Gouvernance des identités (Identity Governance)

Définition

La gouvernance des identités, ou Identity Governance, est la discipline qui encadre la manière dont les identités et leurs droits d'accès sont attribués, contrôlés et audités au sein d'une organisation, au-delà de la simple gestion technique des comptes assurée par l'IAM. Elle repose sur des politiques formalisées définissant qui peut approuver une demande d'accès, selon quelle séparation des tâches, et sur des campagnes régulières de certification des droits, souvent appelées revues d'accès, impliquant les managers ou propriétaires d'applications. Les solutions de gouvernance des identités, ou Identity Governance and Administration (IGA), automatisent la corrélation entre les comptes existants et les référentiels de ressources humaines, détectent les comptes orphelins ou les cumuls de droits excessifs, et produisent une traçabilité exploitable lors d'un audit de conformité. Cette discipline répond directement aux exigences de plusieurs référentiels, dont ISO 27001 sur la revue des droits d'accès, le RGPD concernant la limitation d'accès aux données personnelles, et le NIST 800-53 avec la famille de contrôles Access Control. Une gouvernance des identités insuffisante augmente le risque de mouvement latéral, technique T1021 de MITRE ATT&CK, et complique la détection d'une escalade de privilèges. Pour un RSSI, elle constitue un levier majeur de réduction du risque humain et un prérequis à toute certification de sécurité de l'information.