The Impact of Robotic Process Automation (RPA) on Identity and Access Management

Voici un résumé des points clés de l’article, avec les vulnérabilités et les recommandations identifiées.

Automatisation Robotisée des Processus et Gestion des Identités et des Accès

L’automatisation robotisée des processus (RPA) transforme les opérations d’entreprise en introduisant des identités non humaines (NHI) qui nécessitent une gestion rigoureuse au sein des systèmes de gestion des identités et des accès (IAM). Ces robots, capables d’effectuer des tâches répétitives, améliorent l’efficacité, la précision et la sécurité en automatisant des processus comme le provisionnement et le déprovisionnement des accès, et en gérant les identifiants.

Points Clés :

• RPA automatise les tâches répétitives traditionnellement effectuées par des humains, agissant comme des identités non humaines (NHI).
• Les robots RPA nécessitent une gouvernance pour l’authentification, les contrôles d’accès et la surveillance des sessions privilégiées, tout comme les utilisateurs humains.
• Les bénéfices de la RPA incluent une meilleure efficacité, une précision accrue, une sécurité renforcée (déprovisionnement immédiat, détection d’anomalies) et une conformité améliorée (journalisation automatique, application des politiques).

Vulnérabilités Introduites par la RPA dans l’IAM :

• Gestion des Robots : Sans une gouvernance appropriée, les robots mal surveillés peuvent créer des failles de sécurité. Un problème courant est le stockage des identifiants dans des scripts sous forme de mots de passe codés en dur ou de clés API.
• Surface d’Attaque Accrue : Chaque robot RPA représente une nouvelle identité non humaine (NHI), augmentant les vecteurs d’attaque potentiels. Si les robots sont surprovisionnés en accès (non-respect du principe du moindre privilège), ils peuvent être compromis pour se déplacer latéralement dans le réseau ou exfiltrer des données sensibles.
• Difficultés d’Intégration : Les systèmes IAM hérités peuvent avoir du mal à intégrer la RPA, entraînant des identifiants non gérés, des pistes d’audit insuffisantes et une application incohérente des contrôles d’accès.

Recommandations pour Sécuriser la RPA au sein de l’IAM :

• Prioriser les Identités des Robots : Traiter les robots comme des identités de première classe, en leur attribuant des identités uniques avec les privilèges minimaux nécessaires à leurs tâches spécifiques.
• Utiliser un Gestionnaire de Secrets : Employer un outil de gestion des secrets dédié pour chiffrer et gérer de manière centralisée les identifiants et clés utilisés par les robots, évitant ainsi le stockage en texte clair.
• Implémenter la Gestion des Accès Privilégiés (PAM) : Assurer que les robots nécessitant des accès privilégiés obtiennent cet accès uniquement “juste-à-temps” (JIT) pour une durée limitée, avec une surveillance des sessions.
• Renforcer l’Authentification avec l’Authentification Multi-Facteurs (MFA) : Obliger les utilisateurs humains qui gèrent les robots à utiliser la MFA pour se connecter. Adopter des principes d’accès “Zero Trust” en vérifiant continuellement l’identité et le contexte des robots.

Source