La réponse à votre question dépend du contexte dans lequel les termes sont utilisés. Au plus haut niveau d'abstraction, le terme général est Assurance de l'information où les 5 piliers sont:
- Disponibilité
- Intégrité
- Authentification
- Confidentialité
- Non-répudiation
Pour être clair, authentification et autorisation sont un aspect de la sécurité de l'information . Ce qui vise à appliquer, avec un degré élevé de confiance, les piliers de l ' assurance de l'information en particulier la non-répudiation.
Donc, pour aller plus loin, les deux termes relèvent de l'assurance de l'information et par association , l'espace de sécurité de l'information. principalement dans:
- Identity Management (IdM) ou
- Identity and Access Management (IdAM)
IAM est le terme le plus courant surtout si vous travaillez dans le gouvernement ou dans de grandes entreprises où vous trouverez généralement plus de 10000 identités. Pour votre intérêt, consultez les dernières directives et directives du ministère de la Défense (États-Unis) et des centres nationaux de cybersécurité (Royaume-Uni) ici et ici respectivement.
Définitions et explications
La gestion des identités et des accès (IdAM) est un aspect de la sécurité des informations et englobe les technologies et les processus, y compris les deux termes de votre question.
Identité Gouvernance - est un processus dans l'IdAM. C'est la gestion des politiques qui régit:
- le cycle de vie de bout en bout (création / changement / déplacement / fin de vie) des identités (humaines / Machine / Artificial) sur des systèmes hétérogènes.
- la hiérarchie d'accès aux actifs organisationnels qui seront accordés aux identités établies (bien sûr en fonction de leur rôle et de leurs responsabilités envers l'entreprise).
- respect des réglementations externes / internes telles que ISO 27001, GDPR, HIPAA.
Il y a d'autres fonctions mais ces 3 sont les plus importantes, je crois. Dans cette pratique, vous créez une identité telle que, par exemple, un administrateur de fréquence réseau, et vous déterminez les privilèges que cette identité doit avoir. Vous pouvez également aller jusqu'à déterminer quelles zones d'un bâtiment, quels ordinateurs, quelles imprimantes, quel appareil mobile cette identité peut utiliser, ou même verrouiller des groupes d'appareils à un type d'identité spécifique. Il s'agit en fait de la planification gérée de l'autorisation à associer à une identité. Vous trouverez vos analystes d’entreprise, architectes d’entreprise, spécialistes de la conformité, spécialistes de la sécurité de l’information et auditeurs des informations jouant à ce niveau du jeu.
Gestion des accès - Est-ce le analyse et réponse aux
- violations des règles d'accès - quelle identité enfreint la politique d'accès qui lui a été attribuée?
- les risques d'accès, en particulier le profilage et l'atténuation de ces risques - quelle est l'ampleur de cette violation et comment y répondons-nous? A-t-il besoin d'une analyse plus approfondie? Faut-il les cataloguer et les ajouter aux vecteurs d'attaque connus, etc.
- Besoins de provisionnement en temps réel - L'accès est-il disponible? c'est-à-dire que l'accès aux actifs est-il opportun? Aucun bon accordant l'accès à un élément en retard de 5 jours.
Comme vous pouvez le voir, le contrôle d'accès est étroitement lié à la gouvernance car l'accès approprié (du point de vue de la mise en œuvre technique de l'assurance de l'information) est dérivé des politiques qui (plutôt qui auraient dû) avoir déjà été établies par l'autorité de gouvernance des identités au sein du Entreprise. Dans cette pratique, l'accent est mis sur la mise en œuvre technique de services d'authentification pour déterminer avec un degré élevé de confiance qu'une identité est celle qu'ils prétendent être et qu'ils se conforment aux impératifs des politiques définies. Vous trouverez vos spécialistes de la cybersécurité, vos analystes d'incidents et de réponse, des spécialistes d'infrastructure (réseau / stockage / base de données), des testeurs de stylos, des spécialistes des plates-formes, des spécialistes en logiciels et une IA analytique jouant à ce niveau.
Il est inapproprié de affichez l'autorisation et l'authentification de manière isolée, mais reconnaissez plutôt qu'il s'agit de termes largement utilisés dans les domaines de l'assurance et de la sécurité des informations.