Déploiement d'outils d'identité, d'accès privilégiés et de supervision (Identity and Access Management)
Un outil exploité par vos équipes, dont les droits et les journaux sont exploitables par le contrôle interne.
En bref
- Résultat
- Un outil exploité par vos équipes, dont les droits et les journaux sont exploitables par le contrôle interne.
- Idéal pour
- Directeur des systèmes d'information, responsable de la sécurité des systèmes d'information ou responsable de l'infrastructure qui met en œuvre un outil d'identité, d'accès privilégiés, d'authentification forte ou de supervision.
- Ce que vous obtenez
- Solution déployée sur un périmètre pilote puis étendu, avec dossier d'architecture, procédures d'exploitation, recette documentée et transfert aux équipes.
- Prérequis de votre côté
- Architecture cible validée, comptes de service et environnements de test ouverts, licences acquises, équipe d'exploitation désignée, calendrier de recette.
- Durée et charge
- 10 à 30 jours
- Format
- Forfait
Exemple construit
Déployer l'authentification forte sur un périmètre pilote. Une entreprise d'investissement met en place le thème Identity and Access Management d'abord pour ses administrateurs et ses opérateurs de marché. Le pilote valide les cas d'usage, les procédures de secours en cas de perte du second facteur et la recette avant l'extension progressive aux autres équipes.
Nous déployons les outils du thème Identity and Access Management sur un périmètre pilote, puis nous étendons : intégration à l'annuaire, rôles et circuits d'habilitation, coffre de secrets, authentification forte, collecte des journaux, règles de détection. Le choix de l'éditeur vous appartient ; nous citons les produits comme des outils du thème, sans préférence.
Chaque étape se termine par une recette écrite avec vos utilisateurs clés, des procédures d'exploitation et un transfert de compétences, par exemple pour harmoniser IAM (Identity and Access Management, gestion des identités et des accès) et les politiques de sécurité dans les processus métier. Le dossier remis décrit l'architecture, les flux, les journaux produits et les contrôles prévus, afin que votre contrôle interne puisse s'en saisir. Si notre intervention constitue un service TIC (technologies de l'information et de la communication) pour une entité financière, les clauses de l'article 30 de DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique du secteur financier) peuvent s'appliquer au contrat.
Déroulé de la prestation
État des lieux
Inventaire des données, des interfaces, des utilisateurs, des droits d'accès et des exigences de sécurité sur le périmètre Identity and Access Management.
Plan par lots
Chaque lot a ses critères de recette, sa fenêtre d'intervention et son plan de retour arrière, validés avec la sécurité des systèmes d'information de votre organisation.
Préparation et tests
Reprise des données en environnement de test, avec des données de test ou anonymisées, paramétrage, contrôle par échantillonnage et recette avec vos utilisateurs clés.
Bascule
La mise en production est exécutée par vos équipes autorisées pendant la fenêtre convenue, selon la procédure préparée avec nous ; suivi renforcé et correction des écarts.
Stabilisation et passation
Documentation d'exploitation, formation des administrateurs et des utilisateurs clés, bilan de fin de déploiement.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre audit interne ou à votre superviseur.
- Solution déployée sur un périmètre pilote puis étendu
- Dossier d'architecture, flux, journaux produits et procédures d'exploitation
- Recette écrite avec les utilisateurs clés et transfert de compétences
Format et charge : forfait, 10 à 30 jours. Idéal pour : directeur des systèmes d'information, responsable de la sécurité des systèmes d'information ou responsable de l'infrastructure qui met en œuvre un outil d'identité, d'accès privilégiés, d'authentification forte ou de supervision. Prérequis de votre côté : architecture cible validée, comptes de service et environnements de test ouverts, licences acquises, équipe d'exploitation désignée, calendrier de recette.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du périmètre et du contexte.
Déployer l'authentification forte sur un périmètre pilote
Une entreprise d'investissement met en place le thème Identity and Access Management d'abord pour ses administrateurs et ses opérateurs de marché. Le pilote valide les cas d'usage, les procédures de secours en cas de perte du second facteur et la recette avant l'extension progressive aux autres équipes.
Centraliser les journaux de sécurité
Une banque raccorde les journaux de ses applications de marché à un outil de supervision du thème Identity and Access Management. Le déploiement couvre la collecte, quelques règles de détection de départ et la formation des analystes qui exploiteront ensuite l'outil au quotidien.
Questions fréquentes sur cette prestation
Comment limitez-vous les risques pendant le déploiement ?
Le déploiement sur le périmètre Identity and Access Management est conduit par lots, chacun avec ses critères de recette, sa fenêtre d'intervention et son plan de retour arrière, validés avec la sécurité des systèmes d'information de votre organisation. Les données sont reprises en environnement de test, avec des données de test ou anonymisées, et contrôlées par échantillonnage avant la bascule, puis suivies de près après la mise en service. La charge indicative est de 10 à 30 jours, format forfait. La mise en production est exécutée par vos équipes autorisées, et aucune intervention n'est planifiée pendant les heures de négociation ni les périodes de clôture.
Quelle différence avec une formation sur ce thème ?
La formation apprend à utiliser ou à administrer un outil ; le déploiement le met en service avec des données fiables. Sur le thème Identity and Access Management, les deux sont liés : le déploiement inclut la formation des administrateurs et des utilisateurs clés, et une formation plus large des équipes peut suivre la mise en service. Nous les planifions dans le même projet, avec le même chef de projet. Les intervenants sont des praticiens du secteur, tenus par la confidentialité et le secret professionnel prévus au contrat.
Une prestation d'Optédif relève-t-elle des clauses de l'article 30 de DORA ?
Cela dépend de la prestation et de l'entité cliente, et nous ne le promettons pas. Lorsqu'une mission sur le thème Identity and Access Management constitue un service fourni à une entité financière au titre de ses systèmes d'information, par exemple l'administration d'un outil, les clauses de l'article 30 peuvent s'appliquer au contrat : description des services, lieux de traitement des données, niveaux de service, assistance en cas d'incident, coopération avec les autorités, droits de résiliation. Nous les examinons avec vos équipes juridiques et achats avant la signature. Une mission d'audit ou de conseil n'entre pas toujours dans ce périmètre : la qualification relève de votre analyse.
Demander un devis
Indiquez le périmètre, les équipes concernées et l'échéance : première réponse sous 48 h ouvrées, devis ferme après l'échange de cadrage.
Les autres déclinaisons de déploiement et migration sur le thème Identity and Access Management
Les autres types de prestation sur le thème Identity and Access Management
- Audit de sécurité et de résilience opérationnelle (Identity and Access Management)
- Conseil en gouvernance de la sécurité et de la résilience (Identity and Access Management)
- Conception de politiques, de plans de continuité et d'architectures d'accès (Identity and Access Management)
- Évaluation de positionnement avant un parcours (Identity and Access Management)
- Identifier les actifs à protéger et les besoins d'accès
