Guide d'achats solutions de gestion des identités et accès

« Le mot de passe reste quelque chose d’universel pour la majorité des entreprises et assure toujours un niveau de sécurité », rappelle Bruno Caille, directeur technique de Cisco. En effet, le mot de passe est toujours très répandu même si la majorité des solutions a été conçue pour les cacher ; à l’origine, il y en a toujours un. Pour Jean Noël Galzain, le président directeur générale de Wallix, c’est de la science-fiction de se passer définitivement des mots de passe : « Je ne connais pas un système qui n’utilise pas de mot de passe, le sujet n’est pas là, il est sur comment j’améliore l’expérience de l’utilisateur pour que l’ergonomie soit la plus intuitive et efficace possible ». Par exemple, avec l’authentification unique SSO (Single Sign-On) fortement généralisée dans les entreprises aujourd’hui, on ne retient finalement qu’un seul mot de passe pour toute la durée d’une session comme le rappelle Cyril Patou, sales manager France chez Ping Identity.

L’importance de l’authentification multifacteur

A cela, l’idée est aussi de renforcer le niveau de sécurité de l’utilisateur. Comment ? En misant sur l’authentification forte ou multifacteur (MFA), une tendance très en vogue aujourd’hui. « Environ 30 % des entreprises ont déjà déployé des solutions MFA, certes, il y a encore fort à faire mais la prise de conscience est réelle », indique Olivier Morel, directeur général adjoint d’ilex. Il faut dire que les réglementations en vigueur pour certains secteurs comme la santé (ASIP) ou encore la finance avec le DPSP2 ont permis directement et indirectement l’accélération de l’authentification multifacteur dans toutes les entreprises. Ainsi, l’utilisateur va s’identifier avec un mot de passe puis se confirmer via un deuxième code à taper reçu par SMS sur son smartphone par exemple, via une clé privée ou directement en sans contact par le smartphone comme le propose Entrust Datacard. C’est d’ailleurs vers cette dernière option, le smartphone, que s’oriente la majorité des fournisseurs mettant en cause le manque de sécurité du code par SMS. En outre, cette authentification à deux niveaux prend tout son sens car elle confirme l’identité de l’utilisateur, en quelque sorte, il apporte la preuve de son identité. Avec une authentification unique, le pirate peut voler le nom d’utilisateur et le mot de passe, mais lorsqu’un autre facteur, via une MFA, leur est demandé pour accéder aux applications et aux données, le pirate est théoriquement bloqué et ne peut plus avancer. Résultat : une sécurité accrue notamment pour les accès à distance très répandus avec la mobilité et le télétravail durant le confinement.   

Fin des mots de passe en associant des protocoles nouveaux à de la biométrie

Et si l’authentification forte servait de tremplin pour basculer vers une fin définitive du mot de passe, du moins physiquement ? « Il existe de nombreux travaux pour supprimer le mot de passe, ce dernier est devenu une faille puisque 80 % des attaques l’impliquent », juge Cyril Patou. De même, pour Arnaud Jumelet, Cloud & Security Advisor chez Microsoft France, la gestion des mots de passe coûte cher. « Si nous prenons l’exemple de Microsoft en interne, le reset des mots de passe nous coûte chaque année en frais fixe 3 millions de dollars et 6 millions en productivité, ce dernier chiffre est dû entre autres aux appels téléphoniques incessants au support IT. » Pour Xavier Plattard, responsable des activités Web Access Management d’Atos, la suppression des mots de passe entraîne 30 % de réduction de coûts pour le helpdesk.

L’un des travaux est notamment soutenu par l’alliance Fido (alliance regroupant plus de 250 sociétés dont Amazon, Microsoft, Google, Facebook, Ping Identity, etc.) avec l’API Web Authentification (WebAuthn) et le protocole Client to Authenticator Protocol (CTAP) regroupés au sein du projet Fido2. Un exemple concret de l’utilisation de Fido2 est donc celui de Microsoft avec Windows Hello, ce dernier permet effectivement de se connecter aux ordinateurs équipés d’un dispositif approprié (lecteur d’empreinte digitale et/ou faciale, clé privée biométrique, etc.) sans taper un mot de passe. Chez Okta, le mot de passe pourrait également vivre ses derniers jours avec FastPass, toujours en l’associant à la biométrie et en lui ajoutant de l’intelligence ou comment analyser les comportements des utilisateurs lorsqu’ils se connectent à leurs applications. En effet, l’intelligence artificielle sert de plus en plus de support à la suppression des mots de passe en contextualisant les accès en temps réel.

Vers une adoption progressive des plateformes de gestion des identités

Il n’est pas rare de rencontrer des utilisateurs dans les entreprises qui doivent retenir plus de 10 mots de passe qu’ils notent sur des post-it ou dans un fichier Excel. Et face à ce constat, les DSI se doivent de garantir la sécurité de leurs accès d’autant que les collaborateurs évoluent aujourd’hui dans des environnements hybrides. Les grands comptes, au départ réticents de par leur investissement historique sur des solutions anciennes de type best of breed mais aussi, pour certains, leur aversion au cloud, s’équipent désormais de plateformes de gestion des accès et des identités (IAM) à l’instar d’Engie qui a déployé la plateforme Okta auprès de plus de 120 000 utilisateurs dans 60 pays en moins de six mois. Pour faciliter l’adoption de ce type de plateforme, l’un des chantiers les plus importants aujourd’hui dans les grandes entreprises est de faire monter en compétences les équipes IT selon Bruno Caille, directeur technique de Cisco. C’est bien sûr moins vrai dans les ETI et les grandes PME où les compétences sécurité sont moins étoffées, de ce fait, cette typologie d’entreprises se tourne en priorité vers des solutions packagées. « En effet, dans les PME et ETI, la notion des identités est vue comme un service avec un contrat adapté », confirme Nicolas Petroussenko, vice-président de l'Europe du Sud et Country Manager France chez Okta.

Cisco se positionne clairement dans une approche Zero Trust en vérifiant la validité de la personne qui se connecte pour accéder à son environnement de travail. Et le mot de passe qui permet de s’identifier ne suffit plus, il faut aller plus loin avec un deuxième niveau d’authentification pour garantir l’intégrité de la personne comme le souligne Bruno Caille, directeur technique de Cisco France. «  Aujourd’hui, la notion de périmètre a évolué, nous allons sur Internet, nous travaillons de notre domicile et nous utilisons nos applications métiers souvent sans VPN. A chaque fois qu’un collaborateur consulte les données de l’entreprise, il faut bien s’assurer qu’il évolue dans un environnement sécurisé d’où l’importance de l’authentification multifacteur. » Pour s’adjoindre cette compétence, Cisco a racheté en 2018 Duo Security. Avec cette solution, Cisco ajoute donc la double authentification à son offre déjà bien remplie de sécurité, Duo Security s’intégrant d’ailleurs dans l’offre VPN de Cisco AnyConnect. Ainsi, l’utilisateur va s’identifier avec un mot de passe puis se confirmer via un deuxième code à taper reçu par SMS sur son smartphone par exemple. « De nombreuses entreprises nous demandent cette double authentification notamment pour accéder à certaines applications sensibles en télétravail », indique Bruno Caille. Duo Security assure une micro-segmentation et gère ainsi les accès en fonction du niveau de sensibilité des applications. En outre, pour simplifier l’administration de toutes les solutions de sécurité du groupe dont Duo Security, Cisco a annoncé la disponibilité de sa plateforme Cloud SecureX en juin dernier. « Certains de nos clients nous demandent des choses très granulaires, c’est pour cela qu’il faut leur fournir des portails d’administration simples à utiliser et fortement automatisés », nous rappelle Bruno Caille. 

« Nous avons récemment équipé un grand groupe hospitalier anglais où tout le personnel soignant et non soignant, soit un million d’utilisateurs, puisse se connecter à leur environnement de travail directement via leur smartphone sans taper un mot de passe sur leur clavier. C’est d’autant plus important avec la crise sanitaire aujourd’hui où plus personne n’ose toucher de choses », indique Xavier Coemelck, regional vice-president EMEA sales et services chez Entrust Datacard. C’est dans ce contexte qu’Entrust Datacard, une entreprise mondialement connue pour la sécurisation des cartes bancaires, a annoncé que sa plateforme d’authentification Intellitrust se renforçait de deux nouvelles offres : l’authentification unifiée sans mot de passe et la validation des identités avec vérification entièrement numérique, pour accélérer l’acquisition et l’enrôlement des clients que ce soit au sein ou en dehors de leurs locaux. Pour l’authentification unifiée sans mot de passe, Entrust Datacard se propose donc de transformer les smartphones des salariés en cartes à puce virtuelles avec protection biométrique, permettant la connexion instantanée et à proximité des postes de travail et des applications. Pour en revenir au projet du groupe hospitalier anglais, la connexion s’effectue donc avec le smartphone sans contact via l’interface bluetooth sécurisée à partir d’un signal très fin géré par la plateforme Intellitrust, selon Sébastien Tormos, directeur du marketing EMEA chez Entrust Datacard. Créée il y a 3 ans, la plateforme Cloud Intellitrust centralise les ressources via le Single Sign-On et est agnostique par rapport aux solutions physiques utilisées. Rappelons que l’entreprise américaine a racheté l’année dernière nCipher à Thales et son savoir-faire dans les modules de sécurité matériels (HSM) complémentaire aux offres de PKI de l’éditeur. 

« Nous préconisons un deuxième facteur d’authentification pour plus de sécurité, le mot de passe reste indispensable mais il est vulnérable aux attaques de phishing », souligne Rémi de Jouvencel, expert en technologies de sécurité chez Google Cloud ; et d’ajouter : « Nous recommandons même l’usage supplémentaire d’une clé sécurité sous la norme Fido. » Chez Google, ces clés, baptisées Titan, sont d’ailleurs disponibles dans leur boutique en ligne, celles-ci sont simples à utiliser et sont compatibles avec tous ceux qui respectent la norme Fido comme Salesforce par exemple ou la G-Suite de Google. De plus, avec sa plateforme de gestion d’identités Cloud Identity, Google répond à la contextualisation des accès via l’analyse comportementale. « En fonction du contexte, nous analysons la nature de la connectivité (ndlr : par exemple à quelle heure je me connecte) en détectant les comportements inhabituels des utilisateurs grâce au machine learning », résume Rémi de Jouvencel. De par son support des protocoles standardisés comme SAML, OpenID, etc., la plateforme Cloud Identity de Google est bien sûr ouverte à d’autres applications du marché. En outre, Google a également renforcé sa solution de Password Manager d’un service nommé Password Checkup dont l’objectif est de vérifier que les logins et les mots de passe des utilisateurs intégrés dans la base de connaissance du géant du web ne soient pas compromis. Plus généralement, l’innovation autour de la sécurité est d’ailleurs inscrite dans l’ADN du groupe, mi-juillet, Google a même annoncé Confidential VM, un outil qui permet de chiffrer des données des VM pendant leur traitement.

Chez Ilex International, c’est la plateforme Sign&go Global SSO qui sert de socle de base à un projet IAM. « C’est une solution unique avec une console commune composée au sens large de plusieurs outils et commercialisée pour le moment en mode on premise, notre plateforme répond à tous les besoins des entreprises en termes d’authentification, de SSO et de fédération des identités », confirme Olivier Morel, directeur général adjoint d'Ilex. D’ici à la fin de l’année, cette plateforme sera proposée en mode SaaS et donc opérée par ilex. Cela dit, rien n’empêche aujourd’hui une entreprise d’héberger cette plateforme dans un cloud public comme AWS ou Azure. La plateforme d’Ilex se distingue également par sa standardisation avec le support de protocoles comme SAML, OpenID ou CTAP (et de l’API WebAuthn pour la spécification Fido2) afin d’éviter aux entreprises d’être dépendantes de leur fournisseur. Parmi les dernières évolutions de la plateforme, citons un travail important d’apéisation et d’interopérabilité pour faciliter l’intégration de la solution avec d’autres comme celles de Yubico ou de Hitachi par exemple ; Ilex se positionnant aussi comme un hub d’authentification. En outre, la priorité d’Ilex est d’abord de répondre aux besoins de ses clients comme ce fut le cas pour le Crédit Agricole et l’authentification adaptative. «L’authentification adaptative apporte ainsi des processus d’authentification dans lesquels nous considérons le contexte des utilisateurs. Nous travaillons aussi sur une approche comportementale notamment en partenariat avec Proofpoint », souligne Olivier Morel. Autre exemple d’évolution, l’application mobile MFA dans laquelle l’authentification est protégée par un code PIN ou par des éléments biométriques tels que Touch ID ou Face ID.

Patrick Brennan, Country Channel Manager pour LogMeIn France le reconnaît, de nombreuses entreprises se retrouvent encore avec une trop forte hétérogénéité des solutions d’authentification : « notre but chez LogMeIn est de simplifier l’expérience de l’utilisateur et des administrateurs tout en minimisant les risques. » Pour cela, l’éditeur s’appuie sur sa plateforme LastPass qui comprend trois éléments : le service SSO, la gestion des mots de passe et l’authentification multifacteur. Au-delà des fonctionnalités proposées, Patrick Brennan insiste donc surtout sur la simplicité d’utilisation et d’implémentation de la solution qui ne demande pas de compétences particulières. La plateforme se veut aussi être dans cette approche de Passwordless. Avec LastPass, les utilisateurs ont le choix d’exploiter plusieurs technologies comme la biométrie ou la localisation, par exemple en prédéfinissant des plages horaires de présence en fonction des applications et des utilisateurs. De même, LogMeIn génère des rapports via des logs (logs récupérables depuis des plateformes de SIEM dédiées). En outre, la plateforme s’intègre également avec l’Active Directory de Microsoft pour récupérer les mots de passe et la solution d’Okta. A noter que LastPass est hébergée dans le cloud de LogMeIn en Europe pour rassurer ses clients européens. LastPass gère aujourd’hui 18 millions d’identités pour 60 000 clients entreprises dans le monde. Depuis juillet, elle est désormais disponible en mode MSP pour les infogéreurs.

Très impliqué dans une stratégie de Passwordless avec Windows Hello, Windows Hello for Business et Fido2, Microsoft souhaite mettre un terme définitif à la gestion des mots de passe dans tous les environnements en exploitant un code PIN, l’empreinte faciale ou digitale. « Nos investissements vont dans ce sens et dans le cloud vers Azure pour l’authentification sans mot de passe, dès la fin de l’année 2020, nous annoncerons officiellement la disponibilité de notre plateforme avec le support Fido2 pour les environnements hybrides (Cloud et local Active Directory) », indique Arnaud Jumelet, National Security Officer de Microsoft France. Azure AD se veut donc cette plateforme de contrôle d’accès conditionnel en temps réel et ouverte aux partenaires, ces derniers pouvant proposer leurs propres solutions. Pour aller plus loin, Azure AD renferme aussi une brique (Azure Active Directory Identity Protection) qui fait appel à de l’intelligence artificielle. « Le but est de contextualiser l’accès en identifiant les signaux faibles et en analysant aussi les adresses IP et procéder ainsi, selon la situation, à un blocage automatique de la session. Par exemple, un utilisateur qui se connecte en France puis 10 minutes plus tard du japon peut paraître suspect… », explique Arnaud Jumelet. Bien sûr, Microsoft peut compter sur sa base installée de plus d’un milliard d’identités. En outre, Microsoft encourage aussi les entreprises à aller vers l’authentification MFA, encore trop peu déployée dans les entreprises aux dires de l’éditeur. « C’est une méthode accessible, peu contraignante mais qui réduit clairement les attaques de type phishing », rapporte enfin Arnaud Jumelet.

Reconnu comme le leader de la gestion des accès et des identités dans le Magic Quadrant du cabinet Gartner, Okta compte plus de 8400 clients dans le monde dont 200 en France comme Engie par exemple et gère plus d’un milliard d’identités. Son savoir tient dans sa plateforme 100 % Cloud nommée Okta Platform Services qui rassemble une multitude de fonctionnalités (MFA, SSO, LifeCycle, etc.). Dans le détail, celle-ci inclut six modules dont Directories, un annuaire universel des comptes utilisateurs et des attributs, Integrations comprenant des frameworks et des modèles pour simplifier la connexion des applications à Okta, Insights pour agréger les données d’Okta et de ses partenaires, Devices pour récolter les identités des terminaux, Worflows qui sert à automatiser les processus et Identity Engine, un moteur pour piloter l’autorisation des accès, l’authentification et l’enregistrement. Il y a quelques mois, l’éditeur a ajouté la fonction FastPass qui vient en complément de sa plateforme. FastPass doit faire en sorte que les utilisateurs n’aient plus à se connecter à toutes leurs applications professionnelles avec un mot de passe de bout en bout, FastPass peut donc s’associer à un terminal intégrant un système d'authentification biométrique. « Avec FastPass, nous supprimons les mots de passe en apportant aussi de l’intelligence. Ce sont des logiques qui peuvent s’appliquer dans des contextes bien compris. Bien sûr pour que cela fonctionne, il faut prendre en compte des paramètres statiques et dynamiques. Cette notion dynamique fait appel à du machine learning. Dans la pratique, FastPass va donc comprendre et analyser comment l’utilisateur se connecte à ses services. Par exemple, un accès à 2 heures du matin qui n’est pas dans les habitudes de l’utilisateur peut paraître suspect, de même une connexion en dehors des plages horaires du réseau peut être analysée comme une demande inhabituelle », explique Nicolas Petroussenko, vice-président de l'Europe du Sud et country manager France chez Okta.

La plateforme complète IAM Evidian d’Atos se distingue par des solutions (SSO, authentification forte multifacteur, gestion des accès, gestion et gouvernance des identités…) à la fois indépendantes mais fortement interopérables entre elles. « Par exemple, notre solution WAM (Web Access Manager) sait adresser et protéger les applications web traditionnelles et SaaS en proposant du Passwordless aux utilisateurs. De même, nous sommes capables de partager des comptes applicatifs avec notre offre E-SSO, ce qui nous permet de proposer divers scénarios pour les utilisateurs au bureau utilisant des postes maîtrisés et pour les utilisateurs itinérants ou distants utilisant leur propres terminaux », donne en exemple Xavier Plattard, responsable des activités Web Access Management d’Atos. Si le mode de distribution d’Evidian est historiquement en on premise, l’éditeur a lancé en avril dernier une offre IDaaS dans le cloud entièrement opérée par ses soins pour répondre à une demande forte du marché et en respectant l’approche Zero Trust. De même, l’éditeur s’oriente de plus en plus vers une stratégie de Passwordless où l’on cache le mot de passe sous l’authentification forte. Xavier Plattard cite ainsi en exemple un laboratoire évoluant dans des environnements contraints et sensibles qui exploite le bracelet d’authentification de Nymi, partenaire technologique d’Atos. Ce bracelet a la particularité de se baser sur la fréquence cardiaque d'une personne pour assurer cette authentification.

Dans cette approche de suppression de mots de passe, Evidian est d’ailleurs capable de proposer plusieurs scénarios en utilisant divers dispositifs (QR Code, Token de type RSA, FIDO, apps mobiles, empreinte veineuse, etc.). Parmi les évolutions de la plateforme Evidian annoncées par le porte-parole d’Atos figure l’approche prescriptive (authentification adaptative) avec l’usage de l’intelligence artificielle : « L’objectif étant de repérer les signaux faibles pour anticiper les événements et mieux y répondre. Déjà, nous sommes capables d’analyser les comportements et les habitudes de connexion des utilisateurs et de reconnaître ainsi leur environnement de travail. Et de ces facteurs, des décisions sur une authentification plus forte peuvent être prises. »

« Secure access on any device, from anywhere », c’est dans ces quelques mots que s’inscrit la stratégie zero trust de Ping Identity et de sa plateforme de gestion des identités Customer 360 et Workforce 360, selon Cyril Patou, sales manager France de l’éditeur américain. En effet, son objectif est bien de garantir à n’importe quel utilisateur (client et collaborateur) de pouvoir accéder à ses applications de n’importe où quel que soit le terminal. Pour cela, cette plateforme qui s’installe dans tous les environnements (Saas, on premise ou hébergée dans un cloud public) renferme plusieurs modules activables selon les besoins du client. « Nous couvrons ainsi les fonctions de SSO, d’authentification multifacteur, d’annuaire avec Directory (annuaire des données d’identité des clients, des partenaires et des employés), de gouvernance de l’accès aux données, sans oublier l’intégration d’un moteur IA dans la gestion des API et du monitoring d’attaques suite au rachat d’Elastic Beam », détaille Cyril Patou. En parallèle, l’éditeur investit aussi dans une politique de Passwordless comme le propose Microsoft avec Windows Hello, notamment via le protocole Fido2 de l’alliance FIDO (Fast Identity Online) dont Ping Identity fait partie.  « Avec Fido2, nous allons vers l’abandon du mot de passe. Les identifiants d’accès chiffrés de Fido2 sont uniques pour chaque site web, ne quittent jamais le terminal de l’utilisateur et ne sont jamais stockés sur un serveur. Ce modèle de sécurité élimine tous les risques associés au phishing, au vol de mots de passe et aux attaques répétitives », explique Cyril Patou.

L’éditeur français Wallix est reconnu sur le marché international pour sa solution de gestion des mots de passe Bastion. « Bastion, ce coffre-fort à mots de passe est un outil indispensable pour les entreprises aujourd’hui », souligne Jean-Noël de Galzain, président directeur général de Wallix. En effet, Bastion gère tous les accès au système d’information de l’entreprise, de son côté, l’utilisateur n’a qu’un seul mot de passe à rentrer pour accéder à son environnement de travail. Fini les multiples mots de passe à retenir. En quelque sorte, la solution décomplexifie cette gestion fastidieuse des mots de passe pour les utilisateurs et pour les administrateurs. Effectivement, à l’intérieur de ce coffre-fort se trouve un mécanisme intelligent qui génère automatiquement des mots de passe indéchiffrables qui servent de liens entre les différentes applications et les devices, et ce, pour tous les environnements (cloud public ou privé, on premise, etc.), sans oublier les réseaux industriels. Bastion est désormais disponible en version 8, laquelle permet aux entreprises de répondre à la forte augmentation du nombre de comptes à privilèges dans les infrastructures avec des nouvelles fonctionnalités avancées comme l’élévation des privilèges, le zero-standing privilège ou encore l’accès just-in-time. Bastion peut être déployé sur site ou dans le cloud (privé ou public), s’intègre et supporte bien sûr une multitude de solutions et de protocoles tiers.

En parallèle, l’éditeur étend aussi son savoir-faire vers les nomades et les télétravailleurs de plus en plus nombreux avec la crise ; il a lancé ainsi une solution IDaas (Identity as a service) nommée Trustelem héritée du rachat de la société éponyme en 2019 et qui propose les fonctions de gestion et contrôle des accès pour les applications, d'authentification unique et d'authentification multifacteur. L’objectif est de fédérer l’accès aux applications depuis un portail. Il suffit donc pour l’utilisateur de se connecter à ce portail via un navigateur web pour qu’il ait accès à ses apps. A terme, d’autres acquisitions sont envisagées pour enrichir le portfolio de l’éditeur. Point important à noter, Wallix est un acteur français certifié par l’Anssi et présent par le biais de ses partenaires dans plus de 70 pays.

« Notre objectif était de limiter les mots de passe afin d’éviter aux salariés de l’entreprise de s’authentifier pour chaque application », rappelle Eric Bouillet, directeur des systèmes d’information du groupe Actual, un acteur spécialisé sur le marché du travail et de l'emploi (430 agences pour 2000 employés et un CA de plus de 1,3 Mds €). En effet, l’enjeu du groupe était bien de simplifier l’authentification d’autant qu’en moyenne un collaborateur disposait d’une douzaine de mots de passe avec parfois, comme le précise Eric Bouillet, des post-it pour mémo glissés sous le clavier. Dans ce contexte, l’entreprise a décidé de déployer un outil simple et fiable pour fédérer l’authentification et le choix s’est porté sur la solution Trustelem de l’éditeur français Wallix. « Nous avons profité de la refonte de notre Intranet pour mettre en place ce projet d’authentification unique sur la recommandation de notre prestataire Devoteam », indique Eric Bouillet. Trutelem est une solution Saas qui correspond d’ailleurs à la stratégie Cloud First du groupe Actual. A ce titre, l’IT de l’entreprise s’appuie sur un cloud privé hébergé par Bretagne Telecom mais aussi sur un cloud public avec Google pour l’usage de G Suite.

Efficacité et simplicité

Avec Trutelem, les équipes IT du groupe contrôlent l’accès aux droits des utilisateurs selon leur localisation. Ainsi, ils peuvent accéder à leurs applications en interne au travers d’un mot de passe et en externe via un deuxième facteur d’authentification (code reçu par SMS). Bien sûr, la solution est synchronisée avec l’Active Directory de l’entreprise pour plus de simplicité. Avec ce déploiement, le groupe Actual a gagné en efficacité et en pertinence sur la restriction des accès aux applications. Et pour plus de sécurisation, la société envisage la double authentification par smartphone et non plus par SMS. De même, pour augmenter le niveau de sécurité sur les profils, le groupe Actual réfléchit à installer l’application de gestion des mots de passe Wallix Bastion.

Dans sa démarche de Security By design, Keolis Lyon, qui exploite  le réseau de transports en commun lyonnais pour le compte du Sytral, a fait appel à son prestataire, le cabinet spécialisé dans la gouvernance des identités et des accès Idento, pour mettre en place la solution IAM Sign&go Global SSO d’ilex International. Cette dernière est reconnue comme un véritable hub d’authentification et de fédération permettant de couvrir l’ensemble des moyens d’authentification existants quel que soit l’environnement utilisé (poste de travail, web ou mobile). « Ce qui nous a convaincus dans le choix de la technologie d’ilex International c’est avant tout son potentiel important. Sign&go Global SSO est une solution très souple, innovante et capable de prendre en charge tous les standards de sécurité. Sa compatibilité avec les protocoles de fédération d’identité, comme SAML ou OpenID Connect, et son interopérabilité avec les standards de certificats du marché tels que TLS et X509 étaient des conditions sine qua non car nous souhaitions une réponse technologique ouverte et interopérable », indique Laurent Ayello, responsable du Pôle Digitalisation chez Keolis Lyon.

Un projet qui s’inscrit dans un plan de transformation digitale

Le socle technologique mis en place (SSO, authentification renforcée, mobile Access Management et fédération d’identité) a notamment pour objectif d’uniformiser et de sécuriser les parcours d’authentification aux applications tout en garantissant une expérience digitale optimale, indispensable pour gagner l’adhésion des agents. Les utilisateurs doivent pouvoir accéder à leurs applications avec une seule et même authentification basée sur un certificat électronique. La mise en œuvre de cette solution intervient dans un contexte de transformation digitale axée vers la mobilité. Pour ce faire, il a été primordial de développer des applications à forte valeur ajoutée avec les métiers et de faciliter leur accès via un store d’entreprise adapté au profil de chaque agent. L’extension et le renouvellement de la flotte de smartphones étaient également un impératif, permettant de travailler sur une base homogène et moderne. « Ce projet étant riche et complexe, nous avons abordé les choses avec méthodologie. Le recueil des besoins auprès des départements métiers a été essentiel pour prioriser les chantiers et échelonner les portefeuilles d’applications dans le temps. Chaque application a nécessité une analyse rigoureuse de son niveau de complexité, des profils d’utilisateurs ciblés ou encore des risques liés à la sensibilité des données concernées. Nous avons ainsi pu regrouper les applications à développer en 4 grandes thématiques : gérer et communiquer en situation perturbée, favoriser la productivité et le management, suivi qualité et dématérialisation et enfin renseigner le client », conclut Laurent Ayello.