Une sécurité des identités sécurisée, conforme et résiliente pour les administrations publiques
Le décret présidentiel n° 14028 et la stratégie « Zero Trust Architecture » de la CISA imposent des obligations claires aux agences fédérales : mettre en œuvre une authentification résistante au phishing, appliquer les principes du « Zero Trust » et gérer les identités au sein d’effectifs complexes évoluant dans des environnements multiples. Les étapes à franchir sont précises, et les conséquences d’une défaillance en matière d’identité sont critiques pour la mission. RSA aide les agences fédérales à combler le fossé entre les exigences et leur mise en œuvre grâce à une authentification forte, à la gouvernance des identités et à des analyses des risques basées sur l’IA, qui fonctionnent aussi bien dans les environnements sur site, dans le cloud, hybrides que dans les environnements isolés physiquement.
Les agences fédérales sont confrontées à des attaques persistantes et sophistiquées visant les identifiants des utilisateurs et les systèmes d’authentification. Les attaquants exploitent l’authentification par mot de passe, recourent à l’ingénierie sociale auprès des services d’assistance informatique pour contourner l’authentification multifactorielle (MFA) et utilisent des comptes compromis pour se déplacer latéralement au sein des réseaux des agences. La directive « Zero Trust » de la CISA exige spécifiquement une authentification multifactorielle résistante au phishing ; or, une grande majorité d’organisations n’ont pas encore atteint un niveau de maturité « Zero Trust » optimal, ce qui laisse des failles critiques au niveau de la couche d’identité.
L'aide de l'ASR :
- L'authentification sans mot de passe résistante au phishing — clés matérielles, FIDO2, PIV/CAC, données biométriques — bloque les attaques ciblant les identifiants.
- Les politiques d'accès adaptatives bloquent les tentatives de connexion suspectes et appliquent des contrôles de session basés sur les risques
- La vérification d'identité bidirectionnelle protège le personnel du service d'assistance informatique contre l'ingénierie sociale et le contournement de l'authentification multifactorielle (MFA)
- L'analyse des risques liés à l'identité, basée sur l'IA, détecte les comportements anormaux et permet une réponse automatisée aux menaces avant que des dommages ne surviennent.
- Identifie les comptes inactifs et orphelins dans tous les environnements, éliminant ainsi un vecteur d'attaque courant dans les intrusions sur les réseaux fédéraux
Les agences fédérales doivent se conformer à un ensemble croissant d’exigences en matière d’identité et d’authentification, notamment le décret présidentiel 14028, l’architecture « Zero Trust » de la CISA, la loi FISMA et la norme NIST SP 800-63B. Ces cadres réglementaires imposent une authentification multifactorielle (MFA) résistante au phishing, des contrôles d’accès basés sur les rôles, une gouvernance des comptes privilégiés, une surveillance continue et des certifications d’accès documentées. Les agences qui ne se conforment pas à ces exigences s'exposent à des constatations d'audit, à des retards dans l'obtention de l'autorisation d'exploitation (ATO) et à un risque accru de violation de données.
L'aide de l'ASR :
- L'authentification certifiée conforme aux normes FIPS 140-2 et 140-3 répond aux exigences cryptographiques fédérales pour tous les environnements
- Déploiement certifié FedRAMP disponible pour les environnements cloud gouvernementaux
- Prise en charge native de l'intégration PIV/CAC et des cartes à puce pour l'accès des fonctionnaires fédéraux et des prestataires
- Les pistes d'audit automatisées et les certifications d'accès facilitent l'établissement des rapports FISMA et les contrôles menés par l'inspecteur général
- Répond aux exigences de la politique de sécurité CJIS en matière de vérification d'identité, d'authentification multifactorielle (MFA) et de gestion du cycle de vie des comptes pour les organismes traitant des informations relevant de la justice pénale
Les agences fédérales gèrent des effectifs importants et complexes, composés de fonctionnaires, de prestataires, d’organisations partenaires et de personnel temporaire, souvent répartis sur des dizaines de systèmes et plusieurs domaines de sécurité. Les processus manuels de gestion des identités entraînent des retards dans l’attribution des droits d’accès, des comptes orphelins, des autorisations excessives et des risques liés aux acteurs internes. Les normes FISMA et NIST 800-53 exigent la mise en place de contrôles documentés de gouvernance des accès, capables de s’adapter à la taille de l’agence.
L'aide de l'ASR :
- Automatise l'intégration, les changements de rôle et le départ des utilisateurs afin de garantir que ceux-ci disposent des droits d'accès appropriés au moment opportun
- Assure la mise en œuvre de contrôles d'accès basés sur les rôles (RBAC) et de politiques de « privilèges minimaux » dans les environnements sur site, en cloud privé et hybrides
- Utilise l'IA pour analyser en continu les droits d'accès dans les environnements sur site, dans le cloud et hybrides, en mettant en évidence les autorisations excessives et les dérives d'accès avant qu'elles ne donnent lieu à des constatations d'audit
- Automatise les processus de demande d'accès, d'approbation et de certification afin de faciliter l'établissement des rapports FISMA
- Offre une vue d'ensemble unifiée des activités liées à l'accès, à l'authentification et à la gouvernance dans l'ensemble de l'environnement des identités, permettant ainsi aux administrations de disposer de la visibilité nécessaire pour agir avant que les risques ne se transforment en incidents.
- Sur place
- Environnements isolés physiquement / classifiés
- Cloud privé
- Hybride (cloud et sur site)
- FIPS 140-2
- FIPS 140-3
- FedRAMP
- FIDO2
- PIV/CAC
- ISO9001:2015
- CMMC 2.0
- Décret présidentiel n° 14028 + Architecture « Zero Trust » de la CISA
- FISMA / NIST SP 800-53
- NIST SP 800-63B (AAL2 / AAL3)
- FedRAMP
- Politique de sécurité du CJIS
- CMMC 2.0
