La sécurité informatique a changé de nature. Elle n’est plus seulement une affaire de périmètre réseau à protéger, mais un enjeu de connexion, de contrôle et de traçabilité dans des environnements désormais distribués : mobilité, multiplication des sites, interconnexions, applications sur de multiples plateformes, et identités fragmentées.
Dans cette approche, deux axes se répondent et se renforcent : sécuriser l’infrastructure et les flux d’un côté, et sécuriser les identités et les accès de l’autre. L’objectif n’est pas d’empiler des outils, mais de construire une stratégie cohérente : savoir qui accède à quoi, par quel chemin, et réduire l’impact lorsque quelque chose est compromis.
Pourquoi le “périmètre” ne suffit plus : la sécurité en environnement distribué
La logique ancienne consistait à définir un périmètre, puis à appliquer des contrôles “aux frontières”. Or, aujourd’hui, tout circule : utilisateurs, applications, données… et surtout accès. Résultat : les risques se multiplient autour de trois phénomènes.
D’abord, les environnements sont dispersés : utilisateurs, applications et données sont rarement au même endroit. Ensuite, les identités et les flux sont multipliés : chaque nouvelle application ou canal d’accès élargit la surface d’attaque. Enfin, l’enjeu devient opérationnel : il faut maîtriser qui accède à quoi et empêcher qu’une compromission ne se propage.
Cette idée résume bien le défi décrit par les intervenants : “La question n’est plus seulement de protéger un périmètre, il faut désormais savoir comment connecter et sécuriser cet environnement totalement distribué.”
Et c’est précisément là que réseau et identité doivent être traités comme un tout.
Sécurité et souveraineté : la data au centre, avec des obligations universelles
Quand on parle de souveraineté, la discussion se focalise souvent sur l’hébergement. Mais la réalité est plus large : la souveraineté s’exprime aussi dans la capacité à contrôler, auditer, tracer et prouver.
Dans les retours partagés, on retrouve une observation forte : les régulateurs partout dans le monde renforcent les exigences, avec des sanctions. Et derrière les cadres réglementaires, il existe des besoins récurrents. Une synthèse utile consiste à retenir quatre obligations “universelles”, quel que soit le territoire :
- Contrôle des données et localisation : savoir où elles sont, et pouvoir les contrôler.
- Auditabilité et transparence : prouver ce qui se passe réellement (par exemple quand des composants de contrôle sont hébergés ailleurs).
- Contrôle des accès : savoir qui accède à quoi et comment.
- Responsabilité légale : être en capacité de répondre en cas d’incident.
“Mes serveurs sont en France” ne suffit pas si la supervision ou le contrôleur (hyperviseur, opérateur, mécanismes d’inspection) se trouve dans un autre pays. D’où l’importance de l’audit et de la transparence.
Des exemples de traductions techniques
Pour rendre ces obligations opérationnelles, les intervenants ont expliqué comment certaines exigences se traduisent techniquement. Par exemple :
- Inspection TLS (liée à des flux chiffrés) doit être réalisée dans un cadre conforme.
- DLP (Data Loss Prevention) doit être déployé dans le périmètre attendu pour garantir le contrôle et la récupération.
Ce passage du juridique au technique est essentiel : sans mécanismes concrets, la conformité reste théorique.
La sécurité “par niveaux” : pourquoi il n’existe pas une seule façon d’être souverain
1) Souverain “partiel” (besoin d’aide pour démarrer)
Ici, l’entreprise veut des capacités avancées sans tout opérer. Les briques sont gérées par des partenaires, avec une logique “Sovereign as a Service” (par ex. en s’appuyant sur des infrastructures localisées en France).
Quand c’est pertinent :
- Équipes internes limitées,
- Besoin rapide,
- Volonté d’obtenir des garanties d’audit et de transparence.
2) Souverain “hybride” (co-gestion)
L’entreprise conserve une partie du contrôle, et le fournisseur opère d’autres composants. Cela permet de gagner en efficacité sans perdre la main sur tout.
Quand c’est pertinent :
- Équipes existantes mais pas suffisantes pour tout industrialiser,
- Souhait de garder certaines responsabilités.
3) Souverain “100% fort” (zéro accès opérateur)
Dans ce modèle, l’entreprise opère, le fournisseur délivre et supporte au besoin, mais sans accès direct aux plateformes. Objectif : réduire au maximum les points de dépendance.
Quand c’est pertinent :
- Exigences réglementaires ou internes très strictes,
- Politique de contrôle maximale.
La logique sous-jacente est simple : la souveraineté n’est pas un produit unique, c’est un compromis entre capacité d’exploitation, niveau de contrôle et preuve de conformité.
Sécuriser les identités : visibilité, contrôle et protection en temps réel
Le problème : des identités partout, en silos
Les identités existent sur plusieurs plans :
- On-premise, souvent liées à Active Directory,
- Cloud/SaaS, avec des environnements distincts,
- Et plus récemment, des identités de type non humain (comptes de service, agents IA, etc.).
Dans un contexte silo, la visibilité est limitée : chaque outil protège “son” monde. Mais l’attaque, elle, traverse.
La conséquence : des coûts et une adoption plus difficiles
L’empilement d’outils impose d’entretenir plusieurs solutions, plusieurs compétences, et alourdit l’adoption côté utilisateurs. Dans les cas présentés, cette fragmentation augmente les coûts de maintenance et limite l’efficacité globale.
La menace évolue vite : “Mythos” et la vitesse des attaques
Un point marquant de la discussion concerne l’accélération des attaques. L’exemple cité : une attaque de type automatisée pourrait passer en quelques heures au lieu de plusieurs jours.
L’intervenant a formulé l’idée ainsi : “Un attaquant le fait en 2-3 jours. Mythos le fait en 2-3 heures.”
L’implication pour les organisations est directe : si la défense dépend de processus lents (détection tardive, validation manuelle, contournement des règles), elle perd la course.
Cela pousse vers des principes de type Zero Trust : authentifier finement, évaluer le risque à chaque accès, et appliquer des contrôles au moment même où la connexion est tentée.
Zero Trust appliqué : du contrôle AD aux accès sensibles (MFA, just-in-time)
Le cœur de la stratégie d’identité décrite repose sur l’idée suivante : sécuriser les authentifications Active Directory en temps réel, sans remplacer intégralement l’infrastructure existante.
L’approche annoncée s’appuie sur un fonctionnement : lorsqu’un utilisateur (ou un compte de service) tente de se connecter, le système valide et demande une décision de contrôle via la couche de sécurité identité. Cette décision peut inclure :
- MFA sur les authentifications à risque ou sensibles,
- Délégation compatible avec les solutions d’authentification existantes,
- Analyse de risque et détection d’activités malicieuses,
- Intégration possible avec des écosystèmes SOC/SIEM et des outils d’EDR/XDR,
- Et capacité à couper/contraindre l’accès si nécessaire.
“Ce n’est pas seulement l’identité, c’est ce qu’elle fait”
Dans cette logique, l’accès n’est pas un événement binaire “autorisé/refusé”. C’est une transaction : à quel moment, à quelle ressource, avec quel contexte, et avec quelle politique de réduction du risque ?
Sécuriser les accès privilégiés et les identités non humaines
Une défense mature ne s’arrête pas aux utilisateurs humains.
Privileged Access (PAM) : complémentarité et déploiement plus simple
Les intervenants ont rappelé que le PAM reste utile, mais qu’une approche complémentaire peut réduire la lourdeur. L’objectif : accélérer la mise en œuvre tout en gardant des contrôles efficaces sur les accès élevés.
Non Human Identities (NHI) : la nouvelle surface d’attaque
Les identités non humaines incluent :
- Comptes de service,
- Agents IA,
- Comptes techniques responsables de tâches et intégrations.
Le risque : un compte de service à droits élevés peut être usurpé, entraînant rebonds et accès à des ressources sensibles. D’où la nécessité de découvrir, comprendre l’usage, et appliquer des contrôles (et pas seulement “inventorier”).
Converger réseau + identité : la clé pour limiter la propagation
Le message de fond est clair : la sécurité ne peut pas être pensée en silo.
Sécuriser le réseau sans sécuriser les identités revient à protéger la route mais pas le conducteur. Sécuriser l’identité sans maîtriser les flux, la localisation de traitement, et la capacité de contrôle/traçabilité revient à avoir de bonnes règles d’accès… mais une navigation non maîtrisée.
“Sécuriser un accès, ce n’est pas que savoir qui se connecte : c’est aussi maîtriser ce à quoi cette identité peut accéder, par quel chemin et limiter ce qu’elle peut atteindre.”
C’est cette convergence – réseau + identité dans une même stratégie – qui vise à :
- Connecter les utilisateurs et environnements de façon contrôlée,
- Appliquer des politiques cohérentes,
- Réduire la propagation d’une compromission.
Checklist : comment passer d’une approche “outils” à une approche “stratégie”
Pour rendre ces enseignements actionnables, voici une trame de décision orientée “prochaines étapes” (format facile pour équipes sécurité/IT) :
1) Cartographier la réalité : identités, flux, ressources
- Où sont les identités (AD, cloud, comptes de service) ?
- Quels chemins d’accès sont utilisés (VPN, TLS, flux applicatifs) ?
- Quelles ressources sont sensibles et comment y accède-t-on ?
2) Définir les exigences de preuve : audit, transparence, localisation
- Quelles obligations s’appliquent (RGPD, cadres sectoriels, exigences internes) ?
- Quel est le périmètre de contrôle réel (y compris hyperviseurs, supervision, composants) ?
3) Mettre en place des contrôles “au moment de l’accès”
- MFA ou contrôles contextuels sur les connexions sensibles
- Authentification finement évaluée (risque, contexte, politique)
- Accès just-in-time / temporaire si pertinent
4) Coupler prévention et réponse
- Intégration SOC/SIEM, alerting, corrélation
- Capacité de détection d’activité malveillante et de réduction immédiate
5) Réduire la propagation : segmentation logique et limitation d’impact
- Contrôler qui accède à quoi
- Limiter les mouvements latéraux en segmentant et en appliquant des politiques cohérentes
- Traquer et contenir rapidement en cas de compromission
La sécurité “connecter partout” devient une discipline de contrôle
La transformation des SI – mobilité, multi-sites, cloud, identités fragmentées et montée des automatisations IA – rend la sécurité plus complexe, mais aussi plus claire dans ses priorités : maîtriser l’accès et limiter la propagation.
La combinaison présentée dans l’échange (sécurité des flux et de l’infrastructure orientée souveraineté, plus sécurité des identités orientée visibilité et contrôle temps réel) forme une réponse cohérente à un défi moderne : prouver, contrôler et contenir.
En bref : pour sécuriser un environnement distribué, il faut passer du modèle “protéger un périmètre” au modèle “protéger chaque accès et chaque chemin”. C’est précisément ce que permet une stratégie convergente réseau + identité. Une approche qui transforme la sécurité en système, pas en collection d’outils.
Vous souhaitez aller plus loin ?