Qu’est-ce que l’accès juste-à-temps (JIT) ?

Le juste-à-temps (JIT) répond au problème des privilèges excessifs en attribuant des privilèges élevés de manière limitée, selon les besoins. Cela élimine les comptes avec des privilèges élevés permanents sur les systèmes d’entreprise.

De nombreuses cyberattaques impliquent des comptes privilégiés compromis, que les attaquants ciblent pour tirer parti de leur accès accru. L’accès JIT aide à éliminer ce risque en réduisant l’accès dont dispose un compte et en alignant la gestion des accès sur le principe du moindre privilège et le modèle de sécurité de confiance zéro.

Pourquoi l’accès juste-à-temps est-il important ?

Les comptes surprovisionnés sont un défi courant pour la sécurité des entreprises. La plupart des cyberattaques impliquent des attaquants accédant à un compte privilégié, puis exploitant les privilèges associés pour atteindre leurs objectifs. Lorsque les utilisateurs se voient attribuer des privilèges dont ils n’ont pas besoin – ou dont ils n’ont pas toujours besoin – cela élargit la gamme de comptes qu’un attaquant peut cibler.

L’accès JIT est important car il aide à réduire le risque associé aux comptes privilégiés. Au lieu de permettre des privilèges permanents, « toujours actifs », le JIT offre un accès selon les besoins. Cela permet de désactiver par défaut l’accès privilégié et de ne l’activer qu’après qu’un examen des risques a été effectué.

L’accès JIT est également important pour se conformer aux exigences réglementaires et aux programmes de confiance zéro des entreprises. Les comptes surprovisionnés peuvent violer les exigences de contrôle d’accès aux données protégées et augmenter le risque d’une violation de données signalable pour une organisation.

Composants essentiels de l’accès juste-à-temps

L’accès JIT est mis en œuvre à l’aide d’une combinaison de privilèges temporaires gérés via des politiques automatisées et contextuelles de provisionnement/déprovisionnement. De plus, ces politiques doivent être soutenues par des contrôles de sécurité pour garantir que l’accès peut être accordé selon les besoins tout en éliminant le risque de contournement des contrôles d’accès.

Composants clés de l’accès juste-à-temps

Composant	Description	Impact sur la sécurité / les affaires
Privilèges temporaires	Accès accordé uniquement pour une session limitée ou une période définie	Réduit l’exposition permanente ; limite le risque latéral
Politiques contextuelles	Application basée sur l’identité, le dispositif, la localisation et les facteurs de risque	Bloque les tentatives d’accès anormales ou risquées
Provisionnement automatisé	Les privilèges sont accordés automatiquement après approbation	Minimise les délais informatiques ; garantit un accès rapide et sécurisé
Déprovisionnement automatisé	Les privilèges sont révoqués automatiquement lorsque le temps expire	Élimine les lacunes dues à l’erreur humaine ou à l’oubli
Audit et journalisation	Enregistrement continu de qui a accédé à quoi, quand et pourquoi	Simplifie les rapports de conformité ; augmente la confiance
Contrôles granulaires des ressources	Accès lié à des applications/ressources spécifiques, et non à des systèmes larges	Réduit le rayon d’impact d’une mauvaise utilisation des comptes
Journalisation et reporting centralisés	Reporting unifié sur tous les événements d’accès	Simplifie les audits, accélère la conformité

Privilèges temporaires

L’accès JIT remplace les privilèges permanents par des privilèges temporaires et limités dans le temps. Au lieu d’un accès permanent, un compte dispose d’un accès pour une certaine durée ou la durée d’une session particulière. Cela convient bien aux tâches administratives, à l’accès des fournisseurs tiers et à d’autres scénarios où certains privilèges ne sont nécessaires que de manière intermittente.

Cela réduit l’impact d’un compte compromis en diminuant la quantité de dommages qui peuvent être causés avec celui-ci. Si l’accès est refusé ou expire, l’attaquant ne dispose pas de l’accès privilégié, contrairement aux privilèges « toujours actifs ». 

Politiques contextuelles

L’accès JIT diffère des privilèges persistants car l’accès est accordé en fonction des besoins. Cependant, pour que cela soit une distinction utile, le système doit disposer d’un moyen de déterminer si une demande d’accès est légitime.

L’accès JIT utilise des informations contextuelles (utilisateur, appareil, emplacement et autres signaux de risque) pour définir un score de risque pour une demande, qui est utilisé pour déterminer si la demande doit être accordée ou si une authentification supplémentaire est nécessaire. Des politiques peuvent également être mises en place pour toujours bloquer l’accès dans certains scénarios, tels que les demandes d’accès en dehors des heures de bureau ou provenant d’appareils inconnus.

Provisionnement et déprovisionnement automatisés

Après qu’une décision d’accès a été prise, les privilèges doivent être provisionnés au compte et déprovisionnés à la fin de la fenêtre temporelle ou de la session. L’automatisation est essentielle pour le faire sans nuire aux activités normales de l’entreprise.

Avec l’automatisation, l’accès JIT réduit les frais généraux informatiques et améliore la posture de sécurité. Le déprovisionnement automatique élimine le risque que des privilèges demeurent à la fin d’une session utilisateur. De plus, la journalisation et l’audit de toutes les décisions et actions d’accès améliorent la visibilité et simplifient la conformité.

Comment fonctionne l’accès Just-in-Time en pratique

En pratique, l’accès JIT est un processus automatisé qui devrait être largement invisible pour l’utilisateur. Par exemple, considérons le cas où un entrepreneur a besoin d’accéder aux ressources de l’entreprise pendant deux heures pour accomplir une tâche. 

Cela ressemblerait à quelque chose comme ce qui suit :

• L’entrepreneur fait une demande d’accès.
• La demande d’accès est évaluée en fonction du contexte et des politiques de l’entreprise
• Si elle est approuvée, les privilèges sont automatiquement accordés à l’utilisateur
• Le contractant a accès pendant deux heures
• À la fin de deux heures, les privilèges sont automatiquement et instantanément révoqués

Avec l’accès JIT, le contractant peut accéder à toutes les ressources de l’entreprise dont il a un besoin légitime sur le cloud, sur site et à distance. Cependant, le risque pour l’entreprise est limité puisque l’accès est restreint à une seule session ou à une fenêtre temporelle et accordé au cas par cas.

Avantages de l’accès Just-in-Time

Alors que les entreprises s’efforcent d’adopter le zéro confiance, l’accès JIT est essentiel pour mettre en œuvre l’accès au moindre privilège à grande échelle. Ce faisant, les organisations non seulement avancent vers leurs objectifs de zéro confiance, mais peuvent également améliorer la sécurité, la conformité réglementaire et l’efficacité opérationnelle.

Avantages en matière de sécurité et de conformité de l’accès JIT

Avantage	Exemples de scénarios	Valeur organisationnelle
Réduire la surface d’attaque	L’accès administrateur expire après 2 heures	Limite les opportunités d’exploitation par les attaquants
Défense contre le vol d’identifiants	Un compte volé est inutile une fois la fenêtre d’accès terminée	Neutralise l’impact des identifiants compromis
Atténuation des menaces internes	Le fournisseur ne peut pas maintenir un accès continu	Réduit le potentiel d’abus interne
Alignement de la conformité	Les journaux montrent qui a accédé aux données sensibles et quand	Prouve le respect du RGPD, de la HIPAA, et de la SOX
Préparation à l’audit facilitée	Dossiers détaillés disponibles pour inspection	Réduit le temps et le coût lors des audits de conformité
EFFICACITÉ	Désactivation automatisée des comptes temporaires	Réduit la charge de travail sur l’informatique ; prévient les erreurs humaines
Productivité des utilisateurs	Les demandes d’accès à la demande sont approuvées instantanément	Permet de travailler sans surprovisionnement
Rapports d’audit Cato centralisés	Source unique de vérité pour les régulateurs	Accélère la préparation à l’audit et réduit les pénalités

Avantages en matière de sécurité

L’accès JIT est principalement conçu pour améliorer la posture de sécurité d’une organisation. Certains des principaux avantages qu’il offre incluent :

• Menace réduite d’attaques par prise de contrôle de compte (ATO)
• Détection et prévention des mouvements latéraux des attaquants au sein de l’environnement d’une organisation
• Risque diminué associé aux menaces internes.

Avantages de la conformité et de l’audit

En plus de réduire le risque de violations de données et d’autres incidents signalables pour une organisation, l’accès JIT offre également des avantages supplémentaires en matière de conformité, notamment :

• Journaux d’audit pour les demandes d’accès
• Alignement avec les exigences de gestion des accès du RGPD, du PCI DSS, de l’HIPAA et d’autres réglementations
• Preuve de la gestion des accès au moindre privilège
• Réduction du risque d’amendes et de pénalités dues à un accès non autorisé aux données protégées

Efficacité opérationnelle

L’accès JIT est conçu pour améliorer la sécurité sans introduire de charge de travail supplémentaire pour les équipes opérationnelles. Les éléments clés de cela incluent :

• Provisionnement et déprovisionnement automatisés des privilèges
• Détection des comptes surprovisionnés
• Soutien à la détection et à la remédiation des incidents

Cato Networks et l’accès Just-in-Time

La plateforme Cloud SASE de Cato met en œuvre l’accès JIT dans le cadre de sa fonction convergente et consciente de l’identité Zero Trust Network Access (ZTNA). Le ZTNA est inclus dans chacun des points de présence (PoP) mondiaux de Cato, permettant une gestion des identités et des accès (IAM) et l’application des politiques sans faille et évolutive dans l’ensemble de l’environnement informatique d’une organisation. Cette intégration élimine le besoin de solutions de sécurité ponctuelles et permet l’application des politiques en temps réel avec validation continue.

Questions fréquentes sur l’accès Just-in-Time

Quel problème l’accès Just-in-Time résout-il ?

L’accès Just-in-Time (JIT) aborde le problème des comptes surprovisionnés, qui sont couramment ciblés et utilisés par les cyberattaquants. L’accès JIT accorde un accès limité sur une base de besoin et le révoque automatiquement à l’expiration, limitant ainsi les dommages qu’un compte compromis peut causer.

En quoi l’accès JIT diffère-t-il des modèles d’accès traditionnels ?

Les modèles d’accès traditionnels accordent un accès permanent à diverses ressources, même si cet accès n’est nécessaire que de manière sporadique. En revanche, le JIT impose le principe du moindre privilège et révoque l’accès après un certain temps. En conséquence, l’accès JIT est plus en accord avec les principes de sécurité du zéro confiance et est plus sécurisé.

L’accès JIT soutient-il les besoins de conformité ?

Oui, l’accès JIT est conforme aux exigences d’accès au moindre privilège imposées par diverses réglementations et génère des journaux d’audit de toutes les exigences d’accès. Cela facilite aux organisations de démontrer qu’elles ont correctement contrôlé l’accès aux données et ressources protégées.

L’accès JIT est-il uniquement pour les administrateurs ?

Non, l’accès JIT s’applique à tous les comptes numériques, y compris les administrateurs informatiques, les fournisseurs tiers et les utilisateurs finaux. Par exemple, un entrepreneur peut se voir accorder un accès temporaire à des applications spécifiques au sein de l’environnement d’une organisation. L’objectif de l’accès JIT est d’appliquer le principe du moindre privilège de manière universelle, pas seulement pour les administrateurs.

Comment Cato permet-il l’accès Just-in-Time ?

La plateforme Cato SASE Cloud met en œuvre l’accès JIT dans le cadre de sa fonction ZTNA, en appliquant des politiques basées sur l’identité et le contexte. L’accès est accordé uniquement pour des applications spécifiques et pour des fenêtres de temps définies. Les politiques sont appliquées globalement via l’infrastructure cloud SASE avec révocation en temps réel.

L’accès JIT peut-il fonctionner avec MFA ?

Oui, l’accès JIT peut être superposé avec MFA pour une gestion des accès plus robuste. Cato s’intègre aux fournisseurs IAM/MFA pour une application fluide des politiques.

Comment le JIT évolue-t-il à travers les environnements hybrides et multi-cloud ?

La plateforme Cato SASE Cloud met en œuvre le JIT de manière uniforme à travers le cloud, les centres de données et l’accès à distance. L’application centralisée évite les incohérences et les surcharges associées aux solutions d’accès JIT additionnelles ou ponctuelles.