Elles sont là, elles sont partout. Elles authentifient des services et des ressources. Elles tiennent des conversations silencieuses. Elles exécutent des tâches et soutiennent les flux de travail. Souvent conçues pour nous ressembler ou se comporter comme nous, elles ne sont pas non plus humaines et ainsi ne déclenchent pas d’alarme et restent confortablement tapies dans l’ombre.
Loin de représenter une menace, les identités non humaines (NHI) ont été un atout pour les entreprises qui évoluent dans un monde en mutation. Dans le contexte actuel marqué par l’évolution et la prolifération des technologies opérationnelles, allant des plateformes infonuagiques à l’IA en passant par l’automatisation et l’intégration du développement et de l’exploitation et l’Internet des objets (IdO), les organisations de consommateurs et de fabrication s’appuient de plus en plus sur des « travailleurs » numériques qui automatisent, rationalisent, livrent la marchandise rapidement et de manière fiable, et favorisent la collaboration et la communication entre les équipes, les opérations et les consommateurs.
Les NHI sont de plus en plus utilisées comme des employés numériques, qu’on parle des comptes de service et des scripts ou encore des interfaces de protocole d’application en passant par les robots et les appareils intelligents. Par exemple, dans les magasins d’alimentation et de détail d’aujourd’hui, les NHI permettent de suivre en temps réel les stocks de plusieurs fournisseurs, de suggérer des produits de substitution, de gérer des listes d’achats personnalisées et de coordonner la logistique de livraison. Pour ce faire, elles doivent disposer d’un accès large et continu aux systèmes et aux données sensibles – souvent plus qu’un utilisateur humain.
Dans l’exploitation des entreprises modernes, les NHI sont à la fois partout et nulle part, du moins en apparence. Or, chaque fois que votre site Web communique avec une passerelle de paiement, que votre application mobile se connecte à une base de données de produits ou que votre moteur d’IA fonctionne, c’est une identité numérique qui est à l’œuvre. Chacune d’entre elles possède ses propres identifiants, clés, jetons ou certificats de connexion qui valident les informations et autorise l’accès à des informations vitales.
Souvent imperceptibles et rarement suivies ou examinées, les NHI peuvent rester actives pendant des années, disposant d’un accès plus large et plus privilégié que la plupart des organisations ne voudraient l’admettre. Lorsque la sécurité est inadéquate, les milliers de points de contact de la NHI créent des angles morts vulnérables et des cibles plus faciles à pénétrer pour les cybercriminels. Il suffit d’une seule compromission, d’une seule ouverture dont l’identité n’est pas sanctionnée ou non détectée – comme une fuite de clé API, un certificat expiré ou un compte dont le mot de passe n’a pas été renouvelé depuis des années – pour ouvrir grand la porte à un accès non autorisé et déclencher une violation de données ou une panne de système. Ce seul incident peut avoir des conséquences graves et durables sur votre réputation et la confiance de vos clients.
Selon une étude récente, le nombre de NHI dépasse désormais de loin celui des utilisateurs humains, soit 50 pour 1. La même étude révèle que 40 % des NHI dans le nuage n’ont pas de propriétaire identifié et que seulement 5,7 % des organisations ont une vision claire de toutes les NHI dans leur environnement2. En se fondant sur ces statistiques, il ne fait aucun doute que les NHI ne sont pas suffisamment observées ou protégées et ont trop de privilèges3.
Qu’il s’agisse de travailler avec une IA styliste pour trouver les vêtements les mieux adaptés à votre morphologie ou à votre couleur, ou de permettre à un robot en arrière-scène de faire le suivi de vos achats, des articles échangés ou disponibles chez un détaillant en ligne, la sécurité contre les intrusions est – et sera toujours – d’une importance capitale.
Les NHI compromises – en particulier les comptes de service – jouent un rôle crucial dans les mouvements latéraux au sein d’un réseau. Les attaquants utilisent ces comptes pour accéder à plusieurs appareils et lancer la charge d’un rançongiciel. Par exemple, un groupe de rançongiciel, appelé Hellcat, a exposé les informations d’identification des NHI d’une entreprise de vente au détail.
Il est donc devenu aussi essentiel de sécuriser vos NHI que de protéger l’accès accordé à vos employés.
Dans un sondage auprès du personnel de direction effectué récemment par SailPoint, 54 % des cadres interrogés ont admis qu’un accès inapproprié accordé à un non-employé ou à un non-humain avait entraîné un grave problème de sécurité, notamment la perte de contrôle des ressources de l’entreprise, la perte de données, la compromission de la propriété intellectuelle ou une violation directe de la sécurité4.
Pour protéger les données et les activités dans l’avenir, il sera essentiel que les NHI soient détectables, étroitement surveillées et gérées de manière sécuritaire. Dans le cas contraire, les conséquences des fuites et des demandes d’extorsion pourraient bien commencer à sembler apocalyptiques.
