Tous les directeurs des systèmes d’information ont besoin d’un système de gestion d’identités pour protéger les données des employés, des clients et des partenaires. Pendant plusieurs années, ils faisaient confiance aux fournisseurs de systèmes de gestion d’identités traditionnels propriétaires pour sécuriser les identités des utilisateurs ainsi que leurs données grâce au pare-feu de l’entreprise.

Mais les besoins en gestion d’identités ont bien changé au cours de ces dernières années. De nos jours, les employés s’attendent à pouvoir avoir accès aux systèmes des entreprises à tout moment et de n’importe où ; les clients veulent un accès constant et immédiat aux données qui leur sont destinées ; et les partenaires souhaitent avoir accès aux nombreuses applications qui permettent un accès limité aux données d’entreprise.

Ce changement est amplement mis en évidence par une étude récente menée par Forrester, et commanditée par ForgeRock, qui révèle que 85% des entreprises envisageraient des projets de gestion d’identités dans lesquels les utilisateurs seraient les clients, et pour 81% d’entre elles les projets de gestion d’identités concerneraient les partenaires. Forrester remarque qu’afin d’offrir les meilleurs services à ces nouvelles « populations », les entreprises doivent satisfaire les besoins spécifiques de ces nouvelles implémentations.

Dans un article récent sur les systèmes de gestion d’identités, Fran Howard, analyste chez Bloor a expliqué « qu’au cours de ces quatre à cinq dernières années, les services et technologies de gestion d’accès et d’identités ont connu une évolution et des innovations considérables. Aujourd’hui, ils sont utilisés pour réguler l’accès aux applications mises à disposition mais aussi l’accès à la multitude de services et applications fournis en externe, tels que les applications web, les abonnements aux services SaaS sur le Cloud et via les appareils mobiles. De tels services témoignent de la simplicité d’utilisation et de mise en place, et peuvent s’adapter à tous les types d’entreprises et d’agences, pouvant alors être utilisés par n’importe quelle organisation, quel que soit son domaine d’activité ou sa taille. »

L’environnement commercial des systèmes de gestion d’identités « a considérablement changé au cours de ces trois dernières années. Avant cela, seulement quelques spécialistes offraient des services en ligne de gestion d’identités. » A contrario, il y a aujourd’hui sur le marché énormément de fournisseurs experts en systèmes de gestion d’identités.

Les systèmes de gestion d’identités traditionnels ne sont pas en mesure de protéger le web moderne

Les solutions de gestion d’identités traditionnelles avaient été conçues pour une utilisation sur site uniquement. Elles ne sont pas en mesure de gérer ou de s’adapter aux demandes actuelles du web moderne. Et ce n’est pas très surprenant lorsque l’on sait que le cas d’utilisation qui a conduit au développement initial de ces solutions traditionnelles se basait sur un ensemble de besoins professionnels bien différents de ceux d’aujourd’hui. Les solutions de gestion d’identités initiales étaient conçues pour protéger les identités des employés ainsi que les applications et les données des entreprises qui étaient sécurisées derrière le pare-feu de l’entreprise.

Les appareils permettant l’accès au réseau qui étaient fournis aux utilisateurs (les employés) par l’entreprise étaient généralement soit des ordinateurs de bureau soit des ordinateurs portables. Les exigences en termes d’adaptabilité se limitaient aux employés de l’entreprise. Il était donc rare qu’un déploiement excède les 100 000 utilisateurs. Bien que les cas d’utilisation tels que les processus d’ajout ou de suppression d’un utilisateur étaient courants, ils étaient aussi bien plus lents contrairement à ceux d’aujourd’hui, et ils étaient également requis par des évènements prévisibles et intermittents tels que l’embauche de nouveaux employés par exemple.

Dans sa présentation, « Killing IAM in Order to Save It« , Ian Glazer de Gartner explique que « les systèmes actuels de gestion d’accès et d’identités pour entreprise ne sont pas en mesure d’évoluer et de s’adapter au web moderne. Pour le moment, les solutions de gestion d’identités sont ancrées dans un monde relativement stable. Les identités sont créées et gérées par les entreprises et elles leur appartiennent. Le problème, c’est que le monde de la gestion d’identités se développe de façon conséquente en termes d’éléments qui le composent et qu’il faut pouvoir gérer, et qu’il évolue bien trop rapidement pour le modèle stable actuel. »

Il ajoute : « actuellement les systèmes sont lents et requièrent des modifications lorsqu’un individu arrive, se déplace ou part d’une entreprise. Cela fonctionne correctement, cependant, ce ne correspond pas au rythme et au style actuels des entreprises ou partenaires d’aujourd’hui, ni même à ceux des utilisateurs qui travaillent sur le web moderne. Les premiers systèmes de gestion d’identités ne font pas partie intégrante des services professionnels d’une entreprise, ils sont à part, et c’est en fin de compte un inconvénient qui requiert du travail supplémentaire. Les systèmes modernes nécessitent des systèmes intégrés. »

Les systèmes de gestion d’identités face à des difficultés d’adaptabilité et de complexité

Les besoins d’aujourd’hui sont très différents. Un « utilisateur », ce n’est plus seulement un employé, c’est aussi un client ou un partenaire. La gestion d’identités et d’accès d’un client est alors bien différente de celle d’un employé. Beaucoup d’entreprises devraient se poser la question de savoir si leurs systèmes liés aux applications classiques, telles que l’automatisation de la gestion d’identités pour une meilleure conformité, une meilleure efficacité de gestion administrative et une meilleure sécurité, sont en mesure de fournir des opportunités stratégiques adéquates reflétant l’engagement du client.

Selon la société Forrester, « passer de la gestion d’identités des employés et des partenaires à la gestion d’identités des clients va de pair avec une augmentation importante de l’adaptabilité et de la complexité. » Les entreprises interrogées pour l’enquête ont évoqué « une moyenne de seulement 101 à 1000 identités pour les partenaires, 1001 à 10000 identités pour les employés mais atteignant 500001 à 5000000 identités pour les clients. » D’après Forrester, la population ‘clients’ est 4 fois plus importante que celle des employés, mais c’est également une « population qui n’est pas prisonnière des besoins internes d’une entreprise en termes de sécurité et d’efficacité opérationnelle, et qui n’est pas statique, ayant ainsi la possibilité de voir ses besoins satisfaits en dehors de l’entreprise. »

Et pour encore plus compliquer cette croissance du nombre d’utilisateurs, générée par l’engagement des clients, il y a également le fait que de prime abord, les utilisateurs peuvent être anonymes. De plus, ils peuvent avoir accès aux applications à partir d’une multitude d’appareils et à partir de n’importe quel endroit, situé bien loin du pare-feu de l’entreprise. Les applications elles-mêmes sont souvent hébergées sur le Cloud et mises à disposition par des fournisseurs de services SaaS. C’est ce qui fait que le nombre d’utilisateurs et la rapidité à laquelle il change et à laquelle le nombre d’identités qu’il requiert évolue, se sont fortement développés. Ce n’est pas pour autant que le besoin en systèmes traditionnels de gestion d’identités n’existe plus. Cela signifie plutôt que ce dont ont besoin les entreprises aujourd’hui, ce sont de nouvelles plateformes de gestion d’identités ouvertes, pratiques, adaptables qui peuvent s’intégrer aux systèmes plus anciens mais qui permettent également de satisfaire les besoins de l’environnement web moderne d’aujourd’hui.

L’enquête de Forrester a révélé que beaucoup d’entreprises avaient des doutes quant au fait que leur infrastructure existante de gestion d’identités puisse supporter l’adaptabilité, la réactivité et le déploiement que requiert une solution de gestion d’identités d’aujourd’hui. Pas moins de 45% de ces entreprises ont indiqué qu’elles prévoyaient soit de mettre en place, soit d’acheter, partiellement ou intégralement, une toute nouvelle infrastructure pour leur prochain projet. Pour 2/3 des entreprises sondées, les solutions de gestion d’identités existantes ne sont pas vraiment préparées à un déploiement externe, 30% d’entre elles admettant que leurs solutions internes n’étaient « pas vraiment » voire « pas du tout » prêtes.

Mais en se retrouvant face à de tels défauts, comment est-ce que les DSI peuvent-ils étendre, intégrer et moderniser l’infrastructure de gestion d’identités de leur entreprise pour satisfaire les besoins de ces nouveaux et actuels cas d’utilisation ?

D’après l’enquête de Forrester, beaucoup cherchent de nouvelles technologies pour répondre à leurs futurs besoins, ou tout du moins essayer : 88% d’entre eux révèlent que leur budget pour mettre en place des projets de gestion d’identités nécessitant une gestion externe pour clients et partenaires, comprenait une part d’investissements dans de nouveaux logiciels de gestion d’identités.

Alors que la société Forrester n’a pas donné plus de détails sur ce que ces nouveaux logiciels de gestion d’identités peuvent entraîner, il existe une alternative aux fournisseurs de systèmes de gestion traditionnels propriétaires : des solutions de gestion d’identités Open Source. Intégralement conçues et adaptées pour le web moderne, les solutions de gestion d’identités Open Source sont faites pour gérer les besoins de la gestion d’identités des systèmes Cloud, sociaux, mobiles et d’entreprise.

Les solutions de gestion d’identités Open Source à la rescousse du web moderne

Il existe plusieurs raisons pour lesquelles les solutions de gestion d’identités Open Source sont capables de s’adapter au web moderne alors que les solutions traditionnelles ne le peuvent pas.

Contrairement aux autres produits de gestion d’identités, les solutions Open Source sont conçues pour être unifiées, légères, modulaires et adaptables. Cela leur permet de s’adapter rapidement et facilement aux besoins toujours changeants et toujours plus importants du web moderne. Beaucoup de produits traditionnels ont été conçus au fil du temps, en combinant des technologies acquises, faisant de ces produits des solutions « fragmentées », volumineuses et complexes. Au final, elles prennent du temps en termes de mise en place et ne sont pas d’une grande efficacité en termes d’utilisation.

Les processus de développement Open Source sont favorables aux conceptions organisées, légères et efficaces pouvant s’adapter à ces besoins changeants en termes de sécurité et relatifs au web moderne. Grâce à un accès au code source, une plus grande communauté de développeurs peut travailler ensemble pour élaborer des correctifs, des innovations et de nouvelles versions stables des solutions, tout en contrôlant le travail de chacun pour s’assurer qu’il y ait de moins en moins de bugs et que les correctifs paraissent plus rapidement. Contrairement aux processus de développement traditionnels, les utilisateurs ont la possibilité d’évaluer et de juger le code utilisé et pas seulement sur sa manière de fonctionner, mais aussi sur son écriture. Grâce à cela, les systèmes de gestion d’identités Open Source sont les solutions les plus rapides et les mieux adaptables sur le marché, mais elles sont également les solutions de gestion d’identités disponibles les plus sûres et les mieux sécurisées.

Les processus Open Source sont synonymes de meilleurs codes puisque les développeurs sont bien plus réticents à l’idée de sortir un code, dont ils sont à l’origine, sans l’avoir minutieusement examiné au préalable, de crainte de perdre toute crédibilité auprès de la communauté toute entière. Étant donné que le monde entier peut « juger » leur travail, les développeurs font tout leur possible pour élaborer un code parfait qui leur fera gagner le respect de leurs confrères, ce qui optimise alors sa qualité.

Cet aspect de « collaboration » que l’on retrouve pour les solutions de gestion d’identités Open Source accélère également le développement : les développeurs sont réactifs aux besoins des clients et plus rapides à sortir des mises à jour, des patchs et des nouvelles versions stables des produits qui sont alors d’un très bon rapport qualité/prix pour les utilisateurs.

Les solutions de gestion d’identités Open Source offrent un niveau de participation et d’influence qui ne peut être fourni par les offres des vendeurs de systèmes de gestion d’identités propriétaires puisqu’elles ont un modèle de développement qui permet aux organisations de délivrer des codes adaptés aux besoins de base, bien qu’il leur faille passer par un processus rigoureux garantissant leur qualité. Cela signifie que lorsque les vendeurs utilisent un processus de développement Open Source pour l’élaboration de leur produit, il sera possible de prendre en compte un ensemble de prérequis et de cas d’utilisation plus vaste et plus opportun.

Un des exemples qui témoignent du fait que l’Open Source est générateur de développement et de collaboration n’est autre que la FIDO Alliance. Les membres de cette alliance s’engagent à partager leurs technologies et à collaborer au développement de spécifications ouvertes afin de mettre en place des méthodes d’authentification qui sont interopérables, plus sécurisées, respectueuses de la vie privée et simples à utiliser.

Les spécifications FIDO couvrent une gamme complète de technologies d’authentification telles que la biométrie qui comprend la reconnaissance des empreintes digitales, de l’iris mais également la reconnaissance faciale et vocale. La FIDO Alliance développe des spécifications ouvertes flexibles pouvant s’adapter aux futures innovations et protéger les investissements déjà existants. Ces spécifications permettent l’interaction des technologies au sein d’une infrastructure interopérable, offrant la possibilité aux utilisateurs et aux entreprises de choisir le type d’authentification qui conviendra le mieux à leurs besoins.

L’avantage de l’Open Source, c’est que les modifications ayant un intérêt général peuvent être contrôlées et intégrées à la base du code plus raidement, ce qui permet de réduire le besoin d’un travail de développement additionnel de la part du client et de diminuer les demandes coûteuses d’un code personnalisé auprès des vendeurs de solutions de gestion d’identités traditionnelles. Peu à peu, l’Open Source devrait standardiser le développement des codes pour les solutions de gestion d’identités dans la majorité des entreprises (de toute taille), mettant alors en place un standard de gestion d’identités sécurisé, pratique, efficace et bien structuré adapté au web moderne.

Et au bout du compte, les solutions de gestion d’identités Open Source protègent également les investissements. Lorsqu’un vendeur propriétaire décide de la fin du support d’un de ses produits qu’il considère comme en fin de vie, les clients n’ont pas beaucoup d’autres choix que celui de le remplacer : un phénomène bien trop fréquent qui implique des coûts importants et de gros risques pour leur travail. Les produits Open Source, d’un autre coté, ne craignent rien à ce niveau-là. Puisqu’il est possible d’avoir accès au code source, le marché de la technologie continuera à supporter et à élaborer de nouveaux produits et de nouvelles solutions là ou il y aura de la demande de la part des clients.

Le modèle de l’Open Source représente une alternative vraiment très intéressante pour les entreprises à la recherche de solutions de gestion d’identités légères et flexibles qui permettent de répondre aux besoins standards des entreprises traditionnelles tout en s’adaptant aux exigences dynamiques du web moderne, et ce, qu’elles soient mobiles, sociales ou sur le Cloud.