Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Etude CyberArk : 90 % des entreprises autorisent leurs fournisseurs tiers à accéder à des ressources internes critiques

décembre 2019 par CyberArk

De nombreuses organisations s’appuient désormais sur une variété de fournisseurs tiers distants pour accéder, maintenir et soutenir leurs systèmes et ressources internes critiques. Ces fournisseurs jouent donc un rôle essentiel dans la gestion des infrastructures réseaux complexes et géographiquement distribuées des organisations innovantes.

Or, ces accès distants sont régulièrement la cible de cyberattaques, et doivent donc être sécurisés en conséquence. CyberArk a récemment mené une enquête* auprès des décideurs informatiques et de sécurité pour en savoir plus sur les approches actuelles de gestion et de sécurisation des accès aux ressources internes critiques.

Un grand nombre d’accès à privilèges attribués à des tiers…

Il n’est probablement pas étonnant que 90 % des personnes interrogées déclarent autoriser des fournisseurs tiers à accéder à des ressources internes critiques. Le plus frappant en revanche est que plus du quart (26 %) ont déclaré travailler avec plus de 100 fournisseurs tiers – et donc autant d’accès distants. Pour de nombreuses organisations, la protection de ces accès est incroyablement complexe, car elle doit souvent considérer une pléthore d’éléments, tels que l’authentification multi-facteur, des VPN, des ordinateurs portables professionnels, des services d’annuaire internes, ou encore les employés concernés pour chaque accès. Cela a non seulement conduit à la confusion et à la surcharge de travail des équipes en charge de la sécurité, mais créé également des accès complexes et peu sécurisés aux systèmes.

… qui représentent l’un des 10 principaux cyber-risques…

Près des trois quarts (72 %) des organisations considèrent que l’accès des tiers est l’un des 10 principaux risques de sécurité, avec les accès étendus au cloud, le phishing et les menaces internes. L’accès des tiers est une préoccupation croissante et aujourd’hui une priorité absolue pour les organisations. Les attaques et les compromissions de données qui en résultent peuvent en effet être extrêmement coûteuses pour les entreprises, tant en termes de réputation que de pertes financières. Malgré cela, ces mêmes entreprises admettent qu’elles n’abordent pas correctement la gestion et la sécurité : pas moins de 89 % des répondants de l’étude estiment ainsi qu’ils pourraient mieux faire, ou sont complètement insatisfaits de leurs efforts actuels pour protéger l’accès des fournisseurs tiers.

… notamment du fait d’un manque de visibilité

Pour contenir les cyber-risques, il est important de limiter les accès des partenaires au strict nécessaire et donc de supprimer les autorisations vers les informations dont ils n’ont pas, ou plus, besoin. Cependant, il ne faut pas être trop restrictifs, car les tiers pourraient se voir obligés de créer des itinéraires de portes dérobées non protégées vers des ressources nécessaires à leurs activités. Cet équilibre constitue un défi pour de nombreuses entreprises. Actuellement, les équipes dédiées à la sécurité sont encore massivement équipées d’outils non adaptés aux usages et menaces actuels. Ainsi, 86 % des entreprises s’appuient toujours sur des VPN pour sécuriser l’accès des tiers, alors que ces outils n’ont pas été conçus pour gérer les exigences liées à la sécurité des accès à privilèges dynamiques, basée notamment sur les activités et l’enregistrement de session. Concernant la visibilité, 47 % des entreprises ont souligné un manque : en effet, elles ne sont pas toujours au courant de ce que font les fournisseurs une fois qu’ils s’authentifient ; ce qui est un problème majeur. Une meilleure pratique, souvent requise pour l’audit et la conformité aux règlements, consiste à enregistrer, consigner et surveiller les activités privilégiées.

Sans solution dédiée spécifiquement à la gestion des accès à privilèges des tiers, les équipes IT ont été obligées d’utiliser des solutions de multidiffusion comme les VPN. Ces derniers sont cependant loin d’être optimaux. Il est en effet préférable d’opter pour une combinaison de stratégie Zero Trust, d’authentification biométrique multifactorielle et d’approvisionnement juste à temps. Pour plus de praticité en termes de gestion et d’utilisation, il est en outre possible d’allier ses outils au sein d’une seule application SaaS. Ainsi, les fournisseurs distants n’ont strictement accès qu’aux données dont ils ont besoin, via une connexion sécurisée, rapide et ergonomique ; et la gestion pour les administrateurs réseau n’est plus chronophage, grâce à la suppression de la surcharge opérationnelle. »


*130 décideurs informatiques et de sécurité interrogés en août 2019


Voir les articles précédents

    

Voir les articles suivants