Le Groupement Informatique de Protection Sociale (GIPS) est un GIE qui met en oeuvre les systèmes d'informations d'organismes de protection sociale, ce qui l'amène à gérer les droits d'accès à ces environnements. Or, pour se mettre en conformité avec les exigences de Solvency 2 et, au delà, d'améliorer la gestion des risques opérationnels, il était nécessaire d'intervenir sur la gestion des identités et des droits d'accès. 

Les procédures d'habilitations devaient en effet être renforcées en lien avec les entrées/sorties de personnel. De plus, les équipes d'encadrement devait disposer d'une modélisation de ces habilitations qui soit compréhensible et maintenable.

500 rôles différents ont été définis

Le projet a, en tout, duré quatre ans mais en deux phases : d'abord un pilote méthodologique à partir de 2009 et ensuite la mise en oeuvre de l'IAM (Identity Access Management) proprement dite à partir de 2011 avec mise en production début 2013. Le pilote méthodologique visait à définir une modélisation des habilitations sous la forme de « rôles métier » afin de valider l'emploi de la méthode RBAC (Role Based Access Control). Il a été réalisé dans le cadre d'une refonte partielle du système d'information. 500 rôles différents ont été définis pour les 1 800 identités à gérer. La définition des rôles a été réalisée dans une optique métier, tous les processus et tous les collaborateurs étant de fait impactés par la démarche.

Ce n'est qu'ensuite que la solution d'IAM a été choisie. En l'occurrence, GIPS a choisi Microsoft Forefront Identity Manager 2010 (FIM), intégrée par la SSII Exakis qui est intervenue de la spécification à la mise en production. La deuxième phase du projet a permis de connecter cet IAM à la gestion des demandes dans le cadre des processus ITIL de support utilisateur (ITSM) afin de tracer non seulement les accès au système d'information mais aussi toutes les opérations et demandes. En l'occurrence, l'ITSM est celui d'Easyvista. Le coût global du projet a été de 5 millions d'euros.