Intégration PAM-ITSM : quelles bonnes pratiques doivent être appliquées ?

Selon le cabinet Forrester, 80 % des brèches de sécurité impliquent des informations d’identification de comptes à privilèges compromis. Et cette compromission peut avoir un impact fort sur l’activité d’une entreprise. L’intégration d’un système de gestion des comptes à privilèges – PAM (Privileged Access Management) – à une solution de gestion des services IT – ITSM (Information Technology Service Management) – permet de limiter les risques. Elle permet de retenir la notion d’approbation pour éviter que des personnes (même autorisées) ne se connectent à des machines sans raison. Elle permet également d’assurer une traçabilité de la gestion des interventions de bout en bout. Ces principes de zero trust et de moindre privilège couplés au système de gestion des incidents ITSM sécurisent fortement les actifs sensibles des entreprises en fermant la porte aux attaques et garantissent la conformité aux réglementations en matière de cybersécurité.

Intégration PAM et outil ITSM : Une gestion des incidents en mode Just in time (JIT)

La gestion des accès à privilèges ou Privileged Access Management (PAM) est un sous-ensemble de l’IAM (Identity Access Management) qui se concentre exclusivement sur la protection des comptes et des accès à privilèges. Elle s’inscrit dans la stratégie de cybersécurité globale visant à contrôler, surveiller, sécuriser et auditer tous les comptes à privilèges dans l’environnement informatique ou industriel d’une entreprise. Elle permet de suivre précisément qui accède aux ressources, à quel moment et de contrôler ensuite les niveaux de privilèges de ses utilisateurs. Trois processus essentiels concourent à cette fin : l’identification, l’authentification et l’autorisation.

Les outils de gestion de Services IT (ITSM) sont des suites de solutions qui intègrent des systèmes de gestion de workflows assurant le traitement des incidents, des demandes de service et/ou des changements de configurations. Cette suite d’outils comprend également une base de données répertoriant et garantissant l’ensemble des configurations déployées sur les assets de l’entreprise – CMDB (Configuration Management DataBase).

Ces deux solutions sont donc très utiles indépendamment l’une de l’autre, mais c’est leur étroite intégration qui permet d’élever le niveau de sécurité. Ainsi, leur intégration permet de tracer les actions sur des machines en accordant l’accès à une cible directement via un ticket en mode Just in Time. Pour chaque intervention, un collaborateur doit justifier sa demande de connexion à une cible pour obtenir une autorisation à s’y connecter pendant une période définie. La sécurité des accès est par la même renforcée et tracée de bout en bout.

Intégration PAM et outil ITSM : une meilleure corrélation des informations

Si les solutions PAM couplée à des solutions IdaaS permettent de gérer les identités, les accès, et les mots de passe des comptes à privilèges, comment répertorier les accès aux cibles et le détail des interventions ?
Dans de nombreuses entreprises, on peut constater l’isolement des solutions d’ITSM et PAM. D’un côté, l’outil ITSM constate l’incident et répertorie les demandes d’interventions ou les demandes de création de nouveaux services et, de l’autre, la solution PAM se concentre sur les personnes identifiées et autorisées à travailler sur ces demandes.

Leur fonctionnement en silo, l’absence d’une intégration ITSM/PAM ne permet pas de valider, de justifier les interventions et complexifie l’analyse après incident, par manque de traces et de preuves.

Toutes les requêtes faites dans la solution PAM doivent donc être liées à celles également enregistrées et intégrées dans la solution ITSM. Grâce à l’interaction de ces deux solutions, toutes les demandes d’actions sont ainsi déclarées et auditables à partir de l’ITSM. Cette politique permet d’utiliser les capacités de la solution PAM, de type WALLIX Bastion PAM4ALL, à tracer les événements et à autoriser les personnes qui vont exécuter l’ordre d’intervention, mais aussi les personnes qui ont autorisé cette opération, ainsi que la motivation de cette dernière.

En cas d’audit suite à un incident, ou d’audit de conformité, il est alors possible de corréler les informations liées à l’évènement et aux actions réalisées à travers le numéro de ticket enregistré dans l’outil ITSM. Des auditeurs peuvent ainsi relier une session exécutée et comprendre le bien-fondé (ou non) de la demande initiale.

Pour que cette politique soit efficace, il est donc recommandé que le PAM et l’ITSM disposent tous les deux d’une liste synchronisée d’assets.

Cohérence entre ITSM, CMDB et PAM : une protection supplémentaire

Cette parfaite synchronisation entre la base de données de gestion de configuration – CMDB – du système ITSM et la solution PAM déployée s’avère très utile lors d’une analyse après incident pour s’appuyer sur des traces et des preuves.

Elle permet en effet d’identifier plus facilement un accès frauduleux à une cible, notamment lorsque les intervenants sont externalisés. Les sessions à distance doivent intégrer le même niveau de contrôle, d’approbation, de suivi et de surveillance que les sessions internes et la correspondance entre la CMDB et les cibles déclarées dans la solution PAM rajoute donc une protection supplémentaire. Grace au provisioning mis en place dans la solution PAM et lié à la CMDB, il est alors possible de vérifier qu’un utilisateur identifié et autorisé essaie bien de se connecter à la cible précisée dans le ticket qui a été ouvert précédemment dans l’ITSM.

Cette cohérence entre CMDB, ITSM et PAM peut se faire en différentes étapes en fonction du niveau d’intégration que l’entreprise souhaite mettre en place :

• Un premier niveau d’intégration peut se faire entre le système de ticketing de l’ITSM et le workflow d’approbation du Bastion de PAM4ALL. L’objectif est, dans ce cas, d’établir le lien grâce à un script dédié qui peut s’adapter automatiquement aux différents types de workflows coté ITSM. En effet, ceux-ci pouvant être différents s’il s’agit d’une résolution d’incident ou d’une création de service, les workflows d’approbation coté PAM doivent tenir compte de cette différenciation. Selon leur configuration, les approbations peuvent également être automatiques ou manuelles, avec des prises en charge d’autorisations dynamiques.
• Il est également possible d’établir un deuxième niveau d’intégration renforcée entre la CMDB et le PAM au niveau des ressources avec des appels API depuis la solution de PAM. Dans ce cas, le provisioning du Bastion peut se faire en lien avec la CMDB. Ce niveau d’intégration permet d’ajouter un niveau de protection supplémentaire, par exemple en vérifiant que la personne qui demande une approbation renseigne bien, un ticket coté ITSM qui concerne la même cible que celle à laquelle il souhaite avoir accès à travers le Bastion.

Les solutions ITSM et PAM étant, nous venons de le voir, hautement configurables par les entreprises, il est nécessaire de construire un projet d’intégration en fonction des objectifs stratégiques de chaque organisation : une intégration ITSM/PAM standardisée n’existe pas en tant que telle.Chaque entreprise doit lister ses besoins en termes de priorité, déterminer ce qui est envisageable dans le cadre de sa politique de cybersécurité, personnaliser ses paramétrages d’autorisations ou d’interdictions, définir les automatisations souhaitées, adapter ses workflows d’approbation ou de délégation IT et métiers, et surtout ne pas négliger l’expérience des utilisateurs.

Chaque intégration doit donc impliquer en amont, les équipes gérant l’ITSM, celles gérant la solution PAM et, souvent, l’équipe devops qui intervient sur les scripts.

Intégrer vos solutions PAM et ITSM, une bonne pratique

Le déploiement d’une solution de gestion des accès à privilèges (PAM) permet une surveillance robuste de ces accès à privilèges aux infrastructures informatiques critiques. Pour réduire les temps d’analyse et de recherche des équipes IT et de sécurité, une intégration pertinente avec une solution ITSM peut faciliter la tâche en faisant le lien avec la gestion des incidents ou la demande de création de service. Il devient en effet possible de corréler les nécessités d’intervention avec les interventions elle-même.
La vision d’une action est ainsi complète, de la demande initiale lors de la création du ticket dans l’outil ITSM en passant par le workflow d’approbation, jusqu’au rapport de traitement des incidents et à la trace vidéo fournis par la solution PAM : Un élément clef en cas d’audit et dans le cadre de la conformité réglementaire.