Identités machines et supply chain : l’erreur stratégique des entreprises en cybersécurité

Jean-François Pruvot, Vice-Président de L’Europe du Sud chez Saviynt partage son analyse et ses recommandations

Identités non humaines et accès externes 

Ce mouvement s’explique par la transformation des systèmes eux-mêmes. Les architectures se sont distribuées, les applications se sont fragmentées en services interconnectés, et les entreprises se sont intégrées à des écosystèmes de partenaires, de prestataires et de fournisseurs technologiques toujours plus étendus. En parallèle, l’automatisation des opérations a fait émerger une multitude d’identités machines, désormais au cœur des échanges entre applications et infrastructures.

Ce basculement a profondément modifié la manière dont les accès sont utilisés. Les interactions ne passent plus majoritairement par des utilisateurs humains, mais par des flux continus entre systèmes, souvent invisibles et encore mal gouvernés. Pour répondre à cette évolution, les entreprises ont renforcé leurs dispositifs autour des identités et des accès tiers. Pourtant, malgré ces efforts, une faille persiste. En continuant de traiter séparément les identités machines et les accès liés à la supply chain, les organisations appliquent une grille de lecture qui ne correspond plus à la réalité de leurs environnements. Elles sécurisent des catégories, là où elles devraient sécuriser des continuités.

Les identités non humaines et les accès externes ne sont plus deux problématiques distinctes, mais les deux faces d’une même surface d’exposition. C’est dans cet écart que se construit aujourd’hui une part importante de leur vulnérabilité.

Jean-François Pruvot, Vice-Président de L’Europe du Sud chez Saviynt

Une faille localisée : porte d’entrée vers tout un écosystème

Le décalage n’est pas technique, il est avant tout stratégique. Les identités machines continuent d’être traitées comme des composants secondaires, alors qu’elles structurent désormais les échanges entre applications, services et partenaires. Les accès liés à la supply chain suivent la même logique. Ils sont encore perçus comme des extensions externes, alors qu’ils participent directement au fonctionnement des systèmes internes. En persistant à les dissocier, les entreprises passent à côté du véritable problème. Leurs environnements ne sont plus cloisonnés, ils sont interconnectés.

Cette lecture crée une vulnérabilité structurelle. Une identité machine mal identifiée ou dotée de privilèges excessifs n’est pas un simple défaut de configuration, c’est un point de passage entre plusieurs environnements. Lorsqu’un partenaire dispose d’un accès insuffisamment contrôlé, il devient lui aussi une extension du système interne. Dans les deux cas, la faille ne réside pas dans un élément isolé, mais dans la continuité entre les systèmes.

Les attaquants exploitent précisément cette continuité. Plusieurs cas permettent de comprendre comment ces mécanismes se matérialisent. Les opérations menées par ShinyHunters par exemple ne se limitent pas au vol de données, elles montrent que les identifiants non humains sont devenus des vecteurs d’accès privilégiés. L’attaque contre Jaguar Land Rover a, de son côté, illustré jusqu’où ces compromissions peuvent aller, avec un arrêt de la production et des perturbations en chaîne chez les fournisseurs . L’affaire SolarWinds s’inscrit dans la même logique. Elle n’a pas seulement révélé la fragilité d’un fournisseur, mais les limites d’un modèle de sécurité centré sur l’entreprise elle-même. En s’appuyant sur des accès légitimes, les attaquants n’ont pas contourné la sécurité, ils ont exploité la manière dont elle est structurée. Une faille localisée peut ainsi devenir une porte d’entrée vers tout un écosystème.

Comprendre ce qui est réellement exposé

L’enjeu n’est plus seulement de renforcer les défenses, mais de comprendre ce qui est réellement exposé. Les entreprises continuent de cartographier leurs utilisateurs humains, ce qui reste nécessaire, mais insuffisant. Elles peinent encore à identifier qui accède à quoi dès lors que ces accès passent par des identités machines ou par des partenaires. Cette asymétrie entretient une illusion de contrôle : les outils existent, les politiques sont en place, mais la visibilité reste partielle.

Une surface d’attaque que l’on ne voit pas échappe, par définition, au contrôle. Dans ces conditions, aucune protection durable ne peut être garantie. Tant que les identités machines et les accès tiers seront traités comme des sujets distincts, ils continueront de produire des angles morts. L’enjeu n’est donc plus de sécuriser davantage, mais de redéfinir clairement ce que l’on considère comme faisant partie du système.

Fondamentalement, ces attaques ne révèlent pas seulement des failles techniques, mais un décalage dans la manière de penser la cybersécurité. Les entreprises continuent de raisonner en périmètres, alors que leurs systèmes fonctionnent désormais par des flux entre identités machines et partenaires. La frontière de l’organisation ne correspond plus à la réalité de ses accès. En l’ignorant, elles laissent mécaniquement des points d’entrée ouverts.

Revoir cette grille de lecture devient indispensable pour aligner la sécurité avec le fonctionnement réel des systèmes, et non avec une représentation qui n’existe plus.