Gestion des Identités et des Accès IAM

conformite

Définition

La Gestion des Identités et des Accès (IAM, Identity and Access Management) est l'ensemble des processus, politiques et technologies permettant de gérer de manière sécurisée les identités numériques (utilisateurs, systèmes, applications) et de contrôler leurs accès aux ressources informatiques (systèmes, applications, données). L'IAM est le socle de la sécurité des systèmes d'information modernes : sans un IAM solide, les autres contrôles de sécurité sont fragilisés. Les composants fondamentaux d'un système IAM couvrent plusieurs domaines. L'authentification vérifie l'identité de l'entité souhaitant accéder à une ressource (mot de passe, MFA, certificat, biométrie). L'autorisation détermine à quelles ressources l'entité authentifiée peut accéder et avec quels droits (RBAC — Role-Based Access Control, ABAC — Attribute-Based Access Control). La gestion des identités couvre les cycles de vie des comptes (provisioning, modification, dé-provisioning). Les annuaires d'entreprise (Active Directory, LDAP, Azure AD/Entra ID) centralisent les identités. La gouvernance des accès assure la revue périodique des droits. L'IAM est au centre de nombreuses exigences réglementaires. ISO 27001 (contrôle 5.15 à 5.18 et 8.2 à 8.5 d'ISO 27002:2022) couvre la gestion des accès. PCI-DSS (Requirements 7 et 8) impose des contrôles stricts sur les accès aux systèmes de paiement, avec MFA obligatoire pour les accès administrateurs et distants. NIS2 (article 21) requiert l'authentification multifacteur et des contrôles d'accès robustes. DORA impose la gestion des identités et des accès dans son cadre de gestion des risques ICT. Dans le contexte Zero Trust, l'IAM évolue vers le concept de « Never trust, always verify » : chaque demande d'accès est évaluée dynamiquement en considérant l'identité de l'utilisateur, l'état de son appareil, sa localisation, son comportement habituel et le contexte de la demande. Cette évaluation contextuelle est réalisée par des solutions CIAM (Customer IAM), EIAM (Enterprise IAM), ou PAM (Privileged Access Management) avancées. La gestion des accès privilégiés (PAM, Privileged Access Management) est la sous-catégorie IAM la plus critique : les comptes administrateurs, comptes de service et comptes à privilèges élevés sont les cibles privilégiées des attaquants. Des solutions PAM (CyberArk, BeyondTrust, Delinea, HashiCorp Vault) permettent de gérer, auditer et contrôler ces accès sensibles.

Composants fondamentaux de l'IAM

Un système IAM complet couvre : Authentification — mécanismes de vérification d'identité (password, MFA TOTP/FIDO2/WebAuthn, PKI/certificats, biométrie, SSO/SAML/OIDC) ; Autorisation — contrôle des accès (RBAC, ABAC, ACL) définissant ce qu'une identité peut faire une fois authentifiée ; Gestion des identités — provisioning (création des comptes selon le profil RH), modification (mise à jour des droits lors des changements de poste), dé-provisioning (révocation immédiate lors du départ) ; Gouvernance des accès — revues périodiques des droits (access reviews/certifications) par les managers métier, pour valider que chaque utilisateur ne dispose que des accès nécessaires à ses fonctions.

La règle du moindre privilège (Least Privilege) est le principe directeur de l'IAM : chaque utilisateur, service et application ne doit disposer que des droits strictement nécessaires à l'exécution de ses fonctions, pas plus. Ce principe réduit considérablement la surface d'attaque et limite l'impact d'une compromission de compte.

MFA : exigence réglementaire universelle

L'authentification multifacteur (MFA) est devenue une exigence explicite dans pratiquement tous les référentiels de sécurité : PCI-DSS v4.0 l'impose pour tous les accès aux composants du CDE (Requirement 8.4), NIS2 (art. 21) l'impose pour les entités essentielles et importantes, DORA l'impose dans le cadre de la gestion des risques ICT, et ISO 27002:2022 (contrôle 8.5) la recommande fortement.

Les méthodes MFA varient en sécurité : SMS/OTP téléphonique (vulnérable au SIM swapping et au phishing), TOTP (Google Authenticator, Microsoft Authenticator — résistant au SIM swapping mais hameçonnable), FIDO2/WebAuthn (clé physique YubiKey ou passkey — résistant au phishing, le meilleur niveau de sécurité), et push notification (Duo, Microsoft Authenticator push — pratique mais vulnérable au MFA fatigue attack).

PAM : sécurité des accès privilégiés

La gestion des accès privilégiés (PAM) est la discipline IAM la plus critique : les comptes administrateurs, comptes root, comptes de service, et comptes partagés sont les cibles les plus recherchées par les attaquants. Des solutions PAM (CyberArk, BeyondTrust, Delinea, HashiCorp Vault) offrent : coffre-fort de mots de passe pour les comptes privilégiés (rotation automatique des mots de passe), enregistrement des sessions (session recording pour audit), accès just-in-time (JIT — accès accordés temporairement et révoqués automatiquement), et analyse comportementale des sessions privilégiées.

L'élimination des comptes partagés (shared accounts) et des mots de passe statiques de longue durée pour les comptes de service est une exigence forte de la plupart des référentiels. Les solutions PAM permettent d'y répondre sans dégrader l'expérience des administrateurs légitimes.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis