DORA et Ping Identity : adapter l'authentification au risque de l'accès

L'article 20(1) impose des politiques et procédures garantissant l'identification et l'authentification uniques des personnes et systèmes accédant aux informations de l'entité financière. Il ne faut cependant pas confondre cette obligation avec l'ensemble de l'article 20 : le paragraphe suivant traite du cycle de vie des identités et comptes, qui relève davantage d'une plateforme IGA telle que Netwrix Identity Manager.

Ping intervient sur la partie authentification et accès. Ses politiques d'authentification permettent de définir comment l'identité doit être vérifiée selon l'application ou le parcours concerné. PingOne supporte notamment des politiques à un ou plusieurs facteurs et permet de combiner ces politiques avec les parcours d'accès des applications.

Prenons le cas de Claire, collaboratrice d'une direction financière qui doit accéder à une application soutenant une fonction importante. Son IGA peut établir qu'elle possède légitimement l'accès à cette application. Au moment où elle cherche à s'y connecter, Ping prend le relais pour vérifier son identité selon la politique d'authentification associée à cette ressource. La gouvernance du droit et l'authentification de la personne sont donc deux contrôles distincts, même s'ils participent au même parcours d'accès.

DORA ne demande pas seulement une authentification forte sur quelques périmètres prédéfinis. L'article 21(f)(i) exige également que les méthodes d'authentification soient proportionnées à la classification des actifs et à leur profil global de risque.

C'est ici que PingOne Protect apporte une réponse plus dynamique. La solution permet de construire des politiques de risque à partir de différents prédicteurs. La documentation Ping cite notamment la réputation de l'adresse IP, les anomalies de géovélocité, l'utilisation d'un nouvel appareil, les comportements inhabituels de l'utilisateur, les anomalies de localisation ou encore certains signaux liés au terminal.

PingOne Protect permet de combiner ces signaux dans une évaluation du risque et d'adapter ensuite le parcours d'authentification. Selon les politiques définies par l'organisation, un niveau de risque plus élevé peut conduire à demander une authentification renforcée ou à refuser l'accès.

Pour Claire, la règle peut donc être différente selon la situation. Une connexion habituelle depuis son équipement connu peut suivre le parcours prévu pour l'application, tandis qu'une tentative provenant d'un nouvel appareil accompagnée d'une anomalie de localisation peut déclencher une authentification supplémentaire ou un refus selon la politique définie. L'accès métier de Claire n'a pas changé : c'est le niveau de confiance accordé à la tentative d'authentification qui est réévalué.

Ping ne couvre pas seul les exigences DORA liées aux identités et aux accès, car plusieurs décisions différentes interviennent avant et après l'authentification. L'IGA gouverne l'identité, son cycle de vie et les droits qu'elle doit posséder ; Ping Identity sécurise l'accès et adapte l'authentification au contexte ; Axiomatics peut prendre une décision d'autorisation beaucoup plus fine sur une action et une ressource données ; un PAM intervient lorsque l'utilisation d'un privilège doit être contrôlée spécifiquement.

Dans le cas de Claire, le parcours devient cohérent : l'IGA établit qu'elle doit pouvoir accéder à l'application Finance, Ping vérifie son identité et détermine le niveau d'authentification nécessaire compte tenu de la criticité et du risque observé, puis les contrôles d'autorisation de l'application décident ce qu'elle peut effectivement y faire. Si Claire utilise ensuite un compte ou une capacité privilégiée, les mécanismes PAM prennent le relais sur ce périmètre.

Ping Identity ne constitue donc pas une « solution DORA ». Sa contribution est plus précise et plus facile à démontrer : mettre en œuvre les contrôles d'authentification demandés par les articles 20(1) et 21(f), en permettant d'adapter le niveau d'assurance au risque de l'accès et d'imposer une authentification forte sur les périmètres qui l'exigent.