Qu’est-ce que la gestion de la posture de sécurité des identités (ISPM) ?

L’environnement d’identités moderne est vulnérable, car les identités constituent désormais la principale surface d’attaque, devant le réseau. Les applications résident désormais dans le cloud, les collaborateurs se connectent depuis n’importe où et chaque connexion repose sur une identité unique et vérifiée. Les hackers disposent ainsi d’un accès direct aux systèmes grâce à des identifiants compromis, une méthode pour laquelle les défenses périmétriques traditionnelles n’ont jamais été conçues.

Les environnements hybrides rendent la situation encore plus complexe. Les migrations rapides vers le cloud peuvent répartir l’infrastructure d’identités entre Active Directory (AD) sur site, Microsoft Entra ID et Okta, sans qu’une vue unifiée permette nécessairement de les gérer ensemble. Chaque plateforme possède ses propres autorisations d’accès, ses propres spécificités et ses propres failles de sécurité. Les hackers ont désormais appris à exploiter les failles qui existent entre ces différents environnements.

Et les enjeux ne cessent de s’accroître. Le rapport Zscaler ThreatLabz 2026 sur la sécurité de l’IA a révélé que les transactions d’entreprise liées à l’IA et à l’AA ont augmenté de 91 % en un an, pour plus de 3 400 applications. Chaque nouvel outil d’IA qu’adopte votre entreprise a besoin d’une identité pour s’authentifier. Sachant que les identifiants compromis constituent le principal moyen d’accéder aux données propriétaires, chaque nouvelle intégration d’IA élargit donc la surface d’attaque liée aux identités.

Quels sont les risques liés aux erreurs de configuration des systèmes d’identités traditionnels ?

Les référentiels d’identités traditionnels, notamment les comptes des responsables informatiques et des dirigeants disposant de privilèges élevés, restent les ressources les plus ciblées de l’environnement de l’entreprise. Plus de 90 % des entreprises s’appuient encore sur Active Directory pour l’authentification. Ses paramètres par défaut et les nombreuses configurations accumulées au fil des décennies le rendent intrinsèquement vulnérable. Les hackers le savent et ont conçu des outils spécifiques pour l’exploiter.

Une mauvaise configuration des annuaires facilite les attaques. Pass-the-Hash permet à un attaquant de s’authentifier à l’aide d’un hachage de mot de passe dérobé, sans jamais avoir besoin du mot de passe lui-même. Kerberoasting permet à un attaquant de demander des tickets de service associés à des comptes de service mal sécurisés, puis de casser hors ligne les identifiants chiffrés à l’aide de son propre matériel. Ces deux techniques sont particulièrement efficaces lorsque les annuaires n’ont pas fait l’objet d’un audit récent.

À cela s’ajoute une autre source de préoccupation : une dette liée aux identités peut s’accumuler progressivement, sans être détectée. Les comptes d’anciens collaborateurs restent actifs pendant des mois. Des identifiants de service orphelins continuent d’exister bien après la disparition des applications pour lesquelles ils avaient été créés. Les privilèges des utilisateurs dépassent largement ceux qui leur avaient été accordés. Chacune de ces situations constitue une porte d’entrée potentielle, et la plupart des entreprises ignorent combien elles en détiennent.

L’ISPM détecte en permanence toutes les identités humaines et non humaines présentes dans l’environnement, vérifie leur configuration et leurs privilèges afin d’identifier les anomalies, puis synthétise les résultats sous la forme d’un score de risque unique. L’ISPM réunit plusieurs fonctionnalités dans un cycle continu de découverte, d’analyse et de remédiation. Chacune joue un rôle spécifique et, ensemble, elles permettent de déterminer où se cachent les risques liés aux identités.

Visibilité et découverte de bout en bout

La visibilité et la découverte de bout en bout consistent, pour l’ISPM, à localiser et à répertorier toutes les identités, humaines et non humaines, avant de pouvoir analyser les risques. Les équipes de sécurité ne peuvent protéger que ce qu’elles voient. L’ISPM répertorie donc les collaborateurs, les prestataires, les comptes de service et les identités machine répartis entre AD, Entra ID et les plateformes d’infrastructure cloud.

L’identification des identités non humaines (NHI) exige une attention particulière. Les clés d’API, les jetons d’automatisation et les identités de workloads échappent souvent complètement aux mécanismes traditionnels de gouvernance des annuaires. Un développeur crée un compte de service pour un projet prévu le temps d’un week-end. Trois ans plus tard, ce compte dispose toujours de privilèges d’administrateur et personne ne le surveille. L’ISPM révèle les NHI, afin qu’aucune identité de l’annuaire ne puisse passer inaperçue.

Audit continu et évaluation de la posture de sécurité avec l’ISPM

L’audit continu et l’évaluation de la posture de sécurité permettent à l’ISPM d’analyser en permanence la configuration de chaque identité et de synthétiser les résultats sous la forme d’un score de risque unique et mesurable. La découverte permet d’identifier ce qui existe ; l’audit permet de déterminer si ces éléments sont correctement sécurisés. Voici quelques-uns des problèmes couramment détectés lors de ces analyses :

• Mots de passe faibles ou réutilisés
• Politiques d’authentification multifacteur (MFA) désactivées
• Privilèges obsolètes hérités de changements de rôles ou de procédures de départ qui n’ont jamais été menées à leur terme

Ce score fournit aux équipes informatiques et de sécurité un indicateur de référence clair pour suivre les progrès et rendre compte des améliorations à la direction. Une hausse du score indique une amélioration de l’hygiène des identités, une baisse signale l’apparition de nouveaux risques avant qu’ils ne provoquent un incident.

Analyse des chemins d’attaque et de l’élévation de privilèges

L’analyse des chemins d’attaque et de l’élévation de privilèges permet à l’ISPM de cartographier les relations entre les identités, les privilèges et les ressources afin de montrer comment les attaquants peuvent combiner plusieurs vulnérabilités mineures pour compromettre l’ensemble du système. Cette analyse est essentielle, car une seule erreur de configuration suffit rarement à révéler l’ensemble du risque.

Par exemple, une équipe de sécurité peut découvrir qu’un compte disposant de faibles privilèges possède des autorisations sur une règle mal configurée par inadvertance. Pris isolément, ce compte semble inoffensif. Mais s’il existe une relation d’approbation inactive avec un autre domaine, ce compte peut permettre d’obtenir des privilèges d’administrateur de domaine : une anomalie mineure devient alors un chemin critique. La visualisation des chemins d’attaque permet aux équipes de sécurité de corriger en priorité les connexions présentant les risques les plus élevés, plutôt que de traiter de la même manière toutes les anomalies, même celles qui présentent peu de risques.

Application adaptative des politiques en fonction des risques

L’application adaptative des politiques en fonction des risques déclenche automatiquement des contrôles supplémentaires dès qu’une vulnérabilité est détectée, sans attendre une intervention manuelle. Ces contrôles consistent notamment à :

• Limiter l’accès aux ressources sensibles en fonction du niveau de risque
• Identifier les demandes anormales d’élévation de privilèges
• Intégrer les données de posture en temps réel aux politiques Zero Trust

Cette approche instaure une boucle continue entre détection et correction, et fait de l’amélioration de la sécurité des identités une activité quotidienne plutôt qu’un exercice annuel.

L’ISPM s’intègre aux solutions de gestion des identités en ajoutant une analyse continue de la posture de sécurité aux mécanismes d’application des politiques d’accès fournis par l’IAM et aux fonctions de gouvernance assurées par l’IGA. Il ne remplace ni l’un ni l’autre, mais intervient entre l’authentification d’une connexion et la vérification continue de la sécurité des accès.

Quelle est la différence entre l’ISPM et l’IAM ?

L’ISPM et l’IAM n’ont pas le même périmètre. L’IAM détermine qui peut accéder aux ressources au moment de la connexion, gère les comptes utilisateurs de l’entreprise et vérifie les accès au moyen de l’authentification unique (SSO) et de l’authentification multifacteur (MFA). L’ISPM vérifie quant à lui en permanence que les autorisations d’une identité déjà authentifiée restent conformes aux exigences de sécurité.

L’IAM à lui seul ne suffit pas à protéger contre les menaces liées aux identités. Il vérifie les identifiants au moment de la connexion, mais ne peut pas déterminer si le compte dispose d’autorisations excessives. Un collaborateur dont l’identité a été vérifiée et qui se connecte avec une MFA valide peut conserver des droits d’administrateur dont il n’a plus besoin. IAM les approuve systématiquement, car de son point de vue, rien ne semble anormal.

Quelle est la différence entre l’ISPM et l’IGA ?

L’ISPM et l’IGA se distinguent par leur fréquence d’intervention. L’IGA gère les accès au moyen d’un provisionnement automatisé et de revues périodiques des habilitations. Les équipes chargées de la conformité disposent ainsi d’un historique des accès approuvés et de la date de leur approbation. L’ISPM, quant à lui, fonctionne en continu et vérifie que les accès approuvés restent conformes entre deux cycles de revue.

Les revues IGA sont en grande partie manuelles et ont lieu chaque mois ou chaque trimestre. Des autorisations à haut risque peuvent donc demeurer indétectées pendant plusieurs semaines avant la revue suivante.

À l’inverse, l’ISPM analyse en continu et automatiquement la configuration des annuaires, sans attendre la prochaine revue. Là où IGA demande : « Cet accès a-t-il été approuvé ?  » L’ISPM demande : « Cet accès est-il sûr à l’instant présent ? »

Ensemble, ces trois disciplines constituent une architecture complète de gestion des identités. L’IAM contrôle qui peut accéder aux ressources, l’IGA détermine qui doit y avoir accès et l’ISPM vérifie que l’infrastructure sous-jacente est exempte d’erreurs de configuration dont les hackers pourraient tirer parti pour s’introduire dans les systèmes.

Les chemins d’attaque automatisés menacent la sécurité des identités en réduisant considérablement le délai entre la découverte de l’environnement et sa compromission. Les attaquants utilisent des outils basés sur l’IA pour cartographier en quelques secondes la structure de votre AD, identifier le chemin le plus court vers les privilèges d’administrateur de domaine et passer à l’action avant que les équipes de sécurité puissent intervenir.

La compromission des NHI aggrave encore le risque. Une simple clé d’API compromise ou un jeton d’automatisation oublié peut ouvrir une porte dérobée discrète, qui déclenche rarement les alertes de connexion qu’aurait générées un compte humain.

La rapidité des attaques est le facteur le plus difficile à anticiper. Lors de tests Red Team menés sur des systèmes d’IA d’entreprise, ThreatLabz a constaté que le délai médian avant une défaillance critique était de 16 minutes et que 90 % des systèmes étaient entièrement compromis en moins de 90 minutes. La sécurité réactive ne peut pas suivre un tel rythme. Votre entreprise doit gérer sa posture de sécurité de manière proactive pour corriger les vulnérabilités avant qu’une compromission ne survienne.

L’ISPM permet de faire face aux attaques menées à la vitesse des machines en combinant le renforcement continu des configurations, la correction automatisée des privilèges et la détection des menaces en temps réel. Ces mesures comblent les failles qu’exploitent les attaquants automatisés avant le début d’une attaque et détectent les menaces actives dès leur apparition.

Intégration de l’ISPM avec la détection et la réponse aux menaces liées aux identités (ITDR)

L’ISPM et la détection et la réponse aux menaces liées aux identités (ITDR) se complètent en répartissant la protection des identités entre deux volets distincts. L’ISPM renforce de manière proactive la configuration des identités et corrige les erreurs de configuration qu’exploitent les hackers. L’ITDR détecte et isole les menaces actives en temps réel lorsqu’un hacker a déjà réussi à pénétrer dans l’environnement.

La combinaison de ces deux approches assure une protection complète des identités. Les informations fournies par l’ISPM sur la posture de sécurité alimentent directement les procédures de remédiation de l’ITDR. Les équipes chargées de la réponse aux incidents savent ainsi quels comptes présentent le niveau de risque le plus élevé avant même le déclenchement d’une alerte. Les deux outils ne fonctionnent pas de manière distincte, mais comme un cycle continu de renforcement de la sécurité et de réponse aux menaces.

Correction automatisée des privilèges excessifs

Les privilèges s’accumulent insidieusement. Un utilisateur change de rôle et obtient temporairement des droits d’accès pour un projet. Le projet se termine, mais les droits d’accès restent actifs. Si le compte est compromis, tous les privilèges accumulés deviennent accessibles au hacker.

L’ISPM remédie à ce problème automatiquement : il détecte les autorisations inutiles et révoque les droits d’accès des utilisateurs qui n’en ont plus besoin. Moins les privilèges permanents sont nombreux, moins un acteur malveillant dispose de moyens pour nuire.

Étendre les principes Zero Trust aux configurations des annuaires

Le principe Zero Trust s’applique généralement aux accès réseau, mais le même principe de « ne jamais faire confiance, toujours vérifier » s’applique également à vos annuaires.

L’ISPM vérifie chaque paramètre de configuration, chaque relation d’approbation et chaque autorisation déléguée, étendant les principes de sécurité Zero Trust au-delà de l’authentification et jusqu’à l’annuaire qui détermine ce qu’un utilisateur authentifié peut faire.

Une mise en œuvre efficace de l’ISPM repose sur quelques étapes méthodiques. Suivez-les pour passer de la théorie à une posture de sécurité des identités réellement renforcée.

1. Unifier la visibilité sur les annuaires : connectez votre AD sur site à vos systèmes cloud natifs, notamment Microsoft Entra ID et Okta, afin de centraliser toute l’activité dans un seul tableau de bord au lieu de la répartir entre plusieurs vues isolées.
2. Rechercher les systèmes d’identités fantômes : effectuez une recherche continue des ressources afin d’identifier les annuaires créés par des développeurs indépendants ou par des intégrations SaaS tierces en dehors des mécanismes officiels de gouvernance. Ces systèmes sont généralement moins surveillés et donc plus susceptibles d’être exploités.
3. Réduire continuellement les autorisations : utilisez les données de l’ISPM pour supprimer les privilèges excessifs des comptes utilisateurs et des comptes de service et appliquer à chaque compte le principe du moindre privilège.
4. Supprimer les identifiants orphelins : recherchez les comptes de service ou les identifiants inutilisés qui n’ont plus de propriétaire, et supprimez-les avant qu’un tiers ne les découvre et ne les exploite.
5. Automatiser les alertes de configuration : avertissez les administrateurs des annuaires dès qu’une modification de configuration s’écarte de votre référence de sécurité.
6. Suivre l’évolution de votre score de posture : considérez votre score ISPM comme un indicateur en temps réel de la posture de sécurité de vos identités, et non comme une mesure de votre niveau de sécurité global. Examinez-le régulièrement avec votre équipe de sécurité pour confirmer les progrès accomplis dans la réduction des risques.

Ces étapes se complètent. La visibilité permet de dresser la cartographie, la réduction des privilèges élimine les risques et les alertes permettent de maintenir les acquis. Ensemble, elles transforment un déploiement ponctuel en une démarche continue qui maintient la sécurité de votre environnement d’identités à mesure que les menaces évoluent.

Zscaler Identity Protection (Zscaler ITDR) audite en permanence les systèmes d’identités AD et hybrides pour détecter les erreurs de configuration, fournit une vue de la posture de sécurité avec évaluation des risques et détecte en temps réel les attaques telles que Kerberoasting. Elle s’intègre nativement à la plateforme Zscaler Zero Trust Exchange™.

Principales capacités :

• Audit continu de la posture d’Active Directory (AD) et d’Entra ID : Zscaler ITDR analyse en permanence les magasins d’identités sur site et hybrides pour détecter les erreurs de configuration, les privilèges obsolètes et les informations d’identification exposées avant que les attaquants ne les trouvent.
• Détection en temps réel des attaques visant les identités : la plateforme détecte les techniques telles que Kerberoasting, Pass-the-Hash et DCSync au moment où elles sont utilisées, réduisant ainsi le délai entre la compromission et la réponse.
• Évaluation unifiée des risques liés aux identités : Zscaler ITDR rassemble les différentes anomalies détectées dans un score de posture unique et mesurable, que les équipes informatiques et de sécurité peuvent suivre au fil du temps.
• Intégration native à Zero Trust Exchange : les données relatives à la posture de sécurité et aux menaces alimentent directement les politiques Zero Trust adaptatives. Le risque lié aux identités est ainsi pris en compte en temps réel dans les décisions d’accès au sein de Zscaler Zero Trust Exchange.
• Couverture des identités non humaines : Zscaler ITDR étend la visibilité aux comptes de service, aux clés d’API et aux identités de workloads, que les outils traditionnels de gestion des identités ne détectent généralement pas.

Demandez une démonstration pour découvrir comment Zscaler ITDR peut vous aider à améliorer la sécurité de vos identités.