Gestion des identités ou des accès, il faut choisir

A l’automne dernier, Juliette Rizkallah, directrice marketing de SailPoint, le soulignait dans nos colonnes : « la gouvernance des identités (IGA) est quelque chose différent » de la gestion des accès, même si certains acteurs font les deux, comme Micro Focus, CA Technologies, IBM ou encore Atos (Evidian).

Alors, comme Juliette Rizkallah l’analysait, l’IDaaS est surtout centré sur la gestion des accès : « pour des fournisseurs comme Microsoft, tout est dans le contrôle de l’accès des utilisateurs à leurs données et leurs applications ». Dont acte, depuis cette année, Gartner ne publie plus de quadrant magique sur l’IDaaS (aussi appelé IAM en mode service), mais un sur la gestion des accès (AM). Cette année, parmi les leaders, on y trouve sans surprise Okta et Microsoft. Mais Centrify se voit déclassé parmi les visionnaires, tandis que Ping Identity, Oracle, IBM et CA Technologies rejoignent les leaders.

Dans ses quadrants magiques, Gartner définit ainsi l’AM comme « les technologies qui utilisent des moteurs de contrôle d’accès pour fournir une authentification centralisée, le SSO, la gestion des sessions, et forcent le respect des règles d’autorisation pour les applications visées dans de multiples cas d’usage ».

De l’autre côté, l’IGA recouvre « la gestion de l’identité numérique et des droits d’accès sur de multiples systèmes » : cycle de vie des identités, gestion des droits, des demandes d’accès, orchestration de worflows, certification des accès, reporting, ou encore analyse.  

En fait, la dissociation apparaît naturelle, de même que le rapprochement de l’AM et de la gestion de la mobilité d’entreprise (EMM), qui s’étend de plus en plus au-delà de la seule administration des terminaux mobiles : il s’agit de contrôler l’accès aux données et aux applications par les utilisateurs, en tenant compte des terminaux qu’ils utilisent.

Le tout récent rachat de Bitium par Google s’inscrit dans cette logique. Mais ce n’est pas le seul cas. Cisco propose ainsi, dans son offre, EMM, avec Meraki, et gestion des accès, avec ISE (Identity Services Engine). Il en va de même pour VMware, avec l’EMM d’Airwatch, et Identity Manager Advanced Edition et Workspace One. Centrify s’est également ouvert à l’EMM. Et c’est sans compter avec Microsoft et IBM.

Et l’évolution va plus loin, avec le contrôle des accès aux applications et services Cloud, via les passerelles d’accès Cloud sécurisé (CASB). En juillet 2016, Frédéric Kerrest, co-fondateur d’Okta, le reconnaissait d’ailleurs : « une grande intégration est en cours, parce qu’accéder à des services Cloud depuis le Web ou un terminal mobile, c’est pareil ». Alors Cisco s’est ainsi offert une pile de CASB, avec CloudLock, en 2016. MobileIron a mis un pied sur le marché des CASB, de même que Microsoft, Oracle avec Palerra, et encore IBM.