Pourquoi les organisations peinent à mettre en place une gouvernance des identités efficace

Par Mirko Peters · 2026-03-22 · Mis à jour 2026-03-24

Pourquoi les projets de gouvernance des identités d'entreprise (IGA) échouent. Découvrez pourquoi les initiatives IGA échouent, ce qui accroît le risque de violation de données. Améliorez la conformité, les pistes d'audit et réduisez le risque lié aux accès.

Traduit automatiquement par IA à partir de l'article original. Lire l'original en anglais

La gouvernance des identités joue un rôle essentiel dans la protection de votre organisation face à la multiplication des cybermenaces. Plus de 318 000 cas de contrôles d'accès défaillants illustrent les risques auxquels vous êtes confronté au quotidien. Beaucoup s'appuient encore sur des feuilles de calcul manuelles pour leurs audits d'accès, ce qui multiplie les erreurs et les retards. Vous avez peut-être entendu des idées reçues, comme celle selon laquelle l'IA dans la gouvernance des identités ne serait qu'un effet de mode, ou qu'elle remplacerait les équipes humaines. En réalité, l'IA soutient vos équipes de sécurité en améliorant la précision et la conformité. Ces malentendus, combinés à des processus lents et à des stratégies obsolètes, expliquent pourquoi tant d'organisations peinent à mettre en place une gouvernance des identités efficace.

Points clés

• Les processus manuels de gouvernance des identités entraînent des retards, des erreurs et accroissent les risques de sécurité.
• Les systèmes hérités et les environnements technologiques fragmentés compliquent l'intégration et la gestion.
• Des stratégies obsolètes et un manque d'implication des parties prenantes freinent une gouvernance des identités efficace.
• L'automatisation réduit le travail manuel, améliore la précision et accélère les rapports de conformité.
• La surveillance en temps réel permet de détecter rapidement les menaces et favorise une gestion proactive des risques.
• Une approche fondée sur les risques concentre en priorité les ressources sur la protection des actifs les plus critiques.
• Des révisions régulières des stratégies et l'adaptation aux nouvelles menaces maintiennent une gouvernance des identités solide et à jour.
• Relever ces défis améliore la sécurité, réduit les menaces internes et garantit la conformité réglementaire.

Problèmes liés aux processus manuels

8 faits surprenants sur la gouvernance des identités d'entreprise (IGA)

Pour comprendre pourquoi la plupart des organisations échouent en matière de gouvernance des identités, il faut d'abord prendre conscience de ces vérités inattendues sur la gouvernance des identités d'entreprise (IGA).

1. La gouvernance relève davantage de la culture que de la technique. Beaucoup d'organisations investissent massivement dans des outils IGA tout en négligeant la culture : responsabilités floues, résistance au changement et processus fragmentés font dérailler les déploiements bien avant que la technologie ne fasse défaut.
2. La complexité croît plus vite que la visibilité. À mesure que les entreprises adoptent des modèles cloud, SaaS et hybrides, les identités se multiplient en silos. Les projets IGA accusent souvent du retard, car le périmètre des identités et des droits gonfle de manière inattendue.
3. La prolifération des droits est un risque silencieux. Des autorisations excessives et mal documentées s'accumulent au fil des années. Les organisations sous-estiment l'ampleur du nettoyage nécessaire, ce qui fait stagner les initiatives IGA.
4. L'automatisation révèle rapidement les mauvaises données. Automatiser les revues d'accès et le provisionnement est puissant, mais cela met au jour des décennies de données d'identité incohérentes, ce qui fait échouer les projets si la remédiation des données n'est pas planifiée.
5. La conformité entraîne une extension du périmètre. Les exigences réglementaires poussent les projets IGA à couvrir davantage de systèmes et de contrôles que prévu initialement, rendant les délais et les budgets irréalistes.
6. Le contexte métier fait souvent défaut. Une gouvernance IGA efficace suppose de faire correspondre les rôles et les droits aux processus métier. Sans ce contexte, les stratégies d'accès perdent leur sens et l'adoption s'essouffle.
7. Les gains à court terme sont sous-estimés. Les équipes qui ne livrent pas d'améliorations progressives et démontrables (comme des sprints de nettoyage ou des campagnes de certification ciblées) perdent le soutien des parties prenantes et leur financement.
8. Les outils seuls ne règlent pas la question de la responsabilité. Même les plateformes IGA matures échouent lorsque la prise de décision, les workflows d'approbation et la responsabilité claire des rôles sont absents. La gouvernance est avant tout un défi humain et organisationnel, et non un simple achat de produit.

Inefficacités et risques

Tâches chronophages

Les processus manuels de gestion des identités entraînent souvent des inefficacités qui peuvent nuire à la posture de sécurité de votre organisation. Vous risquez de passer un temps excessif sur des tâches qui pourraient être automatisées. Par exemple, la saisie manuelle des données peut introduire une erreur humaine. De simples fautes de frappe, comme un nom mal orthographié, peuvent créer des risques de sécurité importants. Les priorités concurrentes peuvent amener les collaborateurs à négliger des tâches critiques de gestion des identités, ce qui augmente le risque d’oubli. Par ailleurs, les processus manuels créent souvent des silos de données. Ces silos empêchent l’intégration avec votre système principal de gestion des identités, ce qui entraîne une perte de temps et de ressources.

Risques de sécurité accrus

Des processus de gouvernance des identités manuels et obsolètes peuvent contribuer à la hausse des incidents de sécurité. Les organisations qui ne disposent pas de contrôles de gouvernance des identités cohérents s’exposent souvent à des échecs d’audit et à des sanctions réglementaires. Par exemple, les comptes inactifs d’anciens collaborateurs peuvent conduire à des accès non autorisés, ce qui pose des problèmes de conformité. Le non-respect de réglementations comme le RGPD ou HIPAA peut résulter de pratiques de gouvernance des identités défaillantes. Lorsqu’une organisation ne peut pas démontrer la maîtrise de ses contrôles d’accès, elle risque de échouer à ses audits. Les processus de gouvernance des identités manuels ne sont pas seulement inefficaces : ils constituent des failles de sécurité et des vulnérabilités opérationnelles qui exposent votre organisation à des risques importants.

Manque de standardisation

Disparité des processus

L’absence de standardisation des processus de gouvernance des identités d’une organisation à l’autre crée des difficultés supplémentaires. Selon le rapport State of Identity Governance 2026, de nombreuses organisations peinent à appliquer des pratiques cohérentes. Ce rapport met en évidence un décalage entre la perception des dirigeants et le risque réel lié aux accès. Si les indicateurs opérationnels se concentrent sur l’achèvement des processus, ils passent souvent à côté d’un risque d’accès réel. En conséquence, même lorsque les accords de niveau de service (SLA) de provisionnement et les revues d’accès sont réalisés dans les délais, des risques réels peuvent persister sans être détectés.

Défis en matière de conformité

L’absence de pratiques standardisées de gouvernance des identités engendre divers défis en matière de conformité. Les organisations se heurtent souvent à des solutions de gouvernance des identités complexes, coûteuses et nécessitant une expertise technique. Les différentes applications métier peuvent compliquer la gestion efficace des identités à l’échelle de l’organisation. Par ailleurs, le recours à des processus manuels accroît le risque d’erreurs et de retards. Un provisionnement inadéquat des accès peut survenir lorsque des utilisateurs héritent de priviléges excessifs sans contrôles appropriés. Un manque d’attention portée à la conformité au sein de l’organisation peut aggraver encore des pratiques de gouvernance insuffisantes. La prise en compte de réglementations variées, telles que le RGPD et le CCPA, ajoute à la complexité et rend difficile l’application uniforme des stratégies d’identité et d’accès à l’échelle mondiale.

Défis d’intégration dans la gouvernance des identités

Problèmes liés aux systèmes existants

Problèmes de compatibilité

De nombreuses organisations rencontrent des problèmes de compatibilité importants lorsqu’elles intègrent des systèmes existants à des solutions modernes de gouvernance des identités. Ces systèmes obsolètes ne disposent souvent pas des fonctionnalités nécessaires pour fonctionner de manière fluide avec les nouvelles technologies. En conséquence, vous pouvez rencontrer des obstacles qui compliquent vos efforts de gouvernance des identités. Par exemple, des applications existantes non standard peuvent créer des freins qui entravent votre capacité à moderniser vos systèmes d’identité. Cette incompatibilité peut entraîner un manque de coordination entre les différentes applications métier, rendant la gouvernance des identités difficile à piloter efficacement.

Coûts de maintenance

Maintenir des systèmes de gouvernance des identités hérités peut coûter cher. Les frais de licence moyens de ces systèmes peuvent atteindre environ 821 000 $ sur trois ans pour une population de 5 000 identités. À cela s’ajoutent environ 28 000 $ de coûts de mise en œuvre et de déploiement. Le coût total s’élève ainsi à près de 849 000 $. Si la modernisation de ces systèmes peut générer des bénéfices de 2,6 millions de dollars, l’investissement initial peut sembler décourageant. Les coûts de maintenance élevés dissuadent souvent les organisations de moderniser leurs cadres de gouvernance des identités, ce qui les laisse exposées aux risques de sécurité.

Environnements technologiques hétérogènes

Sources de données fragmentées

Des environnements technologiques hétérogènes peuvent compliquer vos efforts d’intégration de la gouvernance des identités. Lorsque les données sont réparties sur plusieurs systèmes, cette fragmentation peut nuire à l’efficacité de la gouvernance. Par exemple, des difficultés de conformité apparaissent, car la fragmentation des données complique la surveillance des transactions en temps réel. Il devient alors plus difficile de démontrer sa conformité lors des audits. Les inefficacités opérationnelles augmentent également : des enquêtes longues et des rapports réglementaires tardifs peuvent retarder la réponse aux alertes de conformité. Par ailleurs, des données incomplètes peuvent nuire à la réputation de votre organisation et éroder la confiance des clients.

Efforts d’intégration complexes

L’intégration de différentes piles technologiques pose des défis particuliers. Chaque système peut avoir ses propres exigences, ce qui rend difficile la mise en place d’une stratégie de gouvernance des identités cohérente. Selon des constats récents, 47 % des organisations se heurtent à des limitations des API, tandis que 38 % peinent avec les exigences de développement sur mesure. Ces complexités peuvent ralentir vos efforts d’intégration et entraîner des contrôles d’accès incohérents au sein de l’organisation. Beaucoup d’organisations dépendent encore de systèmes informatiques obsolètes, ce qui complique le déploiement de solutions modernes de gouvernance et d’administration des identités (IGA). Cette dépendance aux systèmes hérités peut vous empêcher de maintenir des contrôles d’accès cohérents et exposer votre organisation à des risques potentiels.

Écart entre stratégie et pratique

Désalignement des stratégies

Stratégies de gouvernance obsolètes

De nombreuses organisations peinent avec des stratégies de gouvernance obsolètes, qui ne correspondent plus à leurs capacités actuelles. Ce désalignement conduit souvent à une gouvernance des identités inefficace. Vous pourriez constater que votre organisation met en place des stratégies et des rôles pour lesquels elle n’est pas prête. Cela peut générer de la confusion et freiner vos efforts de gouvernance. Les évaluations de maturité sont indispensables. Elles permettent de s’assurer que vos approches de gouvernance correspondent à la situation actuelle de votre organisation.

Absence d’engagement des parties prenantes

L’absence d’implication des parties prenantes peut créer des difficultés importantes. Lorsque les parties prenantes se sentent mises à l’écart, elles peuvent résister aux changements. Cette résistance peut entraîner des malentendus sur les objectifs du projet. Sans leur soutien, vos initiatives de gouvernance des identités risquent de rencontrer des obstacles inutiles. Associer les parties prenantes de manière proactive permet d’éviter ces problèmes. Par exemple, une communication régulière sur l’avancement du projet favorise la confiance et la collaboration.

Conseil : pour réussir l’engagement des parties prenantes, envisagez ces stratégies :

• Partagez régulièrement l’avancement du projet.
• Écoutez activement les préoccupations des parties prenantes.
• Tenez les engagements pris auprès des parties prenantes.
• Faites preuve d’empathie envers leurs points de vue.
• Impliquez-les dans la résolution des problèmes.

Difficultés de mise en œuvre

Formation insuffisante

La formation joue un rôle essentiel dans la réussite de la mise en œuvre de la gouvernance des identités. Sans formation adéquate, vos équipes peuvent peiner à comprendre les nouvelles stratégies et les nouveaux outils. Cela peut entraîner des erreurs et des inefficacités. Des programmes de formation complets renforcent la confiance et garantissent que chacun est aligné sur les mêmes objectifs. Une communication claire sur l’importance de ces programmes est indispensable.

Résistance au changement

La résistance au changement est un autre défi courant. De nombreux collaborateurs peuvent se sentir à l’aise avec les processus existants. Ils peuvent considérer les nouvelles stratégies de gouvernance des identités comme des perturbations inutiles. Cet état d’esprit peut freiner les progrès. Pour y remédier, vous devez mettre en avant les avantages des nouvelles stratégies. Montrez en quoi elles améliorent la sécurité et la conformité.

En relevant ces défis, vous pouvez combler l’écart entre la stratégie et la pratique dans vos efforts de gouvernance des identités.

L’importance de l’automatisation dans la gouvernance des identités

L’automatisation joue un rôle essentiel dans l’amélioration de vos processus de gouvernance des identités. En rationalisant les flux de travail, vous pouvez réduire considérablement le travail manuel et améliorer la précision.

Rationalisation des processus

Réduction du travail manuel

L’automatisation des tâches de gouvernance des identités réduit le temps consacré aux activités répétitives. Par exemple, les organisations qui mettent en œuvre des solutions automatisées constatent en moyenne une réduction de 35 % des coûts liés à la conformité. Memorial Health System a réalisé des gains d’efficacité remarquables après l’automatisation de ses processus de provisionnement. Le temps de traitement des demandes concernant plusieurs utilisateurs est passé de 30 minutes à quelques secondes. Cette évolution accélère non seulement l’accès, mais garantit également que les utilisateurs obtiennent rapidement les autorisations appropriées.

Amélioration de la précision

L’automatisation renforce la précision de vos efforts de gouvernance des identités. Les systèmes automatisés maintiennent les contrôles d’accès alignés sur les normes de conformité en vigueur. Cet alignement réduit le risque d’amendes et d’atteinte à la réputation. Chaque action liée aux certifications et aux décisions de stratégie est automatiquement journalisée. Cette journalisation fournit aux auditeurs des preuves immédiates et simplifie la conformité aux référentiels tels que SOX, ISO 27001 et HIPAA. Les organisations qui ne disposent pas de processus automatisés de certification des accès mettent 3,5 fois plus de temps pour réaliser les revues d’accès et présentent un taux de persistance d’accès inapproprié supérieur de 27 %.

Avantages de la surveillance en temps réel

La surveillance en temps réel est un autre aspect essentiel d’une gouvernance des identités efficace. Elle vous permet de détecter les menaces liées aux identités et d’y réagir rapidement.

Gestion proactive des risques

Grâce à la surveillance en temps réel, vous pouvez identifier des menaces sophistiquées liées aux identités, comme le bourrage d’identifiants (credential stuffing) et la prise de contrôle de comptes. Une surveillance efficace des identités exige une visibilité sur l’ensemble du cycle de vie des identités, y compris les événements d’authentification et les violations de stratégie. Les organisations dotées de capacités de réponse automatisée à la sécurité peuvent réduire jusqu’à 60 % le délai moyen d’identification et de confinement d’une violation de données. Cette approche proactive limite l’impact des attaques liées aux identités en quelques secondes plutôt qu’en plusieurs jours.

Amélioration du reporting de conformité

La surveillance en temps réel renforce également vos capacités de reporting en matière de conformité. La surveillance automatisée de la conformité vous apporte la certitude de respecter systématiquement les exigences réglementaires. Des pistes d’audit complètes et la collecte de preuves vous permettent de démontrer votre conformité aux régulateurs et aux auditeurs externes. Le caractère proactif de ces systèmes vous aide à repérer et à corriger les écarts de conformité potentiels avant qu’ils ne se transforment en infractions.

En adoptant l’automatisation dans votre stratégie de gouvernance des identités, vous pouvez rationaliser les processus, améliorer la précision et optimiser le reporting de conformité. Ce changement ne renforce pas seulement votre posture de sécurité, il positionne aussi votre organisation pour réagir efficacement aux menaces émergentes.

Adopter une approche fondée sur le risque

Une approche de la gouvernance des identités fondée sur le risque vous aide à vous concentrer sur l’essentiel. En hiérarchisant les actifs critiques, vous pouvez allouer les ressources efficacement et renforcer votre posture de sécurité.

Hiérarchiser les actifs critiques

Identifier les zones à haut risque

Commencez par identifier les zones à haut risque au sein de votre organisation. Appuyez-vous sur des référentiels comme le NIST Cybersecurity Framework pour classer les actifs selon leur criticité et leur impact sur votre mission. Cette approche structurée garantit que vous traitez en priorité les points les plus vulnérables de votre stratégie de gouvernance des identités.

Prenez en compte ces domaines clés lorsque vous hiérarchisez les actifs :

Allocation efficace des ressources

Une fois les zones à haut risque identifiées, allouez les ressources en conséquence. Définissez des critères de priorisation pour chaque catégorie d’actifs. Appliquez ces critères de manière cohérente afin que vos actifs les plus critiques reçoivent l’attention qu’ils méritent. Suivez et mettez régulièrement à jour les priorités des actifs, en particulier lorsque des changements importants interviennent au sein de votre organisation.

Stratégies d’amélioration continue

L’amélioration continue est essentielle pour maintenir une gouvernance des identités efficace. Évaluez régulièrement vos stratégies et adaptez-les aux menaces émergentes.

Revues régulières des stratégies

Organisez des revues régulières des stratégies afin de garantir la solidité de votre cadre de gouvernance des identités. Ces revues vous aident à aligner les stratégies sur l’évolution de la réglementation et des besoins de l’organisation. Elles permettent également d’atténuer les risques liés aux autorisations obsolètes et à l’accumulation progressive de privilèges (privilege creep). Les organisations qui mettent en place des revues régulières constatent des bénéfices importants, notamment une réduction de 70 % des heures d’élévation de privilèges et une diminution de 50 % des droits obsolètes.

S’adapter aux menaces émergentes

Restez proactif en adaptant vos stratégies aux menaces émergentes. Impliquez les parties prenantes de l’ensemble de l’organisation pour recueillir des informations et identifier les vulnérabilités. Mettez en œuvre une approche par étapes pour introduire de nouvelles mesures de gouvernance des identités, afin de permettre une amélioration continue sans perturber l’activité. Automatisez les processus lorsque c’est possible afin d’améliorer l’efficacité et de réduire la charge administrative.

En adoptant une approche fondée sur le risque, vous pouvez améliorer sensiblement les résultats de votre gouvernance des identités. Cette stratégie renforce non seulement la sécurité, mais garantit aussi que votre organisation reste agile face à des menaces en constante évolution.

De nombreuses organisations peinent à mettre en place une gouvernance des identités, car elles s’appuient largement sur des processus manuels (84 %) et se heurtent à des difficultés d’intégration avec les systèmes hérités (83 %). La gestion de multiples référentiels de conformité et d’autorisations excessives ajoute encore à la complexité. Ces problèmes créent des failles de sécurité et des risques de non-conformité que vous ne pouvez pas ignorer.

Relever ces défis renforce votre posture de sécurité et vous aide à respecter des réglementations telles que le RGPD, HIPAA et SOX. Les solutions de gouvernance des identités réduisent les accès non autorisés et les menaces internes en appliquant le principe du moindre privilège et en automatisant la gestion du cycle de vie des identités.

Pour renforcer votre gouvernance des identités, adoptez les bonnes pratiques et des outils innovants. La surveillance centralisée des accès et le provisionnement automatisé fluidifient les flux de travail et réduisent les risques. Ces mesures protègent non seulement votre organisation, mais renforcent aussi la conformité et l’efficacité opérationnelle.

N’oubliez pas que la gouvernance des identités est un parcours continu. Commencez par vous concentrer sur vos risques les plus élevés, puis élargissez progressivement votre périmètre.

Checklist : pourquoi la plupart des organisations échouent dans la gouvernance des identités — Checklist de la gouvernance des identités d’entreprise (IGA)

Utilisez cette checklist pour évaluer votre niveau de préparation et éviter les échecs courants de la gouvernance des identités d’entreprise (IGA).

• Parrainage par la direction obtenu : confirmez la présence d’un sponsor nominatif disposant d’un budget et de revues de gouvernance régulières.
• Responsabilités et imputabilité clairement définies : précisez qui est responsable des identités, des stratégies d’accès, de la gestion des rôles et des résultats en matière de conformité.
• Périmètre et objectifs alignés sur le métier : reliez les objectifs IGA aux risques métier, aux exigences réglementaires et à des indicateurs mesurables.
• Inventaire complet des identités et des systèmes : documentez les utilisateurs, les comptes de service, les applications, les annuaires et les propriétaires de ressources.
• Qualité des données et sources de référence identifiées : établissez les sources maîtres des attributs d’identité et garantissez leur exactitude et leur mise à jour.
• Modèle de rôles et taxonomie des droits : concevez une structure de rôles et de droits simplifiée pour éviter l’explosion des combinaisons d’accès uniques.
• Processus du cycle de vie des accès définis : standardisez les flux d’arrivée, de départ, de changement de rôle, d’accès temporaire et d’accès d’urgence.
• Certification des accès et cadence des revues : mettez en place des campagnes d’attestation régulières, avec des responsables désignés et des délais de remédiation définis (SLA).
• Stratégies de séparation des tâches (SoD) mises en œuvre : définissez les règles de SoD, détectez les violations et intégrez-les aux approbations et aux certifications.
• Provisionnement et déprovisionnement automatisés : réduisez les tâches manuelles et les comptes orphelins grâce à des connecteurs IAM et à des flux de travail automatisés.
• Intégration avec les systèmes RH et IT : assurez la synchronisation de la source de référence des identités avec les RH, les annuaires, l’ITSM et les plateformes cloud.
• Indicateurs et reporting en place : suivez le délai de provisionnement, les comptes orphelins, le taux de réalisation des certifications, les violations de SoD et les tendances de risque.
• Gestion du changement et implication des parties prenantes : communiquez sur les bénéfices, formez les approbateurs et les responsables métier, et organisez des pilotes avant le déploiement complet.
• Priorisation fondée sur les risques : concentrez-vous d’abord sur les applications à haut risque, les comptes privilégiés et les domaines soumis à des exigences de conformité.
• Architecture évolutive et choix du fournisseur : retenez des solutions IGA compatibles avec votre feuille de route, vos intégrations et le volume d’identités attendu.
• Sécurité de la plateforme IGA : durcissez les systèmes IGA, imposez l’authentification multifactorielle pour les accès administrateur et protégez les magasins d’identifiants.
• Boucle d’amélioration continue : revoyez régulièrement les processus, intégrez les constats d’audit et affinez les modèles de rôles et de stratégies.
• Plan de coûts et de ressources : prévoyez le budget de mise en œuvre, des opérations courantes, de la formation et des audits périodiques.
• Considérations juridiques et de confidentialité : assurez-vous que la gouvernance des identités respecte les lois sur la protection des données et les exigences en matière de consentement.
• Planification de la sortie et de la reprise : prévoyez les changements de fournisseur, l’export des données, la reprise après sinistre et la continuité des contrôles d’accès.

Questions fréquentes : projets de gouvernance des identités et sécurité des identités

Pourquoi la plupart des organisations échouent-elles d’abord en gouvernance des identités ?

La plupart des organisations échouent d’abord en gouvernance des identités parce qu’elles sous-estiment le périmètre : les identités et les accès couvrent les environnements sur site, les environnements cloud, les SaaS, les identités humaines et non humaines, les accès privilégiés et les anciens systèmes d’identité. Cette dispersion, combinée à des programmes de gouvernance peu structurés, à l’absence de cadre clair et à une collaboration insuffisante entre les équipes de sécurité et les métiers, conduit à des contournements, à des revues manuelles des accès utilisateurs et à des déploiements d’IGA sujets aux erreurs humaines, ce qui laisse subsister des vulnérabilités de sécurité et un risque d’identité élevé.

En quoi la gouvernance des identités héritée et les approches traditionnelles contribuent-elles à l’échec ?

La gouvernance des identités héritée et les approches traditionnelles se concentrent souvent sur des solutions sur site et des stratégies statiques qui ne s’adaptent ni à l’adoption du cloud ni à des schémas d’accès dynamiques. Elles manquent d’automatisation, s’intègrent mal au SSO ou à la gestion moderne des accès, ne traitent pas les identités non humaines ni les accès privilégiés. Il en résulte des lacunes au regard des exigences de conformité et des déploiements lents à réagir aux techniques des attaquants.

Quel rôle jouent les équipes de sécurité et les programmes de gouvernance dans ces échecs initiaux ?

Les équipes de sécurité sont responsables de la conception et de l’application des contrôles de sécurité ainsi que de la gestion des identités et des accès. Les échecs surviennent cependant lorsque les équipes travaillent en silos, privilégient des solutions ponctuelles ou ne disposent pas d’un cadre clair pour le risque lié aux identités. Sans parrainage de la direction et sans collaboration avec les métiers, les programmes de gouvernance peinent à faire appliquer des stratégies cohérentes, à réaliser des revues des accès utilisateurs en temps voulu et à réduire le risque d’accès.

L’automatisation et les outils peuvent-ils corriger des tentatives de gouvernance des identités ratées ?

L’automatisation permet de réduire nettement les tâches manuelles, de minimiser les erreurs et d’appliquer des stratégies cohérentes dans les environnements cloud comme dans les environnements d’entreprise. Mais les outils ne sont pas une solution miracle à eux seuls. Les déploiements réussis supposent de cartographier les processus, de mettre en place des workflows automatisés de demandes d’accès et de revue, d’intégrer l’IGA au SSO et à la gestion des accès, et de s’assurer que les équipes de sécurité sont alignées sur les exigences de conformité et les objectifs métiers.

Pourquoi les identités non humaines et les accès privilégiés sont-ils souvent négligés ?

Les identités non humaines (comptes de service, scripts d’automatisation) et les accès privilégiés sont fréquemment négligés parce qu’ils ne correspondent pas aux modèles traditionnels de provisionnement des utilisateurs et peuvent être dispersés entre les environnements SaaS, sur site et cloud. Cette négligence accroît le risque lié aux identités et la surface d’attaque. La gouvernance doit donc inclure explicitement des stratégies et des contrôles pour les comptes non humains et la gestion des accès privilégiés.

Comment l’adoption du cloud et des SaaS modifie-t-elle le paysage de la gouvernance des identités ?

L’adoption du cloud et des SaaS introduit de nouveaux schémas d’identité et d’accès, accélère le rythme des changements et favorise le shadow IT ainsi que la prolifération des identités. Les organisations doivent adapter leurs cadres de gouvernance pour couvrir les environnements cloud, intégrer les déploiements d’IGA aux fournisseurs d’identité cloud, appliquer les principes du zero trust et assurer des revues continues des accès utilisateurs afin de répondre aux exigences de conformité et de réduire les vulnérabilités de sécurité.

Quelles sont les défaillances de processus les plus courantes dans les projets de gouvernance des identités ?

Les défaillances de processus les plus courantes sont une découverte insuffisante des identités et des droits, un engagement insuffisant des parties prenantes, une responsabilité floue sur la certification des accès, le recours à des tableurs manuels pour les revues des accès utilisateurs et l’absence d’alignement des programmes de gouvernance sur les flux de travail métiers. Ces lacunes engendrent des contournements et une application incohérente, qui compromettent la préparation aux audits et augmentent le risque lié aux identités.

Comment les organisations doivent-elles mesurer le succès et réduire le risque d’accès lors des prochaines tentatives ?

Les organisations doivent définir des indicateurs clairs, tels que le délai de traitement des demandes d’accès, le pourcentage de certifications d’accès réalisées, la réduction des comptes orphelins ou privilégiés et le nombre d’incidents liés à l’usage abusif d’identités. La mise en place d’une surveillance continue, l’automatisation des revues des accès utilisateurs et l’intégration de la gestion des identités et des accès aux contrôles de sécurité et au SSO contribuent à réduire le risque d’accès et à démontrer les progrès réalisés lors des audits et des contrôles de conformité.

Quelles sont les premières étapes concrètes que les équipes de sécurité devraient entreprendre pour améliorer la gouvernance des identités ?

Les premières étapes concrètes consistent à réaliser une découverte des identités afin de cartographier les identités humaines et non humaines, à hiérarchiser les accès privilégiés à haut risque et les applications critiques, à choisir un cadre IGA qui prend en charge l’automatisation et l’intégration au cloud, à lancer un projet pilote de revues des accès utilisateurs avec les unités métier, et à aligner les programmes de gouvernance sur les exigences de conformité et les objectifs de Zero Trust afin d’éviter de reproduire les échecs initiaux.