Les identités les plus risquées ne sont pas des personnes : guide partenaires de la gouvernance des identités non humaines

Les anciennes méthodes ne fonctionnent plus

Pendant l’essentiel de la dernière décennie, la sécurité des identités revenait à répondre à une question assez étroite : la personne à l’autre bout de cette connexion est-elle bien celle qu’elle prétend être ? Il devient de plus en plus difficile d’y répondre, et ce n’est pas parce que les attaquants sont plus malins. Ils disposent désormais d’un outil qui fait le plus dur à leur place. Ce changement ouvre aussi l’une des sources de revenus les plus durables qu’un partenaire puisse construire aujourd’hui.

Et de plus en plus souvent, l’identité à l’autre bout n’est plus du tout une personne. Les comptes de service, les clés d’API et désormais les agents d’IA agissent avec de vrais droits, souvent sans propriétaire clairement identifié.

Le risque le moins évident : des identités qui ne sont pas des personnes

Le rapport de Kaseya sur la sécurité SaaS, établi à partir de 27,6 milliards d’événements de sécurité dans plus de 50 000 environnements de PME, a révélé que 69 % des comptes surveillés étaient des utilisateurs invités, que 56 % n’avaient pas d’authentification multifacteur active et qu’une alerte critique sur cinq concernait des principaux de service non humains plutôt que des personnes.

Dans la plupart des échanges avec les clients, le « risque lié à l’IA » se limite aux deepfakes et au phishing, mais l’exposition la plus discrète est l’explosion des identités machine que la plupart des environnements n’ont jamais été conçus pour gouverner à grande échelle. Une étude de Forrester commandée par Microsoft a chiffré l’opportunité pour les partenaires en sécurité à 54,35 $ par utilisateur et par mois de revenus attendus, avec une croissance de 20 % par an. Elle a désigné l’identité comme l’une des catégories en plus forte expansion, à mesure que les clients se préparent aux risques liés à l’IA.

La gouvernance des identités machine est une conversation de services

Les partenaires ne devraient pas y voir l’occasion de vendre aux clients un énième outil de détection. Les outils de détection achetés isolément tendent à résoudre l’attaque du trimestre dernier, car la technique évolue plus vite que n’importe quel modèle ne peut être réentraîné. La meilleure conversation porte sur l’infrastructure d’identité elle-même : le client dispose-t-il d’un moyen indépendant de confirmer une demande à fort enjeu, et son environnement d’identité est-il gouverné, ou simplement surveillé après coup ?

Pour les identités machine, la gouvernance commence par savoir qui est responsable de chaque compte de service et de chaque clé d’API, ce à quoi elle donne accès et à quand remonte sa dernière rotation. C’est un travail de services, du type récurrent et consultatif qui soutient les marges des partenaires pendant que les revenus de la revente s’érodent ailleurs. Les données du rapport State of the MSP 2026 de Kaseya le confirment : 71 % des MSP ont déclaré une croissance annuelle de leur chiffre d’affaires en cybersécurité, et 52 % placent désormais la sécurité parmi leurs principales sources de revenus, devant presque tout sauf la gestion de base des terminaux et des réseaux.

Comment engager la conversation sur la sécurité des identités avec les clients : 6 questions

Pas besoin d’un discours produit pour ouvrir cette conversation. Ces questions montrent où les clients sont exposés :

1. Où l’IA est-elle utilisée aujourd’hui dans votre organisation, y compris via des outils que personne n’a délibérément déployés ?
2. Combien de comptes de service, de clés d’API et d’identifiants d’agents d’IA avez-vous, qui est responsable de chacun et quand chacun a-t-il été renouvelé pour la dernière fois ?
3. Quand les accès de ces identités ont-ils été revus ou certifiés pour la dernière fois, et qui les a validés ?
4. À quoi chaque agent d’IA peut-il accéder (boîtes mail, fichiers, données sensibles), et qui a approuvé cet accès ?
5. Lorsqu’un employé ou un prestataire part, que deviennent les intégrations et les jetons qu’il a créés ?
6. Si un agent commençait à se comporter de manière inattendue, comment le sauriez-vous ?

Pourquoi Netwrix

Chez Netwrix, la sécurité des données commence par l’identité. On ne peut pas protéger les données sans gouverner les identités qui peuvent les atteindre, car la plupart des chemins de compromission graves passent par une identité compromise ou détournée avant d’atteindre les données elles-mêmes. C’est pourquoi la gouvernance des identités, l’accès privilégié, la détection des menaces et la sécurité des données fonctionnent ici ensemble plutôt que comme des produits isolés. Cela distingue aussi Netwrix des éditeurs chez qui l’identité n’est qu’une fonction parmi d’autres dans une suite tentaculaire. Une vision connectée de l’identité et des données vaut mieux qu’une liste de contrôle lorsque les clients posent des questions sur les techniques d’attaque, et les attaques accélérées par l’IA rendent ces questions de plus en plus fréquentes.

Les enjeux économiques valent la peine de construire dessus

L’économie de l’offre tient à l’ampleur de l’opportunité et au caractère récurrent de l’engagement. Le travail sur les menaces liées aux identités passe d’un déploiement ciblé en PME à un engagement pluriannuel en grande entreprise, ce qui permet à un partenaire de bâtir une pratique autour de ce sujet, quel que soit le segment où il est le plus solide. Et comme les produits d’identité de Netwrix sont conçus pour consolider des outils redondants plutôt que d’ajouter une console de plus, un client qui jongle avec plusieurs solutions obtient une proposition plus simple : potentiellement moins de contrats, moins d’intégrations à maintenir et une seule équipe travaillant à partir d’un seul ensemble d’alertes.

Pour conclure

Les attaquants disposent désormais d’un multiplicateur de force, et les failles d’identité qu’ils exploitent existaient pour la plupart déjà : comptes de service non gouvernés, outils fragmentés et vérification qui fait confiance à un visage ou à une voix sans second canal. Pour les partenaires qui construisent ou étendent une activité de sécurité cette année, c’est l’occasion à saisir. Les clients s’en sortiront mieux lorsque leur partenaire les aidera à gouverner l’identité comme la porte d’entrée, car elle l’est de plus en plus. Et les partenaires qui défendront bien cet argument se constitueront un portefeuille d’activité plus durable.