Identité et accès
Le mur et les douves sont toujours là, et vous en avez besoin. Mais le réseau n'est plus la frontière. L'identité l'est devenue, et elle exige un autre type d'examen. Identara évalue qui peut accéder à vos systèmes, pourquoi cet accès a été accordé, et s'il reste défendable.
Pourquoi c'est le moment
Pendant longtemps, un environnement informatique ressemblait à une forteresse. Un mur, des douves, quelques portes gardées. Celui qui était entré était digne de confiance. Cette approche était juste, pour ce paysage.
Aujourd'hui, les forteresses sont reliées entre elles. Cloud, télétravail, fournisseurs, portails clients, appareils qui se connectent de partout. Chaque connexion est une porte de plus, et toutes ces portes ne se trouvent pas sur votre terrain.
Ce qui reste comme frontière, c'est l'identité. L'attaquant ne force rien, il se connecte. Avec un mot de passe volé, un courriel frauduleux qui a fonctionné, ou le compte d'un ancien collaborateur parti depuis longtemps. Aucune alarme ne se déclenche, car le système fait exactement ce pour quoi il a été conçu.
Les questions que nous posons
Qui a accès à quoi, personnes comme comptes techniques, et cet accès est-il encore nécessaire aujourd'hui ?
Qui a accordé ces droits, sur quelle base, et quand ont-ils été vérifiés pour la dernière fois ?
Une seule personne peut-elle mener une transaction de bout en bout, ou la séparation des tâches est-elle démontrable ?
Qu'advient-il des accès d'un collaborateur, d'un fournisseur ou d'un administrateur qui s'en va ?
Ce qui nous distingue
Un test d'intrusion montre que quelqu'un peut entrer. En général, le récit s'arrête là. Nous suivons la chaîne plus loin, car c'est après le premier accès que cela devient coûteux.
Nous testons la porte d'entrée et évaluons le trousseau de clés, et nous en livrons un seul récit plutôt que deux rapports distincts.
Notre regard sur votre environnement
Tant que personne n'a une vue d'ensemble des droits, tout jugement sur le risque relève de la supposition.
Un accès autrefois justifié l'est rarement encore après une réorganisation ou un départ.
Une mesure que vous ne pouvez pas prouver n'existe pas aux yeux d'un auditeur ou d'un régulateur.
Les outils détectent des anomalies. Savoir si c'est un problème dépend de ce que fait votre organisation.
Ce que nous livrons
La plupart des organisations commencent par un test, car c'est ce qui montre le plus vite où elles en sont. Identara définit le périmètre, évalue l'identité et les accès, et mobilise pour chaque volet le spécialiste le plus compétent. Vous avez un interlocuteur unique, et le périmètre est fixé à l'avance.
Quelqu'un peut-il entrer, et jusqu'où ira-t-il ?
Attaque contrôlée du réseau, des systèmes ou des applications web, selon les normes internationales dont l'OWASP Top 10. De l'extérieur sans connaissance préalable, ou de l'intérieur avec un compte utilisateur.
Où sont les points faibles, et lesquels sont réellement dangereux ?
Inventaire de l'ensemble du paysage, pas seulement des systèmes déjà connus. Analyse automatisée suivie d'une vérification manuelle, afin d'écarter les faux positifs.
Qui a accès à quoi, et est-ce encore justifié ?
Collaborateurs, clients, fournisseurs et administrateurs entrent depuis le bureau, le domicile, le cloud et les portails, chaque combinaison avec ses propres droits. Nous les passons toutes en revue, y compris les comptes d'anciens collaborateurs, les droits trop larges, les accès d'administration oubliés et le contrôle de la séparation des tâches.
Quelle est la résilience des personnes, et pas seulement des systèmes ?
Courriels d'hameçonnage simulés, adaptés à votre organisation et à votre langue, mesurés par service. En option, un test d'accès physique. Suivi par une formation ciblée plutôt qu'un cours générique.
Pouvez-vous prouver que tout est en ordre ?
Traduction des exigences en mesures concrètes, pour ISO 27001, NIS2 et le CyberFundamentals du CCB. Évaluation de la gestion des accès et de la séparation des tâches au regard de la supervision, et les preuves qu'un auditeur veut voir.
Un rapport ne change rien, sa mise en œuvre si.
Traduction des constats en un plan adapté à votre taille et à votre budget. Conseil indépendant pour le choix d'une plateforme, nous ne vendons pas de licences. Accompagnement de vos propres équipes ou de l'intégrateur.
Méthode
Un périmètre défini, un prix fixe et pas de fin ouverte. Vous savez à l'avance ce que vous obtenez, quand et à quel prix.
Un entretien de cadrage d'une heure, puis l'examen dans les limites convenues. Les constats graves vous parviennent en cours de route, pas seulement dans le rapport.
Tout ne peut pas se faire en même temps. Les constats sont pondérés selon ce qu'ils pourraient réellement coûter à votre organisation, et non selon une note standard issue d'un scanner. Vous recevez une note pour la direction et une annexe technique distincte pour l'informatique.
Un plan avec des responsables et des échéances. Vous le mettez en œuvre vous-même ou avec votre propre prestataire, nous accompagnons et veillons à la justesse.
Une nouvelle mesure montre que l'amélioration est bien réelle. C'est précisément ce qu'un auditeur ou un partenaire de la chaîne attend de vous.
À propos d'Identara
Identara fait une seule chose : évaluer qui a accès à quoi, et si cela reste défendable. Derrière la marque se tient Dave Vijzelman, plus de vingt ans dans la gestion des identités et des accès au sein de grandes organisations aux Pays-Bas et en Belgique, dans la santé, l'énergie, les services financiers, l'enseignement et les services publics.
La méthode est indépendante des éditeurs. Identara ne vend pas de licences et ne réalise pas d'implémentations. La connaissance des produits est assez approfondie pour percevoir les différences entre plateformes, et c'est précisément ce qui rend un jugement indépendant utilisable. Ce qu'un éditeur appelle un rôle est tout autre chose chez le suivant.
Identara est votre prestataire. Nous définissons le périmètre avec vous, pilotons l'exécution et livrons le rapport.
Pour chaque volet nous mobilisons le spécialiste le plus compétent, avec des testeurs certifiés pour le travail offensif, sous contrat avec nous.
Vous savez à l'avance qui intervient sur vos systèmes. Un interlocuteur unique, un rapport, aucun prestataire distinct à piloter vous-même.
Pas de vente de licences, pas d'implémentation, pas d'exploitation. Cela garde le jugement libre de tout intérêt dans le résultat.
Contact
Sans engagement, et cela vous apporte une proposition concrète à prix fixe. Aucune obligation de poursuivre ensuite.
