La protection de l’identité en cybersécurité désigne l’ensemble des pratiques visant à empêcher qu’une identité numérique (compte utilisateur, identifiant d’application, jeton d’accès) soit compromise ou détournée. Ce sujet place la question de l’identité au centre de toute stratégie de défense, avant même la protection périmétrique classique.
Identités humaines et identités non humaines : deux surfaces d’attaque distinctes
La plupart des articles sur le sujet se concentrent sur les comptes d’utilisateurs. La réalité opérationnelle est plus complexe. Le Microsoft Digital Defense Report 2025 décrit une surface d’attaque qui s’étend désormais aux identités d’applications, de services cloud et d’agents logiciels.
A lire en complément : Quelles sont les inégalités sociales en France ?
Ces identités non humaines posent des problèmes spécifiques : privilèges excessifs attribués par défaut, accès persistants jamais révoqués, gouvernance quasi inexistante dans de nombreuses organisations. L’OWASP a d’ailleurs publié en 2025 un référentiel dédié, le Non-Human Identities Top 10, qui recense les risques les plus fréquents.
| Critère | Identité humaine | Identité non humaine |
|---|---|---|
| Exemple | Compte salarié, prestataire | Clé API, compte de service, jeton OAuth |
| Cycle de vie | Lié à l’emploi, désactivé au départ | Souvent oublié après le déploiement |
| Authentification | MFA, biométrie, mot de passe | Secret statique, certificat |
| Risque principal | Phishing, credential stuffing | Secret divulgué, privilège excessif |
| Gouvernance | Encadrée par les processus RH/IAM | Rarement inventoriée de façon exhaustive |
Ce tableau illustre un écart majeur. Les contrôles appliqués aux comptes humains (revue d’accès annuelle, désactivation au départ d’un salarié) n’ont souvent pas d’équivalent pour les comptes techniques. Une clé API créée pour un projet pilote peut rester active des années avec des droits administrateur.
Lire également : Quel type d’art se vend en 2026 ?
Mécanismes de détection et réponse aux menaces liées à l’identité (ITDR)
La gestion des identités et des accès (IAM) couvre l’attribution et le retrait des droits. Elle ne suffit pas à détecter une compromission en cours. C’est le rôle de l’ITDR (Identity Threat Detection and Response), une couche complémentaire qui surveille les comportements anormaux sur les comptes.
Concrètement, l’ITDR analyse les signaux suivants :
- Connexions depuis des localisations ou des appareils inhabituels, croisées avec l’historique de l’utilisateur
- Élévations de privilèges non justifiées par un ticket ou un workflow d’approbation
- Mouvements latéraux entre systèmes, typiques d’un attaquant qui exploite un identifiant volé pour atteindre des ressources plus sensibles
- Modifications de configuration sur Active Directory ou sur les fournisseurs d’identité cloud
L’ITDR comble l’écart entre la gestion des accès et la détection d’intrusion. Sans cette couche, un attaquant disposant d’identifiants valides ressemble à un utilisateur légitime pour l’ensemble des systèmes de surveillance traditionnels.
Contraintes réglementaires européennes sur la gestion des identités
Deux textes européens récents renforcent les obligations autour du contrôle d’accès et de l’authentification. La directive NIS2 prévoit des mesures de contrôle d’accès et, lorsque c’est approprié, l’authentification multifacteur ou continue. Les États membres devaient la transposer avant le 17 octobre 2024.
Le règlement DORA, applicable aux entités financières depuis le 17 janvier 2025, encadre la gestion des identités et des accès dans le cadre du risque lié aux TIC. Ces deux textes ne détaillent pas nécessairement le traitement de chaque compte de service. Leur application concrète dépend du contexte de chaque organisation.
L’écart entre le texte et la pratique est significatif. NIS2 mentionne l’authentification multifacteur sans imposer de standard technique précis. DORA encadre la gestion des identités pour les entités financières depuis janvier 2025. Les organisations doivent donc interpréter ces obligations et les traduire en politiques opérationnelles, ce qui suppose un inventaire complet des identités, y compris non humaines.
Authentification résistante au phishing
L’authentification multifacteur classique (SMS, application TOTP) reste vulnérable aux techniques de contournement comme le phishing en temps réel ou le vol de jetons de session. Les standards FIDO2 et les passkeys éliminent ce risque en liant l’authentification à un appareil physique et à une vérification biométrique locale.
Les passkeys suppriment le secret partagé entre l’utilisateur et le serveur. Aucun mot de passe n’est transmis, aucun code temporaire n’est interceptable. Ce modèle réduit drastiquement la surface d’attaque liée au phishing d’identifiants.
Surveillance continue et posture de sécurité des identités
La gestion de la posture de sécurité des identités (ISPM) consiste à évaluer en permanence la configuration et l’hygiène des comptes dans l’ensemble de l’infrastructure. Là où l’ITDR réagit aux menaces détectées, l’ISPM identifie les faiblesses avant qu’elles soient exploitées.
Un programme ISPM vérifie par exemple que les comptes dormants sont désactivés, que les secrets des identités non humaines sont renouvelés régulièrement, et que les privilèges accordés correspondent aux besoins réels de chaque identité. Ce travail de fond limite la portée d’une éventuelle compromission.
La combinaison IAM, ITDR et ISPM forme un triptyque qui couvre le cycle complet : attribution des droits, détection des abus et vérification proactive de la posture. Aucune de ces couches ne remplace les deux autres.
La protection de l’identité ne se réduit donc pas à l’authentification au moment de la connexion. Elle englobe la gouvernance de toutes les identités (humaines et non humaines), la détection comportementale en temps réel et l’audit continu de la posture.
Le maillon le plus négligé reste souvent les identités non humaines, dont le volume dépasse largement celui des comptes utilisateurs dans la plupart des systèmes d’information. C’est sur ce segment que les écarts entre les politiques déclarées et la réalité opérationnelle sont les plus marqués.
