De nos jours, près de la moitié des entreprises font appel à des collaborateurs externes. Qu’il s’agisse de prestataires ou d’intérimaires, les entreprises disposent d’une myriade d’identités qui entrent et sortent de leurs réseaux. Cette tendance se traduit par un avantage stratégique pour les entreprises, car elle leur offre la flexibilité nécessaire pour s’adapter rapidement aux évolutions de leur marché tout en disposant de compétences spécialisées à la demande.

Les avantages économiques liés à l’utilisation de collaborateurs externes tels que des freelances sont indéniables. Cependant, cette dépendance croissante vis-à-vis de travailleurs tiers entraîne de nouveaux défis et risques en termes de sécurité. Les entreprises se doivent d’examiner de plus près qui fait partie de leur réseau, sous peine de voir de mauvaises personnes s’infiltrer dans leurs systèmes. Ce « processus de contrôle » démarre avec les RH, qui doivent travailler en étroite collaboration avec les services informatiques afin de vérifier que les personnes sont bien celles qu’elles prétendent être.

Pourtant, même si les RH sont essentielles au processus d’accès, notre étude révèle que 70% des entreprises n’ont pas intégré les ressources humaines à leurs stratégies de sécurité des identités. Cela constitue un manque important dans la protection de leur réseau. Les entreprises doivent faire des RH un acteur et un utilisateur clé dans leurs stratégies de sécurité informatique.

Comment les RH doivent intégrer le paysage de la cybersécurité

Les équipes RH constituent un atout de premier ordre pour contrôler les identités dans une entreprise en raison de leur vue d’ensemble sur le personnel et les intervenants. Que ce soit à travers les processus d’onboarding ou d’offboarding, les équipes RH doivent savoir qui intègre et quitte l’entreprise.

Le plus souvent, il incombe aux équipes RH d’enregistrer les informations des employés dans les systèmes d’organisation internes. De ce fait, elles ont une visibilité sur les informations principales des employés et peuvent s’assurer que les nouveaux arrivants disposent des documents nécessaires pour effectuer leur travail. Cette tâche se complique quand il s’agit d’une tierce partie externe à l’entreprise tels que les freelances ou les intérimaires.

La plupart des collaborateurs externes à l’entreprise y travaillent pour une courte durée. Leurs informations ne sont donc pas toujours enregistrées dans les systèmes d’organisation RH ou dans une quelconque base de données au même titre que les collaborateurs internes. Intégrer ces employés externes dans les systèmes RH peut être un défi en raison des questions de conformité et de sécurité. Cela peut également être onéreux d’investir dans des outils spécialisés qui intègrent, de manière efficace, les spécificités propres aux freelances et intervenants extérieurs. De plus, beaucoup de freelances, prestataires ou intérimaires arrivent dans l’urgence pour pallier un manque de ressources ou de compétences. L’intégration est donc quelque peu précipitée. Il s’en suit des processus peu rigoureux en matière de gestion des accès. Les menaces internes pouvant ainsi passer inaperçues.

Cette situation peut s’avérer particulièrement dangereuse dans des domaines critiques tels que l’industrie de la santé, où les travailleurs contractuels sont nécessaires pour combler le manque de ressources. Dans un processus de gestion des accès précipité, les RH peuvent laisser une porte d’entrée aux cybercriminels pour exploiter des informations sensibles. Pour dépasser cet écueil de la gestion des accès, les équipes RH doivent être intégrées dans le processus et se montrer attentives aux risques que les tierces parties peuvent poser si elles ne sont pas encadrées correctement. La sécurité des identités répond à ce besoin.

Comment les RH et les services informatiques peuvent travailler main dans la main pour renforcer la sécurité

L’un des principaux risques associés aux collaborateurs externes est la possibilité d’avoir un accès non autorisé à des données et systèmes sensibles. Avec un plus grand nombre d’individus ayant besoin d’accéder aux ressources d’une entreprise, la probabilité de compromettre les autorisations d’accès augmente. Des points d’entrée sont ainsi créés pour les cybercriminels qui cherchent à exploiter les faiblesses de l’infrastructure de sécurité d’une entreprise. Pour mieux relever ces défis, les équipes RH et informatiques doivent travailler ensemble afin d’avoir une meilleure visibilité sur les identités dans leur système, pour pouvoir accorder ou limiter les accès si besoin.

Notre étude montre que plus de 30% des identités dans une entreprise ne sont pas correctement traitées par une solution de gestion des identités, avec un écart important lié aux identités tierces. En donnant la priorité à la sécurité de l’identité, les équipes RH devraient disposer de processus clairs et communiquer avec les services informatiques, en partageant les informations et les identités des collaborateurs externes dans l’entreprise. Les services informatiques peuvent ainsi par la suite mettre en place un contrôle des accès plus strict afin de réduire le risque d’accès non autorisé. Les travailleurs contractuels auront, de ce fait, seulement accès à ce qu’ils doivent savoir. En d’autres termes, il s’agit de n’autoriser l’accès qu’aux applications et aux données nécessaires au moment adéquat.

De plus, les départements RH et informatiques doivent se doter de processus automatisés pour la surveillance et la revue des accès, en complément de mesures de prévention et de contrôles a priori. Par exemple, les équipes RH devraient d’abord évaluer les pratiques de des travailleurs contractuels et des prestataires de services tiers en termes de cybersécurité avant d’autoriser l’accès à leurs systèmes. En procédant à des vérifications supplémentaires sur le parcours des personnes, leurs habilitations de sécurité ou leurs certifications dans le cadre du processus de vérification préalable, les organisations peuvent mieux se protéger contre les attaques.

Renforcer l’arsenal de défense grâce au machine learning et l’intelligence artificielle

Dans un environnement de plus en plus digitalisé, les entreprises sont confrontées à la difficile tâche de gérer une croissance significative de l’ordre de 13% des identités sur les 3 à 5 années à venir, que ce soient des employés, des tierces parties ou des contractuels. La gestion des identités traditionnelle ou manuelle sera donc insuffisante.

Pour faire face à l’explosion des identités, les entreprises auront besoin de moyens plus performants pour gérer les identités, tels que l’exploitation d’une solution de gestion des identités utilisant l’IA et le machine learning pour une détection avancée des menaces. Avec ces fonctionnalités intégrées au cœur d’une solution de sécurité des identités, les entreprises peuvent analyser une quantité importante de données pour détecter les situations représentant de potentielles menaces. Ces solutions permettent l’automatisation intelligente des autorisations d’accès pour s’assurer que les travailleurs contractuels n’ont accès qu’aux ressources dont ils ont besoin pour leur fonction actuelle. Cette technologie peut également aider les ressources humaines en réduisant le travail manuel nécessaire au retrait des privilèges d’accès lorsqu’ils ne sont plus nécessaires, par exemple lorsqu’un contrat se termine ou que les missions du collaborateur évoluent. Les entreprises peuvent ainsi réagir plus rapidement et plus efficacement aux risques émergents, ce qui contribue à prévenir les failles et autres incidents de sécurité.

En s’intéressant de plus près à la gestion des accès des collaborateurs externes, les équipes RH jouent un rôle crucial auprès des équipes informatiques en les aidant à identifier les personnes présentes dans l’entreprise et par extension à gérer et supprimer leurs accès en conséquence. À l’avenir, ce n’est qu’en intégrant des capacités avancées et intelligentes de gestion des identités et de détection des menaces, tout en surveillant en permanence l’activité liée aux accès informatiques, que les entreprises seront armées pour affronter l’avenir.

Par conséquent, les entreprises bien équipées pour faire face aux menaces liées à l’évolution de leur personnel seront réellement capables de se développer et résister à l’épreuve du temps à tous les égards – avec les ressources internes et externes adéquates afin de relever les nouveaux défis, et des défenses suffisantes pour garantir leur succès.

Par Jonathan Gosseilin