IAM : gestion des identités et des accès, définition et rôle en cybersécurité

L’IAM, pour Identity and Access Management, désigne l’ensemble des processus et des technologies qui permettent à une organisation de créer, gérer et supprimer les identités numériques, puis de contrôler ce à quoi chacune peut accéder. Sa portée a changé de nature : à mesure que les applications sont sorties du centre de données et que les attaquants ont cessé de forcer les défenses pour se connecter avec des identifiants valides, l’identité est devenue le premier périmètre à défendre. Cette page réunit le fonctionnement de l’IAM, ses composants, son articulation avec le PAM et le Zero Trust, ainsi que les analyses ITPro sur le sujet, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce que l’IAM ?

Définition. L’Identity and Access Management est la discipline qui régit le cycle de vie des identités numériques et les droits associés : qui existe dans le système d’information, à quoi chaque identité peut accéder, dans quelles conditions, et comment cet accès est retiré lorsqu’il n’est plus justifié.

Identité, authentification, autorisation

Trois notions distinctes, régulièrement confondues :

Un compte correctement authentifié mais sur-habilité reste un risque majeur. C’est le cas de figure le plus fréquent lors des incidents : l’attaquant ne contourne pas l’authentification, il hérite de droits excessifs.

Pourquoi l’identité est devenue le premier périmètre

Le marché des dérobeurs d’identifiants alimente en continu les courtiers d’accès qui revendent l’entrée à des opérateurs de rançongiciel. Le scénario dominant n’est plus l’exploitation d’une faille mais la connexion avec des identifiants valides. Voir nos sections logiciels malveillants et ransomware.

À cela s’ajoute un effet de volume. Le nombre d’identités a explosé avec le SaaS, le travail hybride, les intégrations applicatives et les identités machines. Dans la plupart des organisations, les comptes de service et les identités applicatives sont désormais plus nombreux que les utilisateurs humains, tout en étant beaucoup moins surveillés.

Comment fonctionne une solution IAM ?

Le cœur du sujet est le cycle de vie, pas l’outil.

1. Création. L’identité est provisionnée à partir d’une source de vérité, généralement le SIRH, avec un socle de droits défini par le rôle.

2. Attribution des droits. Par rôle (RBAC) ou par attributs (ABAC). Le modèle par rôle est plus simple à gouverner, le modèle par attributs plus fin mais plus coûteux à maintenir.

3. Authentification. Le fournisseur d’identité vérifie l’identité, applique l’authentification multifacteur et les règles d’accès conditionnel.

4. Contrôle des autorisations. À chaque accès, en fonction de la ressource, du contexte et du niveau de risque.

5. Évolution. C’est l’étape la plus mal traitée. Un collaborateur qui change de poste conserve le plus souvent ses anciens droits. L’accumulation de privilèges au fil de la carrière produit des comptes disposant d’accès sans rapport avec leur fonction.

6. Suppression. Le retrait des accès au départ, incluant les applications SaaS provisionnées hors du périmètre IT.

L’automatisation de ces transitions, du recrutement au départ, constitue le premier gain de sécurité d’un projet IAM, avant toute considération technologique.

Les composants d’une architecture IAM

Le SSO améliore l’expérience utilisateur et centralise le point de contrôle, mais il concentre aussi le risque : un compte SSO compromis sans MFA robuste ouvre l’ensemble du portefeuille applicatif.

Les types d’identités à gouverner

• Identités humaines internes. Le périmètre historique, généralement le mieux traité.
• Comptes à privilèges. Administrateurs de domaine, comptes d’urgence, accès aux systèmes d’administration. Volume faible, criticité maximale.
• Comptes de service. Souvent créés lors d’un projet, dotés de droits larges, sans propriétaire identifié et sans rotation de secret.
• Identités machines et applicatives. Certificats, jetons, clés d’API. Leur cycle de vie est rarement outillé.
• Identités externes. Prestataires, partenaires, sous-traitants. Point d’entrée récurrent, et exigence explicite au titre de la sécurité de la chaîne d’approvisionnement dans le cadre de la conformité NIS2.

IAM, PAM et IGA : comment les distinguer

L’IAM gouverne l’ensemble des identités et de leurs accès courants. Le PAM traite spécifiquement les comptes à privilèges : stockage des secrets dans un coffre-fort, élévation temporaire, enregistrement des sessions, suppression des privilèges permanents au profit d’un accès accordé à la demande. L’IGA apporte la couche de gouvernance : qui a demandé quoi, qui a validé, quand les droits ont été revus, et avec quelles preuves.

Ces trois briques répondent à des questions différentes. Une organisation qui déploie un IAM sans PAM laisse sans contrôle les comptes dont la compromission a le plus d’impact. Une organisation qui déploie un IAM sans IGA se retrouve incapable de produire une preuve lors d’un audit.

IAM et Zero Trust

Le modèle Zero Trust repose entièrement sur la qualité du signal d’identité. Le moteur de décision agrège l’identité authentifiée, la posture de l’équipement, le contexte et le niveau de risque pour autoriser ou refuser chaque accès. Si l’annuaire contient des comptes orphelins, des droits obsolètes et des groupes dont plus personne ne connaît la finalité, la décision porte sur des données fausses.

Autrement dit : la remise en ordre de l’IAM est le prérequis d’un projet Zero Trust, pas une option ultérieure. C’est aussi la condition pour que la détection portée par l’EDR et le XDR puisse identifier un usage anormal, ce qui suppose de savoir ce qu’est un usage normal.

Les risques d’une gouvernance IAM défaillante

• Comptes orphelins restés actifs après un départ.
• Accumulation de privilèges au fil des mobilités internes.
• Comptes de service sans propriétaire, avec des secrets jamais renouvelés.
• Absence de revue des habilitations, qui rend impossible toute démonstration de conformité.
• Amplification du déplacement latéral après compromission d’un seul compte.

Structurer un projet IAM

Les projets IAM échouent le plus souvent pour des raisons de gouvernance, pas de technologie. Les points déterminants :

• Définir la source de vérité avant de choisir un outil. Sans référentiel RH fiable, aucune automatisation du cycle de vie n’est possible.
• Nettoyer avant d’automatiser. Migrer un annuaire dégradé revient à industrialiser le désordre.
• Commencer par les comptes à privilèges, où le rapport entre effort et réduction de risque est le plus favorable.
• Instaurer des campagnes de revue portées par les responsables métier, seuls capables de juger la légitimité d’un droit.
• Anticiper la conduite du changement. Le MFA et la réduction des droits produisent des frictions réelles, qui se traitent par l’accompagnement et non par des exceptions permanentes.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.