L'identité, vecteur numéro un des violations de données
Les chiffres circulent depuis plusieurs années dans les rapports d'incident : une large majorité des violations de données implique une identité compromise. Ce qui frappe davantage, c'est la répétition. Les équipes de réponse à incident retombent presque systématiquement sur les mêmes dix erreurs de conception ou d'exploitation des systèmes de gestion des identités et des accès (IAM).
Aucune de ces erreurs ne relève d'une attaque sophistiquée. Ce sont des angles morts organisationnels : politique de mots de passe datée, compte de service oublié, revue d'accès cochée sans être lue. Ces failles se regroupent naturellement en trois familles : authentification, autorisation et gouvernance. Cette structure recoupe directement les principes d'une architecture Zero Trust appliquée à Microsoft Entra ID et à Azure, où chaque accès doit être vérifié, limité dans le temps et justifiable.
80 % des violations de données recensées impliquent une identité. Corriger ces dix points ne garantit pas l'absence d'incident, mais réduit drastiquement la surface d'attaque exploitable.
Authentification : quatre pièges encore trop répandus
La première famille d'erreurs concerne la façon dont un utilisateur prouve son identité avant d'accéder à une ressource.
- MFA par SMS ou appel vocal : ce canal reste vulnérable au SIM-swapping. Il doit être remplacé par une authentification multifacteur résistante au phishing — clés FIDO2 ou Windows Hello Entreprise — configurable via les méthodes d'authentification dans Microsoft Entra ID.
- Politiques de mots de passe obsolètes : un minimum de 8 caractères sans contrôle de réutilisation ne correspond plus aux standards attendus en 2026. Les stratégies de mot de passe basées sur la longueur, le blocage des mots de passe courants (Password Protection) et le passage progressif à l'authentification sans mot de passe doivent devenir la norme.
- Comptes de service partagés : sans propriétaire identifié ni piste d'audit individuelle, ces comptes permettent à un attaquant de se dissimuler derrière une identité commune. Chaque service doit disposer d'une identité dédiée, idéalement une identité managée Azure plutôt qu'un compte partagé.
- Absence de ré-authentification de session : un jeton d'accès volé qui reste valide plusieurs mois est une porte ouverte permanente. Les politiques d'accès conditionnel doivent imposer une fréquence de connexion et une durée de vie de session limitées, revérifiées régulièrement plutôt que validées une fois pour toutes.
Le SMS reste supporté par de nombreuses organisations pour des raisons de compatibilité, mais Microsoft recommande explicitement de le désactiver au profit de méthodes résistantes au phishing dans les politiques de méthodes d'authentification Entra ID.
Autorisation : quand les privilèges deviennent une arme
Le deuxième pilier porte sur ce que les identités sont autorisées à faire une fois authentifiées — et c'est souvent là que le rayon d'impact d'une compromission explose.
- Accès administrateur permanent : un compte disposant en permanence de droits élevés transforme une compromission ponctuelle en prise de contrôle totale. Privileged Identity Management (PIM) dans Entra ID répond directement à ce risque via l'activation de rôles Just-In-Time, limitée dans le temps et soumise à approbation.
- Explosion du nombre de rôles : des centaines de rôles personnalisés, créés au fil du temps sans revue, finissent par devenir illisibles. Personne ne sait plus exactement ce qu'un rôle autorise réellement, ce qui crée des angles morts d'habilitation.
- Absence de revues d'accès : les droits hérités d'un poste précédent survivent souvent à un changement de fonction. Les revues d'accès (Access Reviews) d'Entra ID Governance permettent d'automatiser ce contrôle périodique, à condition qu'elles soient réellement exploitées.
- Revues d'accès bâclées : une revue existe parfois sur le papier, mais les validations sont effectuées mécaniquement, sans réel examen. Le contrôle devient alors cosmétique et n'apporte aucune protection réelle.
- Permissions génériques (wildcard) : l'utilisation d'un caractère joker dans une politique IAM, notamment dans AWS IAM, élargit massivement la portée d'un compte compromis. Le principe du moindre privilège impose des permissions explicites et scoping précis, jamais de portée ouverte par défaut.
Si une seule action doit être menée rapidement, c'est l'activation de PIM sur les rôles Entra ID à privilèges élevés (Administrateur global, Administrateur de rôles privilégiés). L'impact sur la réduction du risque est immédiat et mesurable.
Gouvernance : maîtriser le cycle de vie des identités
Le troisième pilier dépasse la question technique pour toucher aux processus organisationnels de gestion du cycle de vie identitaire.
Les comptes orphelins illustrent une défaillance classique du processus Joiner-Mover-Leaver (JML) : un employé qui quitte l'organisation conserve parfois ses accès plusieurs semaines. Cet offboarding tardif constitue une surface d'attaque à part entière, particulièrement critique lorsque le départ est conflictuel.
L'absence d'inventaire des identités non humaines représente sans doute l'angle mort le plus sous-estimé actuellement. Robots, applications et identités de service dépassent aujourd'hui largement le nombre d'identités humaines dans la plupart des environnements cloud — un rapport souvent cité de l'ordre de 45 pour 1. Ces identités machines prolifèrent sans propriétaire clair, sans rotation de secrets et sans revue périodique.
Microsoft Entra Workload ID et les identités managées Azure permettent de réduire cette dette, en éliminant les secrets statiques au profit d'identités gérées par la plateforme. Sans inventaire préalable, aucune stratégie de sécurisation n'est possible : impossible de protéger ce qui n'est pas recensé.
Le volume d'identités non humaines augmente plus vite que les capacités de gouvernance de la plupart des équipes IAM. Un audit régulier des identités de service, applications et principaux de service est indispensable, pas optionnel.
Synthèse des dix erreurs par pilier
Points clés à retenir
- L'identité reste le principal vecteur d'accès non autorisé : corriger ces dix erreurs réduit directement la probabilité d'incident.
- L'authentification résistante au phishing (FIDO2, Windows Hello Entreprise) doit remplacer le SMS et l'appel vocal comme second facteur.
- PIM et les Access Reviews d'Entra ID Governance transforment des contrôles ponctuels en discipline continue.
- Le processus Joiner-Mover-Leaver doit couvrir l'offboarding immédiat, pas seulement l'arrivée des collaborateurs.
- Les identités non humaines dépassent désormais les identités humaines en volume : sans inventaire, aucune gouvernance n'est possible.
Aucun de ces correctifs ne nécessite un produit miracle. Ils demandent une application cohérente et régulière des mécanismes déjà disponibles dans Microsoft Entra ID — PIM, Access Reviews, Conditional Access, Workload ID. La feuille de route pour 2026 tient moins dans l'achat d'un nouvel outil que dans l'exécution disciplinée de ces dix contrôles.
