence et la pertinence.
la difficulté d'auditer les accès aux
ressources.
Chapitre II Les systèmes de gestion
d'identité
34
des entorses au principe de séparation des
tâches.
le non respect des contraintes légales et/ou
réglementaires (par exemple au travers d'un mauvais paramétrage
des règles de gestion).
La justification d'un projet de gestion des identités et
des droits d'accès reposera sur les améliorations suivantes :
garantie de traçabilité et d'auditabilité
afin de répondre aux obligations légales
et/ou réglementaires.
repositionnement des « propriétaires fonctionnels
» au centre du débat.
réduction des coûts d'administration.
amélioration de l'efficacité et de la
réactivité.
amélioration de la sécurité
(adéquation des droits aux besoins métier).
L'ensemble des flux présentés dans la figure
précédent (Figure II.3) va pouvoir être
représenté de la manière suivante après la mise en
place d'une gestion centralisée des identités (cf. Figure
II.4)
Figure II.4 : Flux de mise à jour
après la mise en place de système de
gestion d'identité
centralisée. [15]
Les informations sont mises à jour dans le
référentiel central qui alimente ensuite automatiquement les
annuaires ou bases de sécurité des différents
environnements.
Chapitre II Les systèmes de gestion
d'identité
35
III.1. Les principaux avantages d'utilisation d'un SGI
III.1.1. Garantie de traçabilité et
d'auditabilité
Les principales lois et réglementations impliquant le
SI et ayant des impacts directs sur les aspects traitant de la
sécurité (en particulier traçabilité et
auditabilité) « aspects juridiques ».
D'une manière générale, ces lois et
règlements « imposent » au Système d'Information des
exigences de :
continuité d'activité.
de séparation des tâches : par exemple, une
même personne ne doit pas à la fois commander une fourniture ou
prestation et valider sa réception.
de traçabilité et d'auditabilité :
permettant de valider « qui a fait quoi » au sein du système
d'information, et « qui a habilité qui ».
de respect de la vie privée.
Déroger à ces exigences peut entraîner un
risque juridique pour les responsables de l'entreprise.
| 
