Gestion des identités et des accès : un enjeu central de la cybersécurité d’entreprise
Une entreprise ne protège plus un périmètre réseau unique et fermé. Le télétravail installé dans la durée, la multiplication des environnements cloud et hybrides, et l’usage quotidien de dizaines d’applications SaaS ont dispersé les points d’accès à des données autrefois centralisées derrière un seul pare-feu.
Chaque collaborateur, chaque prestataire externe, chaque compte de service applicatif constitue une identité numérique distincte, avec ses propres droits à surveiller.
La gestion des identités et des accès (IAM, Identity and Access Management) répond à une question simple en apparence : qui peut accéder à quoi, dans quelles conditions, et pendant combien de temps ? Pour un RSSI ou une DSI, cette question est devenue centrale à mesure que le nombre d’identités à gérer a dépassé ce qu’une équipe IT peut suivre manuellement : utilisateurs internes, prestataires, comptes de service ou encore applications et API connectées aux outils métier.
Sans cadre structuré, ce sont des comptes orphelins qui restent actifs après le départ d’un collaborateur, des droits d’accès accumulés au fil des changements de poste sans jamais être révoqués, ou des comptes à privilèges partagés entre plusieurs administrateurs sans traçabilité individuelle. Chacun de ces angles morts élargit la surface d’attaque disponible pour un tiers malveillant, bien au-delà du seul vol d’un mot de passe.
Les limites structurelles du mot de passe traditionnel
Le mot de passe reste, dans de nombreuses organisations, le premier rempart d’accès aux systèmes — et l’une de leurs principales faiblesses. Un mot de passe seul ne protège pas contre le phishing : une page de connexion imitée peut suffire à récupérer des identifiants valides, sans qu’aucune faille logicielle ne soit exploitée.
La réutilisation d’un même mot de passe sur plusieurs services aggrave le risque : la compromission d’un site tiers, parfois sans rapport avec l’activité professionnelle, peut exposer les outils de l’entreprise lorsque les mêmes identifiants sont utilisés dans les deux environnements.
Les recommandations de l’ANSSI privilégient une politique de mots de passe adaptée au niveau de risque et encouragent le recours à l’authentification multifacteur, ainsi qu’à des solutions permettant de gérer correctement les secrets qui doivent subsister. L’objectif n’est donc plus seulement d’imposer des mots de passe complexes, mais de renforcer l’ensemble du processus d’authentification.
L’authentification multifacteur : une première réponse, pas une solution complète
L’authentification multifacteur (MFA) combine au moins deux facteurs appartenant à des catégories différentes : ce que l’utilisateur connaît, comme un mot de passe ou un code PIN ; ce qu’il possède, comme une clé de sécurité ou un smartphone ; et ce qu’il est, par exemple une caractéristique biométrique.
En empêchant qu’un mot de passe seul suffise à ouvrir une session, la MFA réduit fortement le risque qu’une fuite d’identifiants se traduise directement par une intrusion.
Toutes les méthodes ne se valent toutefois pas. Les codes reçus par SMS peuvent notamment être exposés au détournement de numéro, mais aussi à certaines techniques de phishing. Les applications d’authentification utilisant des codes TOTP offrent une protection supplémentaire, mais ces codes peuvent encore être interceptés ou relayés dans certains scénarios de phishing en temps réel.
Les mécanismes basés sur FIDO2 et WebAuthn apportent une protection différente : ils sont conçus pour résister au phishing en liant cryptographiquement l’authentification au service légitime.
Le passwordless et les standards FIDO2/WebAuthn
L’authentification sans mot de passe (passwordless) va plus loin : elle permet de supprimer le mot de passe de certains parcours d’authentification plutôt que de lui ajouter systématiquement une couche supplémentaire.
Les standards FIDO2 et WebAuthn, développés avec l’écosystème de la FIDO Alliance et du W3C, reposent sur la cryptographie asymétrique. Une clé privée est conservée par l’authentificateur de l’utilisateur — par exemple une clé de sécurité, un smartphone ou un ordinateur — tandis que le service utilise la clé publique correspondante pour vérifier l’authentification. Le secret permettant de s’authentifier n’est donc pas transmis au serveur comme le serait un mot de passe.
Le Verizon Data Breach Investigations Report 2024, cité notamment par la FIDO Alliance, indique que 77 % des violations relevant de la catégorie « Basic Web Application Attacks » impliquent l’utilisation d’identifiants volés. Les mécanismes FIDO réduisent précisément cette dépendance aux secrets partagés susceptibles d’être récupérés puis réutilisés par un attaquant.
Cette architecture apporte une forte résistance au phishing. Lorsqu’un utilisateur est redirigé vers un faux domaine, l’authentification FIDO/WebAuthn ne peut pas être simplement transférée vers ce site puis rejouée sur le service légitime, contrairement à un mot de passe ou à certains codes à usage unique.
Des solutions d’authentification modernes au service de la gestion des identités et des accès
Déployer du MFA ou du passwordless application par application, sans coordination d’ensemble, recrée vite la complexité qu’on cherchait à éliminer : chaque outil dispose de sa propre politique et les équipes IT doivent administrer une multitude de configurations.
L’authentification ne représente cependant qu’une composante de l’IAM. Une stratégie complète couvre aussi le cycle de vie des identités : création des accès à l’arrivée d’un collaborateur, évolution des droits lorsqu’il change de fonction et révocation lorsqu’il quitte l’organisation. Des modèles comme le RBAC permettent d’attribuer les autorisations selon les rôles, tandis que des revues d’accès régulières servent à vérifier que les habilitations restent justifiées dans le temps.
L’enjeu, pour une DSI, est donc d’intégrer les mécanismes d’authentification dans cette politique globale plutôt que de les superposer service par service.
Des solutions dédiées à la gestion des identités et des accès, comme Hideez, permettent notamment de centraliser les politiques d’authentification et de faciliter le déploiement de mécanismes comme FIDO2 ou le passwordless sur les environnements de l’entreprise.
Trouver l’équilibre entre sécurité renforcée et expérience utilisateur
Une politique d’accès trop contraignante peut pousser les utilisateurs à contourner les règles : mot de passe noté sur un support non sécurisé, identifiants partagés entre collègues ou procédures évitées parce qu’elles sont jugées trop lourdes.
Le choix d’une solution d’authentification se joue donc autant sur son niveau de sécurité que sur sa simplicité d’usage au quotidien. Une clé de sécurité, une passkey ou une authentification biométrique locale peuvent offrir une expérience plus fluide qu’un code à recopier manuellement à chaque connexion.
Pour une entreprise qui structure sa stratégie de gestion des identités et des accès, la priorisation peut suivre une démarche progressive : cartographier les comptes et applications existants, identifier les accès les plus sensibles, renforcer leur authentification en priorité — comptes administrateurs, accès distants, messagerie ou applications critiques — puis étendre progressivement les mécanismes résistants au phishing et le passwordless lorsque les usages et les équipements le permettent.
L’accompagnement au changement reste essentiel : expliquer pourquoi une nouvelle méthode d’authentification est mise en place, et pas seulement comment l’utiliser, facilite son adoption par les collaborateurs.
Cette logique de défense en profondeur s’applique également aux ressources accessibles depuis Internet. L’identité et l’authentification constituent une couche de protection parmi d’autres, aux côtés du chiffrement des échanges, de la configuration des services et des bonnes pratiques de sécurisation d’un site web.
Cet article a été réalisé en partenariat avec Hideez.