Adaptive Access, l’avenir de la sécurité mobile selon Matrix42
Matrix42 prône l’Adaptive Access. Une approche globale de la sécurité, à la fois préventive, investigatrice, rétrospective et prédictive.
«Pratiquement toutes les deux secondes, un incident lié à la sécurité mobile est causé par les utilisateurs ! C’est bien la preuve que les mesures de sécurité habituelles ne fonctionnent pas, estime Dirk Eisenberg, Technical Director Cloud & Mobile Management, Matrix42. Il est temps de changer de modèle, de privilégier l’accès adaptatif.» Le nombre de cybers-incidents ne fait que croître. Entre 2014 et 2015, il a progressé de 30%, selon le rapport annuel 2015 CERT.be. Soit 1119 rapports par mois. Quant au coût de la cybercriminalité, il est estimé à 3,5 milliards EUR, soit encore plus de 1% du produit intérieur brut…
Le problème est cerné : l’accès aux données de l’organisation depuis n’importe où, mais aussi depuis n’importe quel terminal, tous n’étant pas sécurisés ni la propriété de l’entreprise. En revanche, la solution au problème ne peut aucunement s’avérer pénalisante : les générations numériques d’aujourd’hui exigent une expérience de travail mobile, simple, pratique et ludique, au départ des périphériques et applications de leur choix. Alors, quel système fiable, rationnel et entièrement sécurisé les entreprises doivent-elles adopter pour autoriser les accès mobiles aux espaces de travail, applications et données, et les bloquer dès qu’un employé quitte l’entreprise ?
«Il y a trop d’exemples d’abus ou de mauvaise utilisation des applications et des données d’accès au réseau, explique Dirk Eisenberg. Car quiconque est concerné. Ce peut être, par exemple, un médecin, habitué à accéder aux données de ses patients dans l’hôpital où il travaille. Il le fait via son smartphone, le plus souvent depuis son domicile, parfois aussi du restaurant à côté de l’hôpital. Sans le savoir, il entre dans une zone critique, par nature dangereuse en termes de protection des données… Est-il pour autant responsable ? Non !»
Compte tenu de la situation, il est clair que l’ère de la gestion des identités et des accès communs est terminée. En revanche, nous entrons dans l’ère de l’accès adaptatif. De nombreuses organisations ont déjà misé sur l’authentification multi-facteur, mais cela ne suffit pas. Il ne suffit plus de protéger l’identité de l’utilisateur, encore faut-il veiller à ce que les bons systèmes et les bonnes données soient accessibles au bon endroit et au bon moment. En 2014, Gartner a ciblé l’accès adaptatif comme une technologie d’avant-garde. Cette dernière est fondée sur l’application cyclique d’outils provenant de domaines liés à des cyberattaques de base : préventif, investigateur, rétrospectif et prédictif. Adopter un tel modèle permet de créer une protection optimale correspondant au cycle de vie des cyberattaques, un modèle capable de s’adapter rapidement au changement de conditions internes et externes.
«L’approche adaptative repose sur un ensemble de mesures autant techniques, par la mise en place de puits de données, que fonctionnelles, par la mise en place de processus de crise agile», poursuit Dirk Eisenberg Au départ, un constat : il est impossible de complètement sécuriser un système d’information dans la durée, ce qui revient à reconnaitre la faillibilité de la sécurité informatique traditionnelle. Il s’agit donc de pouvoir détecter le plus tôt possible les inévitables signaux d’attaque afin de pouvoir réagir le plus rapidement possible.
Dans la pratique, l’éditeur allemand prône une approche globale. Notre solution, MyWorkspace, est la seule réellement globale, intégrant au sein d’une même plateforme web la gestion des identités et des accès, la conformité de l’espace de travail, la gestion des terminaux, les applications SaaS et Web, ainsi que l’intégration des contenus et la maintenance à distance. Les utilisateurs bénéficient d’un accès rapide au moyen d’un mot de passe unique à toutes les ressources de l’entreprise dont ils ont besoin pour une productivité optimale, au sein d’un environnement de travail unifié et sécurisé dans un navigateur et accessible depuis tout type d’appareil. La stricte séparation des données d’entreprise et données personnelles signifie que les employés peuvent utiliser leurs terminaux personnels au travail sans compromettre ni la sécurité des données, ni leur propre confidentialité.
Dans le même temps, les responsables informatiques n’ont qu’un seul système à administrer, avec une visibilité et un contrôle total sur les accès (qui et où), ainsi que la possibilité de bloquer ces accès d’un simple clic. De leur côté, les dirigeants d’entreprise peuvent autoriser le travail mobile et maximiser leur productivité pour un coût et des risques réduits.
Cette meilleure connaissance simplifie les accès. L’accès au CRM de l’entreprise, par exemple, se fera simplement et immédiatement, sans devoir entrer un autre mot de passe; les utilisateurs seront capables de trouver leurs applications rapidement et facilement à travers le Launchpad de MyWorkspace et auront la possibilité de le personnaliser en fonction de leurs besoins et préférences. Globalement, le déploiement d’applications selon les rôles des utilisateurs et les fonctionnalités se fera tout aussi simplement.
«Cette globalisation de l’approche permet de contrôler si l’utilisateur peut avoir accès à ses données hors des heures de travail pour l’exercice de ses fonctions, la nuit par exemple. Si le dispositif mobile est exploité par la société, sa conformité sera vérifiée -est-il exempt de logiciels nuisibles ? Par un contexte prédéfini précisément pour chaque utilisateur, il dès lors possible de reconnaître les écarts de sécurité par rapport à la norme et d’y répondre, si nécessaire par refus d’accès supplémentaire», conclut Dirk Eisenberg.
