Sécurité de l'Identity : un guide pour les responsables de la sécurité

Selon le Netwrix 2026 Data and Identity Security Report, une enquête auprès de 2 317 professionnels de l'informatique et de la sécurité a révélé que 75 % des expositions de données sensibles commencent par des identités compromises ou des autorisations mal configurées.

Un accès apparemment valide peut présenter des risques longtemps après sa mise en place, ce qui fait de la sécurité des identités une question de résilience cybernétique et de gouvernance d’entreprise plutôt qu’une simple question technique.

Dans une organisation de 100 à 5 000 employés, répondre à un membre du conseil d'administration ou à un auditeur externe qui demande qui a accès à quoi, ou si l'organisation est sécurisée, nécessite souvent une réconciliation manuelle. Les données sous-jacentes se trouvent dans Active Directory (AD), Microsoft Entra ID, plusieurs consoles d'administration SaaS et des feuilles de calcul, et ces enregistrements sont souvent discordants.

Un programme discipliné transforme ces données fragmentées en une posture mesurable que les équipes de sécurité, les conseils d'administration et les auditeurs peuvent utiliser. La gouvernance continue favorise ensuite une réponse plus rapide, des décisions d'accès défendables et des preuves claires des progrès.

Qu'est-ce que la sécurité des identités ?

La sécurité des identités est la pratique continue de protection de chaque identité au sein de l'organisation contre les compromissions et les usages abusifs. Elle identifie où l'accès accordé crée un risque, surveille l'utilisation de cet accès et interrompt les activités d'identité anormales. Le périmètre couvre les employés et les sous-traitants ainsi que les comptes de service, les identités applicatives et les agents IA.

Identity and access management (IAM) est la discipline associée qui permet aux bonnes personnes ou machines d’accéder aux bons actifs au bon moment et pour des raisons légitimes. IAM gère le provisioning, décidant qui obtient quoi et en le configurant.

La sécurité de l'identité suit cette décision, appliquant la prévention avant une attaque et la détection ainsi que la réponse une fois qu'elle est en cours. IAM construit la structure, et la sécurité de l'identité la défend.

Pourquoi la sécurité de l'identité est désormais un risque au niveau du conseil d'administration

Les conseils ont besoin de preuves spécifiques et mesurables pour gérer l'exposition des identités dans le cadre de la posture de cyberrésilience de l'organisation. Trois forces ont récemment augmenté les enjeux.

Près de la moitié des organisations ont subi une compromission de compte cloud l'année dernière

Le Rapport sur la Sécurité des Données et de l'Identity Netwrix 2026 a révélé un taux de violation de 43 % au cours des 12 derniers mois parmi les organisations où l'IA avait considérablement augmenté l'empreinte d'identity, contre 11 % chez celles où elle n'avait pas changé de manière significative. Chaque identity ajoutée est une autre information d'identification qu'un attaquant peut utiliser. Des identifiants valides de locataires cloud permettent à un attaquant de lire les emails, d'extraire des données et de naviguer entre les services SaaS sans déclencher les contrôles conçus pour les périmètres réseau.

Les identités et les permissions régissent les chemins empruntés par les attaquants vers les données

L'origine des expositions de données sensibles est une question distincte de la manière dont les attaquants accèdent initialement. Dans Verizon's 2026 Data Breach Investigations Report (DBIR), l'exploitation des vulnérabilités (31 %) a dépassé l'abus d'identifiants (13 %) en tant que principal vecteur d'accès initial. L'abus d'identifiants est néanmoins apparu dans 39 % des violations à un moment donné.

Une fois à l'intérieur, que ce soit par une exploitation ou un mot de passe volé, l'accès aux données passe par les identités et les autorisations. Les contrôles de pare-feu régissent le trafic réseau, tandis que les identités et les autorisations régissent l'accès aux données.

Les assureurs intègrent déjà ce risque dans les renouvellements

Parmi les organisations assurées, Le Netwrix 2025 Cybersecurity Trends Report a révélé que la demande pour IAM est passée de 38 % en 2023 à 48 % en 2025. Les cycles de renouvellement incluent désormais des questions spécifiques à l'identité, et les primes en tiennent compte.

Les questions auxquelles la sécurité de Identity Management doit répondre

Un programme efficace répond à quatre questions pratiques en des termes que les conseils d'administration et les auditeurs peuvent évaluer :

1. Qui détient l'accès effectif en ce moment ?
2. Cet accès est-il utilisé normalement ?
3. Les décisions d'accès peuvent-elles être défendues ultérieurement ?
4. L’accès est-il supprimé à temps ?

Les disciplines complémentaires incluent Privileged Access Management (PAM), la gouvernance et l'administration des identités (IGA), Identity Threat Detection & Response (ITDR), et la gestion de la posture de sécurité des identités (ISPM).

Qui a accès à quoi, en ce moment, sur tous les systèmes ?

Les équipes répondent généralement à cette question système par système. L’équipe AD extrait les appartenances aux groupes, l’administrateur Microsoft 365 exporte les affectations de rôles, et chaque propriétaire SaaS dispose d’une console. Ce qui manque, c’est une vue unique et actuelle couvrant AD, Microsoft Entra ID, SaaS et le cloud, avec la résolution des appartenances aux groupes imbriqués selon l’accès effectif d’une personne. La réponse nécessite généralement une réconciliation supplémentaire après la réunion.

Cet accès est-il utilisé comme il se doit ?

Le comportement nécessite toujours une vérification distincte lorsqu'une personne utilise un compte en dehors des heures prévues, même si le compte dispose des autorisations appropriées. Le vol d'identifiants, mouvement latéral, et l'escalade de privilèges peuvent sembler être des activités autorisées du point de vue des droits, car le compte effectue des actions qu'il est autorisé à faire, mais dans une séquence et à un rythme incohérents avec le comportement légitime d'un administrateur. Répondre à cette question nécessite une analyse comportementale dans le temps, ce qui est la mission de ITDR.

Pouvons-nous montrer pourquoi l'accès était approprié, après coup ?

Lorsque les équipes ne peuvent pas reconstituer une décision d'accès valide ultérieurement, l'organisation manque des preuves attendues par un auditeur. L'organisation a besoin d'un enregistrement de qui a demandé l'accès, qui l'a approuvé et quand quelqu'un l'a examiné pour la dernière fois. Cet enregistrement relie la décision initiale à l'habilitation actuelle.

L'accès est-il supprimé quand il le faut ?

La politique écrite et l’état de l’annuaire peuvent rapidement diverger. Standing privileged access qui dépasse sa raison d’être, un compte de sous-traitant toujours actif après le projet, et un compte de service dont le propriétaire est parti depuis longtemps, chacun laisse des droits en place que personne ne réautoriserait aujourd’hui.

Le Netwrix 2026 Data and Identity Security Report a révélé que 76 % des organisations ne peuvent pas révoquer immédiatement un accès permanent lorsqu’il n’est plus nécessaire, un problème que les dirigeants peuvent résoudre avec des contrôles de cycle de vie renforcés.

Les composants essentiels de la sécurité de l'identité

La sécurité d’Identity répartit le travail entre le provisioning, privilege, la gouvernance, la détection et l’annuaire dont ils dépendent tous, dans l’ordre où chaque discipline entre dans le cycle de vie de l’accès.

IAM : le parapluie qui accorde et gère l'accès

IAM couvre les systèmes et processus qui décident qui obtient accès à quoi puis le provisionnent, y compris les directories, single sign-on, MFA et les demandes d'accès. Les contrôles de sécurité s'appuient sur ce qu'IAM accorde en examinant les droits délivrés pour détecter des signes de compromission, d'utilisation abusive ou de risque accumulé.

Privileged Access Management : le sous-ensemble privilégié qui peut causer le plus de dégâts

Privileged Access Management régit les comptes pouvant modifier l'environnement lui-même, y compris les administrateurs de domaine, les administrateurs globaux cloud et comptes de service avec des droits élevés. Les outils PAM appliquent des contrôles techniques renforcés sur les comptes, les identifiants et les commandes utilisés pour administrer ou configurer les systèmes et applications.

Les organisations utilisent des outils distincts et l’enregistrement des sessions pour cet accès restreint et à enjeux élevés, car les assureurs et les auditeurs l’examinent plus attentivement que l’accès utilisateur standard. Le Netwrix Cybersecurity Trends Report 2025 a révélé que 42 % des professionnels IT privilégieraient l’amélioration de PAM par rapport à toutes les autres initiatives de sécurité si on leur en donnait le choix.

IGA : la couche de gouvernance qui vérifie l’accès a toujours du sens

La gouvernance et l’administration de Identity fournissent la couche de revue périodique. Alors que le provisioning IAM regarde vers l’avant car une personne a besoin d’un rôle aujourd’hui, IGA regarde en arrière et demande si l’accès accordé il y a 18 mois est toujours approprié et ce que l’équipe aurait déjà dû révoquer. Les fonctionnalités principales d’IGA incluent la gestion du cycle de vie de l’identité, certification des accès et le traitement des demandes d’accès. À des fins d’audit, IGA produit des enregistrements de certification montrant que quelqu’un a examiné les accès.

ITDR : surveillance des compromissions après l'octroi d'accès

Identity threat detection and response fournit la couche en temps réel. Gartner a introduit la catégorie en 2022. Il détecte le vol d’identifiants, les mouvements latéraux et l’escalade de privilèges au moment où ils se produisent. IGA et PAM régissent si les équipes configurent correctement l’accès, tandis que ITDR identifie les usages abusifs après que l’accès existe.

Sécurité de Directory : Protéger le système dont dépend chaque identité

Active Directory et Entra ID forment la base des autres disciplines. Un annuaire compromis ou mal configuré compromet toutes ces disciplines à la fois car le contrôle de l'annuaire modifie la source de vérité pour chaque identité.

Les directives des Five Eyes Détection et atténuation des compromissions d’Active Directory, publiées pour la première fois en septembre 2024 et depuis révisées, avertissent que prendre le contrôle d’Active Directory donne aux acteurs malveillants un accès privilégié à tous les systèmes et utilisateurs qu’il gère.

Où la sécurité d’Identity s’intègre avec Zero Trust

L'Agence de cybersécurité et de sécurité des infrastructures (CISA) place l'identité au centre de la vérification continue. Le Modèle de Maturité Zero Trust de CISA fait de l'identité le premier de ses cinq piliers, avec une étape Optimale où une organisation valide continuellement l'identité tout au long de l'accès en utilisant une MFA résistante au phishing.

Validation continue, least privilege et réévaluation de la confiance lors d'une session en direct sont toutes des tâches de sécurité d'identité. Une stratégie Zero Trust alignée sur le modèle de CISA dépend de la robustesse des contrôles d'identité qui la mettent en œuvre.

Comment évaluer la position de votre organisation

Trois exercices produisent une base défendable en utilisant les outils déjà en possession de l’équipe. Un test de visibilité chronométré, une revue d’approbation des accès privilégiés et une analyse indépendante du répertoire fournissent chacun un artefact spécifique que l’équipe peut remettre à la direction ou à un auditeur.

Effectuez un test de visibilité d’accès effectif d’une journée

Demandez à l’équipe de répondre à « qui a accès à quoi, en ce moment, sur tous les systèmes » en un jour ouvrable. Enregistrez le nombre de consoles utilisées, le temps requis et les systèmes que l’équipe n’a pas pu couvrir. Le résultat doit être une liste unique et réconciliée des accès effectifs par utilisateur ou, à défaut, une liste documentée des obstacles ayant empêché sa production. Les deux résultats doivent être inclus dans le récit du conseil par la suite.

Examinez les accès privilégiés permanents pour des approbations dont personne ne se souvient avoir donné

Obtenez la liste complète des comptes avec des droits élevés, y compris les comptes de service et ceux qui héritent des droits d’administrateur via des groupes imbriqués. Pour chaque compte, identifiez qui l’a approuvé, quand l’approbation a eu lieu et pourquoi l’accès reste actif.

Fait ressemble à une feuille de calcul avec un enregistrement d'approbation attaché à chaque entrée et une liste restreinte de comptes à révoquer. Cybersecurity Maturity Model Certification (CMMC) Les évaluateurs de niveau 2 demandent exactement cet ensemble d'artefacts, y compris une liste des comptes système actifs liés à des individus nommés et les enregistrements d'autorisation d'accès correspondants, de sorte que l'exercice sert également de préparation à l'audit.

Effectuez une analyse indépendante de l’annuaire selon une liste de contrôle standard

Évaluez l’annuaire avec un scan externe, comme une évaluation cartographiée MITRE ATT&CK ou une basée sur les techniques de compromission AD dans les Five Eyes guidance, pour produire une base de référence indépendante. Le résultat est une liste classée de mauvaises configurations, y compris celles qui permettent à un utilisateur ordinaire de passer administrateur et les comptes que les attaquants peuvent cibler sans connexion interactive.

Traduire la sécurité des identités dans le langage du conseil et de l'audit

Le financement dépend de la traduction des résultats d'identité en exposition, temps de réponse et preuves défendables sur lesquelles un conseil peut agir. Le Director's Handbook on Cyber-Risk Oversight, cinquième édition (2026), confie cette responsabilité de traduction à la direction.

Les indicateurs qui fonctionnent dans une conversation du conseil

Un décompte des vulnérabilités mesure l’effort, tandis qu’un conseil doit voir l’exposition. Les métriques d’identité basées sur le temps offrent cette vue, traduisant l’activité technique en une chronologie des risques qu’un directeur non technique peut évaluer. NACD les liste parmi les métriques à rapporter au moins trimestriellement et immédiatement après tout incident important :

• Temps moyen de détection (MTTD) : Durée pendant laquelle une identité compromise passe inaperçue, période durant laquelle un attaquant peut se déplacer latéralement ou escalader des privilèges sans être détecté.
• Temps moyen de réponse (MTTR) : Le temps nécessaire pour révoquer un accès inutile ou compromis une fois signalé, une mesure directe de la rapidité avec laquelle l'organisation ferme une faille.
• Part des incidents à coût élevé : Le Netwrix Cybersecurity Trends Report 2025 a révélé que la part des organisations déclarant des dommages d’attaque supérieurs à 200 000 $ a presque doublé, passant de 7 % en 2024 à 13 % en 2025. Cette tendance donne à MTTD et MTTR un coût commercial auquel se référer.

Preuves que les auditeurs s’attendent à voir

Des décisions d’accès précises et des preuves de ces décisions sont des exigences d’audit distinctes. Le critère CC6.2 du System and Organization Control 2 (SOC 2) exige la suppression des identifiants système utilisateur lorsque l’accès n’est plus autorisé, et AICPA's Trust Services Criteria définissent la norme contre laquelle les auditeurs SOC 2 testent.

Une revue suit généralement deux types de preuves :

• Enregistrements de provisionnement et de résiliation : un échantillon d’événements d’octroi et de suppression d’accès retracés jusqu’aux tickets approuvés, avec des suppressions retardées consignées comme exceptions.
• Documentation de la revue d'accès : le nom du réviseur, la date de la revue, les systèmes concernés et la validation du responsable, enregistrés pour chaque revue périodique, pas seulement pour l'octroi initial.

Une assurance verbale ne soutient pas ces tests. Les auditeurs considèrent une exportation horodatée du système d'enregistrement comme une preuve examinable.

Transformer les constats en une narration des risques plutôt qu’en une liste de contrôle

Lorsque les équipes présentent les résultats de l'annuaire comme un retard technique, un conseil peut facilement les considérer comme une maintenance de routine. Encadrer les mêmes résultats autour des résultats opérationnels rend le risque et l'objectif de remédiation plus clairs.

Par exemple, « l’accès permanent d’administrateur de domaine ne dispose pas d’une approbation traçable » devient « supprimer l’accès permanent inutile réduit les chemins vers le contrôle global de l’annuaire et rend les approbations auditable. »

Comment Netwrix soutient la sécurité de l'identité en pratique

Netwrix crée des contrôles tout au long du cycle de vie de l’identité pour les environnements Microsoft hybrides, de l’évaluation de l’annuaire et la visibilité de la posture à l’enregistrement des activités, l’application des privilèges, la détection des menaces et le blocage en temps réel. Chaque produit correspond à l’une des quatre questions posées au début de ce guide.

Évaluation de l'exposition de l'annuaire avec une référence externe

Netwrix PingCastle évalue, note et classe les risques AD via plus de 170 contrôles cartographiés MITRE ATT&CK, produisant le type de référence indépendante que l’analyse de l’annuaire ci-dessus exige. Parce que le contrôle de l’annuaire sous-tend toutes les autres disciplines d’identité, un score PingCastle priorisé transforme un problème étendu de l’annuaire Microsoft en une liste de tâches mesurable sur laquelle un acheteur technique peut agir.

Maintenir une image actuelle du risque d'identité

Netwrix Identity Security Posture Management (ISPM), fourni via la Netwrix 1Secure™ Platform, détecte les mauvaises configurations dans AD et Microsoft Entra ID avec plus de 170 vérifications et maintient la visibilité de la posture à jour, offrant aux équipes une image qui évolue avec l'environnement au lieu d'être en retard par rapport à la dernière réconciliation manuelle.

C’est ce qu’il faut pour répondre à « qui a accès à quoi, maintenant ». Le modèle de livraison SaaS supprime la mise en place de l’infrastructure lors de la configuration.

Réduire le temps d’enquête grâce aux enregistrements d’activité hybrides

Netwrix Auditor enregistre les modifications et l’activité d’accès sur AD, Microsoft 365, les systèmes de fichiers et autres plateformes. Ce registre fournit aux équipes la preuve nécessaire pour répondre à « pouvons-nous montrer pourquoi l’accès était approprié », ainsi qu’un moyen plus rapide de détecter les activités hors des schémas normaux.

Application du principe du moindre privilège pour les comptes à enjeux élevés

Netwrix Privilege Secure répond directement à "l'accès est-il retiré à temps ?" pour les comptes privilégiés. Il remplace les droits d'administrateur permanents par un accès just-in-time pour une tâche spécifique, le supprime automatiquement à la fin de la tâche et enregistre les sessions résultantes pour la revue d'audit.

Eastern Carver County Schools a supprimé l'accès administrateur permanent aux systèmes contenant les données de 9 300 élèves, le remplaçant par un accès just-in-time, et a achevé le déploiement en quelques jours au lieu de plusieurs mois.

Détection des abus d'accès au moment où ils se produisent

Netwrix Threat Manager répond : « Cet accès est-il utilisé normalement en temps réel ? » Il détecte le vol d’identifiants, les mouvements latéraux, l’escalade de privilèges, le Kerberoasting, les attaques Golden Ticket et d’autres menaces d’identité dans les environnements AD et Microsoft Entra ID, avec une couverture supplémentaire pour les techniques ESC1-ESC7 d’Active Directory Certificate Services (AD CS).

Netwrix Threat Prevention va plus loin en bloquant en temps réel les attaques DCSync, Kerberoasting et Pass-the-Hash. Répartir la détection et le blocage sur deux produits maintient des contrôles distincts tout en protégeant les actifs de niveau zéro tels que les groupes privilégiés, les contrôleurs de domaine et les Group Policy Objects (GPOs).

Sachez où en sont vos identités

La visibilité des accès effectifs dans les environnements hybrides Microsoft, des preuves de gouvernance traçables, des informations sur la posture actuelle et une détection ou un confinement en temps utile devraient orienter l'investissement dans la sécurité des identités.

Comparez la politique écrite avec l’état de l’annuaire pour établir une base de référence, puis utilisez le test de visibilité d’une journée, la revue des comptes privilégiés et le scan indépendant pour identifier où le prochain investissement aura le plus grand impact.

Demandez une démo pour voir comment Netwrix peut vous aider à cartographier l'accès efficace dans les environnements hybrides Microsoft, éliminer les accès privilégiés permanents et détecter les menaces d'identité en temps réel.