Renforcer les contrôles d'accès aux SI

Stéphane Bellec, Frederic Bergé, Christophe Élise et Jérôme Saiz

01 Informatique

le 21/01/2009 à 07h00

envoyer
par mail

imprimer
l'article

sommaire

Renforcer les contrôles d'accès aux SI

À quand la fin du périmètre de sécurité?

L'authentification unique sort de son isolement

Le NAC, un menu à la carte

Une protection qui agit à tous les niveaux

La biométrie avance doucement mais sûrement

Voir tout sommaire  

“ Renforcement de la sécurité informatique par le développement de solutions d'identification forte (telle la biométrie), accélération de projets structurels en cours, en matière de gestion de la sécurité des accès ainsi que des audits de sécurité ciblés… ” Cet arsenal de mesures correctrices – énumérées par la Société Générale suite à la découverte d'une fraude lui ayant causé une perte de 5 milliards d'euros, à la fin janvier 2008 – a remis au goût du jour le nécessaire contrôle de l'accès au système d'information (SI) et son corollaire, l'authentification de l'utilisateur. Cette dernière mesure est censée permettre au système d'information de s'assurer de l'identité de l'utilisateur et de lui associer ses droits d'accès. Dans le cas de la Société Générale, la mesure la plus emblématique concerne la décision de déployer une solution d'authentification forte, de type biométrique, pour ses activités très sensibles de trading et pour cause !

Choisir entre niveau de sécurité et coût de déploiement

La facture liée à ce type d'investissement est à mettre en rapport avec le risque encouru. En l'occurrence, il a fallu que la banque française subisse un fait majeur pour que celle-ci se décide à investir. Les hésitations des entreprises à investir, en dépit des risques encourus, tiennent aux coûts importants de mise en œuvre et d'exploitation de telles solutions. En effet, toute mise en place d'une solution d'authentification forte de ce genre exige une gestion de supports physiques (carte, clé USB, entre autres) ou d'éléments logiques (certificats, données biométriques), la gestion de leur perte éventuelle et de leur remplacement, voire la mise en place des dispositifs spécifiques (lecteurs), si nécessaires, sur les postes de travail en intégrant l'ensemble avec les applications existantes.

Si la biométrie reste réservée à la protection de l'accès à des applications sensibles, d'autres techniques de contrôle d'accès et d'authentification sont à la disposition des entreprises. Pourtant moins complexes à mettre en œuvre que la biométrie, elles se heurtent en général au même arbitrage à effectuer entre coûts de déploiement et complexité à intégrer le SI existant avec son effet induit, l'alourdissement des procédures d'accès pour l'utilisateur final. La succession de mots de passe à saisir, sans parler de leur changement imposé à fréquence régulière aux utilisateurs, ou l'authentification multiple, sont autant de points noirs liés au contrôle d'accès au SI.

Les systèmes NAC encalminés

Ainsi, les systèmes de contrôle d'accès au réseau, ou NAC (Network Access Control), promus ardemment en 2006 et 2007 par les équipementiers réseaux (Cisco, Juniper) et les éditeurs (Microsoft, Mac Afee) n'ont pas convaincu les entreprises. Leur coût élevé (matériels spécifiques et/ou licences logicielles), leur imbrication avec les matériels réseaux de dernière génération, qui oblige à changer de commutateurs Ethernet, et leur complexité de mise en œuvre, rebutent pour l'instant. En outre, si la technologie NAC aide à contrôler de manière fine qui se connecte au réseau de l'entreprise par une gestion des habilitations, il contribue surtout à déterminer la conformité du poste client à une politique de sécurité décidée par l'entreprise. Or, cette gestion de la conformité n'est pas toujours considérée comme centrale par les entreprises.

A contrario, la “ calculette ” spécifique, qui génère un mot de passe à usage unique, et à validité limitée dans le temps, a percé dans le cas de sécurisation des accès au SI par réseau IP-VPN à partir des PC distants. Mais son déploiement suppose aussi la mise en place de procédures de gestion, suite à la perte ou l'oubli d'une calculatrice ou d'un mot de passe. Enfin, pour d'autres spécialistes, il faut préalablement bâtir un socle de sécurité sous la forme d'un projet de SSO d'entreprise. Son utilité serait plus évidente lorsqu'il est prévu d'appliquer l'authentification forte afin de contrôler l'accès à toutes les applications. Mais pas seulement. Avec une architecture SSO, il devient possible d'intégrer différents modes d'authentifications (plus ou moins forte) et de les appliquer selon le type de poste de travail.