Rater son projet IAM

Commment rater son projet IAM en 6 points

Mettre en place une solution d’IAM est indispensable aujourd’hui pour sécuriser l’accès à son système d’information. Malheureusement, de nombreux projets rencontrent des difficultés, aboutissent à un résultat décevant, ou échouent lamentablement. Chez Idento, nous accompagnons nos clients sur leurs projets d’IAM depuis notre création. Nous avons dû intervenir sur nombre d’entre eux en difficultés ou reprendre des existants mal engagés.

De ces expériences, nous avons listé 6 principales erreurs à commettre pour rater son projet IAM. En espérant que vous saurez les éviter.

1. Vouloir tout, tout de suite

 

La gestion des comptes et de leurs accès touche l’ensemble des composants du système d’information. Aussi, il est tentant de vouloir mettre en place sa solution d’IAM pour l’ensemble de ces composants et de ne pas passer par une phase transitoire. A vouloir tout, tout de suite, il résulte un projet énorme, complexe, avec un bel effet tunnel, une absence de retour sur investissement à moyen terme. De plus, à l’issue, il est probable que certains applicatifs du système d’information aient changé et qu’il faille revenir sur des fonctionnalités développées.

 

Le conseil d’Idento

 

Un projet d’IAM doit être décomposé par lots, chaque lot ne devant pas dépasser 3 à 6 mois. Cette décomposition permet de gérer des sous-projets beaucoup plus simples, de délivrer les fonctionnalités rapidement, d’obtenir des quick-win. Ces livraisons donnent de la visibilité au projet et entretiennent  la confiance des sponsors.

2. Bâcler le choix de la solution

 

Il existe aujourd’hui de nombreuses solutions d’IAM pertinentes et techniquement performantes. Mais chacune a ses points faibles et ses points forts en regard de vos besoins et des spécificités de votre système d’information. Se ruer sur la première solution, même si celle-ci est bien classée dans le magic quadrant du Gartner, est une bonne manière de rater son projet IAM.

Comme nous l’avons dit, un projet IAM est structurant. Il impacte l’ensemble du SI. Il est donc nécessaire de prendre le temps de partir d’une cartographie à jour, de réaliser une étude de besoin, de lister les technologies en présence. Bref de réaliser un véritable cahier des charges et de le soumettre aux éditeurs de solution. Oui, mais vous me direz que faire un cahier des charges c’est compliqué. Cela prend du temps. Cela nécessite des compétences qui ne sont pas toujours présentes au sein de l’équipe de la DSI. Et puis, finalement, ne s’agit-il pas de fonctions de base et une solution standard ne pourrait-elle pas convenir ? Ce n’est malheureusement pas aussi simple. Chaque SI a ses spécificités, chaque entreprise a son organisation et ses process de gestion des utilisateurs, chaque projet a sa part d’unicité. Le négliger c’est courir un grand risque d’échec.

On peut également se dire que les éditeurs qui sont des spécialistes, peuvent me conseiller. L’étude de leur réponse pourrait aider à approfondir et à formaliser le besoin. Bien sûr, mais ils ne connaissent pas le contexte et ils tendront naturellement à orienter vers leur solution.

 

Le conseil d’Idento

 

Il est important de prendre le temps de rédiger un cahier des charges s’appuyant sur une cartographie actualisée du système d’information et sur les process de gestion des utilisateurs et des habilitations en vigueur. Si ceux-ci n’existent pas, c’est là une bonne occasion de réfléchir à leur élaboration avant de se lancer dans le choix d’un outil.

Une fois ce cahier des charges, établir une grille d’aide à la décision comprenant les critères et leur pondération. Cette grille va vous permettre de noter les différentes solutions et de les départager. Il est également conseiller de réaliser un POC pour avoir une vision concrète.

La bonne nouvelle c’est qu’il existe des cabinets de conseils spécialisés dans l’IAM qui peuvent vous accompagner dans cette étape de cadrage. Un cabinet comme Idento (exemple choisi tout à fait au hasard) est indépendant et connaît le marché de l’IAM comme sa poche. Ses consultants sont habitués à traiter ce genre de sujet et donc à définir un cahier des charges efficient.

3 Penser qu’il suffit d’une simple installation de produit

 

Les solutions d’IAM aujourd’hui sont particulièrement sophistiquées. Mais, aussi élaborées soient-elles, il ne suffit pas de les installer en cliquant sur le bouton « Next… ». Il est nécessaire de les configurer, de les adapter, de réaliser des connecteurs aux applications du système d’information, de concevoir et de paramétrer les workflows, etc. Et donc, si vous n’avez pas prévu dans votre budget projet, cette charge d’accompagnement, votre projet n’aboutira nul part.

 

Le conseil d’Idento

 

Prévoyez dans votre projet une charge d’intégration de la solution que vous avez retenue. Cette charge dépend du produit et des spécificités du projet. D’où l’importance d’avoir réalisé un cahier des charges en amont de l’installation.

La bonne nouvelle, c’est que pour réaliser toutes ces tâches de conception et d’intégration, vous pouvez compter sur un excellent partenaire. Je vous laisse deviner.

4. Rater son projet IAM en abusant du spécifique

 

Faire du développement spécifique en plus du paramétrage du progiciel est parfois indispensable pour un projet d’IAM complexe. Mais cela a ses limites. Le développement spécifique est par définition une part qui n’est pas réutilisable et ne fait pas parti du produit. Trop de développement spécifique implique un déploiement long et cher. Par la suite, les mises à jour sont complexifiées par les spécifiques qui devront potentiellement être modifiés. Cela peut parfois retarder une mise à jour, faute de disponibilité ou de budget et donc créer de la dette technique, qu’il faudra payer un jour ou l’autre.

 

Le conseil d’Idento

 

Le conseil pour ne pas rater son projet IAM est de rester raisonnable sur le spécifique. Il faut accepter parfois de faire des concessions plutôt que de construire une usine à gaz qu’il sera ensuite impossible à faire évoluer. Une réflexion préalable sur les process de l’entreprise peut permettre de simplifier.

Il faut aussi choisir la solution d’IAM qui correspond bien au besoin de son entreprise, pour réduire au maximum le recours au spécifique. Là encore, le cahier des charges est primordial pour sélectionner la solution qui nécessitera le moins de développement spécifique. Même si une solution est moins chère à l’achat, elle peut se révéler plus onéreuse dans le temps avec ces développement et plus difficile à maintenir.

5. Oublier qu’il y a une vie après la mise en production

 

On trouve encore, dans certaines entreprises, des clients qui pensent que le projet s’arrête au déploiement de la solution. Mais ce n’est définitivement pas le cas. La vraie vie d’une solution d’IAM commence avec son déploiement. Le jour où la solution d’IAM passe aux mains des opérations est en réalité le premier jour de sa vie.

Comme pour l’application des pratiques de sécurité, la gestion des identités et des accès n’est pas un projet mais un programme. Il peut avoir un début mais il n’a pas de fin. C’est un process continue.

Par ailleurs, les solutions d’IAM nécessitent d’être améliorées et ajustées en permanence. D’une part, parce qu’il n’est pas possible de refléter toutes les exigences avant que le système atteigne les opérations. Et d’autres part, que l’entreprise et son système d’information évoluent. Ces évolutions doivent se répercuter au niveau de l’IAM.

Aussi, si l’équipe projet disparait une fois que la solution est déployée alors vous risquez d’en pâtir sur la durée.

 

Le conseil d’Idento

 

Le conseil est de réfléchir dès le lancement du projet à une organisation sur le long terme capable de gérer les évolutions de la solution d’IAM. Cette organisation doit être capable de vous accompagner même lorsque le système est déployé. Elle doit donc être en capacité de perdurer. Bien-sûr, cet accompagnement doit être prévu au budget.

Le choix d’une entreprise pour accompagner le projet doit d’abord tenir compte du nombre de compétences présentes au sein de cette entreprise. Compte-tenu des tensions au niveau du recrutement sur ce secteur du marché, s’appuyer sur une entreprise qui ne comprend qu’un ou deux consultants compétents, aussi brillants soient-ils, est un pari risqué. Il est possible que cette entreprise se retrouve dans l’incapacité d’assurer une prestation de qualité en cas de départ de ces consultants

Ensuite, il faut choisir une équipe dont les compétences sont suffisamment solides pour être en capacité de traiter les cas complexes auxquels votre IAM va devoir répondre. Mais comment mesurer le niveau d’expertise d’une société sur un domaine si spécifique ? Une bonne méthode est de faire un POC, pour choisir cette équipe en prenant le soin d’inclure des cas complexes. N’importe quelle société de conseil IT est capable d’installer un produit d’IAM et de répondre aux fonctionnalités basiques. Mais peu sont capables d’aborder des cas plus difficiles. La réponse à ces cas complexes, vous permettra de départager les professionnels de l’IAM de ceux qui s’improvisent sur ce marché.

6. Négliger la spécificité d’un projet IAM

 

La gestion des identités et des accès est une fonction habituelle. Aussi il est tentant de penser que « N’importe quel professionnel avec une tête bien faite peut m’accompagner ».

Et bien non, ces projets sont particuliers et nécessitent des compétences particulières. Personne ne confierait un projet SAP à une personne n’ayant aucune compétence sur SAP. Il en va de même pour les projets IAM. Les confier à un collaborateur débutant en la matière a de grande chance de mener à un résultat peu satisfaisant. De plus, c’est mettre le collaborateur en difficulté.

 

Le conseil d’Idento

 

Pour ne pas rater son projet IAM, il est nécessaire de s’appuyer sur des spécialistes. Ceux-ci doivent avoir mené ce type de projet, connaître les solutions, les difficultés à anticiper et les façons de les résoudre. Ces spécialistes doivent accompagner sur les phases d’études en amont, les phases d’intégration et sur l’exploitation pour permettre à l’entreprise de monter en compétences et de progressivement, s’approprier la solution.

Là aussi, pour constituer une équipe et choisir une entreprise, les conseils décrits précédemment sont valables. Mesurer le nombre de consultants compétents présents au sein de l’entreprise et évaluer leur niveau de compétence, par la réalisation d’un POC comportant des cas complexes.

Chez Idento, tous nos consultants travaillent exclusivement sur des projets de management des identités et des accès. Ils sont formés des mois durant et acquièrent de l’expérience sur de nombreux projets. En plus de maîtriser leur sujet, ils ont la capacité de bench-marker les pratiques en vigueur et d’apporter leurs conseils sur les orientations à prendre.

Conclusion

 

Les chemins qui mènent à la mise en production de solutions d’IAM sont semés d’embuches. Se lancer dans de tels projets sans réflexion, préparation ni compétences spécifiques expose à une forte probabilité d’échec. Mais heureusement, il existe des parades pour éviter de rater son projet IAM.

Chez Idento, nous sommes de réels passionnés par le monde de l’IAM. C’est pour cela que nous considérons qu’il nécessite de développer et d’entretenir de vraies compétences. Tous nos consultants sont formés sur les solutions d’IAM et acquièrent de l’expérience en participant à de nombreux projets. Cette expérience est capitalisée. Ensemble, nous disposons d’une véritable expertise, focalisée uniquement sur l’IAM.

C’est là notre valeur ajoutée. Celle que nous mettons à disposition de nos clients.

 

Vous voulez en savoir plus sur nos projets, nos compétences, notre offre, contactez-nous !

Et si cet article vous a donné envie de nous rejoindre et de participer à nos projets, envoyez-nous votre candidature !

Michel Ziegler

Michel Ziegler
Directeur Général de transition chez Idento