Rob Ainscough 00:00:00
Quelle est une vérité difficile à accepter ?
Eve Maler 00:00:01
Le contrôle d'accès basé sur l'intention ne se résume pas à une simple amélioration de l'autorisation. Si l'on considère l'identité comme une infrastructure, on atteint rapidement ses limites en la gérant par tickets ou uniquement par incidents. Ces approches ont leurs limites en termes d'efficacité.
Eve Maler 00:00:16
Donc, quand on parle d'authentification unique, pour les spécialistes de la sécurité, c'est un moyen de généraliser l'authentification forte. Pour les spécialistes du marketing, c'est un moyen de permettre aux clients d'accéder plus facilement et plus rapidement aux produits que vous souhaitez vendre. Oui… la même technologie, des objectifs commerciaux complètement différents.
Eve Maler 00:00:33
Protection, personnalisation, paiement et relations humaines. Gestion des risques, du marché, des transactions et des relations humaines. C'est généralement ce dernier aspect qui nous pose problème.
Rob Ainscough 00:00:43
Convenu.
Roy Akerman 00:00:43
L'identité n'est pas seulement un problème opérationnel, c'est aussi un problème de sécurité, et la plupart des équipes le découvrent en temps réel.
Rob Ainscough 00:00:50
Voici le podcast où nous décryptons la notion de sécurité d'identité, en partageant des conversations franches sur les personnes qui construisent, corrigent et repensent la sécurité d'identité de l'intérieur.
Roy Akerman 00:01:00
Je suis Roi Ackerman.
Rob Ainscough 00:01:01
Et je suis Rob Ainscough.
Roy Akerman 00:01:02
Plongeons dedans.
Rob Ainscough 00:01:04
Faisons le.
Rob Ainscough 00:01:10
Salut à tous ! Troisième jour d'Identiverse, et nous accueillons aujourd'hui Eve Maler. Salut Eve, comment vas-tu ?
Eve Maler 00:01:16
Je vais très bien, merci.
Rob Ainscough 00:01:17
Très bien. Donc, co-inventeur de SAML, directeur technique chez ForgeRock, et maintenant fondateur de The Ven Factory… Eh oui… il élabore des stratégies produits irrésistibles dans le domaine de l’identité.
Eve Maler 00:01:28
Oui. Génial. J'adore ce mot, irrésistible. Qui ne l'aime pas ?
Rob Ainscough 00:01:31
toi, tu as vraiment
Eve Maler 00:01:32
vu
Rob Ainscough 00:01:32
it
Eve Maler 00:01:32
Tout le monde. Et puis, qui n'aime pas les diagrammes de Venn ?
Rob Ainscough 00:01:33
On a parlé de diagrammes de Venn la semaine dernière… Oui, c'est vrai… lors de notre rencontre. J'adore ça. On va essayer d'en créer un nouveau aujourd'hui. On va donc aborder un sujet vraiment intéressant, je pense, important et d'actualité. Ces 10 ou 15 dernières années, on a constaté une évolution notable de la gestion des identités : d'une question de conformité et de soutien aux activités de l'entreprise, on est passé à une question de sécurité. Et cette évolution a engendré de nouvelles exigences pour les responsables et les équipes en charge des identités : comment communiquer sur ce sujet ? Comment expliquer pourquoi c'est important, comment obtenir les financements nécessaires pour atteindre les objectifs et, au final, garantir la sécurité ?
Eve Maler 00:02:07
Absolument.
Rob Ainscough 00:02:08
Euh, c'est le sujet de votre nouveau livre.
Eve Maler 00:02:10
Oui.
Rob Ainscough 00:02:10
C'est génial ! On en a un exemplaire ici. Roi en a un aussi. Oh, tu vas le montrer ? Il le garde toujours sur lui maintenant. Je l'ai déjà lu. Il le garde toujours sur lui.
Roy Akerman 00:02:14
Je l'ai lu avec lui. Moi, j'ai lu la version Kindle… mais j'ai eu mon propre exemplaire dédicacé.
Rob Ainscough 00:02:18
Oui. Voilà. Voilà. Donc, nous allons aborder certains des thèmes que vous avez relevés dans le livre, notamment la façon dont nous considérons l'identité comme un produit, comment en parler au conseil d'administration… et, au final, atteindre nos objectifs.
Roy Akerman 00:02:29
Yep.
Rob Ainscough 00:02:29
Bon son?
Roy Akerman 00:02:30
Ça a l'air génial.
Rob Ainscough 00:02:31
Très bien. Roi le fera.
Roy Akerman 00:02:32
la douleur d'expliquer et de gérer cette douleur,
Rob Ainscough 00:02:34
N'est-ce pas ? Oui. Et, voyez-vous, nous le constatons, je le constate, et je suis sûr que vous aussi, Roi, lorsque vous discutez avec des professionnels sur des plateformes comme Identiverse, c'est un sujet brûlant en ce moment. Je sais que beaucoup d'entreprises et de professionnels ont du mal à communiquer sur ce sujet, à expliquer ce que cela signifie et quelle est sa valeur.
Eve Maler 00:02:54
Je crois que c'est une chose que j'ai découverte en discutant avec les gens lors de mes recherches pour le livre : il existe une sorte de plafond que l'on atteint lorsqu'on considère l'identité comme une infrastructure, qu'on la gère par tickets ou uniquement par incidents, du point de vue de la sécurité. Ces approches ont leurs limites quant à leur efficacité, et souvent, on peut entrevoir des possibilités d'amélioration de l'expérience utilisateur. Oui… parfois, je vois cela comme une vulnérabilité en matière d'UX, si vous voulez.
Rob Ainscough 00:03:21
Convenu.
Eve Maler 00:03:21
Et donc, euh, j'aime l'idée de ne faire aucun compromis. C'est un peu mon objectif. Et pour y parvenir, il faut penser comme un responsable produit.
Roy Akerman 00:03:29
Oui. Je suis donc très enthousiaste à l'idée de cette discussion. Et, euh, avec votre permission, je vais vous proposer un peu de structure, d'accord ? Oui. Euh, et je pense que, vous savez, tout commence par un état des lieux. L'identité reste un domaine un peu chaotique. On la construit petit à petit, au gré des avancées technologiques. Et c'est intéressant de comprendre, en tant que co-inventeur de SAML, comment on en est arrivé là. Ensuite, je pense qu'il y a un déséquilibre entre l'identité comme outil de sécurité, ou comme terrain d'expérimentation en matière de sécurité, et l'identité comme levier de croissance pour l'entreprise. Mm-hmm… l'identité comme composante essentielle de l'entreprise.
Eve Maler 00:04:04
Mm-hmm.
Roy Akerman 00:04:04
Euh, et ensuite nous pourrons parler d'avenir et peut-être de quelques cadres qui nous aideront à naviguer dans ce bouleversement incroyable que l'IA apporte au monde, n'est-ce pas ?
Eve Maler 00:04:12
Changement radical, en effet.
Roy Akerman 00:04:13
Super. Alors, on est d'accord sur le plan ? C'est parti !
Eve Maler 00:04:16
Allons-y. Allons-y. Nous sommes prêts.
Roy Akerman 00:04:16
conseil d'administration. Ouais. Fais-le.
Eve Maler 00:04:17
Nous y sommes. D'accord. J'ai l'impression que nous pourrions faire des fouilles archéologiques, en fait, pour découvrir… comment l'identité s'est progressivement développée pour devenir cette chose complexe que nous connaissons aujourd'hui.
Roy Akerman 00:04:26
Oui.
Eve Maler 00:04:26
Ce à quoi je réfléchis, c'est que, pour le livre et en me basant sur mon expérience en matière d'identité, j'ai commencé à recenser les responsabilités liées à l'identité au sein de l'organisation. Et le plus étonnant, c'est que c'est un peu partout. On pense par exemple au RSSI (Responsable de la sécurité des systèmes d'information). C'est un rôle assez naturel, surtout pour l'identité des employés. Pour l'identité des clients, c'est beaucoup plus variable.
Rob Ainscough 00:04:48
Droite.
Eve Maler 00:04:49
Euh, mais même dans ce cas, les effectifs pourraient dépendre du DSI, au sein d'un service informatique partagé. C'est vrai. Mais j'ai vu, même dans une banque, que l'identité client était gérée par le marketing, vous voyez ? Pourquoi ? C'est un peu l'impression que j'ai eue. Pourquoi ?
Roy Akerman 00:05:04
Je comprends. Vous avez besoin de données… enfin… pour vendre les nouvelles offres.
Eve Maler 00:05:07
Et d'autres choses encore, n'est-ce pas ? C'est le petit secret honteux. Oui. Donc, quand on parle d'authentification unique, vous savez, en tant que spécialiste SAML, etc., j'ai passé beaucoup de temps à parler et à expliquer l'authentification unique aux gens.
Rob Ainscough 00:05:15
Droite.
Eve Maler 00:05:16
Mais j'ai appris, il m'a fallu du temps pour apprendre, que cela signifie différentes choses pour différentes personnes.
Rob Ainscough 00:05:20
Droite.
Eve Maler 00:05:21
Donc, pour les professionnels de la sécurité, cela signifie un moyen de généraliser une authentification plus forte à un plus grand nombre de vos milliers d'applications, peut-être internes.
Rob Ainscough 00:05:28
Oui.
Eve Maler 00:05:29
Si vous travaillez dans le marketing ou le développement produit (car aujourd'hui, toutes les entreprises proposent des produits numériques et toutes les entreprises sont des entreprises technologiques), vous voyez cela comme un moyen de permettre aux gens d'accéder plus facilement et plus rapidement aux produits que vous souhaitez qu'ils achètent, et de personnaliser leur expérience. L'authentification unique utilise la même technologie, mais à des fins commerciales totalement différentes.
Rob Ainscough 00:05:50
Et je pense que cela implique différentes approches de l'expérience utilisateur, n'est-ce pas ? Oui. Du point de vue des employés, vous savez, j'ai travaillé dans ce domaine, et c'est très binaire. C'est du genre : « Tu vas faire ça », pas vrai ? Oui. Parce que c'est comme ça que ça fonctionne, et c'est ce dont nous avons besoin.
Eve Maler 00:06:03
Mm-hmm. Mm-hmm.
Rob Ainscough 00:06:04
Dans le monde de la consommation, on a beaucoup plus l'impression que c'est du genre : « D'accord, on va vous embarquer dans cette aventure, et puis, au moment où il faudra vous faire passer à l'étape supérieure et en faire plus – oui, et mieux vous connaître. »
Eve Maler 00:06:14
Vous avez, vous avez
Rob Ainscough 00:06:14
à
Eve Maler 00:06:14
be
Rob Ainscough 00:06:15
agréable
Eve Maler 00:06:16
avec eux, parce que… Il faut être gentil et
Rob Ainscough 00:06:17
C'est gentil, non ? … Vous n'êtes pas le patron.
Eve Maler 00:06:17
C'est la vérité. On peut vraiment maltraiter ses employés, et on ne devrait pas le faire. C'est d'ailleurs une des choses qui m'a poussé à envisager d'écrire un livre…
Rob Ainscough 00:06:26
Bien sur
Eve Maler 00:06:26
Des années auparavant, j'avais appris que certains des leaders les plus expérimentés en matière d'identité… euh… effectuaient en fait des tests A/B lors de la conception des parcours d'authentification.
Roy Akerman 00:06:35
Droit,
Eve Maler 00:06:36
Exactement… même pour leurs employés. C'est vrai. Et je me dis : « Waouh, j'aimerais bien travailler pour votre entreprise. » C'est possible, et quand on pense aux gains de productivité… et à la fidélisation des employés, qui peuvent aussi partir, à terme. Oui. Il y a donc beaucoup d'avantages à en retirer, et on commence à adopter cette mentalité sans compromis… C'est vrai… et j'adore ça.
Roy Akerman 00:06:57
Donc, il s'agit de plusieurs produits, euh, à la fois, pour la même entité que nous appelons identité. Oui. C'est bien ça ?
Eve Maler 00:07:03
Oui.
Rob Ainscough 00:07:03
Oui. Enfin, j'ai une petite anecdote assez amusante qui, je pense, résume bien où on en est, pas vrai ? Oui. J'étais à un dîner, je ne me souviens plus si j'ai déjà raconté cette histoire dans le podcast. J'espère que non. On n'en a enregistré qu'une dizaine. Donc, j'étais à un dîner, et on parlait de PAM, c'était un dîner du secteur financier. Et l'un d'eux a dit : « Je n'ai pas de coffre-fort. » Et un autre était incrédule. « Comment ça, vous n'avez pas de coffre-fort ? Vous êtes dans un secteur réglementé, quand même ! Comment est-ce possible ? » Oui. Il a répondu : « Non, non, non. Je n'ai pas de coffre-fort. J'ai tout un système de contournement. » Oui.
Roy Akerman 00:07:36
Bien.
Rob Ainscough 00:07:37
Droite?
Roy Akerman 00:07:37
Oui.
Rob Ainscough 00:07:37
Et je pense que cela s'applique aussi à la question de l'identité.
Eve Maler 00:07:40
Oui
Rob Ainscough 00:07:40
C'est comme ça que je vois les choses. Il y a plein de solutions de contournement et de trucs qui se sont développés au fil des ans… Ouais… qui font plus ou moins ce qu'on attend d'eux, mais en fait non, et, vous savez, on a… Vous avez dit ça ?
Eve Maler 00:07:49
fièrement, ou était-ce lui ?
Rob Ainscough 00:07:50
Avouer quelque chose ? Euh, il avait bu quelques verres de vin. Oui. Je dois dire qu'à ce moment-là, alors… Oh là là. C'est comme ça que ça…
Eve Maler 00:07:53
Boite
Rob Ainscough 00:07:54
honnêtement
Eve Maler 00:07:54
Sortez-vous. Je veux dire, j'ai entendu des histoires similaires sur la façon dont, vous savez, dans le contrôle d'accès basé sur les rôles, vous avez énormément de solutions de fortune et, genre... Ouais... l'explosion des rôles est la preuve... Ouais... à quel point il est difficile d'avoir une vision claire.
Rob Ainscough 00:08:06
Oui.
Eve Maler 00:08:06
Du coup, on trouve des solutions de contournement partout : « Bon, il s’avère que cette personne avait besoin d’un accès pour quelque chose, et c’était probablement temporaire… » « Oui… mais on ne l’a pas considéré comme temporaire. »
Rob Ainscough 00:08:14
maintenant
Eve Maler 00:08:15
C'est ancré. Et une fois que c'est ancré, pour s'en débarrasser, il faut… Une des choses que j'ai apprises, c'est à penser comme un chef de produit, à écouter le client et à identifier ses difficultés. Oui. Parce qu'ils y étaient tellement attachés, non pas par amour, mais parce qu'ils ne savaient littéralement pas comment s'en défaire. Et si vous pouvez être celui qui résout ce problème… D'accord… travailler sur ce qui ressemblait à une infrastructure d'identité auparavant… vous devenez leur héros. Oui. D'accord. C'est une bien meilleure position, bien plus satisfaisante.
Roy Akerman 00:08:40
Je commence à comprendre d'où vient ce bazar. D'un côté, il faut connecter plein de choses, n'est-ce pas ? Et il y a SAML et d'autres technologies ou protocoles qui permettent de le faire. Mais ensuite, la demande, euh, d'identité à service… pour tellement d'usages, c'est comme si on la répartissait dans tellement de domaines qu'il est difficile de trouver une solution, pas vrai ? Oui.
Rob Ainscough 00:09:00
Oui, et je pense que pour moi, plus que toute autre discipline en cybersécurité – car je considère évidemment cela comme une discipline de sécurité –, il s'agit avant tout de personnes. Il s'agit de personnes qui font leur travail. Et, pour répondre à votre question : oui, la peur de perdre l'accès à un compte est très présente.
Eve Maler 00:09:13
Oui.
Rob Ainscough 00:09:14
Pourrai-je faire mon travail correctement ? Et c’est un exercice d’équilibriste très difficile, n’est-ce pas ? Oui… entre sécurité, facilité d’utilisation, expérience utilisateur, produit, n’est-ce pas ?
Eve Maler 00:09:22
J'ai une théorie là-dessus, en fait. Continue. On parle souvent de la suppression des privilèges d'accès comme du nouveau Graal. C'est vrai. Et ça a l'air génial. Si on réfléchit à comment y parvenir, le plus gros problème n'est pas tant de supprimer l'accès, même si c'est un problème majeur… car chaque application aura une sémantique différente. Bien sûr. Le plus gros problème, c'est de trouver comment donner accès aux utilisateurs de manière fluide et rapide quand ils en ont besoin. Et si on résout ce problème… Je suis d'accord… Prenons l'exemple de l'iPhone 5S… Oui… qui a ajouté Touch ID, c'était très intéressant car il s'agissait d'une version plus souple, plus tolérante aux faux positifs, de la reconnaissance d'empreintes digitales. Oui. Oui. Mmm. Mais cela a créé une sorte de mécanisme de sécurité grégaire… Oui, si vous voulez, car il est devenu si facile de déverrouiller son téléphone… Oui… on pouvait alors être tenté de le verrouiller. Je suis d'accord. Et on est passé d'environ 50 % de personnes verrouillant leur téléphone à, disons, 99 %. Oui. C'est donc un excellent exemple de la façon dont simplifier l'ajout d'autorisations permet de limiter l'accès et d'appliquer le principe du moindre privilège.
Rob Ainscough 00:10:27
Oui.
Eve Maler 00:10:27
Alors j'attends le jour où on sera vraiment bons pour donner accès aux gens sur le moment, et qu'ils acceptent que cet accès disparaisse quand ils partent. Oh. A
Rob Ainscough 00:10:36
On a eu une discussion vraiment intéressante il y a quelques semaines à l'EIC, pas vrai ? On a fait un super petit-déjeuner organisé par Identity Underground. Un groupe génial. Oui. Une discussion vraiment intéressante à laquelle tu as participé. Oh, c'était génial. Tellement bien. On a en quelque sorte constaté un consensus autour de cette idée : au lieu de gérer tous ces accès, et si c'était simplement disponible quand on en a besoin ?
Roy Akerman 00:10:56
Mm-hmm.
Rob Ainscough 00:10:56
Oui. Et nous avons pris cette décision à ce moment-là.
Roy Akerman 00:10:58
Je sens l'odeur des agents par ici, pas vrai ?
Rob Ainscough 00:11:01
C'était une discussion animée. Ah,
Roy Akerman 00:11:03
Ouais.
Rob Ainscough 00:11:03
Euh, mais c'est là qu'il y a eu ce large consensus autour de ça, et c'était principalement pour... Oui... cette perspective UX et le fait de la considérer comme un produit... Mm-hmm... et comment se débarrasser de tout le bagage accumulé au fil des ans pour aller vers quelque chose de nouveau et de différent ? C'était une perspective vraiment intéressante.
Roy Akerman 00:11:17
Alors maintenant, le phénomène s'est accéléré, et pourtant, nous avons toujours l'impression que notre identité traverse une crise, n'est-ce pas ? Oui. Il y a un problème non résolu, et… Oui… euh, euh, nombre de dirigeants avec qui je m'entretiens lors de cette conférence disent ne pas savoir quelle direction prendre pour la prochaine étape, n'est-ce pas ? Oui. Alors, peut-être un instant… Nous avons donc de multiples identités à concilier. Comment décririez-vous la situation actuelle dans la plupart des organisations que vous conseillez, que vous visitez ou avec lesquelles vous échangez ?
Eve Maler 00:11:47
Oui. Euh, je vois ça comme une opportunité. Oui. On ne sait même pas quelles innovations on va voir, parce que maintenant, n'importe qui peut plus ou moins faire office de chef de produit. Mais il y a eu une sorte de discussion en coulisses chez Identiverse entre certains, je ne sais pas, des gens un peu sarcastiques… Oui… euh, on parlait du fait que maintenant, tout le monde peut créer une application. C'est ça. Et je gère ça en ce moment dans mon entreprise parce que, vous savez, ils pensent savoir de quoi ils parlent… Oui… et ils créent quelque chose qui est, vous savez, assez loin du compte… en termes de tout ce que vous voulez, si vous voulez. Mais en fait, ça m'enthousiasme parce que maintenant… Les chefs de produit, les vrais chefs de produit, qui avaient besoin de décrire ce qu'ils voulaient à quelqu'un et d'utiliser peut-être Figma… Mm. Oui… et faire une simulation et, vous savez, essayer de faire comprendre quel manque sur le marché ils tentent de combler.
Rob Ainscough 00:12:34
Droite.
Eve Maler 00:12:35
Et on peut aussi l'interpréter métaphoriquement… Hm… avec ma conception de l'identité comme un produit, disons qu'il y a un utilisateur final pour lequel nous devons résoudre un problème complexe. C'est une sorte de créneau à exploiter. Avec cet état d'esprit, on peut accomplir des choses extraordinaires. En comprenant vraiment le problème et en essayant quelque chose, on part au moins d'une base plus solide qu'une simple ébauche. Oui. Et la personne qui a l'idée commence à se heurter à de plus en plus de difficultés…
Rob Ainscough 00:12:59
Droite …
Eve Maler 00:13:00
et les véritables compromis que vous devez faire en matière de conception de produits.
Rob Ainscough 00:13:01
Droite.
Eve Maler 00:13:02
Je pense donc que c'est une période formidable où nous allons voir apparaître de nombreuses solutions ingénieuses, tant dans le domaine de la cryptographie – notamment pour l'orchestration et l'assemblage de différents éléments – que dans celui des agents. L'intégration de l'humain dans le processus est un véritable défi en matière d'expérience utilisateur. Vous n'avez peut-être pas de session ouverte au moment où vous devez être intégré au processus. C'est ce que j'appelle la politique « Demandez-moi ».
Rob Ainscough 00:13:28
Droite …
Eve Maler 00:13:28
c'est un point crucial qu'il faut absolument bien maîtriser.
Rob Ainscough 00:13:30
Droite.
Eve Maler 00:13:31
Et il faut vraiment se demander : pourquoi est-ce que ça intéresse quelqu'un ?
Rob Ainscough 00:13:34
Mm.
Eve Maler 00:13:34
Et comment l'intégrer à leur quotidien ? Exactement. Ce sont des choses auxquelles l'identité vous amène inévitablement… Oui… à faire ce que vous faites.
Roy Akerman 00:13:41
Tout à fait d'accord. C'est vraiment passionnant. Rob, en tant que responsable de la gestion des identités, je pense qu'il y a énormément d'opportunités et de besoins. On attend encore que certaines choses soient résolues. Comment faire passer cette discussion à l'étape suivante ? Comment communiquer avec les dirigeants des entreprises, non seulement pour justifier le budget, mais aussi pour intégrer les solutions d'identité dans l'ensemble de l'environnement de l'entreprise ? Comment leur faire comprendre cela ? Ce ne sont pas des techniciens. Ils sont orientés résultats. Ce sont des gestionnaires de risques. Comment, lorsqu'on est au niveau de la direction, maintenir le dialogue ? Comment construire un cadre ? Comment le faire perdurer ? Sans oublier les conseils d'administration, qu'il faudra convaincre.
Rob Ainscough 00:14:19
Ça. Je veux dire, on pourrait peut-être aborder la question du conseil d'administration… Oui… comme prochaine étape. Oui. Mais, vous savez, comme vous l'avez dit, la question de l'identité est loin d'être réglée… Oui, au sein de l'organisation.
Eve Maler 00:14:30
Yep.
Rob Ainscough 00:14:30
N'est-ce pas ? Mais si vous êtes sous la responsabilité du RSSI, vous pouvez être sûr que le DSI vous parle d'UX sans arrêt, n'est-ce pas ? C'est certain.
Roy Akerman 00:14:39
Je veux dire-
Rob Ainscough 00:14:39
C'est en tout cas ce que j'ai vécu.
Roy Akerman 00:14:41
D'accord… une implication active, mais oui. Euh… je veux dire, c'est dans le cadre de leurs responsabilités, vous savez, de cette fonction, n'est-ce pas ?
Rob Ainscough 00:14:46
Exactement. Donc, pour moi, il s'agissait surtout de comprendre ce qui importe à chacun et comment le mesurer. Comment mesurer l'expérience utilisateur, par exemple en termes d'authentification unique, d'accès et de prise en main rapide ? Comment évaluer le ressenti et la satisfaction au sein de l'organisation pour pouvoir décrire l'expérience de manière pertinente ? Pour moi, l'accent était mis sur l'efficacité opérationnelle. Combien de temps faut-il entre l'accès au système RH et le moment où une personne dispose des accès nécessaires pour travailler ?
Roy Akerman 00:15:18
Mm-hmm. Autrement dit, combien de temps ils ne travaillent pas et attendent.
Rob Ainscough 00:15:22
Exactement. Alors, combien cela va-t-il coûter à l'entreprise ? Oui. Et combien cela pourrait-il me coûter ? Ensuite, on pourra avoir une discussion sérieuse sur le passage d'un délai de traitement de 48 heures à 24 heures, n'est-ce pas ? Parce qu'il y a un avantage commercial à cela.
Roy Akerman 00:15:34
D'accord, donc ça permet de faire des économies, n'est-ce pas ? Dans le monde des affaires, par exemple… Oui. Exactement… ça permet de faire des économies, n'est-ce pas ?
Rob Ainscough 00:15:38
Exactement. D'accord. Mais oui, se concentrer sur l'aspect coût et l'aspect efficacité, c'est ce qui importe au DSI, par exemple. Côté sécurité, on est encore très loin d'avoir un ensemble standard de métriques pour décrire ce à quoi ressemble le succès en matière d'identité. C'est certain. Euh, je pense que… Oui… pour moi, mon seul conseil à quiconque se lance dans ce domaine, c'est de ne pas se focaliser sur les métriques de processus. Oui. Le nombre de choses que vous avez examinées, approuvées ou réalisées n'est pas…
Eve Maler 00:16:02
L'indicateur de sécurité. Ce ne sera pas intéressant – logiquement parlant… surtout à mesure que l'on monte en grade. Il faut des indicateurs opérationnels pour savoir comment, par exemple, lors du déploiement d'un programme… Oui… comment ça se passe. Mais la raison d'être du programme, son « pourquoi », doit être bien plus convaincante. C'est vrai. Et j'ai envie de vous ramener un peu à la réalité, car j'ai trouvé des exemples de RSSI qui dépendaient de DSI.
Rob Ainscough 00:16:23
Droite.
Eve Maler 00:16:23
Donc, et c'est beaucoup plus en phase avec la fonction produit. Exactement. Selon l'activité de l'entreprise, il y a des facteurs historiques, culturels, son ancienneté, les fusions-acquisitions, etc. Mais parfois, l'identité n'est même pas du ressort du RSSI, et même lorsqu'elle l'est, il subit des pressions différentes de celles du DSI. Concernant le DSI, vous évoquez ce que j'appelle le cinquième P caché de mon modèle des quatre P : la productivité. Au final, tout doit être efficace et productif, et les employés s'en soucient. L'objectif est simplement qu'ils travaillent plus vite.
Rob Ainscough 00:17:04
Droite.
Eve Maler 00:17:04
Et c'est tout à fait différent du fait de veiller à ne pas accélérer le processus simplement parce qu'on voulait les désactiver immédiatement.
Rob Ainscough 00:17:13
Oui.
Eve Maler 00:17:13
C'est un exemple que j'ai utilisé dimanche dernier, lors de cet événement, pour parler de provisionnement et de déprovisionnement. Oui. En général, c'est le même logiciel qui gère les deux. Exact. Mais la personne qui se soucie le plus de l'efficacité, de la rapidité et de la précision de ces opérations est différente, n'est-ce pas ? Oui. Tout à fait. Un RSSI, par exemple, se soucie vraiment de la rapidité du déprovisionnement. Quant au provisionnement, c'est un peu un mélange de facteurs. Certains utilisateurs finaux du système s'en soucient aussi. Tout à fait d'accord. Un approbateur, par exemple… Oui… s'en soucie vraiment. Un responsable aussi.
Rob Ainscough 00:17:49
Oui.
Eve Maler 00:17:49
La personne qui veut se mettre au travail, en supposant qu'elle soit une bonne employée… et qui veut commencer dès le premier jour, ou une fois qu'elle a changé de poste, euh, va vouloir se mettre au travail… N'est-ce pas… parce que c'est frustrant…
Rob Ainscough 00:17:57
Ouais …
Eve Maler 00:17:57
Sinon… Euh, mais ensuite, on regarde des choses comme… bon, tout le temps passé à gérer l'administration autour de… Oui, comme l'IGA. Oui. Et maintenant, il y a d'autres… je n'aime même pas utiliser le mot « parties prenantes », mais… vous savez, d'autres clients pour cette solution d'identité… Exactement… que vous déployez et qui ont d'autres besoins.
Rob Ainscough 00:18:14
Droite.
Eve Maler 00:18:15
Donc, vous savez, le représentant du GRC aura un point de vue différent. Exact. Ils… c'est leur responsabilité qui est en jeu, alors
Roy Akerman 00:18:22
D'accord. Comment créer un alignement ? Dans votre livre, vous dites que tout commence par une prise de conscience chez les PDG. Ils se disent : « Écoutez ! » Oui, j'essaie. Et il ne s'agit pas seulement du coût d'une violation de données, c'est bien plus que ça. C'est l'opportunité manquée pour l'entreprise. C'est un ensemble de choses. Oui, oui. Alors, en partant de zéro, quelqu'un vous appelle et vous dit : « Eve, je suis perdu. Aidez-moi à mettre en place un processus, un cadre, des indicateurs… » Oui… que ce soit de manière ascendante ou descendante. Comment ça commence ? Si vous pouviez nous donner un exemple, quel que soit le secteur d'activité, ce serait formidable.
Eve Maler 00:18:47
Je propose ce que j'appelle un atelier d'alignement du leadership. Ça commence par une sorte de cartographie des facteurs historiques et culturels qui ont façonné l'identité, que ce soit en vivant dans un environnement inattendu ou en ayant un niveau de maturité très faible, voire en étant totalement inopérant. Parfois, on a…
Roy Akerman 00:19:05
Accepter …
Eve Maler 00:19:06
Euh, je parlais avec quelqu'un d'une grande banque internationale, et quand cette personne est arrivée, on lui a donné le titre de « stratège en identité », mais c'était un contributeur individuel sans autorité ni budget, une personne qui se déplaçait beaucoup. En réalité, l'authentification était gérée d'un côté et la gestion des accès de l'autre. Les fonctions n'étaient pas alignées.
Rob Ainscough 00:19:30
Droite.
Eve Maler 00:19:30
Il faut donc savoir où l'on se situe. Oui. Et je ne préconise pas de le déplacer à un endroit précis. C'est une entreprise vaine. Oui. Mais on peut commencer à comprendre quels indicateurs clés de performance (KPI) ont été utilisés jusqu'à présent pour mesurer le succès.
Rob Ainscough 00:19:46
Droite.
Eve Maler 00:19:46
Et ensuite, vous pouvez commencer à vous demander : « Alors, quel a été le succès ? Avez-vous eu des programmes au point mort ? » Exactement. « Avez-vous eu des programmes qui ont duré trois ans avant d’échouer et de s’effondrer ? » Et, vous savez, ça arrive. Oui. Et parfois, il y a des réussites en matière d’unification, euh, peut-être après une fusion ou une acquisition, ou peut-être simplement grâce à une restructuration plus importante, vous savez, plus d’infrastructures… Bien sûr, mais l’objectif était de tout rassembler. Et donc, vous découvrez l’histoire. Maintenant, vous pouvez commencer à comprendre : eh bien, qui a été déçu ? Et…
Rob Ainscough 00:20:17
Qui avons-nous déçu ?
Eve Maler 00:20:19
Oui. Et pour moi, c'est une question d'adéquation au marché.
Rob Ainscough 00:20:21
Oui. D'accord. Mm-hmm.
Eve Maler 00:20:22
Waouh. Donc, si vous commencez à vous poser la question, eh bien, si vous comprenez maintenant que vous ne pouvez pas contrôler tous ceux qui utilisent vos services. Par exemple, si vous souhaitez imposer l'authentification unique à 1 000 applications différentes, même pour les actions les plus basiques…
Rob Ainscough 00:20:38
Sûr.
Eve Maler 00:20:38
Et peut-être que 30 % d'entre eux y sont parvenus, imparfaitement, et vous… vous cherchez vraiment à en obtenir davantage, ou vous déployez un programme de mots de passe… et vous souhaitez vraiment voir des pourcentages de réussite élevés, car… une bonne résistance au phishing, c'est génial.
Rob Ainscough 00:20:50
Yep.
Eve Maler 00:20:50
Euh, il faut se demander : quels sont les obstacles à la réussite ? Parce que ces gens-là… Oui… ceux dont vous voulez changer le comportement ne vous doivent rien.
Rob Ainscough 00:20:57
Ouais …
Eve Maler 00:20:58
typiquement.
Rob Ainscough 00:20:58
Convenu. Ouais.
Eve Maler 00:20:59
Ils sont vraiment… Et donc, vous savez, séduire ce marché peut impliquer des choses qui ressemblent à de la gestion de produit et du marketing à proprement parler, même si c'est entièrement interne. Oui. Pour entamer cette conversation, il faut trouver un exemple : prenons quelque chose qui a peut-être échoué ou réussi, mais qui a laissé une impression négative, et c'est de là qu'on part. Oui, oui, oui.
Roy Akerman 00:21:17
Et-
Eve Maler 00:21:17
Y a-t-il… Oui…
Roy Akerman 00:21:18
Existe-t-il un schéma répétitif pour, par exemple, une zone de sous-développement, euh, vous savez, des zones au sein des organisations qui sont généralement les suspects habituels qui ne sont pas pris en compte ?
Rob Ainscough 00:21:27
Qui, qui blâmons-nous ?
Roy Akerman 00:21:29
Qui blâmer ? Oui. Non, non, non. Oh, c'est une excellente façon de commencer. L'inverse, l'inverse. Les gens qui... À qui la faute ? Ceux qui ne savent même pas, qui ne se rendent même pas compte qu'ils peuvent... euh, en tirer beaucoup de valeur, ou qu'ils passent à côté de beaucoup de... euh... Oui... de business à cause de ça.
Eve Maler 00:21:38
C’est ce que vous voulez créer, et une des choses que j’adore faire, c’est me dire : « Comment pouvons-nous créer un sentiment de FOMO (peur de manquer quelque chose) autour de ça ? »
Roy Akerman 00:21:44
Ouais. Droite.
Eve Maler 00:21:44
N'est-ce pas ? C'est pourquoi je parle de stratégie d'identité irrésistible. Un fournisseur de solutions, par exemple, souhaite évidemment que sa stratégie de commercialisation soit à la hauteur de ses attentes, mais il est essentiel d'appliquer la même logique à ses programmes d'identité. Comment faire pour que quelqu'un se dise : « Oh, j'en veux ! » ? J'ai constaté son efficacité en pratique. Par exemple, une des personnes que j'ai interviewées pour le livre… J'aimerais pouvoir citer des marques… Ce sont des marques que tout le monde connaît. Mais…
Rob Ainscough 00:22:11
Avec quoi ça rime ?
Eve Maler 00:22:13
J'ai déjà vu cette astuce. Je ne me laisserai pas avoir. Euh, mais c'était vraiment fascinant de voir toute une campagne marketing destinée aux employés, concernant ce nouveau programme censé tout améliorer, sans pour autant dégrader leur expérience. En fait, l'expérience a été plutôt mauvaise. Oui. On a dû utiliser des identifiants différents pour accéder à tous ces systèmes.
Rob Ainscough 00:22:33
Yep.
Eve Maler 00:22:34
Et nous allons faire en sorte que ça fonctionne, et nous allons sécuriser le système, et cela ne vous coûtera ni temps ni énergie mentale.
Rob Ainscough 00:22:40
Yep.
Eve Maler 00:22:40
Et si c'est le cas, c'est une promesse que vous devez maintenant tenir.
Rob Ainscough 00:22:44
Yep.
Eve Maler 00:22:44
Et dans ce cas précis, ils ont choisi un client phare, c'est-à-dire un client que tout le monde cible par étapes : quelles applications intégrer en premier ? Quelles communautés approcher en premier ? Et ensuite, on décide de tout faire pour en faire un succès retentissant.
Roy Akerman 00:22:55
Yep.
Eve Maler 00:22:55
Et vous leur offrez un traitement de faveur. Mm. Et c'est ce qu'ils ont fait.
Roy Akerman 00:22:58
Mm.
Eve Maler 00:22:59
Et ça, avec un produit de marque, en quelque sorte. Waouh. Et… oui, c'est…
Roy Akerman 00:23:02
Comme le MVP. Ouais. Donc tu as… je… tu es vraiment allé jusqu'au bout, jusqu'au bout, hein ? Ouais. Ça, ça, toute cette envergure. J'aime
Eve Maler 00:23:08
Ça. Je pousse cette métaphore aussi loin que possible. C'est génial. Parce que c'est tellement productif. Je peux juste…
Roy Akerman 00:23:11
Apportez ça… Oui… à
Rob Ainscough 00:23:11
La vie, un peu de mon point de vue ? Parce que je pense que vous avez différents types de clients finaux, n'est-ce pas ? Oui. Que ce soit les employés eux-mêmes… Oui… pour s'authentifier, par exemple. Oui. Ou pour accéder aux services et les mettre en service, ou pour la conformité, la sécurité, ou quoi que ce soit d'autre. Vous avez aussi ce client technique, n'est-ce pas ? Où, euh, pour moi, oui, nous avions cette obligation : chaque application devait être au format SSO et sous le contrôle d'une IGA. Et elle devait bénéficier d'un provisionnement automatisé, tout ça. Oui, oui. Nous avons donc mis tout cela en place, et nous avons eu, je comprends maintenant, un certain succès, n'est-ce pas ? Oui. On parle de milliers d'applications… Oui… vous savez, des plus modernes aux plus anciennes. Nous avons très bien réussi. Mais lorsqu'une nouvelle application arrivait, il était beaucoup plus facile pour nous de les convaincre d'adopter l'authentification unique.
Eve Maler 00:23:57
Oui
Rob Ainscough 00:23:57
Parce qu'ils savaient que leurs utilisateurs les en remercieraient. Oui. Ils n'avaient pas à gérer les comptes. Oui.
Roy Akerman 00:24:01
Logique.
Rob Ainscough 00:24:02
Et merci, c'était conforme aux normes.
Eve Maler 00:24:04
Uh-huh.
Rob Ainscough 00:24:05
C'est ça ? C'était donc très facile, n'est-ce pas ? De rien. Et on avait une route goudronnée pour eux… Oui… c'était vraiment très simple.
Eve Maler 00:24:10
Oui.
Rob Ainscough 00:24:10
La gestion des accès, c'était un peu plus complexe, non ? On pouvait décharger l'accès Active Directory vers un groupe, et c'était facile, mais dans de nombreux cas, il fallait faire des intégrations directes. C'était assez difficile. Ah oui. On leur a fourni des solutions toutes faites, mais en réalité, ils n'en voyaient pas vraiment l'intérêt. Oui. Et ça représentait un défi technique bien plus important pour nous.
Eve Maler 00:24:28
Oui
Rob Ainscough 00:24:28
Pour convaincre ces gens que c'était encore important, on répondait toujours : « Oh, on fera l'authentification unique. On verra ça plus tard. » Mouais. « On s'occupera de la gouvernance plus tard. »
Eve Maler 00:24:36
Mm-hmm.
Rob Ainscough 00:24:37
Et vous avez donc cette sorte de marché à deux faces : comment puis-je adopter et intégrer de nouveaux services aux services que je gère déjà ?
Eve Maler 00:24:44
Oui
Rob Ainscough 00:24:45
pour satisfaire mes clients de l'autre côté. Oui.
Eve Maler 00:24:47
Oui. Ouais.
Rob Ainscough 00:24:48
Et j'ai découvert que c'était un marché à double face vraiment intéressant dans le domaine de l'identité.
Eve Maler 00:24:51
Oui. Et félicitations pour l'avoir fait si minutieusement, ça a dû être vraiment gratifiant d'avoir réussi. Il a presque fini, combien d'années ?
Rob Ainscough 00:24:59
Je veux dire, je pense que nous intégrions probablement de nouvelles applications aussi rapidement que nous en retirions d'autres.
Eve Maler 00:25:05
Oh...
Rob Ainscough 00:25:06
À la fin, il y a donc eu une grande transformation. Je veux dire,
Eve Maler 00:25:08
Voilà un indicateur opérationnel intéressant ! Oui, ce qui est possible… c'est de suivre le rythme. Les plombiers ont leur propre indicateur. J'avais une canalisation bouchée, un écoulement plutôt lent. Il m'a expliqué – je ne me souviens plus du nom – que si on ouvre les robinets à fond et que l'eau s'écoule aussi vite, c'est un bon indicateur de réussite.
Roy Akerman 00:25:27
Bon.
Eve Maler 00:25:27
J'étais très content qu'il ait réussi à faire ça pour mon évier. C'est exactement ce qu'on attend des applications. Pouvoir les désactiver facilement et avoir la certitude de suivre le rythme, car…
Rob Ainscough 00:25:37
Ouais …
Eve Maler 00:25:38
Il y en aura beaucoup plus, le volume d'applications créées à l'avenir sera plus important. C'est exact. Et beaucoup plus d'entre elles seront internes.
Rob Ainscough 00:25:44
Exactement.
Eve Maler 00:25:44
Avec des propriétaires aux profils très divers aujourd'hui, c'est différent d'avant : « On ne veut pas de solutions sur mesure. » « On essaie de tout faire en SaaS. C'est contrôlable. » Et maintenant, on assiste à une explosion du nombre de personnes qui créent leurs propres applications. Et on souhaite que la meilleure solution soit la plus simple à mettre en œuvre.
Rob Ainscough 00:25:59
Voilà. Voilà. Il faut que tu te mettes en retrait autant que possible en termes d'identité. Oui… tout en obtenant ces résultats.
Roy Akerman 00:26:05
Oui. Donc, pour revenir à cette salle de réunion, à votre réunion consultative, ou… Hmm… vous étiez assis là. On s'est arrêtés au MVP, n'est-ce pas ? On a obtenu un premier succès. Tout le monde était enthousiaste. Il y avait une certaine peur de rater quelque chose. On a prouvé l'importance d'être très organisés et structurés en matière d'identité. Et après ? Il y avait des dirigeants impatients, assis là… Oui… au fond de la salle. Comment progresser et pérenniser ce produit au sein des organisations ? Existe-t-il des cadres ou des méthodes faciles à mettre en place pour que les organisations continuent à fonctionner de cette manière ? Après le déclic, après la révélation…
Eve Maler 00:26:38
Oui, donc… concevoir des indicateurs, c'est vraiment difficile, mais je pense que c'est essentiel. Oui. Et il faut l'intégrer directement à la narration, comme tout le monde le sait maintenant, pour s'adresser à des personnes qui ne sont pas impliquées dans les choix technologiques – et qui ne sont pas prêtes à se plonger dans les détails techniques comme nous le sommes probablement. C'est vrai. Concevoir des indicateurs qui soient en quelque sorte le fruit d'une tension entre des éléments généralement contradictoires, c'est une approche reconnue pour la conception d'indicateurs ou de résultats clés. Des objectifs communs, euh… Oui. Donc, l'exemple que j'utilisais, que j'ai exploré ces derniers jours, c'est celui d'une entreprise qui veut se précipiter car la domination du marché est primordiale dans le domaine des agents. Mais c'est terrifiant pour ceux d'entre nous qui savent à quelle vitesse la surface d'attaque s'étend.
Roy Akerman 00:27:30
Yep.
Eve Maler 00:27:31
Euh, eh bien, il vous faut donc une mesure qui soit en quelque sorte le produit croisé de deux choses mesurables, définissables, euh, instrumentables pour que vous puissiez les observer, mais aussi pour libérer le potentiel de l'entreprise.
Roy Akerman 00:27:44
Mm.
Eve Maler 00:27:45
Je proposais donc quelque chose comme un temps moyen de confinement en cas de défaillance – oui, dans le monde des agents.
Roy Akerman 00:27:52
Mm-hmm.
Eve Maler 00:27:52
Et il commence à y avoir de bonnes ressources qui peuvent vous aider… Oh, super… définissez cela vous-même. Ce que j'appelle des résultats d'actions responsables. Les agents agissent. C'est ce qui les différencie des chatbots, n'est-ce pas ? Oui. En quelque sorte, comme je le vois, c'est le mariage de l'économie des API et de l'imitation humaine.
Roy Akerman 00:28:13
Tellement vrai.
Eve Maler 00:28:13
C'est effrayant, mais… tellement vrai. Oui… euh, mais passionnant. Et donc, faire en sorte que chaque action produise un résultat, comme… euh… oui… à terme, vous serez en mesure d'obtenir d'excellents calculs de retour sur investissement, et nous y arrivons, et certaines personnes sont déçues par ce qu'elles découvrent. C'est un tout autre sujet. C'est différent. Mais il est important de savoir que si vous voulez mesurer le risque, vous devez savoir mesurer la valeur et réagir au fait que l'entreprise gagne de la valeur, car c'est un argument beaucoup plus convaincant auprès du conseil d'administration… oui… qui, après tout, doit décider s'il garde le PDG une semaine de plus ou non. Oui. Euh, et donc vous avez la combinaison de ces deux éléments. Maintenant, vous pouvez savoir si vous êtes dans une situation où l'évier se vide aussi vite que vous y ajoutez de l'eau.
Rob Ainscough 00:28:54
Oui. Oui. Il y avait un concept intéressant que j'ai toujours bien aimé. Un des analystes de Gartner a parlé des accords de niveau de protection (PLA).
Eve Maler 00:29:03
Hmm. Comme les SLA ?
Rob Ainscough 00:29:04
Comme ça, pour des raisons de sécurité.
Eve Maler 00:29:05
Yeah Yeah,
Rob Ainscough 00:29:06
Oui. Et c'était vraiment… le modèle consultatif. Oui… un bon modèle, qu'ils développent depuis quelques années. J'aime bien. C'était une façon très claire de décrire ces sujets importants pour les gens, en disant : « Si vous voulez réduire le temps moyen de cinq minutes à deux minutes, ou de deux minutes à une minute, vous savez maintenant à quoi ressemble une amélioration… cela vous coûtera 10 millions de dollars. »
Eve Maler 00:29:25
Exactement.
Rob Ainscough 00:29:26
Est-ce que ça vaut le coup ?
Eve Maler 00:29:27
Et, comble de l'ironie, certains chefs de la fraude possèdent des systèmes d'authentification d'identité ou du moins d'authentification automatique. C'est de plus en plus courant.
Rob Ainscough 00:29:35
Oui.
Eve Maler 00:29:35
Euh, et donc, vous savez, dans les relations publiques, dans les services financiers… Vous verrez ça, n'est-ce pas ? Et donc, si vous travaillez dans la prévention de la fraude, vous pouvez mesurer assez précisément combien cela coûte…
Rob Ainscough 00:29:46
Droite …
Eve Maler 00:29:47
pour réduire les risques de fraude.
Rob Ainscough 00:29:48
Oui
Eve Maler 00:29:49
Et, euh, je raconte souvent cette histoire. Il y a quelque temps, je travaillais chez PayPal, au sein du groupe de gestion des risques liés à l'information, sous la responsabilité du RSSI. L'authentification ne nous incombait pas, mais au… oh là là… au groupe de gestion des risques de fraude.
Rob Ainscough 00:30:03
Wow.
Eve Maler 00:30:03
Je crois que ça a changé depuis. C'est plus unifié, etc. Mais ils pouvaient moduler précisément le niveau de fraude qu'ils étaient prêts à tolérer.
Rob Ainscough 00:30:12
Oui.
Eve Maler 00:30:12
Nous n'avons pas ce problème avec la sécurité ou les violations d'identité, précisément parce que les données d'identité qui circulent, les données personnelles qui circulent, vous savez, nous n'y attachons pas vraiment de valeur.
Rob Ainscough 00:30:25
Convenu.
Eve Maler 00:30:25
J'explore donc dans le livre la notion de bilan des données d'identité. Cela simplifierait beaucoup de choses. Oui, car on saurait alors qui sont tous les clients associés à ces données.
Rob Ainscough 00:30:36
Oui.
Eve Maler 00:30:37
Et qui est chargé de le protéger ? Et, vous savez, ils peuvent avancer tous les arguments du monde, mais les clients, eux, disent : « J'en ai besoin. »
Rob Ainscough 00:30:42
Ouais. Ouais.
Eve Maler 00:30:43
Cela vous permet donc d'en faire quelque chose.
Roy Akerman 00:30:45
Bon, insistons un peu, d'accord ? Oui. Je pense qu'au final, si on peut promettre… Pas promettre, mais plutôt décrire un monde meilleur où l'on saura quand on commence à gagner… enfin, dans ce genre de domaine. J'aime beaucoup la métaphore du bilan. Oui. À quoi ressemblerait ce bilan, euh, comme une boussole pour un navigateur ? Ce bilan, à quoi ça ressemble ?
Eve Maler 00:31:08
C’est donc quelque chose qui peut être exploré une fois que vous avez cette carte dont je parlais, une sorte de carte d’alignement du leadership, car vous pourriez prendre une donnée qui figurera dans chaque profil d’une population donnée.
Roy Akerman 00:31:21
Mm-hmm.
Eve Maler 00:31:22
Euh, et on a de la chance, vous savez, pour les profils de données d'identité (IDP), on aura une vingtaine d'attributs. Si on parle de profils marketing, là… oui… c'est genre 20 20,000, alors… oui… mieux vaut ne pas s'y risquer pour commencer. Mais vous trouvez une donnée et vous déterminez : quels systèmes sont concernés ? Qui est concerné ? Pourquoi ? Quel est leur intérêt ? Est-ce parce qu'ils préféreraient qu'on ne la collecte pas ? Ou bien le responsable de la protection des données ne veut pas… la collecter ? Ou bien est-ce que les RH sont la seule source d'information fiable ?
Rob Ainscough 00:31:56
Oui.
Eve Maler 00:31:56
Euh, ce qui, vous savez, est probablement destiné aux employés. Et qui d'autre l'utilise dans les applications ? Souvent, on ne comprend pas vraiment le flux des données. En aval, oui. Mais maintenant, vous connaissez les clients finaux de ces données.
Rob Ainscough 00:32:10
Droite.
Eve Maler 00:32:10
C'est assez révélateur car ils en tirent profit.
Rob Ainscough 00:32:12
Oui.
Eve Maler 00:32:13
Donc, d'accord… et si vous trouvez très peu de clients pour ce produit, vous avez probablement trouvé quelque chose dont vous pouvez vous débarrasser en économisant beaucoup d'argent et de risques.
Rob Ainscough 00:32:21
Pour compléter cela, et c'est précisément ce dont nous parlons, il s'agit d'un niveau de compréhension et de spécificité concernant l'utilisation de votre service.
Eve Maler 00:32:33
Oui.
Rob Ainscough 00:32:34
Et, euh, je pense que là où j'en étais, vous savez, pour expliquer cela au conseil d'administration, il y a la narration, c'est vraiment important, mais le point de départ, c'est que si vous mesurez votre programme d'identité par ce que vous faites...
Eve Maler 00:32:49
Mm-hmm…
Rob Ainscough 00:32:49
et vous n'avez pas de mesures pour vous-même ?
Eve Maler 00:32:51
Mm-hmm ça
Rob Ainscough 00:32:52
Si je peux te dire à quel point tu t'en sors bien, tu n'as aucune chance de remonter la pente. Ouais.
Eve Maler 00:32:57
C'est exact. Cela restera une zone marginale en matière d'infrastructures ou de sécurité.
Rob Ainscough 00:33:00
Oui.
Eve Maler 00:33:01
Et ce serait triste. Oui. Enfin, vraiment, je veux accélérer les programmes d'affirmation identitaire et amplifier leur impact.
Rob Ainscough 00:33:07
accepter
Eve Maler 00:33:08
L'aspect humain de l'équation est, en réalité, le plus important. Et vous savez, dans mes quatre P (que je n'ai pas encore nommés, mais qui sont : protection, personnalisation, paiement et relations humaines), il y a la gestion des risques, la gestion du marché, la gestion des transactions et la gestion humaine.
Rob Ainscough 00:33:22
Droite.
Eve Maler 00:33:22
C'est généralement le contact humain qui nous touche à chaque fois.
Rob Ainscough 00:33:25
Se mettre d'accord.
Eve Maler 00:33:26
Tout à fait d'accord. Ce secteur est sous-investi, et il recèle un potentiel énorme.
Rob Ainscough 00:33:29
Oui, absolument. Absolument. J'avais justement une conversation la semaine dernière, une conversation très intéressante d'ailleurs, à propos d'une personne qui essayait de convaincre son RSSI que l'authentification sans mot de passe, basée sur des certificats et des clés d'accès, était la solution idéale. Cette personne était très frustrée que le RSSI réponde : « Non, il me faut un coffre-fort numérique. » Je lui ai donc demandé : « Du point de vue du RSSI, ce coffre-fort numérique est-il efficace ? Répond-il à leurs besoins ? » Il a répondu : « Oui. »
Eve Maler 00:34:00
Eh bien, c'est...
Rob Ainscough 00:34:01
J'étais genre : « Eh bien… » Ouais. Tu as un autre coffre-fort… tu n'allais jamais entrer dans la réunion et obtenir un autre résultat que… C'est…
Eve Maler 00:34:05
droite …
Rob Ainscough 00:34:05
Je suis satisfait de ce que j'ai. Parce que vous n'avez pas indexé sur… Et mon conseil à cette personne était : « Indexez sur quelque chose qui lui tient à cœur. » Ouais. C'est ça ? Comment puis-je obtenir un niveau de protection aussi bon, voire meilleur ? Mm-hmm… sur les choses qui vous importent en tant qu'entreprise… Oui… et peut-être à moindre coût ?
Roy Akerman 00:34:19
Oui. Résultat du produit.
Rob Ainscough 00:34:21
Exactement.
Roy Akerman 00:34:22
C'est bien là le problème. Oui. Et vous savez, dans un autre épisode, on a parlé de l'identité comme plan de contrôle, le sujet du moment. Ça a toujours été le cas, mais comment construire des applications concrètes par-dessus, comment attribuer de la valeur aux différentes parties prenantes ?
Eve Maler 00:34:34
Oui.
Roy Akerman 00:34:34
Je veux dire, personne d'autre que votre équipe ne se soucie de votre efficacité en ce qui concerne le comment des choses, mais encore une fois, il s'agit du pourquoi et de savoir comment nous pouvons nous améliorer au niveau du pourquoi.
Eve Maler 00:34:43
Le pourquoi. Exactement, le pourquoi.
Roy Akerman 00:34:44
C'est parfait. Et je pense que c'était une conclusion naturelle idéale, une sorte de décodage de ce dont nous avons parlé. Nous avons laissé notre public avec un système de mesure, ou du moins un cadre, qu'il peut utiliser pour retourner au travail lundi et mieux collaborer avec ses partenaires ou supérieurs. Tout à fait d'accord. Et si vous partagez mon avis, ce sera peut-être le moment idéal pour…
Rob Ainscough 00:35:06
Nos questions à la volée.
Roy Akerman 00:35:07
Oui. D'accord.
Rob Ainscough 00:35:09
Voilà. On va commencer par un mythe. Quel est un mythe lié à l'identité ou à la sécurité, Ève ?
Eve Maler 00:35:18
Je suppose que cette identité correspond à la boîte de connexion.
Rob Ainscough 00:35:24
C'est vrai, c'est vrai. Ouais. C'est bien trouvé. C'est nouveau. C'est bien trouvé. Pas du tout.
Roy Akerman 00:35:26
le périmètre,
Rob Ainscough 00:35:26
Pas la boîte. On va faire un classement… OK… de ces vidéos, un peu à la Top Gear, avec les vidéos les plus populaires. Oh, eh bien, je… On n'a pas encore fait celle-là…
Eve Maler 00:35:32
Je veux être original… c’est-à-dire… quelqu’un à qui personne d’autre n’a pensé.
Rob Ainscough 00:35:35
Pas encore, pas encore, pas encore. Ouais,
Roy Akerman 00:35:36
Devinez lequel est tout près de vous, comme la boîte de connexion. L'identité, c'est…
Eve Maler 00:35:41
Le nouveau périmètre. Pour
Roy Akerman 00:35:42
sûr.
Rob Ainscough 00:35:42
J'en parle dans le livre, oui. Bingo ! On a un gagnant ! Bon, deuxièmement, une faute professionnelle. Alors, quelle est l'erreur la plus fréquente des dirigeants ?
Eve Maler 00:35:49
Qu'ils doivent aller informer les parties prenantes. Euh, c'est juste une approche mal pensée.
Roy Akerman 00:35:56
Informer de quoi ? De leurs efforts pour
Eve Maler 00:35:59
Comment faire pour que tout cela se réalise ? Eh bien, vous savez, il faut simplement le dire à tout le monde. Bon, mis à part les diagrammes RACI (j'ai du mal à m'endormir rien qu'en y pensant), les diagrammes RACI… Bref, il faut convertir la réflexion des parties prenantes en une réflexion client.
Rob Ainscough 00:36:10
Convenu.
Eve Maler 00:36:10
Et c'est là que vous devenez un leader serviteur, en fait… Oui… et vous… Exactement, vous commencez à adopter cette mentalité axée sur le produit. Et vous
Rob Ainscough 00:36:15
générer une traction.
Eve Maler 00:36:16
Yep.
Rob Ainscough 00:36:17
Oui, absolument. Personnellement, ma préférée, c'est une vérité difficile. Quelle est cette vérité difficile ?
Eve Maler 00:36:22
Bon, c'est une question plutôt obscure, mais, euh, ce contrôle d'accès basé sur l'intention ne ressemble en rien à une meilleure gestion de l'autorisation.
Roy Akerman 00:36:33
Je suis tout à fait d'accord. J'en ai la chair de poule. Mais enfin, je pense que, vous savez, si vous regardez à travers les stands ici, les gens vivent encore leur vie...
Eve Maler 00:36:43
Ils restreignent la notion d'intention, et l'intention est un problème relativement nouveau… C'est vrai… pour la sécurité. Ça ressemble beaucoup plus au domaine de la protection de la vie privée. Je le compare aux contraintes liées à la finalité d'utilisation qui sont mal prises en compte dans ce domaine. Oui. Mais on peut faire mieux maintenant qu'on sait que c'est un problème. Ah.
Rob Ainscough 00:36:56
Très bien. Dernier point pour nous : la tendance surmédiatisée. Quelle est une tendance surmédiatisée ?
Eve Maler 00:37:01
Oh là là, je vais me faire lyncher pour ça. Ouh là là. Mais je vois bien qu'il y a une sorte de cycle de surmédiatisation naturel autour de certaines choses.
Rob Ainscough 00:37:05
Sûr.
Eve Maler 00:37:06
Et je pense que l'Identité non humaine (INH), en elle-même, sans ajouter d'agents à l'équation, même si elles sont différentes par nature… Mm-hmm, hum, commence à être quelque peu discutable, et j'ai participé au sommet de l'INH ici, et j'ai remarqué que comme par magie, il s'est transformé en sommet de l'INHA.
Roy Akerman 00:37:25
Oui.
Eve Maler 00:37:25
Il y a donc eu une sorte d'élargissement du champ d'action. Un changement d'image. Et je pense que c'est tout à fait légitime. Oui. Oui. Je pense que c'est formidable.
Rob Ainscough 00:37:31
Tout à fait d'accord. On observe effectivement beaucoup de mouvement dans cette catégorie, n'est-ce pas ? Oui. Donc je pense qu'il y a eu une forte évolution.
Roy Akerman 00:37:34
Voilà. On en a parlé pendant tout un dîner, n'est-ce pas ? Oui, c'est vrai. Hier soir. C'est vrai. Certains continueront de préconiser une autre approche, mais vous savez, comme moi, je suis tout à fait d'accord. Sur ce, merci beaucoup. Nous espérons que vous passerez d'excellents moments lors des deux prochains jours que nous passons ici.
Eve Maler 00:37:47
Oui.
Rob Ainscough 00:37:48
Absolument.
Roy Akerman 00:37:48
Oui. Merci. C'était un
Eve Maler 00:37:49
Honneur… Merci d’avoir pu parler avec vous deux.
Roy Akerman 00:37:50
Pendant quatre heures. Et
Eve Maler 00:37:51
plaisir.
Rob Ainscough 00:37:52
Merci.
Roy Akerman 00:37:53
Merci.
Rob Ainscough 00:37:54
C'est tout pour cet épisode d'Identity Decoded.
Roy Akerman 00:37:56
Si cette conversation a changé quoi que ce soit dans votre façon de penser à la sécurité de l'identité, partagez-la avec quelqu'un qui rencontre les mêmes difficultés.
Rob Ainscough 00:38:03
Et n'oubliez pas de suivre l'émission pour ne rien manquer de la suite.
