On pourrait dire que les contrôles d'accès sont au cœur d'un programme de sécurité de l'information. Plus tôt dans ce cours, nous avons examiné les fondements de la sécurité par le biais de la gestion des risques et de la politique, ainsi que la direction de la sécurité de l'information par le biais de l'implication de la direction et de la planification stratégique, mais en fin de compte, la sécurité se résume à "qui peut accéder à nos actifs (bâtiments, données, systèmes, etc.) et que peuvent-ils faire lorsqu'ils y ont accès ?"les contrôles d'accès ne consistent pas seulement à restreindre l'accès, mais aussi à l'autoriser. Il s'agit d'accorder le bon niveau d'accès au personnel et aux processus autorisés, tout en refusant l'accès aux fonctions ou aux personnes non autorisées

Cette partie du cours examine le processus de gestion de l'identité. La gestion des identités (GI) est souvent décrite à l'aide du modèle IAAA (parfois appelé modèle AAA). Ce modèle représente les étapes d'identification, d'authentification, d'autorisation et de comptabilité (parfois incorrectement appelé audit ; nous verrons pourquoi au fur et à mesure que nous avançons).la gestion des identités comprend l'établissement, le maintien et la suppression des identités sur nos systèmes.le contrôle d'accès se concentre sur les tâches en temps réel nécessaires pour valider qu'une tentative d'accès à une ressource est effectuée par une entité reconnue et acceptée utilisant une identité connue du système, et que la tentative cherche à utiliser des privilèges appropriés et valides pour cette entité, cette ressource et les circonstances actuelles.avant la généralisation des pages web qui permettent aux visiteurs de créer un compte (une identité) sur le système hôte, la plupart des professionnels de la sécurité et des responsables d'organisations considéraient que la gestion de l'information et le piratage d'identité se déroulaient sur deux échelles de temps très différentes ou qu'ils étaient déterminés par deux types d'événements très différents :les activités de gestion de l'information sont considérées comme étant liées à des événements de grande envergure, tels que l'entrée dans l'organisation, un changement important dans les rôles ou les responsabilités professionnelles, puis le départ de l'organisation.les activités AAA se produisent alors en temps réel, à chaque tentative de connexion et à chaque demande d'accès aux ressources faite par l'un des comptes et des identifiants créés pour cette personne.comme le concept de gestion de l'identité a dû s'étendre pour inclure des utilisateurs et des entités non humaines, cette vision des horizons temporels de l'IM et de l'AAA a changé de manière connexe. Une entreprise recrute des utilisateurs humains et acquiert des terminaux ou des serveurs. Elle signe des accords de partenariat avec d'autres organisations pour mettre en place des mécanismes de contrôle d'accès fédérés afin que les deux parties puissent partager des ressources d'information de manière contrôlée et sécurisée. Chacune de ces activités de gestion de l'information ne se produit qu'une fois (ou plusieurs) au cours du cycle de vie de la relation de cette entité avec l'organisation.de même qu'un utilisateur humain peut faire un millier de tentatives d'accès à des ressources au cours d'une seule journée de travail (ou même au cours d'une courte session), de même une entité non humaine peut effectuer les tâches qui lui sont assignées ou autorisées

la mise en œuvre de la gestion des accès comporte ses propres défis. Les audits réalisés dans de nombreuses organisations révèlent souvent que les processus de gestion des identités utilisés sont défectueux, ce qui fait que de nombreux utilisateurs disposent d'autorisations d'accès qu'ils ont accumulées au fil des ans et qui ne correspondent pas aux besoins actuels de l'entreprise. Ce problème se pose lorsque les réglementations en matière de protection de la vie privée exigent une responsabilisation et un suivi des autorisations d'accès, et il peut entraîner des pénalités financières, des failles de sécurité et des situations embarrassantes pour l'organisation.l'idée d'un système de gestion des identités et des accès (IAM) est d'automatiser le processus et de réduire la charge administrative, tout en améliorant les rapports et la capacité à contrôler les niveaux d'accès accordés aux utilisateurs. Les systèmes de gestion des identités et des accès comprennent notamment un processus automatisé permettant aux utilisateurs de demander et d'obtenir l'accès aux systèmes, un processus rationalisé pour les nouveaux utilisateurs et pour la réinitialisation des mots de passe

Il n'est pas exagéré de dire que le contrôle d'accès est au cœur du problème de la sécurité des systèmes d'information.tout ce que nous faisons en tant que professionnels de la sécurité se résume à cet ensemble de problèmes ; la gestion des risques fixe les exigences à respecter en matière de contrôle d'accès, et la conception, la configuration et l'exploitation des infrastructures d'information utilisées par l'organisation doivent refléter les décisions qui ont été prises en matière de contrôle d'accès.les technologies de contrôle d'accès peuvent très bien représenter les "biens immobiliers" les plus disputés dans la bataille entre les cyberdéfenseurs et les cyberattaquants.ce chapitre vous a fourni une orientation et une introduction riches, détaillées et approfondies sur de nombreux aspects du besoin et du problème du contrôle d'accès, tout en vous montrant des moyens de résoudre ce problème et de répondre à ce besoin.