Conformité NIST SP 800-63
Directives d’identité numérique pour un accès sécurisé
Qu’est-ce que la norme NIST SP 800-63 ?
La publication spéciale NIST (SP) 800-63, également connue sous le nom de Digital Identity Guidelines, définit les exigences techniques pour les organisations mettant en œuvre des services d’identité numérique.
Elle se concentre sur la vérification d’identité, l’authentification et la fédération, et introduit des niveaux d’assurance pour la vérification d’identité (IAL), l’authentification (AAL) et la fédération (FAL) afin de réduire les risques de fraude d’identité et d’accès non autorisés.
Exigences clés de la NIST SP 800-63 :
- Niveaux d’assurance d’identité (IAL) : Vérifier l’identité des utilisateurs avant d’accorder l’accès.
- Niveaux d’assurance des authentificateurs (AAL) : Appliquer des mécanismes d’authentification allant du mot de passe au MFA.
- Niveaux d’assurance de fédération (FAL) : Gérer de manière sécurisée les assertions d’identité entre systèmes.
- Gestion des identifiants : Contrôler l’émission, l’association et le cycle de vie des identifiants.
- Sécurité des sessions : Protéger les sessions contre le détournement et les attaques par rejeu.
Comment Visual Guard facilite la conformité NIST SP 800-63 :
Prise en charge du MFA :
Applique des méthodes d’authentification multi-facteur afin de répondre aux exigences AAL2 et AAL3.
Intégration de l’identité fédérée :
Intègre les applications avec des fournisseurs d’identité de confiance via des standards de fédération.
Politiques d’accès granulaires :
Restreint l’accès selon le niveau d’assurance, le rôle ou des conditions contextuelles.
Gestion du cycle de vie des identifiants :
Automatise la création, la mise à jour et la révocation des identifiants conformément aux directives NIST.
Journalisation et supervision sécurisées :
Enregistre les événements d’authentification et génère des rapports pour soutenir les audits de conformité.
Capacités techniques détaillées
Mécanismes d’authentification
- Prise en charge des OTP, notifications push, biométrie et jetons matériels
Contrôle d’accès contextuel
- Règles d’accès conditionnel basées sur le terminal, la localisation ou l’horaire
Gestion des identités
- Intégration avec des systèmes externes de vérification d’identité pour répondre aux exigences IAL
- Gestion sécurisée des identités utilisateurs sur plusieurs applications et plateformes
Audit et traçabilité
- Journaux d’audit immuables des événements d’authentification et de fédération
Sécurité des sessions
- Gestion renforcée des sessions avec expiration et politiques de réauthentification
Cas d’usage
Mise en œuvre d’une authentification forte dans un portail gouvernemental
Une agence gouvernementale mettant en œuvre un portail numérique pour les citoyens doit se conformer à la NIST SP 800-63 en appliquant la vérification d’identité, le MFA et une fédération sécurisée avec d’autres services.
Comment Visual Guard a aidé :
- Mise en place du MFA pour tous les comptes citoyens et employés.
- Intégration avec des services de vérification d’identité pour valider les utilisateurs au niveau IAL2.
- Application de règles d’accès conditionnelles pour les dossiers gouvernementaux sensibles.
- Génération de rapports de conformité pour les auditeurs.
Résultat : L’agence a déployé un système d’identité numérique sécurisé, réduit les risques de fraude et atteint la conformité avec la NIST SP 800-63.