Tendances et innovations en gestion des accès à l’horizon 2025 [Analyse d’expert]

La gestion des accès connaît une transformation profonde, portée par des tendances et des innovations majeures. Philip Hoyer, expert en IAM (Identity and Access Management) et figure reconnue dans le domaine de la sécurité, a analysé les développements les plus marquants, notamment l’essor de l’authentification passwordless, le renforcement des mécanismes de protection contre le phishing et l’influence croissante des exigences réglementaires. Ses perspectives, présentées lors de TrustLinkup, un événement dédié aux leaders de la cybersécurité organisé par TrustBuilder, offrent des conseils stratégiques aux organisations confrontées à ces mutations.

La prolifération des identités, une tendance de fond en gestion des accès

Le nombre d’identités numériques au sein des entreprises explose, porté par plusieurs dynamiques clés. D’après le rapport Trends in Securing Digital Identities de l’IDSA, trois facteurs majeurs expliquent cette augmentation :

• Adoption de l’informatique dématérialisée : 52% des organisations font état d’une dépendance accrue à l’égard des outils basés sur l’informatique en nuage.
• Travail à distance : 50% signalent un plus grand nombre de points d’accès en raison du fait que les employés travaillent à partir de différents endroits.
• Relations avec les tiers : 41% notent l’implication croissante des parties prenantes externes.

Face à cette expansion des identités numériques, leur protection est devenue une priorité absolue pour les professionnels de l’IT. Ainsi, en 2024, 22% des organisations en font une priorité, contre seulement 16% en 2022.

L’essor du phishing et des cybermenaces dopées à l’IA

Les attaques par phishing (hameçonnage) restent un danger majeur et évolutif. Le rapport de Verizon Data Breach met en lumière une tendance alarmante : le nombre d’utilisateurs succombant à ces attaques est en constante augmentation. Plus inquiétant encore, l’intelligence artificielle (IA) joue un rôle grandissant dans ces stratégies malveillantes.

Désormais, les cybercriminels exploitent l’IA pour concevoir des e-mails de phishing ultra-réalistes et personnalisés, en analysant le comportement des utilisateurs et en générant des messages ciblés à grande échelle. Cette sophistication rend les techniques de détection classiques de moins en moins efficaces, renforçant l’urgence d’adopter des mesures de sécurité avancées dans le cadre de la gestion des identités et des accès (IAM).

« Les cybercriminels cherchent à s’approprier tout ce qui leur permet d’usurper votre identité : comptes, accès et identifiants. Grâce au phishing, ils parviennent à s’infiltrer dans vos comptes et peuvent causer des dommages considérables. Face à la recrudescence de ces attaques, il devient impératif de renforcer nos défenses. Cela passe par l’adoption de mécanismes d’authentification capables de résister au phishing. »

Philip HoyerExpert en IAM

Transition vers une authentification résistante au phishing et sans mot de passe

Pour contrer le phishing tout en optimisant l’expérience utilisateur, l’industrie accélère sa transition vers des solutions d’authentification multifacteur (MFA) résistantes aux attaques de phishing et passwordless. Selon Gartner, ces évolutions constituent les tendances clés de la gestion des identités et des accès (IAM) pour les années à venir.

Les normes FIDO2 jouent un rôle central dans cette transformation, en facilitant une authentification robuste reposant sur la biométrie ou des clés matérielles. En éliminant la dépendance aux mots de passe, cette approche réduit significativement les risques de compromission des identifiants tout en offrant une expérience plus fluide et sécurisée.

Les pressions réglementaires façonnent la gestion des identités et des accès (IAM)

Philip Hoyer souligne un enjeu majeur : « Alors que vous devez faire face à la montée des attaques et que vos clients en subissent les conséquences, la pression réglementaire ne cesse d’augmenter. Les autorités, réagissant à la multiplication des cyberattaques réussies, notamment les ransomwares, exigent un renforcement des infrastructures de sécurité. »

Ce cadre réglementaire ne se limite pas aux contraintes : il stimule également l’innovation en matière d’IAM. Parmi les principales réglementations influençant le secteur, on retrouve :

• Directive NIS2 : Elle vise à renforcer la cybersécurité des chaînes d’approvisionnement en imposant des contrôles d’accès plus stricts et une meilleure coopération entre les parties prenantes.
• DSP2 (PSD2 – Payment Services Directive 2) : Spécifiquement axée sur les services financiers et le commerce de détail, elle impose des solutions d’authentification multifacteur robustes.
• eIDAS et DORA : Ces réglementations mettent en avant l’importance de la sécurisation des identités numériques dans divers secteurs.

En particulier, la conformité à NIS2 incite les organisations à adopter des solutions IAM évolutives, capables non seulement de renforcer la sécurité, mais aussi d’assurer une meilleure résilience face aux menaces émergentes.

Les défis de la gestion externe de l’identité

Les tendances actuelles en gestion des identités et des accès (IAM) mettent en lumière la complexité croissante de la gestion des identités externes — qu’il s’agisse de sous-traitants, fournisseurs ou partenaires. Ces utilisateurs, bien que essentiels au fonctionnement des entreprises, représentent des défis majeurs en matière de sécurité et d’efficacité opérationnelle.

Les solutions d’accès traditionnelles, conçues principalement pour les employés, s’avèrent souvent inadaptées pour gérer ces profils externes. Cela entraîne des inefficacités et expose les entreprises à des risques accrus.

Les principaux défis sont les suivants :

• Systèmes RH inadaptés : Les outils de gestion des ressources humaines ne sont pas conçus pour administrer efficacement les identités des prestataires, partenaires ou freelances.
• Complexité d’intégration : Connecter des fournisseurs d’identité externes (IdP) aux systèmes internes pose souvent des défis techniques majeurs.
• Gestion manuelle du cycle de vie : Les solutions IAM classiques sont souvent coûteuses et inefficaces lorsqu’il s’agit de gérer les accès des utilisateurs externes.
• Dispositifs non maîtrisés : Le manque de contrôle sur les appareils utilisés en dehors du réseau de l’entreprise crée des vulnérabilités en matière de cybersécurité.

Étant donné que ces utilisateurs tiers nécessitent fréquemment un accès aux systèmes critiques, les entreprises doivent adopter des solutions évolutives et sécurisées, telles que Trusted Partner Access, afin de garantir une gestion fluide et fiable des identités externes.

« Dans une approche Zero Trust, les dispositifs accédant à vos systèmes échappent à votre contrôle. Ces appareils appartiennent aux entreprises de vos partenaires et non à la vôtre, ce qui signifie que vous ne pouvez pas en maîtriser les paramètres de sécurité. C’est un défi majeur qu’il est essentiel d’adresser. »

Philip HoyerExpert IAM

Les atouts de Trusted Partner Access

Afin de relever les défis liés à la gestion des identités externes, Philip Hoyer propose le concept de Trusted Partner Access. Cette solution facilite la gouvernance des utilisateurs tout en garantissant une conformité stricte aux réglementations en évolution constante, telles que NIS2.

Voici les principales caractéristiques de Trusted Partner Access :

• Authentification par token navigateur : Permet de faire du MFA en utilisant le navigateur comme « appareil de confiance », sans nécessiter d’installation de logiciel ni de droits d’administration. Une réponse efficace aux défis liés aux postes de travail non gérés.
• Tableau de bord SSO : Simplifie l’accès des partenaires en proposant une interface unique et centralisée pour gérer leurs applications de manière fluide et sécurisée.
• Administration déléguée : Permet aux administrateurs des entreprises partenaires de gérer le cycle de vie de leurs utilisateurs accédant à vos systèmes, réduisant ainsi la charge administrative.
• Orchestration avancée des identités : Gère plusieurs profils d’accès (personas) pour les partenaires, en intégrant des fournisseurs d’identité (IdP) internes et externes pour une flexibilité maximale.

Grâce à cette approche, les entreprises peuvent rationaliser l’intégration des utilisateurs externes, renforcer la sécurité et assurer une conformité continue, tout en offrant une expérience fluide et efficace à leurs partenaires.

Principaux enseignement

• Prolifération des identités numériques : L’essor du cloud, le travail à distance et la multiplication des interactions avec des tiers rendent la gestion des identités plus cruciale que jamais pour les entreprises.
• Évolution des attaques de phishing : L’intelligence artificielle accroît la sophistication des attaques, rendant indispensable l’adoption de méthodes d’authentification avancées.
• Pressions réglementaires croissantes : Des réglementations comme NIS2, DSP2 (PSD2) et eIDAS imposent des contrôles d’accès renforcés et encouragent l’adoption de solutions IAM évolutives.
• Défis de la gestion des identités externes : L’intégration complexe, les dispositifs non maîtrisés et les limites des outils IAM traditionnels compliquent la sécurisation des accès pour les partenaires et sous-traitants.
• Solutions adaptées : Des approches comme Trusted Partner Access permettent de gérer les utilisateurs externes de manière sécurisée, évolutive et conforme aux exigences réglementaires.

En restant à l’avant-garde des évolutions en matière de gestion des identités et des accès, les entreprises peuvent renforcer leur sécurité, assurer leur conformité et optimiser leurs opérations face aux nouvelles menaces et exigences du marché.