La gestion des identités et des accès, un enjeu critique
pour les entreprises d’infogérance
Alors que les entreprises ont rehaussé ces dernières années leur niveau de sécurité, poussées par des exigences réglementaires croissantes, les acteurs malveillants visent désormais les sous-traitants, parfois moins bien sécurisés, pour atteindre leur cible. D’après le « rapport Verizon 2025 » (1) portant sur les violations de données, 30 % des compromissions impliquent désormais des tiers.
Lorsqu’ils accèdent au système d’information de leurs clients, en particulier via des accès distants, les acteurs du secteur de l’infogérance, les MSP et MSSP sont exposés à un risque élevé d’attaques par la chaîne d’approvisionnement. L’enseigne Cultura a par exemple été victime en septembre 2024 d’un vol de données impliquant 1,5 million de ses clients, suite à une attaque ciblant l’un de ses prestataires externes. Cultura n’est d’ailleurs pas la seule enseigne à avoir pâti de cette attaque.
Afin de se protéger des compromissions par les tiers, les organisations ont désormais des exigences de sécurité très élevées vis-à-vis de leurs fournisseurs de services externes. Des clauses spécifiques portant sur la gestion des identités et des accès (IAM) et la sécurité des données peuvent désormais figurer dans les contrats. La directive NIS 2 oblige les entités concernées à sécuriser l’ensemble de leur écosystème, et notamment leur chaîne d’approvisionnement numérique. Elle exige des garanties (gestion des accès basée sur le moindre privilège, authentification forte, etc.) de la part des sous-traitants lorsqu’ils se connectent au système d’information de leurs clients, notamment pour effectuer des interventions à distance, avec des accès privilégiés et sur des systèmes critiques.
En plus de leurs certifications en matière de sécurité de l’information (ISO 27001, par exemple), les entreprises d’infogérance effectuant des missions pour des entités soumises à la directive NIS 2 sont donc concernées par des exigences strictes. Dans le cadre de leurs activités d’infogérance, différentes entreprises de services informatiques ont choisi de mettre en œuvre la plateforme cyberelements pour répondre aux enjeux de sécurité des accès distants (ZTNA) et des accès à privilèges (PAM), et gérer de manière rigoureuse leurs identités numériques et droits d’accès.
Cet article décrypte la manière dont une plateforme IAM Zero Trust répond aux défis des entreprises d’infogérance en matière de gestion sécurisée des identités et des accès.
Gérer les accès à privilèges pour une multitude de clients, le défi majeur des entreprises d’infogérance
Fonctionnement multi-clients exigeant un cloisonnement renforcé
En tant que fournisseurs de services, les entreprises du secteur de l’infogérance sont amenées à travailler avec une multitude de clients, dans différents secteurs. Dans le cadre de leurs missions, elles ont besoin de se connecter – souvent à distance – aux réseaux de leurs clients. Elles doivent pour cela s’appuyer sur une solution sécurisée et dotée de solides capacités de gestion, compte tenu du grand nombre de clients pour lesquels elles doivent intervenir.
Les entreprises d’infogérance ont un fort enjeu de qualité de service, alors même qu’elles opèrent dans des environnements complexes (et parfois hétérogènes) en matière d’infrastructures, d’accès, de terminaux et d’applications, avec parfois un grand nombre d’intervenants. Les ressources propres à chaque client doivent être cloisonnées.
Gestion des accès à privilèges accordés à des tiers
Les entreprises d’infogérance ont, par définition, besoin d’accès à privilèges pour réaliser des interventions sur le système d’information de leurs clients. Elles doivent pouvoir réaliser certaines de leurs interventions à distance, mais ne peuvent se permettre d’utiliser un VPN, au risque d’introduire une vulnérabilité supplémentaire.
Risques de compromission en chaîne
De mauvaises pratiques en matière de gestion des mots de passe de la part d’une entreprise d’infogérance peuvent avoir des conséquences en cascade, et affecter une multitude de clients. L’exemple typique de compromission de la chaîne d’approvisionnement numérique est celui d’un infogéreur utilisant le même mot de passe pour chacun de ses clients.
Se conformer à NIS 2 avec la plateforme cyberelements de Systancia
Plateforme multi-gateway Zero Trust, cyberelements fournit des accès sécurisés et centralisés aux infogéreurs, MSP et MSSP ayant besoin d’accéder au SI de leurs clients. Les administrateurs peuvent se connecter en toute sécurité aux systèmes de leurs clients, sans risque de contamination.
Étanchéité multi-clients garantie
cyberelements permet aux entreprises d’infogérance de cloisonner les ressources propres à chaque client. Les ressources des différents clients sont gérées de manière étanche et contralisée, grâce à une seule et même solution.
Architecture avancée
- Double barrière avec rupture protocolaire: le SI du client et ses ressources ne sont pas exposés sur Internet.
- Multi-tenants, Multi-sites, Multi-VLANs, Multi-VPNs
Accès sécurisé natif Zero Trust (ZTNA)
- Dispense d’utiliser un VPN pour accéder aux ressources des clients.
- Si accès VPN obligatoire, gestion native du multi-VPNs.
Empreinte IT minimale chez les clients
- Déploiement d’une simple gateway sur le SI du client (flux sortants uniquement) avec appairage automatique.
- Flexibilité d’architecture de déploiement (coffre-fort, vidéos, etc.).
Politique d’accès basée sur le principe du moindre privilège
Grâce à une approche basée sur le moindre privilège, les opérateurs des entreprises d’infogérance ont accès uniquement aux ressources spécifiques dont ils ont besoin dans le cadre de leurs missions, et pour le temps nécessaire, grâce à un accès Just-in-Time. Les privilèges sont retirés une fois que l’utilisateur a terminé sa session.
cyberelements permet de configurer des politiques pour accorder des accès de manière dynamique, selon le contexte et les besoins de l’utilisateur. Des alertes sont envoyées en cas d’action suspecte.
Enfin, un infogéreur intervenant sur le système d’information de l’un de ses clients peut demander l’assistance d’un administrateur interne, et l’inviter à intervenir « à 4 mains » dans la session, tout en enregistrant la session.
Une gestion sécurisée des mots de passe pour éviter la compromission
cyberelements propose un coffre-fort de mots de passe, associé à la possibilité de mettre en place une politique de mots de passe rigoureuse. Ce coffre-fort évite à l’entreprise de communiquer ses mots de passe à son infogéreur et permet de mettre en place une rotation automatique des mots de passe, à une fréquence définie. cyberelements améliore l’expérience utilisateur de l’infogéreur qui peut ainsi mener ses tâches d’administration en toute autonomie.
En résumé : IAM et PAM pour les entreprises d’infogérance
Les entreprises d’infogérance et les clients pour lesquelles elles interviennent sont confrontés à des exigences croissantes de conformité et de sécurité. La gestion des accès distants et celle des accès à privilèges deviennent des enjeux critiques.
Les infogéreurs, MSP et MSSP ont tout intérêt à choisir une solution de Privileged Access Management intégrant nativement la gestion des accès distants et s’appuyant sur un socle Zero Trust.
cyberelements leur permet notamment d’introduire une segmentation entre :
- Leurs besoins en matière d’accès à privilèges (accès internes pour les besoins de leur activité métier),
- Les besoins de leurs clients (accès à privilèges externes) via un bastion séparé.
Les acteurs du secteur de l’infogérance peuvent ainsi gérer en toute sécurité leur SI et celui de leurs clients, en couvrant tous les cas d’usage des accès à privilèges et en améliorant la productivité de leurs opérateurs.