Identity Governance & Administration (IGA) : la bonne ressource pour la bonne personne au bon moment.

Les accès s’effectuent rarement à un seul endroit. Ils concernent Active Directory, Microsoft 365, les applications métiers, les plateformes cloud et, souvent, des systèmes gérés directement par les départements spécialisés. Les processus manuels de gestion des accès sont risqués et entraînent fréquemment des délais ainsi qu’un manque de transparence. Lorsque des autorisations sont en plus attribuées ultérieurement par ticket, e-mail ou fichier Excel, il devient rapidement difficile de conserver une vue d’ensemble.

Par ailleurs, les exigences en matière de conformité et de gouvernance augmentent. Des normes telles qu’ISO 27001[i] ou des exigences réglementaires comme NIS2[ii] imposent des processus traçables, des contrôles réguliers et une documentation complète des accès. Les audits deviennent coûteux lorsqu’il faut reconstituer a posteriori qui a obtenu quel accès, à quel moment et pour quelle raison. L’IGA apporte non seulement la sécurité, mais aussi précisément cette preuve.

Une gestion maîtrisée plutôt qu’un état d’exception

L'IGA[iii] fait partie de l’Identity & Access Management (IAM)[iv]. Elle permet de gérer et de contrôler de manière centralisée les identités, les rôles et les autorisations. Une solution IGA accompagne l’ensemble du cycle de vie des utilisateurs : l’arrivée, le changement de rôle au sein de l’entreprise et le départ. Dans la pratique, on parle souvent de processus Joiner, Mover et Leaver : la personne qui arrive reçoit des accès précisément adaptés ; celle qui change de rôle restitue les droits devenus inutiles ; et celle qui quitte l’entreprise perd ses accès de manière systématique et sans délai.

Au quotidien, une telle solution garantit que les accès nécessaires sont disponibles. Concrètement, cela signifie des demandes d’accès automatisées avec des processus d’approbation (Entitlement Management), des modèles d’autorisation basés sur les rôles, des recertifications régulières pour vérifier les accès existants ainsi qu’un retrait traçable des droits lorsqu’une tâche prend fin, qu’une personne change de département ou que son contrat de travail se termine.

Les entreprises bénéficient ainsi d’une transparence complète sur l’ensemble des autorisations. Cela simplifie les audits, réduit les droits excessifs et fait de la gouvernance un processus continu plutôt qu’un état d’exception annuel.

Qui peut accéder à quoi, quand et où ?

De nombreuses entreprises ne savent pas exactement qui peut accéder à quels systèmes et à quelles données. Des structures d’autorisation développées au fil des années, de nouvelles applications et des changements organisationnels peuvent conduire à des accès qui ne correspondent plus aux responsabilités réelles. Lors d’un changement de rôle en particulier, les autorisations existantes ne sont souvent pas supprimées de manière systématique. Au fil du temps, les collaborateurs accumulent donc des droits d’accès supplémentaires dont ils n’ont plus besoin. Deux exemples typiques sont les jeunes talents qui passent par plusieurs départements et les personnes qui renoncent à des responsabilités de conduite. Résultat : davantage d’efforts administratifs, une surface d’attaque plus large et davantage de questions lors des audits.

À cela s’ajoute un manque de responsabilités clairement définies. Il n’est souvent pas établi sans ambiguïté à qui appartient une application, qui peut approuver les accès ou qui doit effectuer les contrôles réguliers. Les recertifications restent alors fragmentaires et certains systèmes demeurent en dehors des processus Joiner, Mover et Leaver.

Les identités sont la nouvelle cible

Les cyberattaques ciblent de plus en plus les identités numériques. Au lieu d’exploiter des vulnérabilités techniques, les attaquants tentent de prendre le contrôle de comptes utilisateurs légitimes au moyen du phishing ou du vol d’identifiants. Une solution IGA moderne applique donc systématiquement le principe du moindre privilège : autant d’accès que nécessaire, mais aussi peu que possible.

L’IGA seule ne suffit toutefois pas. Les identités doivent non seulement être gérées, mais aussi protégées en permanence, que la connexion s’effectue depuis le réseau de l’entreprise, le télétravail ou le cloud. C’est précisément là qu’interviennent les Identity Security Services. Ils associent IAM et IGA à une surveillance continue, détectent rapidement les utilisations abusives et comblent l’écart entre l’attribution des autorisations et le comportement réel.

Tous les accès nécessaires dès le premier jour

L’IGA aide les entreprises à mettre les bonnes ressources à la disposition des bonnes personnes au bon moment. Lorsque tous les accès, applications, canaux Teams et boîtes aux lettres nécessaires sont disponibles dès le premier jour, l’arrivée au nouveau poste devient une expérience positive. Des processus clairs sont également essentiels au quotidien : toute personne ayant besoin d’un accès soumet une demande traçable. La personne chargée de l’approbation décide sur la base du rôle, du risque et de la responsabilité, et non au ressenti. La véritable valeur ajoutée ne se crée pas uniquement dans l’informatique, mais aussi dans les activités opérationnelles : les collaborateurs deviennent plus rapidement productifs, les délais d’attente diminuent et les processus gagnent en efficacité.

Dans l’idéal, une bonne gestion des accès passe presque inaperçue. Une mauvaise gestion des accès, en revanche, se remarque immédiatement : lors de l’onboarding, d’un audit ou d’un incident de sécurité.

La plateforme IGA tenfold et une approche IAM globale avec UMB

UMB mise sur tenfold comme plateforme IGA privilégiée. Ce produit autrichien se distingue des solutions IGA traditionnelles par son approche no-code moderne et permet une mise en place rapide des processus d’Identity Governance. Les développements individuels complexes sont réduits, tout en conservant une flexibilité suffisante pour répondre aux exigences spécifiques des clients.

tenfold couvre l’ensemble du domaine IGA : du User Lifecycle Management à l’Entitlement Management et aux recertifications, en passant par les concepts de rôles, de profils et de séparation des tâches (Segregation of Duties, SoD). De nombreuses intégrations standard permettent de connecter facilement des systèmes tels que Microsoft 365, Active Directory ainsi que différentes solutions RH et ITSM. Une API est disponible pour les besoins spécifiques. La SoD est bien plus qu’un simple mot-clé de conformité : elle empêche qu’une même personne contrôle des combinaisons critiques, telles que la demande et l’approbation ou encore la comptabilisation et le contrôle des autorisations.

UMB est votre partenaire pour l’IAM et l’IGA

UMB relie l’IGA aux autres composantes de l’IAM : l’Identity Provider (Microsoft Entra ID ou Active Directory), le Privileged Access Management et les Identity Security Services du Cyber Defense Center. Les clients bénéficient ainsi non seulement d’un logiciel, mais aussi d’un partenaire qui réunit stratégie, mise en œuvre et exploitation.

Savez-vous où se trouvent les éventuelles lacunes de sécurité et de conformité dans votre entreprise ? Tous les systèmes sont-ils intégrés à vos processus Joiner, Mover et Leaver, ou certaines applications sont-elles encore gérées manuellement par les départements spécialisés ?

Une évaluation initiale met en évidence les domaines où la transparence fait défaut, où apparaissent des droits excessifs et où la gouvernance fonctionne déjà. Sur cette base, les processus peuvent être automatisés, les rôles précisés et les recertifications conçues de manière à fonctionner efficacement au quotidien.

Convenez avec nous d’un entretien de conseil sans engagement ou découvrez tenfold dans une démonstration interactive, avec l’ensemble de ses fonctionnalités et intégrations.

[i] ISO 27001 Certification Suisse

[ii] NIS2 Richtlinie | Insight CH

[iii]What Is IGA?

[iv]What is Identity Access Management (IAM)?