Generali France a fait le choix de moderniser et d’optimiser son infrastructure de gestion des accès afin d’ouvrir son SI à tous ses utilisateurs (internes et partenaires) en toute sécurité. Pour ce faire, ce dernier a adopté la solution de gestion des accès, Sign&go Global (SSO) d’Ilex International. L’assureur est en cours de replacement de son module de SSO, devenu obsolète, par une solution offrant, via une architecture serveur unifiée et une administration centralisée, toutes les fonctionnalités depuis l’authentification renforcée et adaptative, jusqu’à la fédération d’identité, en passant par le eSSo, le Web Access Management et le mobile SSO.
Loin d’être une pratique généralisée dans le monde de l’assurance, Generali France a fait le choix de s’appuyer sur les solutions d’une PME française, Ilex International pour moderniser son infrastructure de gestion des accès et renforcer la sécurité de son SI. « Nous avons fait le choix de la compétence et de l’agilité au travers d’Ilex International, au terme d’une consultation et d’une phase de test de plusieurs mois qui a pris fin en Mars 2016, et 4 mois plus tard nous mettions en production le 1er projet avec Ilex avec le projet Vitality de Generali » indique Nathalie Mantilla, Responsable du département Architecture Technique et Support chez Generali France.
Modernisation & renforcement de la sécurité du SI
En effet, ce projet voit le jour en 2015 au coeur de Generali France qui fournit alors à ses partenaires et clients de nombreux services applicatifs dont l’accès est conditionné par la déclinaison de leurs identités afin de vérifier qu’ils sont bien autorisés à accéder à ces applications. Un dispositif de SSO était en place depuis une quinzaine d’années pour optimiser l’expérience utilisateur mais il ne reposait pas sur les standards du marché tels que OAuth 2 ou SAMLv2. Un défaut de conformité qui freine Generali dans l’ouverture sécurisée de son SI à davantage de parties prenantes.
Un projet ambitieux est donc lancé en France par la firme qui compte plus de 74 000 collaborateurs à travers le monde au service de 55 millions de clients dans plus de 60 pays : disposer d’une infrastructure robuste et interopérable reposant sur les protocoles standards du marché (SAML, WS Federation, OpenID Connect, OAuth) afin d’ouvrir le SI à tous les partenaires commerciaux, mais également de s’interfacer avec les services extérieurs simplement et en toute sécurité. Le second objectif affiché intègre l’expérience utilisateur qui doit être optimisée en généralisant l’authentification unique à l’ensemble des services applicatifs proposés par Generali. « Nous avions un module de SSO développé en interne, mais il n’était pas possible, pour des raisons de sécurité, de faire évoluer notre SI en l’ouvrant à nos différents partenaires. À l’ère du digital et du numérique, nous avions conscience que cela était incontournable et constituait un facteur clé de croissance pour l’entreprise. Côté utilisateur, la connexion à plusieurs comptes, ainsi que la saisie de multiples mots de passe étaient fastidieuses et nuisaient au confort d’utilisation du SI » explique Nathalie Mantilla.
L’épreuve du Proof-of-Concept
Afin de tester les solutions phares du marché en situation réelle, Generali France a décidé d’organiser un Proof-Of-Concept (POC). « La solution retenue devait impérativement être agile et s’adapter à l’existant, tout en restant ouverte et interopérable. » souligne Nathalie Mantilla.
En effet, il était nécessaire de faire cohabiter l’ancienne solution SSO avec la nouvelle pendant la phase de migration des applications. C’est finalement Ilex International et sa solution de gestion des accès, Sign&go Global SSO, qui s’est démarquée. « Notre solution Sign&go Global SSO repose sur les protocoles standards du marché, gage de sécurité et d’ouverture. Unique sur le marché, elle offre, via une architecture serveur unifiée et une administration centralisée, toutes les fonctionnalités depuis l’authentification renforcée et adaptative, jusqu’à la fédération d’identité, en passant par le eSSO, le Web Access Management et le mobile SSO. C’est un véritable « Hub d’authentification et de fédération » qui permet de couvrir l’ensemble des moyens d’authentification existants, quel que soit l’environnement utilisé (Poste de Travail, Web ou Mobile). » explique Thierry Bettini, Directeur commercial et marketing chez Ilex International.
Les différentes capacités évoquées de Sign&go Global SSO présente un gage de sérieux, de sécurité et de fiabilité. « Ilex International nous a également séduit de par son approche itérative et son expertise reconnue. Son expérience sur de nombreux projets dimensionnés était un atout considérable et nous a rassurés. Le POC nous a également permis d’évaluer non seulement la robustesse de la solution, mais aussi l’expertise et la réactivité des équipes. » ajoute Nathalie Mantilla.
Projet structurant
Le projet est structurant et nécessite de procéder de façon itérative. Les applications sont progressivement raccordées et l’objectif est de couvrir à terme l’ensemble des applications Generali France, au nombre de 200.
Des mécanismes de fédération d’identités ont été mis en place et ont d’ores et déjà permis d’interfacer les premières applications partenaires afin d’ouvrir le SI. « Nous avons chez Generali des applications critiques et stratégiques pour l’entreprise. Pour nos utilisateurs, représentés par nos agents, courtiers, gestionnaires et internautes, la sécurité ne doit pas être un frein à l’utilisation de nos applications. Grâce à la nouvelle infrastructure mise en place, il est désormais possible, à partir de nos portails, d’accéder à certaines applications sans saisir de mot de passe supplémentaire. Par exemple, depuis un de nos portails, nous pouvons accéder à l’application d’Europ Assistance, un de nos partenaires commerciaux, en toute transparence et de façon sécurisée. Le parcours est fluide et permet un gain de temps incontestable pour nos utilisateurs ! La technologie n’est plus perçue comme une contrainte. Elle est désormais au service des usages métiers. » souligne Nathalie Mantilla.
Au-delà de la technologie, c’est aussi la compétence des hommes qui séduit. C’est en effet un véritable partenariat qui s’est instauré entre Generali France et Ilex International. Une équipe d’intégration Ilex est mise à la disposition de Generali France et accompagne l’entreprise tout au long des phrases critiques du projet. « L’aspect humain est essentiel. La cybersécurité se sont des technologies oui, mais surtout des experts qui guident en amont et accompagnent tout au long des projets nos clients. C’est avec eux, que nous définissons notre feuille de route. Des échanges qui nourrissent la confiance réciproque et nous permettent d’être en adéquation constante avec leurs besoins » ajoute Thierry Bettini.
Vers de nouvelles évolutions
Plus de 25 000 authentifications sont réalisées quotidiennement depuis le lancement du projet, et près de 8 000 utilisateurs distincts sont recensés. La prochaine étape importante sera de connecter l’un des portails majeurs de Generali France au SSO utilisé par l’ensemble des salariés qui leur permet d’accéder à d’autres applications tierces, dont des applications connectées au Mainframe. À terme, 57 000 utilisateurs (internes de Generali France, ainsi que tous les professionnels appartenant à des sociétés partenaires) pourront bénéficier de services applicatifs sécurisés et ergonomiques.
Dès 2018, Generali France entend poursuivre les évolutions technologiques engagées avec succès et moderniser la gestion des accès clients afin de leur offrir des services adaptés à leurs nouveaux comportements. Ce serait alors quelque 8 millions de clients qui pourraient bénéficier de ces solutions innovantes.
Mise en conformité et compliance
Dans le contexte de régulations nationales, européennes, internationales et sectorielles qui se durcissent et imposent aux organisations de se mettre n conformité, « la gestion des identités et des accès est un excellent moyen de répondre à de nombreux enjeux du RGPD, sur la dimension « client » : gestion du consentement individuel, gestion déléguée des données personnelles, droit à l’effacement, sécurité de bout en bout dès la conception, etc. » souligne Thierry Bettini et de conclure « elle est une brique sécuritaire prioritaire et fondamentale. »