Gestion des identités et des accès : trois incidents que vos équipes ont déjà vécus
Les intrusions qui font les gros titres commencent rarement par une faille logicielle exotique. Bien souvent, l’attaquant entre par la grande porte : un compte légitime, mal surveillé, doté de droits que personne ne remet en question. C’est précisément le terrain de la gestion des identités et des accès (IAM). Plutôt que d’empiler les définitions, voici trois incidents types, inspirés du quotidien des équipes IT et ce qu’une démarche IAM structurée y change concrètement.
Scénario 1 : le prestataire parti depuis six mois qui se connecte encore
Un intégrateur intervient sur votre ERP pendant quatre mois. Mission terminée, facture réglée, tout le monde passe à autre chose. Six mois plus tard, son compte VPN répond toujours et ses identifiants circulent sur un forum après la compromission de sa propre messagerie. Personne n’a demandé la désactivation : le chef de projet pensait que la DSI s’en chargeait, la DSI attendait un ticket.
Ce compte orphelin, rattaché à aucun collaborateur actif, est un angle mort classique. La réponse tient en deux mécanismes. D’abord, le déprovisionnement automatisé : chaque identité numérique est reliée à une source de référence – le SIRH pour les salariés, le registre des contrats pour les externes – et la fin d’une mission déclenche la désactivation des accès associés dans l’annuaire, le VPN et les applications SaaS.
Ensuite, des revues d’accès régulières permettent à chaque responsable de vérifier les comptes et les habilitations de son périmètre. Un compte qui n’a plus de propriétaire ou de justification peut ainsi être rapidement identifié et suspendu. Sans automatisation, ce travail devient vite fastidieux. Avec une solution IAM, ces contrôles peuvent être centralisés et intégrés dans des campagnes de revue périodiques.
Scénario 2 : l’administrateur piégé un lundi matin
Lundi, 8 h 47. Un administrateur systèmes reçoit un mail imitant parfaitement l’outil de ticketing interne : « 3 tickets critiques en attente de validation ». Il clique, saisit son mot de passe et son code à six chiffres sur une page clone. En temps réel, l’attaquant rejoue ces informations sur le vrai portail. Le code arrivé sur le téléphone du bon utilisateur a finalement servi à valider la session du mauvais.
Cet incident illustre les limites de certaines méthodes de MFA : un code que l’on saisit peut être intercepté ou relayé dans certains scénarios d’attaque. La parade consiste à privilégier une authentification forte résistante au phishing.
Avec FIDO2 et WebAuthn, une clé de sécurité physique s’appuie sur la cryptographie à clé publique et vérifie le domaine auquel elle répond. Une page de phishing ne peut donc pas simplement récupérer puis réutiliser un secret comme elle le ferait avec un mot de passe ou un code à usage unique.
Poussée à son terme, cette logique mène au passwordless, où le mot de passe disparaît au profit d’une clé de sécurité ou d’un mécanisme d’authentification lié à l’appareil. Des solutions dédiées à la gestion des identités et des accès, comme Hideez, permettent notamment de déployer FIDO2 et l’authentification sans mot de passe sur des environnements professionnels hétérogènes. Ces protections peuvent être déployées en priorité auprès des populations les plus exposées, comme les administrateurs, les équipes financières ou la direction.
Scénario 3 : la salariée qui cumule les droits de trois postes
Une collaboratrice entre au support client, passe à la comptabilité, puis rejoint les ressources humaines. À chaque mobilité, on lui ajoute des droits, mais on ne retire pas systématiquement les anciens. Résultat au bout de plusieurs années : accès aux tickets clients, aux écritures comptables et aux dossiers du personnel.
Le jour où son poste de travail est compromis, l’attaquant hérite potentiellement de ce cumul d’autorisations et peut atteindre des ressources qui n’ont plus aucun rapport avec les fonctions actuelles de la collaboratrice.
Le remède porte un nom : le contrôle des accès par rôles (RBAC). Chaque fonction de l’entreprise correspond à un rôle regroupant les droits nécessaires, selon le principe du moindre privilège. Une mobilité interne devient alors une bascule : l’ancien rôle est retiré lorsque le nouveau est attribué.
La gouvernance des identités ajoute une couche de pilotage : qui possède quels droits, depuis quand, pour quelle raison et avec quelle validation. Restent les comptes à privilèges – administrateurs de domaine, comptes techniques ou de service – qui nécessitent un traitement spécifique.
C’est le rôle du Privileged Access Management (PAM) : sécurisation des secrets, élévation temporaire des privilèges et traçabilité des sessions sensibles. En cas d’incident, les équipes disposent ainsi d’informations permettant de comprendre plus rapidement quelles actions ont été réalisées et avec quels privilèges.
Le fil conducteur : Zero Trust, sans sacrifier les utilisateurs
Ces trois réponses racontent la même histoire : ne pas accorder une confiance permanente à un compte, un appareil ou un réseau. C’est le principe du Zero Trust. Chaque accès est évalué en fonction de l’identité, de l’appareil, de la ressource demandée et du contexte, que l’utilisateur travaille au bureau ou à distance.
La sécurité des accès cesse ainsi de reposer uniquement sur un périmètre réseau pour devenir un contrôle continu.
Le tout sans nécessairement dégrader l’expérience utilisateur. Une clé de sécurité peut offrir une authentification rapide et simple, tandis que des politiques de mots de passe trop contraignantes peuvent pousser les collaborateurs à adopter de mauvaises pratiques. Une bonne gestion des identités et des accès doit donc simplifier la vie des utilisateurs autant qu’elle complique celle des attaquants.
Par où commencer ?
Pas nécessairement par un grand projet : commencez par un inventaire. Listez les comptes de votre annuaire et de vos applications critiques, rattachez chacun à une personne, un service ou un usage identifié, puis examinez les droits associés.
Les comptes orphelins, les cumuls d’habilitations et les privilèges injustifiés deviennent alors beaucoup plus faciles à identifier. C’est une première étape concrète pour reprendre le contrôle sur les identités et construire progressivement une gouvernance des accès adaptée aux usages de l’entreprise.
