Identity Prioritization isnt a Backlog Problem - Its a Risk Math Problem

Priorisation du Risque d’Identité : Une Approche par les Mathématiques du Risque

La gestion des identités dans les environnements modernes doit dépasser la simple correction de problèmes signalés ou la vérification de conformité. Elle doit être abordée comme un problème de calcul du risque, en considérant la combinaison de facteurs tels que la posture des contrôles, l’hygiène des identités, le contexte métier et l’intention d’utilisation. Une priorisation efficace se concentre sur l’exposition contextuelle plutôt que sur la complétion des configurations.

Points Clés

• Le risque d’identité moderne est une combinaison de facteurs: posture des contrôles, hygiène, contexte métier et intention. La dangerosité réside dans leur alignement.
• La priorisation doit se baser sur le risque contextuel: identifier les combinaisons de faiblesses qui créent des chaînes d’attaque efficaces.
• Les programmes d’identité doivent évoluer: de la simple gestion des tickets IT à une analyse plus fine du risque.

Vulnérabilités et Facteurs de Risque

Les vulnérabilités ne sont pas isolées mais créent un risque amplifié lorsqu’elles s’alignent. Les catégories suivantes contribuent au risque :

1. Posture des Contrôles: Évalue si les contrôles de sécurité (authentification, gestion des identifiants, autorisation, protocoles) sont présents et efficaces, en tenant compte de l’importance de l’identité protégée. Les contrôles manquants agissent comme des amplificateurs de risque.
2. Hygiène des Identités: Se concentre sur la propriété, le cycle de vie et la nécessité de chaque identité. Les problèmes d’hygiène courantes incluent :
   • Comptes locaux qui contournent les politiques centralisées.
   • Comptes orphelins sans propriétaire responsable.
   • Comptes dormants qui peuvent être utilisés pour la persistance non surveillée.
   • Identités non humaines (NHI) sans propriété claire ou but défini.
   • Comptes de service et jetons obsolètes accumulant des privilèges excessifs.
3. Contexte Métier: Le risque est proportionnel à l’impact potentiel d’une compromission, et non seulement à l’exploitabilité technique. Les facteurs incluent :
   • Criticité métier des applications/flux.
   • Sensibilité des données (PII, PHI, données financières).
   • Rayon d’impact (“blast radius”) via les chemins de confiance.
   • Dépendances opérationnelles.
4. Intention de l’Utilisateur: Détermine si l’activité d’une identité est alignée avec son objectif. Cela devient critique pour les flux autonomes, les communications machine-à-machine et les comportements à risque d’initié. Les signaux d’intention incluent les schémas d’interaction, les anomalies temporelles, et le comportement de traversée inter-applications.

Combinaisons Toxiques (Exemples)

Les combinaisons de facteurs amplifient le risque de manière non linéaire :

• Niveau d’Entrée (Cibles Faciles) : Compte orphelin + MFA manquant ; Compte local + journalisation de connexion/autorisation manquante.
• Risque d’Exploitation Active (Urgent) : Compte orphelin + MFA manquant + activité récente ; Compte dormant + activité récente.
• Exposition Systémique de Haute Gravité : Compte orphelin + MFA manquant + limitation de taux manquante ; NHI dormant + identifiants codés en dur + aucune journalisation.
• Alerte de Compromission : Combinaisons incluant des comptes dormants, orphelins, MFA manquants, limitation de taux manquante et activité récente.

Recommandations

Pour une priorisation efficace, il faut poser quatre questions clés :

1. Posture des Contrôles: Quels contrôles de prévention, détection ou attestation manquent ?
2. Hygiène des Identités: La propriété, le cycle de vie et le but sont-ils clairs ?
3. Contexte Métier: Quel est l’impact d’une compromission ?
4. Intention de l’Utilisateur: L’activité actuelle est-elle alignée avec le but, ou signale-t-elle une mauvaise utilisation ?

La priorisation doit viser la réduction maximale du risque, en se concentrant sur la correction des combinaisons toxiques plutôt que sur le nombre de contrôles fermés. L’objectif est de réduire la surface d’exposition réelle.

Source