Natixis prépare le renforcement de la traçabilité des identités

Miser sur les utilisateurs 

Michel Wurtz souligne l’attention portée aux utilisateurs finaux : «l’objectif est que l’outil soit accepté par les utilisateurs.» Dès lors, l’ergonomie a été définie comme l’un des critères les plus importants pour le choix de la solution : «nous avons confronté des utilisateurs aux différents outils sélectionnés et ce sont eux qui ont fait le proof of concept.» En clair : l’expérience de six utilisateurs, sur deux jours, a piloté le choix de l’outil. Et c’est une solution Dell Software (anciennement Quest) qui a finalement été retenue. Et tant pis si cela a nécessité le développement d’un connecteur spécifique avec Tivoli Identity Manager, l’outil de privisioning principal du groupe, avec lequel les systèmes de production ont une «forte adhérence.» A cela se sont ajoutées des briques de gestion des habilitations, de recertification, et une autre de «création de valeur ajoutée pour le correspondant de sécurité logique» pour la gestion du modèle d’habilitation «qui lui ne sera plus là pour donner les droits aux personnes mais pour aider le métier à modéliser le profil de ses utilisateurs.» 

Un apprentissage laborieux 

Si le projet apparaît essentiel tant sur le plan de la sécurité pure que de la conformité - une entité dont relève Michel Wurtz -, il n’a pas été sans difficultés : «on a eu plusieurs échecs», reconnaît le responsable de maîtrise d’ouvrage sécurité. Et de relever un premier écueil : «on s’y prenait tantôt par l’outil informatique» ou par les workflows mais «ça n’a jamais vraiment fonctionné; nous avions des problèmes de déploiement.» Pas question d’abandonner pour autant ni de chercher à aller trop vite : «on a tout posé et laissé murir pendant environ un an.» Et de construire une équipe spécifique en maîtrise d’ouvrage, chargée notamment de la conduite du changement. Et donc, de miser sur les utilisateurs. 

Fort de son expérience, Michel Wurtz identifie un premier point clé - «facile à dire, pas facile à faire,» reconnaît-il : «bien choisir son pilote.» Et cela veut dire ne pas retenir, selon lui, une entité trop petite car l’expérience risque de souffrir d’un manque de reconnaissance. Ni une entité trop grande car ce serait trop difficile... «Il n’y a pas de recette miracle pour un bon pilote.» Une entité trop mature peut également s’avérer problématique, du fait d’une confiance trop grande dans le modèle existant. Et «s’il n’y a rien, c’est très chronophage.» Bref, le pilote doit être choisi en fonction de la capacité des utilisateurs à être... «volontaires.» Surtout, il faut trouver les bons sponsors pour le projet. Dans le cas de Natixis, «ce qui ne bouge pas, c’est l’inspection générale.» Un sponsor stable dans le temps et auquel personne ne peut dire non. Une clé en or.