Chaque jour, des dizaines ou des centaines d’employés se connectent aux systèmes d’une entreprise. Chacun doit accéder à certaines ressources, et seulement à celles-là. Sans cadre solide pour gérer ces droits, c’est la porte ouverte aux fuites de données, aux accès non autorisés, voire aux cyberattaques ciblées. C’est exactement là qu’intervient l’IAM.
L’IAM — pour Identity and Access Management, soit la gestion des identités et des accès — est un ensemble de processus, de politiques et d’outils qui permettent de contrôler précisément qui peut faire quoi dans un système informatique. Pas un luxe réservé aux grandes entreprises : une PME de 20 personnes a autant besoin de cette discipline qu’un groupe du CAC 40.
Ce que recouvre vraiment l’IAM
Identités numériques et cycle de vie
Une identité numérique, c’est la représentation d’un utilisateur dans un système informatique : un compte, des attributs (nom, rôle, département), des droits associés. L’IAM gère le cycle de vie complet de cette identité — de sa création le jour de l’arrivée d’un salarié jusqu’à sa suppression lors de son départ. Entre les deux, il y a les évolutions de poste, les changements de périmètre, les congés, les sous-traitants temporaires.
Mal géré, ce cycle génère des comptes fantômes — des identifiants actifs appartenant à des personnes parties depuis des mois. Une faille classique, exploitée régulièrement lors d’audits de sécurité.
⚠️ À garder en tête
Selon le rapport Verizon Data Breach Investigations 2023, plus de 74 % des violations de données impliquent un élément humain — dont une large part liée à des identifiants compromis ou mal gérés. L’IAM est une réponse directe à ce risque.
Gestion des accès : le principe du moindre privilège
Au cœur de l’IAM se trouve une règle simple : chaque utilisateur ne doit accéder qu’aux ressources strictement nécessaires à son travail. Ce principe du moindre privilège (least privilege) réduit mécaniquement la surface d’attaque. Un comptable n’a pas besoin d’accéder au code source de l’application métier. Un développeur junior n’a pas à toucher la base de données de production.
Mettre en œuvre ce principe demande une cartographie précise des rôles, des ressources et des niveaux d’autorisation — ce qu’on appelle le contrôle d’accès basé sur les rôles, ou RBAC (Role-Based Access Control).
⚠️ Les risques concrets d’une IAM absente ou mal configurée
Prolifération des droits
Sans gouvernance, les droits s’accumulent. Un utilisateur change de service, on lui ouvre de nouveaux accès sans fermer les anciens. Résultat : après quelques années, certains comptes disposent de droits bien supérieurs à ce que leur rôle justifie. On parle de privilege creep. C’est l’une des vulnérabilités les plus fréquentes dans les entreprises qui n’ont pas structuré leur IAM.
Accès non révoqués et comptes orphelins
Un ancien prestataire conserve son accès VPN six mois après la fin de sa mission. Une employée partie en congé maternité garde des droits d’administration sur le serveur de fichiers. Ces situations arrivent partout, tout le temps. Un outil IAM automatise la révocation selon des règles définies — plus besoin d’espérer que quelqu’un y pense manuellement.
💡 Notre conseil
Réalisez un audit de vos comptes actifs tous les trimestres. Croisez la liste des comptes avec celle des employés et prestataires réellement en poste. Vous serez surpris de ce que vous trouverez — et de la rapidité avec laquelle la situation se dégrade sans processus clair.
Les composantes techniques d’un système IAM
Authentification et MFA
L’authentification vérifie qu’un utilisateur est bien qui il prétend être. Le mot de passe seul ne suffit plus — trop facile à voler, à deviner ou à hameçonner. Le standard actuel est l’authentification multifacteur (MFA) : un mot de passe plus un second facteur (SMS, application d’authentification, clé physique FIDO2). Microsoft estime que le MFA bloque 99,9 % des attaques automatisées sur les comptes.
SSO : une seule connexion pour tout
Le Single Sign-On (SSO) permet à un utilisateur de se connecter une seule fois pour accéder à l’ensemble des applications autorisées. Concrètement : vous vous identifiez le matin, et vous accédez ensuite à votre messagerie, votre CRM, votre outil RH et votre espace cloud sans ressaisir vos identifiants. Le SSO améliore l’expérience utilisateur tout en centralisant le contrôle — si un compte est compromis ou désactivé, la révocation est immédiate sur toutes les applis.
Provisioning et déprovisioning automatisés
Le provisioning, c’est la création et la configuration automatique d’un compte lors de l’arrivée d’un collaborateur. Le déprovisioning, c’est l’inverse : la désactivation immédiate de tous ses accès quand il quitte l’organisation. Ces processus s’appuient souvent sur une intégration entre le SIRH (système d’information RH) et le moteur IAM — dès qu’un départ est enregistré dans le SIRH, les accès sont coupés sans intervention manuelle.
99,9%
des attaques automatisées sur comptes bloquées par le MFA, selon Microsoft
🎯 Quels outils IAM pour quelle entreprise ?
Solutions du marché
Le marché IAM est mature. Voici les acteurs les plus répandus selon la taille et les besoins :
- Microsoft Entra ID (ex-Azure Active Directory) : incontournable dans les environnements Microsoft 365, il intègre SSO, MFA, accès conditionnel et gestion des identités cloud.
- Okta : solution cloud-native, très utilisée pour les environnements multi-cloud et les organisations avec beaucoup d’applications SaaS.
- ForgeRock / Ping Identity : solutions enterprise pour les environnements complexes, souvent déployées dans les secteurs banque et assurance.
- Keycloak : solution open source populaire pour les équipes techniques qui veulent garder la main sur leur infrastructure.
Le choix dépend surtout de votre écosystème existant. Une entreprise full Microsoft ira naturellement vers Entra ID. Une organisation multi-cloud avec 80 applications SaaS différentes privilégiera plutôt Okta.
IAM et Zero Trust
L’IAM est le fondement du modèle Zero Trust — littéralement « ne faire confiance à personne par défaut ». Dans cette approche, chaque demande d’accès est vérifiée, quel que soit l’endroit d’où elle provient (réseau interne ou externe). L’identité devient le nouveau périmètre de sécurité, remplaçant l’ancien modèle basé sur le réseau d’entreprise. Pour aller plus loin sur les fondations techniques de cette sécurité, le sujet de Maîtriser l’Administration Réseau Informatique en Entreprise complète utilement cette approche.
| 🏢 Modèle traditionnel | 🔒 Modèle Zero Trust + IAM |
|---|---|
| Confiance implicite sur le réseau interne | Vérification systématique de chaque identité |
| Droits larges, peu granulaires | Droits précis selon le rôle et le contexte |
| Révocation manuelle et tardive | Révocation automatique et immédiate |
| Audit difficile, traçabilité partielle | Logs centralisés, audit complet |
Mettre en place un projet IAM : les étapes clés
Cartographier avant de déployer
Avant d’acheter une solution, commencez par cartographier l’existant. Quels systèmes, quelles applications, combien d’utilisateurs, quels rôles ? Cette phase d’inventaire révèle souvent des surprises — des applications oubliées, des comptes de service sans propriétaire, des droits accordés il y a cinq ans pour « un projet » qui n’existe plus.
Inventorier tous les comptes, applications et droits existants dans votre SI.
Créer une matrice des droits par rôle métier, validée par les responsables d’équipe.
Sélectionner l’outil IAM adapté à votre stack et configurer les connecteurs applicatifs.
Mettre en place des revues régulières des accès et des alertes sur les comportements anormaux.
Gouvernance et revues d’accès
Un système IAM ne se déploie pas et ne s’oublie pas. La gouvernance des identités (IGA, Identity Governance and Administration) impose des revues périodiques : chaque manager valide ou révoque les accès de ses collaborateurs. Ce processus, parfois perçu comme contraignant, est ce qui maintient la qualité du référentiel dans le temps. Sans revues, on retombe inévitablement dans la prolifération des droits. Pour les équipes qui gèrent l’infrastructure, les enjeux rejoignent ceux abordés dans les ressources Technologie de notre site.
✅ À retenir
Un projet IAM réussi repose sur trois piliers : une cartographie rigoureuse de l’existant, une définition claire des rôles métiers, et une gouvernance maintenue dans la durée. La technologie vient en support — pas à la place de ces fondations organisationnelles.
Questions fréquentes
Quelle est la différence entre IAM et PAM ?
L’IAM (Identity and Access Management) gère les identités et droits de l’ensemble des utilisateurs d’une organisation. Le PAM (Privileged Access Management) est un sous-ensemble focalisé sur les comptes à privilèges élevés — administrateurs système, DBA, comptes de service. Le PAM ajoute des couches de contrôle supplémentaires : enregistrement de sessions, rotation automatique des mots de passe, approbation explicite pour chaque connexion sensible.
L’IAM est-il réservé aux grandes entreprises ?
Non. Dès qu’une organisation dépasse une dizaine de collaborateurs et utilise plusieurs applications (messagerie, CRM, stockage cloud, outils RH), une gestion structurée des identités devient utile. Des solutions comme Microsoft Entra ID ou Keycloak sont accessibles même pour les PME, avec des coûts adaptés. Les risques liés aux comptes mal gérés (anciens employés, prestataires) touchent toutes les tailles d’entreprise.
Combien coûte la mise en place d’une solution IAM ?
Le coût varie selon la solution et la taille de l’organisation. Microsoft Entra ID P1 coûte environ 6 € par utilisateur et par mois. Okta démarre autour de 2 à 6 € par utilisateur selon les modules. Une solution open source comme Keycloak est gratuite en licence, mais requiert des ressources techniques pour l’installation et la maintenance. Il faut ajouter les coûts d’intégration et de formation, souvent plus élevés que la licence elle-même.
Qu’est-ce qu’une revue d’accès en IAM ?
Une revue d’accès est un processus périodique (trimestriel ou semestriel) pendant lequel les managers valident ou révoquent les droits de leurs collaborateurs. Le système IAM génère une liste des accès actuels par utilisateur, et chaque responsable confirme ou supprime ce qui n’est plus justifié. Ce mécanisme est souvent exigé par les certifications ISO 27001 et les audits de conformité (RGPD, SOC 2).
L’IAM est-il lié au RGPD ?
Oui, directement. Le RGPD impose de limiter l’accès aux données personnelles aux seules personnes qui en ont besoin (principe de minimisation). Un système IAM bien configuré matérialise techniquement cette exigence : il trace qui accède à quoi, quand et depuis où. En cas de contrôle CNIL ou d’incident, les logs IAM constituent des preuves de conformité. L’absence d’IAM est souvent relevée comme une défaillance organisationnelle lors des audits RGPD.