Transcription
EvidianLa mutualisationdes solutions IAM
La mutualisation des solutions IAMUne approche adaptative de la Gestion des Identitéset des AccèsLa Transformation Digitale est un des principaux moteurs d’innovation.A l’heure du travail collaboratif et de l’hypermobilité, les solutions deGestion des Identités et des Accès (IAM) permettent un accès sécuriséaux applications et ressources de l’entreprise à partir de n’importe quelendroit et sur n’importe quel appareil.L’enjeu digital est crucial pour les organisations qui souhaitentmoderniser leurs infrastructures et rationaliser leurs coûts. Cettemodernisation passe par le choix de solutions innovantes et la refonte desmodes de fonctionnement ; les deux étant complémentaires.Pour les grands groupes comme pour les institutions publiques, un desprincipaux vecteurs d’innovation est la mise en commun de ressources etl’harmonisation des processus opérationnels.Mutualiser la Gestion des Identités nécessite des logiciels adaptés à lamise en place de processus et de fonctions communes à plusieurs entités.Alors que le « As-a-Service » s’impose comme un nouveau standard de laTransformation Digitale, ce mode de déploiement peut aussi révéler leslimites de certaines structures aux modes de fonctionnements propres.Les organisations peuvent éviter le piège des choix imposés en optantpour des modes de prestations qui répondent directement à leursproblématiques métiers.En tant qu’éditeur de solutions IAM, Evidian propose des modes dedéploiement dédiés permettant d’accorder la liberté d’innovation de sesclients avec leurs ambitions de croissance.2Trusted partner for your Digital Journey
Des solutions adaptablesDes environnements de plus en plus exigeants amènent de profondesmodifications pour les entreprises. Les projets de transformation digitaleont pour but de faire face à ces nouvelles exigences en termes deperformance et de règlementation.Parmi les dynamiques dechangement les plus fortes, lamodernisation des infrastructureset la rationalisation des coûts setraduisent le plus souvent parune mutualisation : la miseen commun de ressources etl’harmonisation des systèmesd’information au sein d’unemême organisation.Pour la Gestion des Identités etdes Accès, une problématiquede mise en application se pose :quelle va être la bonne approchedans la mutualisation dessolutions IAM ?Everything-as-a-Service*Des structures hétérogènesLa tendance dans la transformation digitaleest le passage de solutions hébergéessur site à des ressources et servicesexternalisés, configurables et partagés ; pluscommunément appelés solutions « Cloud »ou SaaS (Software as a service).Face à ces problématiques d’adoption dessolutions Cloud, les solutions on-premise(hébergées en local) restent une alternativepour les grands groupes. Ce choix amènecependant d’autres contraintes.Le Cloud suit le principe de mutualisation,basée sur la mise en commun de ressources.Idéalement, des ressources partagéesoptimiseraient les coûts d’acquisition et depossession, amélioreraient les processuset devraient permettre de réaliser deséconomies d’échelles.Malgré les avantages des solutions Cloud,l’expérience du marché et des retours clientscontrastés indiquent que le choix reste àfaire pour certaines organisations, et ce pourplusieurs raisons : Si le choix d’une solution IAM Cloudsemble promettre flexibilité et maîtrisedes coûts grâce aux charges courantes(OPEX) ; ce phénomène peut s’inverseren fonction de l’évolution des besoins etde l’activité du client. Un modèle Cloudinadapté sera toujours plus onéreux surle long terme qu’une solution on-premise(hébergée en local) personnalisée.Les entités les plus petites du groupe n’ontsouvent pas la taille critique pour supporterdes projets IAM par manque de moyenshumains, techniques et financiers.En fonction des pratiques de financement,les petites entités commerciales doivents’appuyer sur leurs fonds propres pourfinancer leurs outils de gestion. Les solutionson-premise peuvent s’avérer trop coûteuses àacquérir et maintenir.De plus, la mise en place d’une solution enlocal dans chaque entité, serait un frein àl’harmonisation des processus de gestionet l’application d’une politique de sécuritécommune à l’ensemble du groupe.Une démarche de mutualisationIAM est un projet complexequi nécessite un modèle dedéploiement dédié.Certains groupes possèdent égalementl’infrastructure et l’expertise et préfèrerontgarder le contrôle de leur système pourdes raisons de souveraineté, de fiabilité etégalement de disponibilité (les manquesen termes d’accords sur le niveau deservice (SLA) avec les fournisseurs deservices Cloud reste un frein à l’adoptionde certaines solutions).*« Tout en tant que service »La mutualisation des solutions IAM3
Les solutionsIAM mutualiséesAllier sécurité et maîtrise d’une solution on-premise avec l’approcheadaptative et les capacités de montée en charge du Cloud.Selon le NIST*, un Cloud Privé correspond àune infrastructure cloud pour l’usage exclusifd’une organisation comprenant plusieursclients (unités commerciales). La solutionpeut être hébergée, gérée et opérée parl’organisation (administration centrale), unepartie tierce (administration externalisée), ouune combinaison des deux (transverse).Une solution IAM mutualisée est donc unCloud Privé, dans lequel l’entité principalehéberge les ressources, est responsable de lapolitique de sécurité et sélectionne la solutionsur site (on-premise). Elle agit comme uneplate-forme d’hébergement pour toutes lesautres entités de l’organisation.Une solution commune peut être hébergéedans l’organisation ou chez un prestataireexterne. En effet, les modes de prestationsont aussi les vecteurs d’innovation de laTransformation Digitale. Pour les clients quicherchent de plus en plus à externaliser leursactivités autres que principales pour pouvoirse concentrer sur leur cœur de métier,l’adoption de solutions en service managésest grandissante.Selon Gartner**, les solutions basées sur lesservices (hébergés et managés) se multiplientdepuis 2017, et l’IAM as a Service seraprédominant à l’horizon 2021.AvantagesEnjeuxFaisabilitéAvant toute choses, la solution permet auxfiliales qui n’ont pas la taille critique de profiterd’une solution IAM.Une solution IAM mutualisée peut être lechoix idéal à condition de bien prendre encompte des enjeux spécifiques.SécuritéQue le système soit hébergé sur-site ou àdistance, l’organisation va garder la maîtrisede son système et la solution va être plussimple à sécuriser.HarmonisationLa solution améliore et standardise lapolitique de sécurité et les processus duGroupe, tout en respectant les spécificitésfonctionnelles de chaque filiale.Économies d’échellesLe modèle permet d’optimiser les coûtsd’implémentation et d’exploitation. (25%d’économies par rapport à des solutionsunitaires).La personnalisation va donner de lasouplesse fonctionnelle à l’organisation.Elle peut s’obtenir de deux façons :grâce à la souplesse fonctionnelle dela solution (personnalisation standard)ou via des développements spécifiques(personnalisation spécifique).L’adoption par les filiales va dépendre duniveau de personnalisation de la solution. Plusil sera élevé, plus les filiales seront disposées àadopter la solution.La dette techniquePlus le niveau de personnalisation spécifique(non standard) sera élevé, plus la solutionmutualisée sera difficile à maintenir.La solution IAM idéale permettrade donner de l’autonomie àchaque filiale tout en restant dansles standards du produit afin degarantir la maintenabilité de lasolution.*National Institute of Standards and Technology, U.S. Department of Commerce: “The NIST Definition of Cloud Computing”, Peter Mell, Timothy Grance, 09/2011**Gartner Magic Quadrant 2018 for Identity Governance & Administration, Kevin Kampman, Brian Iverson,02/20184Trusted partner for your Digital Journey
Bénéfices et choixde la mutualisationUne solution mutualisée met en place des processus et des fonctionscommunes à plusieurs entités. Si les raisons du déploiement d’unesolution IAM sont claires, le choix d’un IAM mutualisé vient de besoinsqui sont directement liés aux structures des organisations.Décloisonnementdes IdentitésHarmonisationdes processus métiersRationalisationdes coûtsDans un groupe, les identités vont souventêtre gérées par structure (pays, filiales,hôpitaux, etc.). Le développement desorganisations amène la création de silos dedonnées divers et de nombreuses barrières :Un IAM mutualisé agit comme un véritablevecteur de valeur métier. L’harmonisationdes processus de gestion est permisepar l’administration d’une unique solutiondéléguée aux administrateurs dans chaqueentité du groupe.Derrière la mutualisation d’une solution IAM ily a avant tout une volonté de rationalisationdes coûts d’infrastructure. L’organisationcentrale achète une licence unique pour unesolution hébergée et administrée en local. Barrière de croissance : écarts entre lesprocessus des filiales, dus à des rachats,consolidation, etc. Barrières structurelles : différents secteursd’activité, différents métiers, différentes entités. Barrières politiques : pas de partage d’infosentre métiers, politique de sécurité spécifique.Lorsque les barrières ne sont pas seulementlogiques mais aussi physiques, une solutionIAM mutualisée s’attaque aux silos d’entitéset décloisonne la gestion des identitésen créant un référentiel unique à tous lesétablissements. L’accès aux données et auxapplications, aussi bien Cloud que on-premise,passe par une solution unique.La mutualisation va amener de la valeuren décloisonnant la gestion des identitésdans le groupe, pour ensuite harmoniser lespolitiques de gestion et les processus métiers.Avec la mise en place d’une unique solutionIAM, les filiales vont partager des processusmétiers simples et intuitifs. La mutualisationd’une solution IAM peut aussi être un moyenpour l’entité centrale d’un groupe d’imposerdes processus communs dans toutes lesfiliales.Les dépenses d’investissement (CAPEX)peuvent être partagées entre entités oucentralisées et les dépenses d’exploitation(OPEX) sont optimisées.La solution va garantir le partage et êtreau service des évolutions des métiers. Parexemple, l’évolution du modèle de rôlesappliquée automatiquement à l’ensemble desentités ou encore une application accessibledepuis n’importe quel poste de travail.Les solutions de mobilité (SSO,authentification forte) vont maximiserl’expérience utilisateur avec un haut niveau deservice dans la sécurité et l’accessibilité desressources.La mutualisation des solutions IAM5
L’IAM mutualisé :des enjeux spécifiquesUne solution IAM mutualisée peut être le choix de prestation idéal àcondition de bien analyser les risques inhérents au projet. Dans certaincas, les projets peuvent échouer ou des solutions IAM mal conçuespeuvent ne pas fournir l’efficacité opérationnelle attendue.Dans un projet d’IAM mutualisé,la complexité de la réalisations’accroit en fonction des besoinsfonctionnels et du nombre d’entitésà inclure dans le futur système. Ilexiste deux risques majeurs, codépendants et spécifiquement liésaux systèmes mutualisés :L’adoption par les entités fédéréesL’acceptation par les entités fédérées vadépendre du niveau de personnalisation(autonomie fonctionnelle) que la solutionleur permet. Quel que soit ce niveau deliberté, il faudra inclure dans le projet unaccompagnement et un programme deconduite de changement pour former lesutilisateurs aux nouveaux processus métiers.Souvent la multiplicité d’entités à intégrerpeut-être synonyme de grande complexité.Le nombre d’intervenants dans un projetde système mutualisé est élevé, et cela vagénérer des risques, particulièrement si lavision produit n’est pas partagée.Les projets d’IAM mutualisé font coopérerdes entités qui se différencient par leurspolitiques internes et leurs processus métiers.Les acteurs peuvent parler des langues etavoir des cultures différentes et ne vontpas concevoir un projet informatique de lamême façon. Cela nécessite de stabiliser aumaximum les équipes du projet et définirensemble les fonctionnalités à développer.Comme pour la plupart des projetsinformatiques, il est nécessaire de piloterune phase de changement, particulièrementlorsque la volonté d’unifier les processusmétier au niveau groupe impose de faireévoluer les usages et outils de certaines entités.Le concepteur de la solution, selon lesexigences du client, peut permettre auxentités fédérées de configurer une partie dela solution qui sera administrée en local. Al’inverse l’entité centrale qui cherche à avoir lamain sur les processus du groupe va imposerun niveau de liberté très faible à ses filiales.La dette techniqueSelon la définition de W. Cunningham*, ladette technique résulte d’une conceptionlogicielle mal maîtrisée qui va dégrader laqualité globale d’une solution.Utilisé à l’origine dans le développementinformatique, la dette technique est issued’une conception incohérente et vaentrainer des problèmes de maintenancecorrective (bugs) et évolutive (maintiendes fonctionnalités) dans une solution. Leclient sera amené à verser des sommes,comparables à des intérêts, pour pouvoirexploiter la solution.Appliquée à la mutualisation des solutionsIAM, la dette technique est directement liéeau niveau de personnalisation de la solutionpour les entités locales : workflows spécifiquespar filiales, interfaces et fonctionnalitésdédiées, etc. Un développement tropspécifique va s’opposer aux problématiquesd’administration centrale/déléguée et destandardisation.Éviter la dette technique nécessite une bonne prise en compte des besoins pour ensuite définir le périmètrefonctionnel et le niveau de liberté accordée aux différentes entités.Le périmètre fonctionnelCe type de projet va plus loinque les simples problématiquesde sécurité, conformité etrationalisation des coûts. Leclient va être capable de mettreen place des nouveaux modèlesde gouvernance en étendant lacouverture fonctionnelle de l’IAMà d’autres entités.La mutualisation permet d’aligner le SI avecla stratégie du groupe pour répondre auxexigences internes et externes.Il faut définir précisément le niveau deliberté par filiales et le niveau de partage dela solution. Le périmètre de configurationpeut aller de simples machines et logicielspartagés jusqu’à une solution IAM totalementconfigurée avec une gouvernance stricte*” The WyCash Portfolio Management System”, Ward Cunningham, March 26, 1992, OOPSLA ‘92 Experience Report**Gartner: “Measure and Manage Your IT Debt”, Andy Kyte, 9 August 2010.6Trusted partner for your Digital Journeyet des processus uniques. Les distinctionsfonctionnelles entre les filiales et le degréde customisation accordé impactent lecycle de vie des identités, le cycle de vie del’application, le cycle de vie des autorisationset la fonction d’administration.
Consolidation checklistL’éditeur doit donc parfaitement s’aligner avec les besoins de son clientpour la réussite du projet. Evidian a mis au point un processus dequalité spécifique pour les projets d’IAM mutualisés sous la forme d’unquestionnaire : consolidation checklist.Plusieurs couches fonctionnelles sont à considérer pour prendre en compte les besoins premiers et permettre la transversalité,l’harmonisation et l’industrialisation des processus au travers du modèle de sécurité esCycle de vie desidentitésArchitecturephysiqueCycle de vie desApplicationsCycle de vie desattributions de droitsFonctiond’administration& délégationLa mutualisation des solutions IAM7
EvidianPérimètre fonctionnelAttentes fonctionnellesComprendre la nature de la relation entre les entités à mutualiste estimportante dans l’identification du périmètre fonctionnel.Il peut exister des exigences de délégations de services etd’administration entre les entités à fédérer. Les entités partagent elles une structure administrative chapeau(maison-mère, holding, etc.) ? Existe-t-il une nature concurrentielle entre les entités (GIE par ex) ?Les entités sont-elles liées par un contrat ou une convention ou dedélégation de service mutuel (utilisateur de l’entité A accédant auxressources de l’entité B) ? Les entités doivent elles bénéficier d’une isolation de sécurité forte ? Les utilisateurs d’une entité peuvent-ils migrer d’une structure àl’autre (en conservant leurs identités, ex : mutation entre filiales) ?Existe-t-il une délégation d’administration entre entité (l’entité Aadministre l’entité B) ? Les entités peuvent-elles être amenées à fusionner ou à êtrescindée (fusion/acquisition) ?Architecture physiqueCycle de vie des IdentitésLa répartition des ressources entre les moyens centraux et les entitésmutualistes (applications centrales en Datacenter vs applicationslocales) est une question cruciale. La définition d’une architectureadéquate est à considérer à la fois sous l’angle de la sécurité, de laqualité de service et de la législation locale applicable si elle diffère(ex : mutualisation dans différents pays)Dans le cadre de l’analyse du cycle de vie des identités, il faudraconsidérer les différentes populations d’identités en prenant encompte les différences fonctionnelles entre entités à fédérer,L’hébergement et la localisation des données sont aussi soumises àdes contraintes de SLA.8Trusted partner for your Digital Journey L’inventaire catégoriel des populations cibles est-il disponible ? Existe-t-il des procédures harmonisées pour les périmètres degestion (ex : internes, externes, stagiaire, etc.) ? La cinématique de gestion des mouvements est-elle harmonisable(ex : RH externalisée, acteurs différents mais processus identique) ? Est-il possible de mutualiser les modèles d’identité entre les entités ? Le nombre d’acteurs dans un flux (arrivée, modification, départ)est-il homogène ?
Cycle de vies des applicationsCycle de vie des affectations de droitLes applications peuvent se retrouver à différents niveaux :Le cycle de vie de la délivrance des droits est généralement assurépar des règles automatiques issues de la politique de sécurité ou/etdes demandes manuelles via le portail utilisateur. Le niveau d’application local, à discrétion de la structure(pays, ou filiale ou zone géographique). Le niveau d’application central, applicable à l’ensemble desstructures fédérées. Le niveau de délivrance des droits exceptionnels est-il assurélocalement en central ou en transverse ? Le niveau d’application transverse : les applications d’une structurefédérée vers tout ou partie des ses pairs. Existe-t-il une définition locale de la politique de sécurité ? Existe-t-il une définition centrale de la politique de sécurité ? Existe-t-il une définition transverse de la politique de sécurité ? Dans chacun de ces cas, peut-on identifier une structure en chargede la responsabilité est-elle distribuée ?Fonction d’administrationAdministration déléguéeDans un projet de mutualisation, trois niveaux d’administration sont àconsidérer :En fonction du niveau d’administration à déléguer dans chaque filialeet des besoins en termes d’isolation et de ségrégation entre elles,plusieurs choix d’architecture possible seront à définir. Administration technique : la plateforme IAM. Administration opérationnelle : création des rôles est ressources,les connecteurs, définit la politique de sécurité, mets en place lesrègles d’attribution automatisées. Administration fonctionnelle : qui demande et approuve les accèset les identités.Un niveau d’administration technique va être défini en central avecdifférents niveaux d’administration déléguée en local. Selon le niveaude souplesse de la solution, certaines fonctionnalités sont accessiblesuniquement à l’administrateur central (par exemple : modificationde fichier de configuration serveur lors de l’ajout d’un connecteur).Pour prendre en compte les besoins locaux, des procédures internesd’administration logistique et opérationnelles sont à mettre en place(par exemple : outils de billetterie, envoi de fichier au format spécifique,etc.) afin de coordonner demandes locales et administration centrale.La mutualisation des solutions IAM9
Cas d’usages(Re) penser L’IAM pour les GroupementsHospitaliers de Territoire (GHT)Adapter l’IAM aux structures complexesdes grands groupesEn France, la loi de modernisation du système de santé amène lacréation des Groupements Hospitaliers de Territoire (GHT). Cettetransformation s’accompagne d’une réflexion sur de nouvelles formesde gouvernance sous le signe de la mutualisation des ressources.Aujourd’hui, les structures des organisations peuvent être trèscomplexes. Les grands groupes sont souvent éparpillés en filialeshétérogènes par leurs tailles et leurs modes de fonctionnement.Pour optimiser les coûts et répondre aux besoins de sécurité, lesorganisations cherchent à étendre les moyens de gouvernancetout en en harmonisant les processus à l’ensemble du groupe. Unesolution IAM mutualisée est particulièrement adaptée à ce cas d’usageet permet :La convergence entre systèmes d’information et l’harmonisation desprocessus entre établissements serait impossible sans la mise enplace de solutions IAM mutualisées permettant :La démocratisation de l’IAMDans les grands groupes, les plus petites filiales n’ont souvent pas lataille critique pour supporter seules des projets IAM. La mutualisationest la seule réponse au manque de moyens humains, techniques etfinanciers qui sont les premiers freins au déploiement de ce type desolutionsMobilité entre établissementsLa solution IAM mutualisée va permettre de consolider facilement lesdifférentes sources d’identités existantes de manière non intrusive,respectant ainsi l’autonomie de gestion de chaque établissementpour constituer un référentiel commun incluant toutes les personnesaccédant au SI. Ceci permet la définition d’un identifiant unique à toutle GHT autorisant ainsi la mobilité entre les établissements.Une gouvernance, administration, et traçabilité globalesLes applications peuvent être administrées au niveau global pour tousles établissements du GHT et/ou dans chaque établissement localement.Il est aussi possible de mettre à disposition d’un établissement, desapplications administrées par un autre établissement.Un accès unique à toutes les applicationsL’IAM permet aux médecins d’accéder à l’information du patient depuisleur cabinet médical, en toute sécurité. Il permet également d’établir dessessions itinérantes pour les connexions proches du lit d’hôpital.10Trusted partner for your Digital JourneyLa standardisation des processusDans une logique d’uniformatisation et de respect des politiquesinternes, les grands groupes vont chercher à mettre en place unesolution commune avec des fonctionnalités standard.Différents niveaux d’autonomieL’administrateur central va donner du pouvoir aux filiales grâce àl’administration déléguée. La solution mutualisée répond aux besoinsd’autonomie des filiales en leur permettant d’établir leurs proprespolitiques de gouvernance sans sortir des fonctionnalités standard dela solution (maintenabilité).
ConclusionUn projet de Gestion des Identités mutualisée demande unegouvernance forte un engagement total des acteurs dans chaque entité.La capacité d’exécution des équipes doit être optimale pour bien définirle périmètre fonctionnel et accompagner le changement dans lesdifférentes structures.Ce modèle de déploiement IAM n’est pas une nouveauté mais il innovedans son approche flexible dans un marché où les offres SaaS sont de plusen plus complètes. Une solution IAM mutualisée apporte une réponse làoù les solutions totalement externalisées sont inadaptées, en permettantsécurité et maîtrise tout en conservant l’approche adaptative et lescapacités de montée en charge du Cloud.En tant qu’acteur majeur du secteur IAM, Evidian soutient ce choix ets’engage à proposer des solutions toujours plus innovantes et des modesde prestations adaptés aux problématiques de l’entreprise étendue.Nous préservons les environnements de nos clients en assurant enpriorité la couverture des besoins métiers afin de créer les bases d’uneTransformation Digitale réussie.La mutualisation des solutions IAM11
White paperÀ proposd’AtosAtos est un leader international de latransformation digitale avec environ100 000 collaborateurs dans 73 pays et unchiffre d’affaires annuel de l’ordre 12 milliardsd’euros. Numéro un européen du Big Data,de la Cybersécurité, des supercalculateurset de l’environnement de travail connecté, leGroupe fournit des services Cloud, solutionsd’infrastructure et gestion de données,applications et plateformes métiers, ainsi quedes services transactionnels par l’intermédiairede Worldline, le leader européen des servicesde paiement. Grâce à ses technologies depointe et son expertise digitale & sectorielle,Atos accompagne la transformation digitalede ses clients dans les secteurs Défense,Finance, Santé, Industrie, Médias, Énergie &Utilities, Secteur Public, Distribution, Télécoms,et Transports. Partenaire informatique mondialdes Jeux Olympiques et Paralympiques, leGroupe exerce ses activités sous les marquesAtos, Atos Consulting, Atos Worldgrid, Bull,Canopy, Unify et Worldline. Atos SE (SocietasEuropea) est une entreprise cotée surEuronext Paris et fait partie de l’indice CAC 40.CT J1386 180918 RY WP LAMUTUALISAPlus d’informationsatos.netAtos, le Atos logo, Atos Consulting, Atos Worldgrid, Bull, Unify, Worldline sont des marques enregistrées d’Atos. Toutes les marques citées sontla propriété de leurs titulaires respectifs. Atos se réserve le droit de modifier ce document à tout moment et sans préavis. Certaines offres oucomposants d’offres décrits dans ce document peuvent ne pas être disponibles localement. Veuillez prendre contact avec votre correspondantAtos local pour prendre connaissance des offres disponibles dans votre pays. Ce document ne saurait faire l’objet d’un engagementcontractuel. Septembre 2018 2018 Atos
**Gartner Magic Quadrant 2018 for Identity Governance & Administration, Kevin Kampman, Brian Iverson,02/2018. 5 . Une solution IAM mutualisée peut être le choix de prestation idéal à condition de bien analyser les risques inhérents au projet. Dans certain cas, les projets peuvent échouer ou des solutions IAM mal conçues .
