Les processus de sécurité de l’identité restent largement manuels
Nous avons des systèmes incroyablement avancés qui gèrent tout, de la logistique mondiale aux pipelines de formation à l’IA, et pourtant nous gérons la sécurité de l’identité avec des feuilles de calcul, des courriels et des tickets de suivi. C’est de l’inertie et c’est exactement là où de nombreuses organisations en sont encore.
La plupart des entreprises pensent qu’elles ont « fait le tour de la question » parce que les cases de la cybersécurité sont cochées. Les mots de passe existent, Le MFA est activéLes mots de passe existent, le MFA est activé, et l’accès est révoqué un jour ou l’autre, généralement après que quelqu’un a fait pression sur le service informatique. Mais lorsque moins de 4 % des équipes de sécurité ont entièrement automatisé leurs flux de travail en matière d’identité, il est clair que nous ne sommes pas aussi protégés que nous le pensons. Selon le rapport 2025 Identity Automation Gap de Cerby, ces flux de travail, l’inscription à l’authentification multifactorielle (MFA), la sécurisation des informations d’identification, le déprovisionnement de l’accès, sont encore gérés par des personnes. Pas des systèmes.
Cette dépendance à l’égard de l’action humaine n’est pas seulement inefficace, elle est dangereuse. Le rapport de Verizon sur les violations de données en 2025 montre que l’erreur humaine est responsable de 60 % des violations. Franchement, c’est prévisible. Les étapes manuelles sont synonymes d’erreurs inévitables, et les cyberattaquants le savent.
Si vous dirigez une entreprise aujourd’hui et que vous n’avez pas fait de l’automatisation des identités une priorité essentielle, vous pariez contre la probabilité. Plus votre empreinte est importante, plus votre risque est élevé. Le jeu le plus intelligent consiste à réduire votre dépendance à l’égard des humains pour faire ce que les machines feront mieux, plus vite et, surtout, de manière plus cohérente.
Les flux d’identité de base exécutés manuellement sont source d’incohérence et de risques accrus.
Pour la plupart des entreprises, la véritable rupture se situe au niveau de l’utilisation qui en est faite. Les informations d’identification sont partagées par courrier électronique et dans des feuilles de calcul. Le MFA est facultatif dans certains départements et imposé dans d’autres. L’accès aux systèmes sensibles est davantage géré par l’habitude et par des tickets périmés que par des processus définis.
Cela révèle une vérité simple : l’incohérence est l’ennemie de la sécurité. Selon les données de Cerby, 41 % des utilisateurs partagent ou mettent à jour leurs mots de passe manuellement, sans surveillance ni cryptage. 89 % des entreprises comptent sur les utilisateurs pour activer eux-mêmes le MFA. Et 59 % des équipes informatiques continuent de fournir ou de supprimer manuellement des accès. Ce système est voué à l’échec.
Nous avons vu ce que cela donne dans la pratique. Un utilisateur oublie de mettre à jour ses identifiants. Un employé part, mais ses identifiants d’administrateur restent dans un outil tiers que personne n’a suivi. Ces petits oublis s’accumulent. C’est alors que les attaquants franchissent la porte.
Pour les dirigeants, c’est là que le risque devient mesurable, non pas en termes de violations hypothétiques, mais en termes d’exposition opérationnelle, de manquements à la conformité et d’atteinte à la réputation. Pour y remédier, il faut les faire travailler ensemble, automatiquement, sans dépendre des personnes qui doivent se souvenir de ce qui doit se passer.
La sécurité ne peut pas être un système basé sur la mémoire. Elle doit être conçue.
Les processus manuels d’identification ont déjà entraîné des failles de sécurité dans le monde réel
Les entreprises subissent les conséquences réelles d’une gestion manuelle des identités. Les violations liées à de simples processus humains, à un déprovisionnement oublié, à des identifiants périmés, à un contrôle d’accès insuffisant, causent des dommages directs aux entreprises.
L’institut Ponemon a constaté que 52 % des entreprises ont subi une violation de la sécurité en raison d’un travail manuel sur l’identité dans des applications déconnectées. Cela signifie que près de la moitié des organisations s’exposent inutilement à des risques dans des systèmes auxquels elles font confiance quotidiennement. Les résultats vont bien au-delà du nettoyage informatique. Parmi les entreprises touchées, 43 % ont déclaré avoir perdu des clients. 36 % ont perdu des partenaires commerciaux. Il s’agit là d’un chiffre d’affaires, d’une confiance à long terme et d’une position sur le marché qui ont tous été affectés par quelque chose d’évitable.
Lorsque l’identité est gérée manuellement, les moindres défaillances ont des répercussions. Un seul identifiant non vérifié peut saper des années de crédibilité de la marque. Et ce risque augmente au fur et à mesure que les entreprises se développent, acquièrent de nouveaux outils ou se développent sur de nouveaux marchés.
Si votre organisation investit dans l’IA, le cloud, les plateformes clients ou la transformation numérique, et qu’elle gère toujours les accès manuellement, vous ne résolvez que la moitié du puzzle. La violation est un échec commercial que le leadership possède.
Le déficit d’automatisation en matière de sécurité de l’identité découle de la fragmentation des applications
La complexité est à l’origine du problème. La plupart des environnements d’entreprise sont un mélange de produits SaaS, d’applications mobiles, d’outils basés sur le Cloud, de systèmes existants sur site, et de tout ce qui se trouve entre les deux. Ils se sont développés rapidement. Elles ont superposé des outils de différents fournisseurs avec des normes différentes. Aujourd’hui, les équipes informatiques et de sécurité doivent essayer de forcer la cohésion sur une carte fragmentée.
Le pire, c’est que la plupart des applications critiques ne prennent pas en charge les normes d’identité nécessaires à une intégration transparente. Cerby souligne que la majorité d’entre elles n’entrent pas dans le cadre des meilleures pratiques. Les équipes construisent donc des solutions de contournement, des gestionnaires de mots de passe, des scripts manuels, des outils ponctuels. Ils résolvent le problème immédiat, mais créent des frictions à long terme.
Il y a aussi un sentiment de fausse sécurité. Lorsque les dirigeants voient des tableaux de bord remplis d’outils et de systèmes d’authentification, ils ont l’impression d’une couverture complète. Mais sous cet ordre de surface se cache un grand nombre de coutures manuelles. L’informatique fantôme continue de s’étendre à mesure que les départements intègrent leurs propres plateformes. Et la plupart de ces systèmes échappent au radar de la gouvernance.
Pour y remédier, il n’est pas nécessaire de tout bouleverser. Il faut de la visibilité et de l’intégration. La fragmentation ne peut être résolue par l’ajout d’outils supplémentaires. Elle doit être résolue par des cadres d’automatisation qui unifient les tâches d’identité sur toutes les plateformes, qu’elles supportent ou non les connexions natives. C’est la seule voie vers un contrôle durable.
Pour les dirigeants, ce problème de complexité se résume à une question stratégique : optimisez-vous pour la vitesse ou pour le contrôle ? En effet, les processus manuels peuvent être rapides à court terme, mais ils ne sont pas évolutifs et ne permettent pas de résoudre les problèmes les plus importants.
Il est possible de progresser vers l’automatisation de la sécurité de l’identité sans remanier complètement les systèmes existants
De nombreux dirigeants pensent que l’automatisation des flux de travail liés à l’identité signifie qu’il faut tout reconstruire à partir de zéro. Ce n’est pas nécessaire. Pour progresser efficacement, il n’est pas nécessaire de mettre en place une stratégie de remplacement. Elle nécessite une augmentation, en comblant les lacunes avec des cadres et des solutions qui étendent l’automatisation aux environnements hérités et déconnectés.
La plupart des organisations ont déjà mis en place les principaux composants de l’infrastructure d’identité. Le problème est qu’ils sont incomplets ou non connectés. L’automatisation ne consiste pas à jeter ce qui fonctionne. Il s’agit de permettre à ces systèmes de fonctionner sans dépendre constamment de l’intervention humaine. Cela inclut l’automatisation de la mise en œuvre de la MFA, de la rotation des informations d’identification et de la révocation instantanée de l’accès lorsqu’une personne quitte un rôle, une équipe ou l’entreprise.
Les équipes de sécurité tournées vers l’avenir intègrent déjà cette exhaustivité dans leur pile. Certaines explorent des outils pilotés par l’IA pour apporter cohérence et rapidité aux tâches d’identité qui nécessitent encore aujourd’hui un humain. C’est là que les choses deviennent intéressantes. Alors que 78 % des responsables de la sécurité ne font toujours pas entièrement confiance à l’IA pour automatiser les fonctions d’identité essentielles, près de la moitié d’entre eux (45 %) soutiennent un modèle humain dans la boucle. Cela nous indique que la confiance évolue. Le contrôle peut rester entre les mains de l’homme, mais l’exécution peut et doit être pilotée par le système.
Pour les dirigeants, il s’agit d’une question de levier opérationnel. Vous n’avez pas besoin d’attendre que chaque application de votre environnement prenne en charge les normes ouvertes. Vous avez simplement besoin d’une stratégie qui étend la sécurité à chaque environnement, qu’il soit cloud, sur site, SaaS ou hybride. L’automatisation vous permet d’évoluer plus rapidement, de supprimer les vulnérabilités plus vite et de répondre plus rapidement à la pression croissante de la conformité.
La stabilité, la visibilité et la confiance vont de pair. Si votre organisation s’appuie encore sur des suivis et des vérifications manuelles pour sécuriser l’identité, vous n’êtes pas à la traîne, vous fuyez.
Faits marquants
- L’identité repose toujours sur les personnes : La plupart des organisations s’appuient fortement sur des actions manuelles pour les flux de travail de sécurité de l’identité, ce qui les expose à des erreurs évitables et à des violations. Les dirigeants devraient donner la priorité à l’automatisation de bout en bout afin de réduire la dépendance à l’égard de l’intervention humaine et d’améliorer la cohérence.
- Les flux de travail manuels augmentent les risques de sécurité : Les pratiques peu sûres en matière d’informations d’identification, l’adoption incohérente de l’AMF et la gestion manuelle des accès créent des vulnérabilités généralisées. Les dirigeants devraient imposer des contrôles centralisés et remplacer les processus ad hoc par une mise en œuvre automatisée.
- Des violations se produisent déjà : Plus de la moitié des entreprises ont subi des violations dues à des tâches d’identité manuelles, entraînant des pertes de clients et de partenaires. Les dirigeants doivent considérer l’automatisation de l’identité comme un investissement critique pour l’entreprise afin d’atténuer les pertes réelles et récurrentes.
- La complexité alimente le fossé de l’automatisation : La prolifération des applications, les systèmes existants et l’informatique parallèle rendent la couverture complète de l’identité difficile et fragmentée. Les dirigeants doivent promouvoir des cadres d’automatisation qui unifient l’identité dans l’ensemble de la pile technologique au lieu de combler les lacunes à court terme.
- Il n’est pas nécessaire de procéder à un remplacement complet pour progresser : Les organisations peuvent automatiser les fonctions d’identité sans reconstruire leur infrastructure en étendant l’automatisation aux systèmes existants. Les dirigeants doivent soutenir des stratégies d’intégration pratiques et favoriser la collaboration entre l’IA et l’homme afin d’étendre l’automatisation tout en la contrôlant.
