La gestion des identités et des accès sur tout le cycle de vie du collaborateur
Longtemps, sécuriser un système d’information revenait à distribuer des mots de passe et à espérer qu’ils restent secrets. Ce modèle ne tient plus. Entre le télétravail, la généralisation du cloud et la multiplication des applications SaaS (une entreprise de taille intermédiaire en utilise couramment plus d’une centaine), chaque salarié cumule des dizaines d’identités numériques. La gestion des identités et des accès, ou IAM, traite ces identités comme un cycle de vie : un compte naît à l’embauche, évolue au fil des mobilités, puis doit disparaître au départ. C’est à chacune de ces trois étapes que se jouent les incidents les plus coûteux.
À l’arrivée : provisionner vite et provisionner juste
Tout commence le premier jour. Un provisioning automatisé relie le SIRH à l’annuaire (Active Directory, Entra ID ou équivalent) : dès que la fiche du nouvel embauché est validée par les RH, ses comptes se créent seuls, avec les bons droits. L’attribution repose sur le RBAC, le contrôle des accès par rôles : un profil « comptable fournisseurs » ouvre l’ERP, la GED comptable et la messagerie, rien de plus.
Prenons une PME industrielle de 200 salariés. Avant automatisation, chaque arrivée déclenchait une dizaine de tickets, traités en trois à cinq jours ; les nouveaux venus empruntaient le poste d’un collègue en attendant. Après connexion du SIRH à l’annuaire et définition de douze rôles métiers, un onboarding se règle en deux heures et plus personne ne partage ses identifiants.
Pendant la vie du compte : contenir la dérive des droits
Un compte bien créé se dégrade avec le temps. Chaque mobilité interne ajoute des droits, mais en retire rarement. Exemple vécu dans une ETI : un chargé de clientèle passe au marketing, puis aux achats. Deux mutations, zéro révocation : il cumule les accès de trois postes, dont la capacité de créer un fournisseur et de valider une commande. Un scénario de fraude interne clé en main.
Deux garde-fous s’imposent. D’abord le principe du moindre privilège, appliqué en continu : chaque droit doit correspondre à un besoin actuel, pas historique. Ensuite les revues d’accès périodiques : tous les six mois, chaque manager certifie la liste des habilitations de son équipe. Les premières campagnes en révoquent couramment 15 à 20 %.
Les comptes à privilèges (administrateurs de domaine, root, comptes de service) méritent un traitement à part, le PAM : coffre-fort de mots de passe, élévation temporaire des droits, enregistrement des sessions sensibles. Un administrateur n’a pas besoin de l’être en permanence, seulement pendant son intervention.
Au départ : fermer la porte le jour même
Le déprovisionnement reste le maillon faible de la plupart des organisations. Un salarié quitte l’entreprise, son badge est rendu, mais ses comptes cloud survivent, faute d’inventaire complet. Ces comptes orphelins, actifs mais sans propriétaire, sont une cible idéale : aucun utilisateur légitime ne remarquera une connexion suspecte.
Le cas classique concerne les prestataires. Une agence web termine une mission de refonte ; huit mois plus tard, un audit révèle que son accès VPN et son compte sur le CMS fonctionnent toujours, protégés par un mot de passe partagé entre plusieurs consultants. Personne n’avait signalé la fin de mission à la DSI. La parade : rattacher chaque compte externe à une date d’expiration et à un responsable interne et déclencher la révocation automatiquement, depuis le SIRH ou l’outil achats, le jour de la sortie.
L’authentification moderne, socle de tout le cycle
Provisionner et révoquer proprement ne suffit pas si l’authentification reste fragile. Un mot de passe volé par hameçonnage contourne toute la mécanique décrite plus haut. D’où la montée de la MFA résistante au phishing : les clés FIDO2 et le standard WebAuthn lient l’authentification au domaine légitime, ce qu’aucune page frauduleuse ne peut imiter, là où un code SMS se laisse intercepter ou rejouer.
Le passwordless prolonge cette logique en supprimant le mot de passe lui-même, remplacé par une clé matérielle ou une empreinte biométrique locale. Des solutions d’authentification forte dédiées, comme celles couvrant la gestion des identités et des accès, permettent de déployer FIDO2 et le sans-mot-de-passe sur un parc hétérogène sans refondre l’existant. Le tout s’inscrit dans une approche Zero Trust : « ne jamais faire confiance par défaut, toujours vérifier ». Chaque requête est évaluée selon l’identité, l’appareil et le contexte, que l’utilisateur travaille au bureau ou chez lui.
FAQ : trois questions sur l’IAM
Qu’est-ce que le RBAC ? Le contrôle d’accès basé sur les rôles attribue les droits par fonction (comptable, commercial, administrateur système) plutôt qu’individu par individu. On maintient quelques dizaines de rôles au lieu de milliers de droits unitaires.
Qu’est-ce que le PAM ? La gestion des accès à privilèges sécurise les comptes les plus puissants du SI : stockage des secrets en coffre-fort, droits élevés accordés temporairement, sessions d’administration tracées et enregistrées.
Pourquoi organiser des revues d’accès ? Parce que les droits s’accumulent silencieusement au fil des mobilités. Une revue périodique fait certifier chaque habilitation par les managers et supprime celles qui ne correspondent plus à un besoin réel.
