Protéger l’accès avant de protéger le réseau

Les attaques basées sur l’identité ont dépassé les exploits techniques traditionnels

La sécurité ne s’effondre pas au niveau du périmètre du réseau. Elle échoue au niveau de la couche d’identité. C’est là que se trouvent les véritables menaces actuelles. Les attaquants ne sont plus à la recherche de rares vulnérabilités de type « zero-day » – il est plus facile et bien plus évolutif de s’en prendre aux informations d’identification. Avec l’IA générative, ils sont passés à la vitesse supérieure. Ils peuvent lancer des campagnes d’ingénierie sociale sophistiquées et personnalisées à grande échelle, à un coût très faible et pratiquement sans barrière linguistique.

La technique est simple : tromper l’homme, contourner la machine. Et grâce à l’IA, les outils pour y parvenir sont désormais largement accessibles. Le spearphishing nécessitait des jours de reconnaissance manuelle. Aujourd’hui, l’IA peut générer une liste de cibles de grande valeur, cartographier leurs relations et produire instantanément des courriels ou des messages ciblés. Pour les entreprises, cela signifie que la probabilité de compromission des utilisateurs augmente considérablement, tout comme le risque de pertes.

Selon le rapport 2025 State of Identity Security de Cisco Duo, 51 % des organisations ont déjà subi un préjudice financier en raison d’atteintes à l’intégrité de l’identité. Il ne s’agit pas de problèmes théoriques, ils ont déjà un impact sur les résultats. Et ces types de violations ne sont pas causés par des logiciels malveillants avancés, mais par quelqu’un qui clique sur un lien dans un message qu’il croyait réel. C’est la réalité dans laquelle nous évoluons.

Ce que les dirigeants doivent comprendre, c’est que ce changement n’est pas seulement tactique, il est structurel. Les systèmes d’identité ne sont plus une voie de garage dans votre modèle de sécurité. Ils constituent la première couche de contrôle et sont activement ciblés.

Matt Caulfield, vice-président des produits pour l’identité chez Cisco, l’a dit directement : l’ingénierie sociale est le plus vieux truc du livre – et les attaquants utilisent des outils modernes pour le répéter encore et encore, avec des taux de réussite élevés. Il ne s’agit pas d’une question facultative. C’est fondamental. Soit nous prenons de l’avance en repensant la sécurité de l’identité de fond en comble, soit nous restons exposés.

Une gestion robuste des identités et des accès (IAM) doit servir de base à la sécurité de l’entreprise.

Vous ne pouvez pas supposer qu’une personne est digne de confiance simplement parce qu’elle se trouve sur le réseau ou utilise un appareil fourni par l’entreprise. Cette hypothèse est erronée et dépassée. Aujourd’hui, les menaces se déplacent plus rapidement que les systèmes qui s’appuient sur des périmètres statiques. La véritable sécurité commence par l’identité. Si vous ne pouvez pas confirmer qui accède à un système, rien d’autre ne compte.

Les environnements d’entreprise modernes doivent fonctionner avec une confiance dynamique basée sur l’identité. Cela signifie que chaque demande d’accès doit être validée avec certitude. Cela devient d’autant plus critique que les agents d’IA commencent à fonctionner de manière indépendante au sein de vos systèmes. Contrairement aux humains, ils n’ont pas d’instincts, de prudence ou de garde-fous éthiques. Ainsi, si la gestion de l’identité échoue, les outils d’IA peuvent être détournés sans résistance, ce qui augmente les risques de manière exponentielle.

A modèle de confiance zéro met tout son poids dans le système d’identité. C’est une bonne chose, si le système d’identité est sûr. Il déplace le point de contrôle du réseau lui-même vers la validation des utilisateurs, des appareils et même des agents automatisés. Mais les dirigeants ne doivent pas oublier que la confiance zéro n’est pas un label marketing. Il s’agit fondamentalement d’une structure d’application du protocole. Si l’authentification de l’identité est compromise, le reste du cadre n’offre qu’une résistance minimale.

Cela nécessite plus que des mots de passe et une authentification à deux facteurs. Il faut une assurance cryptographique, quelque chose qui prouve qu’un utilisateur ou un appareil est légitime d’une manière qui n’est pas facile à usurper, à manipuler ou à contourner.

Matt Caulfield, vice-président chargé des produits et de l’identité chez Cisco, souligne que l’identité n’est pas un problème purement technique. Il s’agit d’un mélange de psychologie, de comportement et de technologie. Cela signifie que la solution n’est pas simple, mais qu’elle est nécessaire. Les organisations qui traitent la sécurité de l’identité dans le cadre de la planification du système, et non comme une réflexion après coup, acquièrent le contrôle nécessaire pour soutenir l’échelle, la conformité et la confiance des utilisateurs.

Ce qui change, c’est l’architecture. Les stratégies « identité d’abord » ne sont pas seulement plus sûres, elles deviennent aussi plus intelligentes sur le plan opérationnel. Une gestion solide des identités ne se contente pas de bloquer les menaces. Elle nettoie les droits d’accès, comble les lacunes en matière de privilèges et s’adapte mieux aux environnements hybrides et multicloud. Pour les équipes dirigeantes, il ne s’agit pas seulement d’une victoire en matière de sécurité, mais d’un avantage commercial qui ne demande qu’à être concrétisé.

Les méthodes traditionnelles d’authentification multifactorielle sont inadaptées à l’évolution des menaces

La plupart des entreprises s’appuient encore sur d’anciens modèles d’authentification que les pirates ont déjà compris. Les codes SMS, les notifications push et les numéros de rappel peuvent tous être interceptés, usurpés ou manipulés. Et c’est souvent le cas. Ces méthodes n’ont jamais été conçues pour résister aux attaques actuelles accélérées par l’IA. Elles n’offrent plus, à elles seules, une protection significative.

L’authentification résistante au phishing doit devenir la norme et non l’exception. Elle vous permet d’exercer un véritable contrôle sur l’accès, car un acteur malveillant ne peut pas simplement tromper un employé, intercepter un code ou rejouer une notification. Avec les méthodes résistantes au phishing, comme celles basées sur les normes FIDO2, l’accès est lié à une clé cryptographique physique qui ne peut être ni extraite, ni copiée, ni contrôlée à distance. Cela augmente considérablement la difficulté pour les attaquants et bloque la plupart des abus automatisés d’identification d’aujourd’hui.

La plupart des dirigeants l’ont déjà compris. Dans la dernière étude de Cisco, 87 % des responsables informatiques reconnaissent que l’AMF résistante au phishing est essentielle à leur stratégie de sécurité. Mais les chiffres d’adoption racontent une autre histoire : seulement 19 % des organisations ont mis en œuvre les jetons FIDO2. Cet écart n’est pas dû à l’indécision. Il est dû à des obstacles : effort opérationnel, formation, gestion des jetons et coût du déploiement du matériel à grande échelle.

C’est là que les dirigeants doivent dépasser les retards. Le déploiement d’une authentification renforcée ne vise pas seulement à réduire les risques, mais aussi à éliminer une vulnérabilité qui est activement ciblée dans tous les secteurs d’activité. Chaque jour d’attente augmente l’exposition de l’entreprise.

Matt Caulfield, vice-président chargé des produits et de l’identité chez Cisco, l’a dit clairement : « Seul un dirigeant sur trois fait confiance à ses fournisseurs d’identité actuels pour stopper les attaques basées sur l’identité. Ce n’est pas suffisant. Et c’est un signe que la stratégie doit changer, passant de la réactivité à la proactivité.

Les équipes de sécurité savent déjà ce qui fonctionne. Il appartient désormais aux dirigeants de l’entreprise d’éliminer les obstacles à la mise en œuvre et de promouvoir des méthodes d’authentification réellement défendables.

La sécurité Identity-First intégrée améliore l’efficacité et réduit la complexité opérationnelle.

La plupart des entreprises ont affaire à un trop grand nombre d’outils. Trop de fournisseurs. Trop de frictions. La sécurité de l’identité n’apporte de la valeur ajoutée que lorsqu’elle fait partie d’un système connecté, et non lorsqu’elle est ajoutée à la fin. Lorsque l’identité est au cœur de votre architecture, vous bénéficiez d’une meilleure visibilité, d’une exécution plus rapide et d’une réduction des frais généraux au sein de vos équipes.

Le coût de la fragmentation est élevé. Les outils déconnectés compliquent la gestion des utilisateurs, retardent la réponse aux incidents et rendent plus difficile l’application de politiques cohérentes. Ces lacunes ne sont pas seulement inefficaces, elles sont aussi dangereuses. Une sécurité mal intégrée a tendance à échouer discrètement, et vous ne vous en apercevez généralement qu’après que les dégâts ont déjà eu lieu.

Les dirigeants constatent déjà cette évolution dans leurs activités. Selon les conclusions de Cisco, 79 % des responsables informatiques étudient activement la consolidation des fournisseurs d’identités. La réduction des outils ne permet pas seulement de réduire les coûts, mais aussi de rationaliser les processus, d’améliorer la résilience du système et de réduire les risques de dérive de la configuration ou d’angles morts en matière de sécurité.

Les décideurs financiers réagissent également. 82 % d’entre eux prévoient d’augmenter les budgets consacrés à la sécurité des identités. Il ne s’agit pas seulement de dépenses, mais d’un changement d’état d’esprit. La sécurité fondée sur l’identité est de plus en plus reconnue non seulement comme une mesure défensive, mais aussi comme un facteur d’échelle et de productivité. Lorsque vos flux d’authentification sont transparents et vos contrôles d’accès précis, les utilisateurs se déplacent plus rapidement, les systèmes se synchronisent mieux et la supervision est simplifiée.

Matt Caulfield, vice-président chargé des produits, de l’identité chez Cisco, l’a dit clairement : la sécurité de l’identité ne consiste pas seulement à éviter les violations. Il s’agit de débloquer l’efficacité opérationnelle. Lorsque l’identité est bien gérée, elle responsabilise votre personnel et renforce en même temps la confiance des clients.

Pour les dirigeants d’entreprise, la voie à suivre est simple. Donnez la priorité aux plateformes qui offrent une interopérabilité, réduisent les frictions et peuvent fonctionner proprement dans des environnements multi-cloud et hybrides. Si votre infrastructure d’identité est bien conçue, tout ce qui sera construit au-dessus sera plus performant.

Principaux enseignements pour les dirigeants

• L’identité est la véritable surface d’attaque : L’ingénierie sociale alimentée par l’IA a rendu les identités des utilisateurs plus vulnérables que l’infrastructure. Les dirigeants doivent considérer la compromission de l’identité comme la principale menace de cybersécurité dans l’entreprise.
• La confiance zéro repose sur l’identité, pas sur les réseaux : Avec la normalisation des agents d’intelligence artificielle et des schémas d’accès dynamiques, la confiance doit reposer sur une vérification solide et continue de l’identité, et non sur l’emplacement ou l’appareil.
• L’AMF traditionnelle n’est pas suffisante : Les méthodes traditionnelles à deux facteurs sont facilement contournées. Les dirigeants devraient imposer une authentification résistante au phishing telle que FIDO2 afin de réduire de manière significative l’impact des attaques basées sur les informations d’identification.
• La prolifération des outils affaiblit à la fois la sécurité et l’efficacité : Les systèmes d’identité fragmentés augmentent les risques et la complexité. La consolidation des fournisseurs et l’adoption de plates-formes intégrées de gestion des identités devraient être une priorité stratégique.