Comment créer un groupe de travail sur la gestion de l'identité des machines

Machine identities are exploding in the enterprise. Look no further than Gartner’s 2022 IAM Summit for proof.

And just like human identities, these machine identities require proper management of secrets, keys, and certificates to maintain security. But unlike human identities, these machine identities require an additional focus on ownership, automation, discovery, and better developer relations.

Tout simplement, les organisations ont besoin d'une stratégie claire à l'échelle de l'entreprise pour la gestion de l'identité des machines. Cependant, chaque équipe aura des besoins et des préférences différents en ce qui concerne les outils et les meilleures pratiques. Comment ces décisions doivent-elles être prises ?

La réponse est un groupe de travail sur la gestion de l'identité des machines.

Qu'est-ce qu'un groupe de travail sur la gestion de l'identité des machines ?

Un groupe de travail sur la gestion de l'identité des machines est un groupe interfonctionnel composé de parties prenantes des équipes IAM, sécurité, DevOps, infrastructure et opérations, et cloud qui se réunissent régulièrement pour établir la propriété, prendre des décisions en matière de politique et d'outils et créer des orientations autour des politiques d'identité des machines.

Ce groupe de travail est la prochaine itération d'un centre d'excellence en cryptographie (CCOE) et est conçu pour dépasser l'idée qu'une seule équipe peut gérer avec succès cette stratégie pour l'ensemble de l'organisation. Le groupe de travail reconnaît plutôt qu'aucune équipe ne possède l'expertise nécessaire pour gérer toutes les identités des machines ou pour représenter les divers intérêts de l'organisation.

Pourquoi les organisations ont-elles besoin d'un groupe de travail pour soutenir leur stratégie de gestion de l'identité des machines ?

One of the primary challenges to developing an effective machine identity management strategy is organizational alignment. 

Un groupe de travail sur la gestion de l'identité des machines peut aider à surmonter ce problème en créant un groupe unique qui représente les différents intérêts des équipes et qui dispose d'une autorité claire :

• Meilleures pratiques, développement de processus et d'outils
• Prise de décision en cas de conflits liés à l'identité de la machine
• Réponses aux questions des utilisateurs dans l'ensemble de l'entreprise

Par conséquent, le fait de confier à ce groupe la responsabilité de diriger la gestion de l'identité des machines permet de créer un alignement sans centraliser l'autorité au sein d'un seul département.

Quelles sont les responsabilités d'un groupe de travail sur la gestion de l'identité des machines ?

Les principales responsabilités d'un groupe de travail sur la gestion de l'identité des machines sont les suivantes

• Establish a mission: The group must align on how they will support machine identity management across the organization. Their mission should outline how they will centralize decision-making while working in a more decentralized way to share new guidelines across the organization over time. An important part of this mission should be setting expectations with relevant teams about how the group will function, what their responsibilities are, and how and when to engage the group.
  
  
  
  
• Define best practices: Defining best practices for the entire organization will empower individual teams to move quickly around machine identity management because they can refer to those practices rather than having to consult the working group with every question or initiative that arises. Additionally, these best practices will ensure each team takes a standardized approach. Key areas for best practices are:

• Décisions relatives à l'outillage
• Processus de découverte
• Définitions de la propriété
• Exigences de conformité
• Utilisation de bibliothèques pour interagir avec les identités des machines

• Act as a single point of contact: The working group must be a single point of contact for users from various teams across the organization for any questions or issues that arise around machine identity management. Regardless of where any questions originate, the group must give a single answer through a standardized process to avoid discrepancies across the organization.
• Conduct research: The machine identity management space is evolving quickly, with protocols and technologies changing on a very regular basis. It’s up to the working group to regularly research these changes and understand their impact so they can adjust best practices and processes as appropriate to stay on pace with or even ahead of market trends.
• Deliver thought leadership: Machine identity management is becoming increasingly critical to an organization’s overall security practice. As a result, the working group must do more than just deliver actionable recommendations. They must also stay at the forefront of trends to deliver thought leadership around innovative practices and upcoming changes in the space.
• Own strategic decision-making: The working group will need to own strategic decision-making around machine identity management policies, particularly when it comes to tooling. For example, the group should provide clear guidance around what type of tooling to implement in different situations and how to handle aging legacy systems.
• Assign ownership: Importantly, the working group doesn’t have to actually own all of the machine identity management tooling – they just have to own the policies and decision-making around that technology. This includes determining which teams should own different solutions and how they should handle the management of those tools.

Quels sont les éléments à prendre en compte par les organisations lors de la création d'un groupe de travail sur la gestion de l'identité des machines ?

La création d'un groupe de travail sur la gestion de l'identité des machines est une étape importante dans l'élaboration d'une stratégie à l'échelle de l'entreprise - et la participation à un tel groupe est une responsabilité que les membres doivent prendre au sérieux.

With that in mind, key considerations for successfully starting such a group include finding the people with the necessary skills and ensuring representation from various teams and business units, many of which may have conflicting objectives. In assembling these people, the goal should be to bring together a group of representatives that offer a good mix of skills, experiences, and understanding of different parts of the organization.

Beyond the people who will make up the working group, it’s also essential to consider hybrid and multi-cloud environments as well as any other security frameworks (like zero-trust) already in place and the identities currently in use across the business.

D'une manière générale, il est important de donner au groupe les moyens d'orienter de manière proactive la stratégie et la prise de décision, plutôt que de servir d'organe réactif.

Quelles sont les phases d'une stratégie de gestion continue de l'identité des machines ?

A continuous machine identity management strategy is one that evolves alongside the organization’s needs and environmental trends. The machine identity management working group can help guide this strategy through the following key phases:

• Initiate: Introduce a strategy to improve guidance, meet security requirements, and consistently scale the adoption of security tools across the organization.
• Define: Clearly define what a machine identity is (vs. a human identity), including categorizations for device identities and workload identities.

• Establish: Appoint a team responsible for owning the machine identity management strategy, aka a working group with representatives from across the organization.
• Decide: Choose the right tools to manage machine identities for each use case the organization encounters.

Au-delà de ces phases initiales, plusieurs autres phases doivent être envisagées pour chaque cas d'utilisation :

• Discover: Identify machines that need to be managed and controlled.
• Assess: Use data to measure success, report on those efforts, and adjust as needed.
• Align: Define best practices for everyone in the organization to follow.
• Fix: Adjust non-compliant systems and remove unused machine identities.
• Automate: Introduce automation for identity lifecycle management.
• Enable: Empower stakeholders to follow set best practices to scale machine identity management.

Prêt à en savoir plus sur la gestion de l'identité des machines ?

La gestion de l'identité des machines est appelée à devenir encore plus importante au cours de l'année à venir. Par conséquent, il est essentiel de s'assurer que votre organisation dispose d'une stratégie clairement définie et bien alignée le plus tôt possible. Le meilleur moyen de commencer est de créer un groupe de travail sur la gestion de l'identité des machines.

Of course, there’s quite a lot that goes into managing machine identities in the long term. To learn more about what’s at stake and how Keyfactor can help, get started, contact us here.