Introduction au protocole RBACPremiers pas dans la gestion des accès basée sur des rôles | Identity-Management.fr

29 avril 2013

Le protocole RBAC (Role Based Accès Control) ou en français, la gestion des accès basée sur des rôles a le vent en poupe !

De plus en plus d’organisations prennent conscience de l’importance d’harmoniser et de gérer les habilitations et les accès informatiques de manière structurée. Aujourd’hui, il n’est donc pas rare de rencontrer le fonctionnement suivant dans une organisation : pour créer des accès, on fait un ‘copier coller’ des attributs d’un collègue qui a ‘plus ou moins’ les mêmes fonctions.

Dès lors, on constate que des collaborateurs ont des accès à des systèmes et/ou à des applications, dont ils n’ont nullement besoin.

Une fois que l’utilisateur possède ces accès, ces derniers sont rarement ‘ajustés’ dans la suite de son cycle de vie dans l’entreprise. Ce dysfonctionnement n’est pas sans conséquences pour la sécurité des données de l’entreprise, d’autant plus qu’ill a également un coût notamment en termes de licences informatiques.

La gestion des accès basée sur les rôles (RBAC) constitue une des solutions envisageables pour résoudre cette problématique. Le RBAC consiste en l’élaboration d’une matrice exhaustive des rôles, des fonctions, des accès et des droits. Ainsi, grâce à cette matrice, lors de l’arrivée d’un nouveau collaborateur, on peut déterminer facilement ce qu’il peut et ce qu’il ne peut pas faire dans le réseau. Mais cela n’est vrai que dans « Le meilleur des mondes ».

Dans la pratique, remplir une telle matrice s’avère plutôt problématique. En effet, chaque collaborateur se sentant souvent unique, cela débouche sur une matrice avec autant de rôles qu’il y a de collaborateurs. Dans ce cas de figure précis donc, l’organisation s’engage alors dans une voie sans fin !

A juste titre donc, beaucoup d’organisations sont réticentes quant à implémenter le RBAC. Cependant, d’autres organisations tentent l’aventure en ayant pour objectif de positionner 100% des collaborateurs et des accès dans la matrice des rôles. C’est un travail titanesque, complexe et quasiment sans fin susceptible d’occuper le temps des responsables de la sécurité et du management pendant des années !

Vous souhaitez voir votre projet RBAC aboutir rapidement ? C’est tout à fait possible, mais dans ce cas, ne vous focalisez pas sur une couverture à 100% dès le départ. Grâce au SIRH, il est possible d’extraire facilement le top 50 des services et des fonctions de votre organisation. Dans la plupart des cas, cela remplira déjà votre matrice à 80% en quelques jours seulement. Par la suite, les 20% restants pourront être mis à jour par les managers grâce à une application de workflow.

Même si des années peuvent s’écouler avant que votre matrice ne soit complète à 100%, il est néanmoins possible en utilisant un système d’information source existant tel que le SIRH et en impliquant les managers dans le processus, de renseigner la matrice RBAC selon un processus contrôlé, efficace et aux résultats immédiats. L’effort nécessaire est minime et le bénéfice sera mis en évidence à l’issue des audits de sécurité informatique. Mais d’autres bénéfices tels la réduction des coûts de licences informatiques, l’optimisation du stockage de données, ou encore la réduction des incidents de sécurité seront observés.

Pour plus d’information sur la gestion des accès par les rôles, contactez nous.