Au-delà de l’authentification – comment l’autorisation externalisée à base de politiques permet de mieux contrôler l’accès aux ressources en entreprise

Ces 15 dernières années, nous nous sommes concentrés sur les processus de gestion des utilisateurs et de l’authentification : mots de passe, SSO, fédération, MFA, etc.

Aujourd’hui, alors que ce domaine arrive à maturité, il est temps de se pencher sur l’autre grand chantier de l’IAM : le contrôle d’accès.

Il hérite historiquement des outils d’authentification et est donc centré sur les identités, les rôles et les groupes. Mais le métier requiert des moyens plus adéquats pour mieux contrôler les utilisateurs, les ressources et les données.

C’est dans ce cadre que s’inscrit l’externalisation de l’autorisation, une approche décrite dans NIST ABAC 800-162 et NIST Zero Trust 800-207.

Dans cette présentation, nous présenterons l’évolution du milieu du contrôle d’accès. Nous définirons les processus ABAC et PBAC.

Nous montrerons des exemples concrets d’implémentation et nous discuterons de l’émergence de nouveaux standards comme OpenID AuthZEN pour intégrer l’autorisation externalisée.

Nous finirons par un plan de route que chacun peut suivre pour adopter ce nouveau paradigme au sein de l’entreprise afin de sécuriser les données et réduire le coût des processus IAM.