Avec l’augmentation du nombre de scandales comptables et des restrictions de conformité parmi les holdings publics et privés, l’introduction de solutions informatiques sur le risque, la gouvernance et la conformité a joué un rôle important dans les entreprises. Oracle Identity Analytics est un des produits qui couvre le mieux les principales tâches de gouvernance et de conformité. On retrouve comme besoins principaux pour les entreprises :

  • Liste des identités, de leurs accès et autorisations
  • Evaluation des accès aux ressources, classés par risque potentiel
  • Etablir des rôles types pour faciliter le provisioning
  • Analyser et auditer les accès et autorisations des utilisateurs
  • Découvrir les rôles en fonction du niveau d’accès des utilisateurs

Les points suivants sont les principaux avantages du produit :

  • Permet l’extraction des identités à partir de diverses sources, via des fichiers CSV, XML, ou directement depuis des solutions de provisioning comme OIM.
  • Est accompagné d’outils permettant de générer différents type de certifications pour les utilisateurs ; par exemple : utilisateur, administrateur de ressource, fonctionnel, etc.
  • Apporte une approche scientifique à la découverte de rôle (approches top-down ou bottom up)
  • Fourni des rapports détaillés d’audit d’identité et de certification
  • Peut générer les certifications en se basant sur les risques définis pour les ressources, ainsi que leurs attributs ou leurs rôles
  • Autorise la synchronisation en temps réel des changements de rôle ou de politique de sécurité avec des solutions de type « Identity Management »
  • Fourni des traces d’audit et d’évènement pour chacune des activités

Les sections suivantes mettent en avant les fonctionnalités d’OIA.

Entrepot de données : Identity DataWarehouse

Les données issues des différentes sources sont stockées dans un entrepôt de données que l’on appelle « Identity Warehouse ». Les utilisateurs ou identités, les rôles (peuvent être des équivalents de groupes dans OIM), les politiques (d’accès ou de sécurité), les ressources (informatiques) et les applications (utilisant plusieurs ressources) sont des composants de cet entrepôt de données. Alimenter l’entrepôt de données est la première étape à réaliser sur la route vers la gouvernance et la conformité.

Certification

Une certification est une vue consolidée de ce que l’utilisateur est capable de faire, et permet de l’autoriser ou non à effectuer certaines actions et d’interdire les activités non voulues. Un manageur peut voir les certifications des utilisateurs et leurs accès aux ressources. Un administrateur de ressource certifie les accès des utilisateurs aux ressources et s’assure qu’ils sont conformes aux exigences. Un administrateur de rôle s’assure que les utilisateurs ont les bonnes autorisations, et que les rôles définis correspondent à ce qui a été provisionné.

Ingénérie de rôle

Le mining de rôles est semblable au data mining, qui a pour but de découvrir un sens aux données à fin de les catégoriser. Dans OIA, le rôle mining analyse les données des identités et essaie de leur trouver un sens : associer un ou plusieurs rôle à chaque identité, en fonction des fréquences et occurrences. C’est très pratique pour établir les rôles de base dans une organisation quand le volume de données est conséquent.

Note : bien que ce soit un outil fort pratique de OIA, l’interface utilisateur manque encore un peu de maturité, et la documentation du paramétrage est parfois trop légère.

Audit d’identité

L’audit d’identité est une procédure qui sert à identifier s’il y a des accès non autorisés assignés à certains utilisateurs. Dans OIA, l’audit d’identité est réalisé à partir de règles. Les politiques d’identité peuvent détecter les anomalies dans les données de OIA, et peuvent générer des évènements d’audit et alerter les managers ou auditeurs. Le moteur de règles est robuste et fourni des mots clés pour la recherche et les comparaisons.

Provisionning basé sur les rôles

Le provisioning basé sur les rôles est l’affectation de ressources à l’utilisateur, basée sur un certain attribut RH définissant un rôle ou service. Par exemple, tous les utilisateurs qui ont un attribut avec pour valeur « Cavalier » se verra affecter un cheval. Ici, le cheval est affecté par une politique d’accès avec comme rôle « Cowboy ». Des règles peuvent être définies pour provisionner les utilisateurs. Dans l’exemple, on peut définir des règles pour que tous les utilisateurs venant de la source RH, et ayant un attribut de valeur « Cavalier », soient provisionnés avec les bons droits d’accès.

D’autres informations seront apportées sur OIA dans de futurs articles. Pour conclure brièvement, on peut dire qu’avec des tests rapides de conformité, OIA aide les entreprises à atteindre le niveau de réussite optimum de gouvernance et conformité.