Au-delà de 2FA: Sécurisez vos actifs critiques avec l’authentification multifactorielle basée sur le risque

Au-delà de 2FA: Sécurisez vos actifs critiques avec l’authentification multifactorielle basée sur le risque

La plupart d’entre nous ont accepté le fait que les mots de passe sont une forme d’authentification non sécurisée – et, pire encore, plutôt maladroit. Mais cela soulève une question: si les mots de passe ne sont pas la réponse, quelle est-elle? Pour l’instant, la réponse peut être l’authentification multifactorielle (MFA).

L’authentification multifactorielle ajoute une couche de défense critique

MFA utilise une combinaison de deux ou plusieurs facteurs pour authentifier l’identité et protéger les actifs essentiels des accès frauduleux. À ce jour, nous avons tous utilisé l’authentification à deux facteurs (2FA) en ligne pour autoriser une connexion ou une transaction en combinant un mot de passe avec un code SMS envoyé à notre appareil mobile. Si un facteur est compromis, le système est toujours sécurisé.

Trois facteurs principaux peuvent être mis en jeu pour confirmer l’identité:

  • Quelque chose que vous avez – un objet physique tel qu’une carte bancaire, un porte-clés ou une clé USB.
  • Quelque chose que vous connaissez – un «secret» tel qu’un mot de passe ou un code PIN.
  • Quelque chose que vous soyez – un facteur biométrique tel que les empreintes digitales, la voix, les balayages de l’iris et d’autres caractéristiques physiques.

Les normes permettant de combiner ces facteurs et de les utiliser pour authentifier une identité dépendent de l’entité qui les implémente. Dans certaines industries, le MFA est même tenu de respecter les obligations de conformité. Par exemple, la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS) requiert MFA pour la gestion des identités et des accès dans des circonstances spécifiques, telles que l’accès distant à un environnement de données de titulaire de carte provenant de l’extérieur du réseau ou un accès administrateur à l’environnement de données à partir réseau de approuvé.

Le contexte est la clé de la gestion transparente des accès des employés

De plus en plus d’entreprises envisagent d’utiliser toujours l’MFA pour chaque application et chaque système informatique, mais c’est presque toujours trop lourd. Si les employés doivent attendre qu’un code SMS parvienne à leur téléphone chaque fois qu’ils veulent accéder à une application, le taux d’acceptation de l’utilisateur sera faible. Une approche plus efficace de la sécurisation de l’entreprise implique des méthodes permettant de réduire autant que possible la charge de travail imposée à l’utilisateur et de hiérarchiser les applications nécessitant véritablement 2FA sur la base de la sensibilité et du risque de compromission.

Même lorsque MFA est justifié, une authentification non intrusive, basée sur les risques ou contextuelle, peut la rendre moins frustrante pour les utilisateurs. Les facteurs d’authentification non intrusifs incluent les empreintes de périphérique, la géolocalisation, la réputation IP et la réputation de périphérique et les données de l’opérateur de réseau mobile. Certaines plates-formes d’information sur les menaces, telles qu’IBM X-Force Exchange, fournissent déjà ces informations à des applications et solutions tierces.

Ces éléments ajoutent un contexte à l’utilisateur et au périphérique pour une transaction et aident à quantifier le niveau de risque de chaque opération. Si le risque est trop grand, une authentification supplémentaire est requise. Par exemple, si un utilisateur new-yorkais se connecte au réseau de l’entreprise via son bureau, vous n’avez peut-être pas besoin de MFA; Toutefois, si un utilisateur de Hong Kong tente d’accéder à une application via un réseau inconnu à l’aide d’un appareil non reconnu, vous souhaitez certainement ajouter des mesures d’authentification.

En outre, les plates-formes qui s’intègrent aux technologies de détection de la fraude et aux outils de gestion unifiée des points de terminaison aident à réduire le besoin d’AMF orienté utilisateur et fournissent un contexte utile sur le niveau de risque de l’utilisateur afin de déterminer le besoin de couches d’authentification supplémentaires. De telles plates-formes permettent aux organisations de gérer et de sécuriser les nombreuses façons dont les employés se connectent lorsqu’ils sont mobiles, tels que les smartphones, les ordinateurs portables, les dispositifs vestimentaires et même les appareils Internet. Une plate-forme ouverte facilite également l’intégration avec les applications et l’infrastructure existantes.

L’équilibre entre sécurité et commodité change pour les consommateurs

MFA peut convenir aux employés, qui peuvent être tenus d’utiliser le mécanisme d’authentification choisi par leur entreprise. Mais qu’en est-il des consommateurs? Les entreprises ont toujours comparé sécurité et commodité, soulignant toujours cette dernière par crainte que les clients rechignent à prendre des mesures supplémentaires pour protéger leurs données personnelles.

Cependant, cette sagesse conventionnelle peut ne plus être vraie, car nous constatons une acceptation et une familiarité accrues de la population en général avec l’authentification multifactorielle. En fait, comme l’a montré «IBM Future of Identity Study 2018», les consommateurs sont de plus en plus familiarisés et acceptent l’MFA, notamment en ce qui concerne les applications liées à l’argent et les médias sociaux. Selon le groupe d’âge, le type d’AMFA préféré varie, la jeune génération étant beaucoup plus à l’aise avec la technologie des appareils mobiles et les méthodes biométriques ou les jetons plutôt que les mots de passe.

Les entreprises pourraient trouver la solution optimale en donnant aux utilisateurs le choix entre diverses options d’authentification, qu’il s’agisse de codes de passe uniques ou de lecteurs d’empreintes digitales. Des approches basées sur les risques similaires à celles des employés peuvent également être utilisées dans des scénarios d’accès pour les consommateurs. À mesure que les dommages causés par une activité anormale augmentent, le nombre de facteurs d’authentification requis augmente également.

Les solutions MFA doivent rester en phase avec les facteurs externes

Les méthodes d’MFA évoluent sans cesse à mesure que des vulnérabilités apparaissent, que la technologie évolue et que les principaux acteurs sont de plus en plus issus des populations de la génération Y et de la génération Z. Les nouvelles approches MFA doivent remplacer les connexions fastidieuses par des possibilités intrigantes de haute technologie. Les entreprises intelligentes resteront flexibles et adaptables en utilisant une plateforme cloud mise à jour avec les méthodes les plus récentes.

En outre, le choix d’une stratégie / méthode MFA peut être traité comme une expérience pilotée par les données – les responsables de la sécurité devraient rechercher des plates-formes leur permettant de surveiller les taux de réussite de leurs méthodes d’authentification. Les méthodes et les stratégies que vous mettez en œuvre aujourd’hui ne seront pas et ne devraient pas être permanentes. La collecte continue de données vous aidera à concevoir des stratégies d’authentification multifactorielle offrant une sécurité, une commodité et une sophistication optimales à vos employés, à vos clients et à votre organisation.