Glossaire
La cybersécurité repose sur des acronymes. Voici ce que les nôtres signifient.
Chaque terme que nous utilisons sur le site, expliqué dans un langage simple et accessible. Recherchez un mot ou une notion au sein d'une définition et retrouvez directement les informations qui vous intéressent.
L'authentification permet à un utilisateur de prouver son identité avant d'accéder à une ressource ou à un service. Elle se déroule en deux étapes :
- L'authentification primaire permet d'ouvrir la session sur le poste de travail lui-même, à l'aide d'un mot de passe, d'une carte à puce, d'une carte sans contact, de données biométriques ou d'un facteur d'authentification mobile.
- L'authentification secondaire intervient ensuite, chaque fois que cette session ouverte accède à une application, qu'elle soit web, client-serveur, locale ou externe.
La distinction entre authentification à facteur unique et authentification multifacteur dépend du nombre de ces trois éléments qui sont vérifiés : ce que vous possédez, ce que vous connaissez et ce que vous êtes.
La gestion des identités et des accès (IAM) désigne l'ensemble des processus qui régissent l'identité d'un utilisateur sur le réseau. Son périmètre est plus large que celui de la discipline avec laquelle il est souvent confondu : il englobe l'authentification primaire, la gestion des accès, la gestion des accès à privilèges ainsi que la gouvernance et l'administration des identités. Son périmètre fonctionnel couvre toutes les fonctionnalités permettant de :
- Authentifier les utilisateurs sur le réseau via l'authentification primaire.
- Gérer les habilitations, le cycle de vie des identités et les comptes associés.
- Assurer la traçabilité des droits détenus et des actions effectuées par un utilisateur ou en son nom.
Concrètement, l'IAM permet de déterminer en temps réel, en fonction du statut et de la fonction de chaque personne, les applications auxquelles elle peut accéder, cette décision étant appliquée automatiquement au système d'information.
L'Identity as a Service (IDaaS) désigne la gestion des identités et des accès fournie sous forme de service cloud. Sur le plan fonctionnel, elle couvre deux volets :
- Gouvernance et administration des identités : l'annuaire des utilisateurs ainsi que le provisionnement des comptes et des habilitations dans le système d'information.
- Gestion des accès : authentification unique aux applications, sous toutes ses formes, de l'authentification simple à l'authentification multifacteur ou fédérée, que ces applications soient hébergées dans votre propre datacenter ou en SaaS.
La plupart des déploiements sont hybrides, combinant des services cloud avec des composants on-premise pour le provisionnement. Ils couvrent les collaborateurs de l'organisation, mais également les utilisateurs chez ses clients, partenaires, fournisseurs et prestataires de services. C'est ce qui en fait le socle pour mettre en œuvre le provisionnement juste-à-temps (Just-in-Time) et une politique Zero Trust fondée sur le principe du moindre privilège.
La gouvernance et l’administration des identités (IGA) désigne la gestion des identités des utilisateurs et des habilitations qui leur sont associées, afin de maintenir chaque droit d'accès en adéquation avec les besoins actuels de leurs tâches : lorsqu'une personne quitte l'organisation, elle doit perdre ses accès aux applications le jour même. Elle associe la gouvernance des identités et des accès à la gestion des comptes et des identifiants, et repose sur trois piliers :
- Provisionnement des identités : le référentiel des identités, qu'il s'agisse de personnes ou d'applications, et les comptes déployés à partir de celui-ci dans l'ensemble de l'infrastructure.
- Gouvernance des accès : le référentiel des droits, accordés par groupe, par rôle (RBAC), par attribut (ABAC) ou par organisation (OrBAC).
- Analyse des habilitations : les outils qui découvrent, analysent et surveillent les droits réellement configurés, afin de faire ressortir les écarts par rapport aux politiques de sécurité et aux exigences réglementaires.
Ce dernier volet permet de répondre aux questions posées lors d'un audit : qui a accès à quoi, ces accès sont-ils conformes et peut-on le prouver? Le role mining, la séparation des pouvoirs et la certification des droits en découlent directement.
L'OT désigne l'ensemble des matériels et logiciels qui surveillent et contrôlent les équipements et processus industriels, quel que soit le secteur d'activité. Selon la définition du Gartner : « L'OT désigne les matériels et logiciels qui détectent ou provoquent un changement par la surveillance directe et/ou le contrôle des équipements, actifs, processus et événements industriels. » Concrètement, cela désigne les systèmes de contrôle industriels, notamment les systèmes SCADA et les systèmes de contrôle-commande distribués. L'OT existait avant même l'apparition du terme, qui s'est développé avec l'automatisation industrielle. L'IT et l'OT présentent des similitudes, mais répondent à des enjeux différents :
- L'IT relève du DSI et se concentre sur l'infrastructure, la sécurité et la gouvernance. Elle gère les informations et les données.
- L'OT se concentre sur le rendement, la qualité et l'efficacité. Elle gère les machines et les processus.
Les deux environnements convergent : les équipements OT sont désormais connectés aux réseaux IT et exposés à Internet, tandis que la maintenance à distance assurée par des tiers élargit encore leur surface d'exposition. Le contrôle des accès y est d'autant plus essentiel que les conséquences d'un incident peuvent être physiques.
La Gestion des Accès à Privilèges (PAM) est le domaine de la cybersécurité dédié au contrôle, à la surveillance et à l'audit de l'utilisation des comptes à privilèges : ceux des administrateurs systèmes et bases de données, des ingénieurs réseau et cloud, ainsi que des prestataires externes qui assurent la maintenance ou le support des infrastructures. Contrairement à un compte standard, un compte à privilèges dispose de droits élevés et peut effectuer des modifications critiques sur les systèmes IT, les réseaux et les données sensibles : installer des logiciels, modifier des configurations, accéder à des informations confidentielles ou contourner des paramètres de sécurité. Il constitue donc à la fois une cible privilégiée pour les attaquants et un risque permanent depuis l'intérieur. Une solution PAM répond à ces enjeux grâce à différentes fonctionnalités:
- Coffre-fort de mots de passe : stockage des identifiants à privilèges dans des coffres-forts chiffrés, rotation automatique des mots de passe et aucun identifiant n’est codé en dur dans les scripts.
- Accès juste-à-temps (Just-in-Time) : droits à privilèges accordés uniquement lorsqu'ils sont nécessaires et pour la durée strictement nécessaire.
- Surveillance des sessions : logs détaillés et enregistrements vidéo des sessions à privilèges, consultables en temps réel.
- Authentification forte : authentification multifacteur et workflows d'approbation, avec des politiques prenant en compte le contexte de la demande.
- Audit : une traçabilité suffisamment complète pour démontrer la conformité au RGPD, à la norme PCI DSS, à l'ISO 27001 et à l'HIPAA.
- Le PAM de CyberElements propose également une fonctionnalité unique sur le marché : Lens, une couche d’analyse et d’aide à la décision propulsée par l'IA, capable de détecter les signaux faibles anormaux et de bloquer automatiquement les activités suspectes.
Il s'applique aussi bien aux utilisateurs internes qu'externes, sur site comme à distance.
Principaux avantages
- Réduire la surface d'attaque
- Détecter les menaces et les comptes compromis et y répondre
- Satisfaire aux exigences de traçabilité et de conformité
- Réduire les coûts d'assurance
- Contrôler les accès des administrateurs à distance et des prestataires.
Une solution de télétravail est un outil, le plus souvent logiciel, qu'une organisation met à disposition de ses collaborateurs pour leur permettre de travailler à distance. On distingue trois grandes catégories: :
- Les plateformes de travail collaboratif.
- L'accès à distance aux réseaux et applications de l'entreprise.
- La visioconférence.
Peu de ces solutions sont exclusivement dédiées au travail à distance : les mêmes outils permettent également la communication entre les services sur site. Ils peuvent être déployés on-premise, dans le cloud ou en mode hybride. Pour être largement adoptée, une solution doit offrir un environnement familier aux utilisateurs, pouvoir être déployée à grande échelle sans difficulté et maintenir un niveau de sécurité élevé. Les enjeux climatiques, sociétaux et sanitaires ont tous contribué à accélérer leur adoption par les organisations, notamment pour la flexibilité et la continuité d'activité qu'elles permettent.
Le Single Sign-On (SSO) est une technologie de gestion des identités et des accès qui permet à un utilisateur de s'authentifier une seule fois, puis d'accéder à de nombreuses applications de l'organisation sans saisir à nouveau ses identifiants. Il existe deux manières de le mettre en œuvre :
- Injection d'identifiants : les identifiants sont récupérés dans un coffre-fort et renseignés automatiquement dans le formulaire de connexion de l'application, après que l'utilisateur a enregistré ces identifiants lors de sa première utilisation, sans jamais les divulguer.
- Fédération d'identités : l'application délègue l'authentification à un fournisseur d'identité de confiance, qui vérifie l'utilisateur et délivre un jeton reconnu par les autres applications. Les protocoles utilisés sont SAML, OAuth 2.0, OpenID Connect et Kerberos.
Principaux avantages
Dans les deux cas, les bénéfices sont les mêmes :
- moins de mots de passe réutilisés ou affaiblis,
- un point central pour appliquer les politiques de sécurité et ajouter l'authentification multifacteur,
- beaucoup moins de demandes de réinitialisation de mots de passe,
- des collaborateurs qui consacrent leur temps à travailler plutôt qu'à se connecter.
Un Réseau Privé Virtuel (VPN) est une technologie qui simule un réseau local entre deux réseaux de confiance, permettant aux postes de travail, serveurs, imprimantes et autres équipements de communiquer entre eux sans être connectés au même réseau physique.
Comme ce trafic transite généralement par un réseau public, le VPN le protège à l'aide de mécanismes de sécurité afin qu'aucun tiers ne puisse l'intercepter.
Il a été conçu pour les organisations réparties sur plusieurs sites qui doivent partager des ressources informatiques. Les services IT l'ont ensuite étendu au télétravail en considérant le poste d'un collaborateur distant comme une extension du réseau de l'entreprise, même lorsque ce poste ne fait pas partie d'un réseau de confiance.
Le Zero Trust Network Access (ZTNA) désigne les solutions qui appliquent une politique Zero Trust, ou de moindre privilège, aux accès depuis l'extérieur du réseau. L'objectif est d'accorder à un utilisateur externe uniquement les accès strictement nécessaires à son activité, et rien de plus, car tout droit ou accès superflu représente un risque pour le système d'information. La politique d'accès repose sur deux éléments :
- L'identité de l'utilisateur, renforcée si nécessaire par une authentification à deux facteurs.
- Les conditions de connexion, notamment son origine et l'état de santé du poste utilisé.
Cette granularité s'applique aussi bien aux collaborateurs à distance qu'aux prestataires et réduit considérablement le risque d’une intrusion ou d’une infection pouvant atteindre le système d'information.
