La gestion des accès utilisateurs désigne l’ensemble des processus qui déterminent qui peut accéder à quelles ressources numériques, avec quels droits, et pour combien de temps. En entreprise, chaque compte actif sur un système d’information représente un point d’entrée potentiel. La maîtrise de ces points d’entrée ne relève plus seulement de la sécurité informatique : la directive européenne NIS2 (UE 2022/2555) en fait désormais une obligation de conformité réglementaire pour de nombreux secteurs.
Cycle de vie des identités et droits d’accès : le mécanisme central
Avant de parler d’outils ou de conformité, il faut comprendre ce que recouvre le cycle de vie d’une identité numérique. Chaque utilisateur, qu’il soit salarié, prestataire ou partenaire, passe par trois phases : création du compte, modification des droits, puis suppression ou désactivation.
La phase de création associe une identité à un ensemble de droits d’accès aux applications et aux données. Ces droits dépendent du rôle occupé. Un comptable n’a pas besoin d’accéder au CRM, et un commercial n’a rien à faire dans le système de paie.
La difficulté réside dans les deux phases suivantes. Un changement de poste devrait déclencher une revue des droits : retirer les anciens, attribuer les nouveaux. Un départ devrait provoquer la désactivation immédiate de tous les comptes associés. Dans la pratique, ces étapes restent souvent manuelles et incomplètes, ce qui crée des comptes orphelins aux droits excessifs.
IAM et contrôle d’accès basé sur les rôles : principes techniques
L’IAM (Identity and Access Management) est le cadre technique qui structure la gestion des identités et des accès. Son objectif : répondre à la question « qui accède à quoi, quand et comment » de façon automatisée et vérifiable.
Le modèle le plus répandu au sein des solutions IAM est le contrôle d’accès basé sur les rôles (RBAC). Chaque rôle dans l’entreprise correspond à un profil de droits prédéfini. Lorsqu’un utilisateur est affecté à un rôle, il hérite automatiquement des autorisations associées.
Ce modèle simplifie la gestion à grande échelle, mais il suppose un travail préalable de cartographie des rôles et des applications. Sans cette cartographie, les entreprises finissent par empiler les droits au fil des mobilités internes, un phénomène connu sous le nom d’accumulation de privilèges.
Authentification multifacteur dans le dispositif IAM
L’authentification multifacteur (MFA) ajoute une couche de vérification au-delà du simple mot de passe. Elle combine au moins deux éléments parmi trois catégories : ce que l’utilisateur sait (mot de passe), ce qu’il possède (téléphone, clé physique) et ce qu’il est (biométrie).
La MFA réduit considérablement le risque d’usurpation d’identité, en particulier face aux attaques de phishing qui ciblent les identifiants. La directive NIS2 mentionne explicitement l’authentification multifacteur ou continue parmi les mesures attendues pour les entités concernées.
NIS2 et Référentiel ReCyF : ce que la réglementation impose sur les accès
La directive NIS2 s’applique aux organisations jugées essentielles ou importantes dans des secteurs comme l’énergie, la santé, le transport, le numérique ou le secteur public. Elle impose des exigences précises en matière de contrôle d’accès, de journalisation et de gestion des identités.
En France, l’ANSSI a publié en mars 2026 le Référentiel Cyber France (ReCyF) comme déclinaison opérationnelle de NIS2. Le calendrier prévu structure la mise en conformité en trois phases :
- 2025-2026 : sensibilisation des organisations et accompagnement à la mise en conformité
- 2026-2027 : audits ciblés sur les mesures de sécurité, dont la gestion des accès utilisateurs
- À partir de 2027 : sanctions actives en cas de non-conformité persistante, pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles
La Commission européenne a engagé une procédure contre la France en juillet 2026 pour retard de transposition. Ce contexte place la gouvernance des accès sous la responsabilité directe de la direction, et non plus seulement du service informatique.
Dette identitaire et prolifération des comptes : le risque concret
L’adoption rapide d’applications cloud et d’outils collaboratifs multiplie le nombre d’identités numériques par utilisateur. Un salarié peut disposer de comptes sur plusieurs dizaines d’applications SaaS. Chaque compte représente un identifiant à gérer, un mot de passe à sécuriser et des droits à contrôler.
Cette multiplication crée ce que certains analystes appellent une dette identitaire : l’écart entre le nombre d’accès réellement nécessaires et le nombre d’accès effectivement actifs dans les systèmes. Plus cet écart grandit, plus la surface d’attaque s’étend.
Le problème s’aggrave avec les identités non humaines. Les comptes de service, les clés d’API et les connecteurs entre applications constituent des accès rarement audités. Leur compromission offre aux attaquants un accès silencieux et durable aux données de l’entreprise.
Revue régulière des droits : une pratique encore sous-estimée
La revue des droits d’accès consiste à vérifier périodiquement que chaque utilisateur dispose uniquement des accès nécessaires à ses fonctions actuelles. Cette pratique, parfois appelée recertification des accès, permet de détecter les comptes orphelins, les droits accumulés et les accès devenus obsolètes.
Sans automatisation, cette revue mobilise un temps considérable. Les solutions d’IGA (Identity Governance and Administration) permettent de déclencher des campagnes de recertification auprès des responsables métiers, qui valident ou révoquent les accès de leurs équipes depuis une interface centralisée.
Journalisation et traçabilité des accès : la preuve en cas d’incident
La journalisation enregistre chaque tentative de connexion, chaque modification de droits et chaque accès aux données sensibles. Ces logs constituent la preuve technique en cas d’audit ou d’incident de sécurité.
NIS2 impose la conservation de ces traces et leur exploitation dans le cadre d’une politique de détection des incidents. Un système d’information sans journalisation exploitable revient à gérer un bâtiment sans caméra ni registre des entrées.
La traçabilité protège aussi l’entreprise sur le plan juridique. En cas de fuite de données, la capacité à démontrer qui a accédé à quoi, et quand, conditionne la réponse réglementaire et la limitation des sanctions.
La gestion des accès utilisateurs n’est plus un sujet réservé aux équipes techniques. Le calendrier réglementaire NIS2, avec des audits prévus dès 2026-2027, impose aux entreprises de documenter et d’automatiser leurs processus d’attribution et de révocation des droits. Les organisations qui n’ont pas encore cartographié leurs identités et leurs accès disposent d’une fenêtre de mise en conformité qui se réduit trimestre après trimestre.
