Cycle de vie des identités (Identity Lifecycle)

Définition

Le cycle de vie des identités, ou Identity Lifecycle, désigne l'ensemble des étapes qui structurent l'existence d'un compte utilisateur au sein du système d'information, depuis sa création jusqu'à sa suppression définitive. Il comprend classiquement le provisionnement, déclenché lors de l'arrivée d'un collaborateur ou de la souscription d'un service, la gestion des évolutions, comme un changement de poste ou de responsabilités entraînant une modification des droits d'accès, et le déprovisionnement, indispensable lors d'un départ, d'une fin de mission ou de la résiliation d'un prestataire externe. Une gestion rigoureuse du cycle de vie des identités repose sur l'automatisation, via des connecteurs entre le système de ressources humaines et les référentiels d'identité, afin d'éviter les délais manuels sources de comptes orphelins ou de droits excessifs persistants. Ces failles de processus sont fréquemment exploitées par des attaquants, correspondant à la technique T1078.004 de MITRE ATT&CK relative aux comptes cloud valides, ou constituent une non-conformité vis-à-vis d'ISO 27001 et du RGPD, qui exige la suppression des accès aux données personnelles dès qu'ils ne sont plus justifiés. Un cycle de vie des identités bien maîtrisé, incluant des revues périodiques et des workflows d'approbation, réduit significativement la surface d'attaque et facilite la démonstration de conformité lors d'un audit de sécurité ou d'une certification.