Rationalisation de la gestion et de la validation des tickets

Les validations d’accès sont souvent bloquées après la création initiale de la demande. Un utilisateur soumet un ticket au service d’assistance, mais la personne chargée de le traiter doit quitter ce ticket, se connecter à un autre système, rechercher le dossier ou l’enregistrement approprié et accorder manuellement l’autorisation avant de revenir vers l’utilisateur. Chaque transfert entraîne des retards et fait sortir les décisions d’accès de la piste d’audit.

L’application de workflow Keeper Security pour Freshservice élimine ce transfert. Lorsqu’un employé soumet une demande via un élément du catalogue de services Freshservice, l’agent désigné peut effectuer une recherche dans le contenu Keeper, configurer les autorisations et approuver ou refuser la demande depuis un onglet Keeper Vault intégré au ticket lui-même. Chaque action transite par un point de terminaison Keeper Commander ServiceMode hébergé par le client ; ainsi, le chiffrement Zero Knowledge et les contrôles d’accès de Keeper restent intacts, et Keeper ne stocke jamais d’identifiants au sein des plateformes de gestion des services informatiques (ITSM) et de gestion des services d’entreprise (ESM) de Freshservice.

« La frontière cryptographique ne peut pas sortir de Keeper », déclare Craig Lurey, directeur technique et cofondateur de Keeper Security. « Cette intégration traite chaque approbation via Commander ServiceMode sur une infrastructure détenue et contrôlée par le client ; ainsi, la surface d’attaque ne s’étend pas lorsque vous intégrez Freshservice à votre workflow d’approbation. Freshservice sert d’interface pour la demande, mais n’est en aucun cas l’endroit où les secrets sont stockés. »

« Chaque demande d’accès est une décision relative à l’identité, et plus ces décisions s’éloignent d’un système réglementé, plus la piste d’audit s’affaiblit », déclare Darren Guccione, PDG et cofondateur de Keeper Security. « L’intégration de Keeper dans Freshservice maintient les décisions d’approbation au sein d’un système de tickets auquel les équipes de sécurité font déjà confiance, ce qui signifie que l’absence totale de privilèges permanents et le contrôle d’audit complet restent intacts. Cela revêt une importance croissante à l’ère des agents, alors que les demandes d’accès se multiplient tant pour les identités humaines que pour celles des machines. » 

L’intégration prend également en charge les validations de périphériques via Endpoint Privilege Manager et Cloud SSO lorsqu’elle est associée à l’application ITSM for Freshservice de Keeper, ce qui permet aux administrateurs de sécurité de disposer d’une interface de tickets unique pour les demandes d’accès liées à des incidents et les workflows d’approbation courants.

Disponibilité 

L’application Keeper Security Freshservice Workflow est désormais disponible sur la Freshworks Marketplace pour les organisations disposant d’un déploiement actif de Keeper Commander. Pour en savoir plus sur cette intégration, rendez-vous sur docs.keeper.io.

Lancé en juin, Keeper Privileged Cloud fournit un accès juste-à-temps sans privilèges permanents sur les plateformes cloud, les fournisseurs d’identité et les applications fédérées, notamment AWS IAM, Microsoft Entra ID, GCP, Okta et Active Directory. Plutôt que de s’appuyer sur des identifiants privilégiés partagés, cette solution accorde un accès élevé temporaire en modifiant l’appartenance à la couche d’identité ou l’attribution de rôles d’un utilisateur pour une période approuvée et limitée dans le temps. Les administrateurs configurent chaque entrée PAM avec un groupe ou un rôle cible, des exigences d’approbation, un délai d’accès et l’application de la MFA, puis partagent l’entrée avec les utilisateurs éligibles qui peuvent demander une élévation des privilèges directement depuis le coffre-fort Keeper. Une fois l’élévation approuvée, KeeperPAM met en place l’autorisation temporaire dans la plateforme d’identité, et l’utilisateur peut lancer la ressource cible à l’aide de l’isolation du navigateur à distance ou de ses flux de travail SSO et CLI standard. Lorsque le délai d’accès est écoulé, KeeperPAM révoque automatiquement l’élévation et ne laisse subsister aucun privilège permanent.

Synchronisez les secrets partagés avec les services de gestion des secrets cloud grâce à la fonctionnalité Universal Secrets Sync

La fonctionnalité Universal Secrets Sync (USS) transfère automatiquement les secrets du coffre-fort Keeper vers AWS Secrets Manager, Azure Key Vault et Google Cloud Secret Manager, faisant de Keeper l’unique source de vérité pour tous les secrets du cloud. Lorsqu’une entrée est créée ou mise à jour dans Keeper, chaque fournisseur de cloud connecté reçoit automatiquement la modification. Cela permet d’éviter la prolifération des secrets et les opérations manuelles de copier-coller qui entraînent l’obsolescence des identifiants et favorisent les incidents de sécurité. La passerelle Keeper gère toutes les opérations de synchronisation localement, en déchiffrant les secrets et en les écrivant directement dans le fournisseur cloud, de sorte que les données en clair ne transitent jamais par l’infrastructure de Keeper. Les administrateurs peuvent synchroniser plusieurs dossiers, attribuer une identité de synchronisation de moindre privilège à chaque fournisseur et utiliser le mode de simulation (dry-run) pour prévisualiser les modifications avant de les valider. Chaque opération est consignée dans la piste d’audit de Keeper et accessible via le Module de rapports et d’alertes avancés (ARAM) de Keeper.

Gouvernance de l’IA agentique du gestionnaire des privilèges des terminaux

La politique d’IA agentique de Keeper permet aux équipes de sécurité de contrôler les agents d’IA autorisés à s’exécuter sur les terminaux gérés, notamment les assistants de codage comme GitHub Copilot, Cursor et Claude Code, ainsi que les agents conteneurisés et les processus inconnus de type agent. Les agents sont reconnus par signature ou par un moteur heuristique comportemental qui évalue les processus inconnus en fonction de leur similarité avec un agent d’IA, permettant d’exercer des contrôles basés sur le niveau de confiance à la fois sur les activités connues et non reconnues. Les administrateurs peuvent autoriser automatiquement les agents approuvés, bloquer catégoriquement les agents non approuvés ou exiger une approbation, une MFA et une justification avant l’exécution de tout agent. Chaque opération est enregistrée afin de garantir une traçabilité complète sur l’ensemble des terminaux gérés.

KeeperDB ajoute la prise en charge de NoSQL, des flux de travail multi-connexions et une authentification renforcée

KeeperDB se connecte désormais à MongoDB et Amazon DynamoDB, étendant ainsi la couverture de l’outil aux bases de données NoSQL parallèlement à sa prise en charge SQL existante, chacune offrant une expérience de requête native (syntaxe shell MongoDB, PartiQL DynamoDB). Les utilisateurs peuvent désormais ouvrir simultanément plusieurs connexions à des bases de données sur différents moteurs, chacune dans son propre onglet, et exécuter simultanément une même requête sur plusieurs connexions utilisant le même moteur afin de comparer les résultats. SQL Server et Azure SQL prennent désormais en charge la connexion avec Microsoft Entra ID à l’aide de jetons d’utilisateur délégués comme alternative aux identifiants statiques. Les connexions Oracle et SQL Server sont également plus résilientes, avec une détection améliorée et une meilleure récupération des sessions interrompues. En outre, un nouveau bouton de test de connexion permet aux utilisateurs de valider les identifiants avant d’ouvrir une session.

Keeper Commander est désormais disponible en tant que compétence ClawHub

Keeper Commander est disponible sous forme de compétence installable sur ClawHub, intégrant l’ensemble des flux de travail de l’interface de ligne de commande (CLI) de Keeper dans les environnements d’agent OpenClaw. Cette compétence couvre la configuration initiale et des profils, la recherche dans le coffre-fort et les fonctions d’administration, la récupération des secrets et leur injection au niveau des champs, ainsi que la création et la mise à jour des entrées. Cette compétence comprend également des garde-fous intégrés qui permettent d’exclure les secrets de la messagerie instantanée, du disque et de l’historique des versions. Une session tmux dédiée est requise pour le travail interactif afin de préserver l’état d’authentification entre les commandes. Les ingénieurs et les équipes DevOps peuvent l’installer en une seule commande à l’aide de l’interface de ligne de commande d’OpenClaw et commencer immédiatement à exécuter des flux de travail Keeper.

Le partage hiérarchique des entrées fait son arrivée avec les dossiers partagés imbriqués

Keeper a introduit les dossiers partagés imbriqués, un modèle d’autorisations de coffre-fort repensé qui offre aux équipes un moyen plus flexible et évolutif d’organiser et de partager des entrées sensibles. Les dossiers peuvent être organisés sur cinq niveaux maximum, avec des paramètres de partage indépendants à chaque niveau. Les autorisations basées sur les rôles peuvent être appliquées par héritage, par attribution directe de dossiers ou par attribution directe d’entrées, l’attribution la plus spécifique ayant toujours la priorité. Cinq types d’autorisations, des droits de lecture à la gestion totale, offrent aux administrateurs un contrôle précis sur qui peut voir, modifier, partager et gérer le contenu, avec la prise en charge des modifications d’autorisations en masse, de l’expiration de l’accès et de la révocation immédiate. Le système de dossiers classique reste entièrement pris en charge sans migration forcée et les deux systèmes peuvent fonctionner en parallèle pendant la transition. Les dossiers partagés imbriqués sont actuellement disponibles sur invitation uniquement ; contactez votre représentant Keeper ou visitez la page keepersecurity.com/contact pour demander l’accès.

Commander Terraform apporte l’infrastructure en tant que code de KeeperPAM

Le module Terraform de Keeper pour Commander permet aux équipes de définir et de déployer des environnements d’accès privilégié entièrement sous forme de code, des configurations PAM et des associations de passerelles aux machines cibles, en passant par les utilisateurs, les bases de données, les répertoires et les navigateurs à distance. Une nouvelle ressource commander_pam_configuration prend en charge les fonctionnalités KeeperPAM, notamment les connexions, les tunnels, la rotation, l’isolation du navigateur à distance et l’enregistrement des sessions, tandis que de nouvelles ressources pour tous les types d’entrées PAM classiques intègrent les autorisations de partage par utilisateur directement dans Terraform. Cette version ajoute également la gestion d’applications Keeper Secrets Manager en tant que code et étend la gestion des dossiers avec la prise en charge des dossiers partagés imbriqués et des dossiers privés non partagés.

KeeperPAM automatise la rotation des identifiants des services Windows et des tâches planifiées

La fonction de rotation des mots de passe de KeeperPAM gère automatiquement les identifiants de connexion pour les services Windows, les tâches planifiées et les pools IIS, garantissant que lorsqu’une entrée utilisateur PAM fait l’objet d’une rotation, la passerelle Keeper met à jour et redémarre tous les services associés sur chaque machine associée en une seule opération. Une seule entrée Utilisateur PAM peut être associée à autant d’entrées Machine PAM que nécessaire, ce qui permet de propager facilement une modification des identifiants à l’ensemble d’un parc de serveurs Windows sans intervention manuelle. Les associations de services peuvent être configurées directement depuis le coffre-fort Keeper, identifiées automatiquement à l’aide d’une tâche de découverte ou gérées via la Commander CLI à l’aide des commandes du service d’actions PAM, offrant ainsi aux équipes des options flexibles pour la configuration et la gestion. Lorsque la rotation est déclenchée, les services en cours d’exécution sont redémarrés automatiquement avec les nouveaux identifiants, tandis que les services arrêtés restent à l’arrêt jusqu’à ce qu’ils soient démarrés manuellement.

KeeperPAM s’intègre à Wiz pour une remédiation en boucle fermée de la sécurité cloud

KeeperPAM s’intègre à Wiz CNAPP, ce qui créé un chemin direct et automatisé entre le résultat de sécurité cloud et la remédiation, et élimine également le besoin de mettre en place un processus manuel de suivi et de coordination entre les outils. Lorsque Wiz identifie une identité ou une ressource exposée, celle-ci est immédiatement intégrée à Keeper. Les administrateurs peuvent résoudre les problèmes grâce à l’accès juste-à-temps, à la rotation des identifiants ou à la protection des accès privilégiés pour les machines, les bases de données et les utilisateurs, le tout directement à partir du tableau de bord de sécurité de Keeper Cloud. Wiz est automatiquement informé de l’avancement des remédiations, à mesure que les constats passent du statut « ouvert » à « en cours », puis à « résolu », et chaque action est enregistrée dans une piste d’audit complète afin de garantir la conformité. L’intégration réduit considérablement le temps moyen de remédiation en raccourcissant le délai entre la découverte d’une vulnérabilité et l’intervention avant qu’elle ne puisse être exploitée.

La visibilité sur les identités non humaines est désormais incluse dans la Console d’administration

La Console d’administration marque une avancée majeure dans la gestion des identités non humaines (NHI), offrant aux administrateurs un onglet KeeperPAM dédié qui regroupe Secrets Manager, Gateways et Connection Manager en un seul endroit. Un nouveau tableau de bord PAM centralisé présente une vue d’ensemble des niveaux de NHI, les alertes en cas d’approche ou de dépassement des limites, ainsi que l’utilisation PAM par utilisateur. Le tableau de bord Secrets Manager mis à jour ajoute des indicateurs de niveau et le suivi du cycle d’utilisation. L’onglet « Abonnements » présente désormais des informations plus détaillées sur les droits PAM, notamment le nombre de licences gérées et de licences disponibles, l’utilisation des NHI actives par rapport aux seuils de niveau, ainsi qu’un lien direct dans la console pour passer au niveau supérieur, offrant ainsi aux administrateurs une visibilité totale sur leur empreinte KeeperPAM sans quitter la console.

Dock de connexions au coffre-fort et configurations PAM en tant qu’entrées natives du coffre-fort

Nous avons introduit le Dock de connexions, un nouveau panneau situé dans l’angle supérieur droit du coffre-fort Keeper, qui offre aux utilisateurs une vue centralisée de toutes les sessions PAM actives et récemment fermées. Dans ce panneau, les utilisateurs peuvent surveiller le statut de la connexion, relancer les sessions récemment fermées, fermer les sessions actives et accéder aux informations relatives aux entrées directement depuis le journal de session, ce qui facilite le passage entre les sessions privilégiées ou leur reprise sans quitter le coffre-fort. Les configurations PAM sont désormais également accessibles en tant qu’entrées natives du coffre-fort dans l’écran Mon coffre-fort. Elles peuvent ainsi être intégrées aux mêmes flux de travail de partage, d’organisation et de gestion que les entrées standard, sans qu’il soit nécessaire de les gérer séparément. Cette version ajoute également la cryptographie post-quantique pour la couche de transmission et de nouveaux événements d’audit ARAM pour les révélations de champs masqués.

Gouvernance centralisée des identités pour Keeper, optimisée par SailPoint

Keeper s’intègre à SailPoint Identity Security Cloud, offrant aux organisations une gouvernance centralisée pour l’accès au coffre-fort Keeper directement au sein de SailPoint. Avec le connecteur SaaS Keeper Security pour SailPoint, les administrateurs peuvent agréger les comptes et les habilitations, provisionner de nouveaux coffres-forts Keeper et attribuer des rôles, des équipes, des dossiers et des entrées, le tout sans quitter SailPoint. Plutôt que de gérer l’accès aux coffres-forts séparément, les équipes de sécurité peuvent gérer Keeper aux côtés de tous les autres systèmes de l’entreprise, garantissant que les utilisateurs disposent des autorisations adéquates au bon moment. Les accès sont automatiquement synchronisés lorsque les utilisateurs rejoignent l’organisation, changent de rôle ou la quittent, ce qui réduit le risque de comptes orphelins et de privilèges excessifs. Tout au long de ce processus, le connecteur communique par l’intermédiaire du mode service de Keeper Commander, préservant ainsi pleinement le modèle de chiffrement zero knowledge de votre organisation.

Keeper Secrets Manager est disponible en tant que connecteur certifié Azure Logic Apps

Nous sommes ravis d’annoncer que Keeper Secrets Manager (KSM), qui permet une gestion fluide des secrets des flux de travail Azure Logic Apps et Power Automate, est désormais disponible en tant que connecteur certifié sur la Marketplace Microsoft Power Platform. Les équipes peuvent désormais récupérer, créer, mettre à jour et renouveler des identifiants directement depuis leurs flux d’automatisation lors de l’exécution, tous les secrets étant protégés par l’architecture zero knowledge de Keeper, déchiffrés localement au sein de votre environnement Azure et ne transitant jamais par les serveurs de Keeper. L’installation ne prend que quelques minutes par le biais d’un modèle ARM en un clic qui provisionne automatiquement toutes les ressources Azure requises, et des listes déroulantes dynamiques pour la sélection des secrets et des dossiers sont directement intégrées au concepteur Logic Apps. Les modèles d’automatisation courants, notamment la rotation planifiée des mots de passe, le provisionnement des identifiants des employés, la synchronisation des secrets GitHub et l’audit de conformité du coffre-fort, sont prêts à être créés dès l’installation, intégrant directement Keeper dans les flux de travail sur lesquels votre équipe s’appuie déjà.

L’extension de navigateur passe à la vitesse supérieure grâce à une saisie automatique plus intelligente et à des contrôles précis des sites

La dernière version de l’extension de navigateur de Keeper propose une expérience de saisie automatique entièrement repensée et une nouvelle façon de mettre Keeper en pause sur n’importe quel site. Les suggestions de saisie apparaissent désormais directement sous les champs de formulaire lorsque vous cliquez dessus ou y accédez à l’aide de la touche Tab : plus besoin de chercher dans les fenêtres contextuelles. Les suggestions sont filtrées en temps réel au fur et à mesure de votre saisie et plusieurs identifiants de connexion enregistrés apparaissent dans une liste déroulante triée par favoris et utilisation récente. De plus, la nouvelle fonctionnalité Masquer Keeper vous permet de désactiver en un clic la saisie automatique et l’icône Keeper sur n’importe quel site. L’activité de Keeper peut ensuite être facilement rétablie depuis la barre d’outils ou le menu Réglages. Nous avons également introduit la détection au niveau de chaque champ pour une saisie automatique plus précise, disponible en tant que fonctionnalité optionnelle pendant que nous continuons à la perfectionner. Accédez à Réglages > Outil KeeperFill et activez l’option « Activer la nouvelle invite de saisie automatique » pour l’essayer.

Diverses améliorations apportées à Commander CLI

Keeper Commander ne cesse de s’améliorer. Voici quelques-unes de nos dernières commandes :

• pam project cyberark-import – migration automatisée des coffres-forts, comptes, plateformes et politiques depuis CyberArk
• import –format bitwarden – importez les collections Bitwarden avec mappage automatique des dossiers
• pam connection edit / pam import – prise en charge de plus de 10 bases de données : MariaDB, Oracle, MongoDB, Redis, Elasticsearch, ClickHouse, DynamoDB et plus encore
• pam connection ai – KeeperAI pour les ressources PAM
• pam rbi edit – contrôlez la persistance des sessions, les politiques de fichiers et les réglages audio pour le RBI
• nsf – les dossiers partagés imbriqués et les autorisations sont désormais pris en charge
• pamGitHubConfiguration – le PAM prend désormais en charge les types d’entrées de configuration GitHub
• $GEN:passphrase – générez des phrases secrètes
• Commandes d’intégration du CNAPP

Pour obtenir la liste complète des nouveautés de Keeper Commander, consultez nos notes de version.

L’intégration de l’application Keeper à Google Chat comble une lacune critique pour les organisations qui utilisent Google Workspace comme principale plateforme de collaboration. Elle permet aux administrateurs de gérer les accès privilégiés sans avoir à passer par des outils distincts. Les équipes peuvent désormais soumettre des demandes d’accès au coffre-fort, accompagnées d’une justification et de niveaux d’autorisation personnalisés, récupérer des secrets et approuver des demandes d’élévation de privilèges « juste-à-temps », avec des pistes d’audit et des rapports complets. Les administrateurs peuvent définir des fenêtres d’accès à durée limitée et acheminer les demandes d’approbation selon des politiques définies dans Keeper, sans que les utilisateurs aient à naviguer entre plusieurs systèmes.

« Les entreprises ont besoin de contrôles d’accès intégrés aux outils que leurs équipes utilisent déjà », déclare Craig Lurey, CTO et cofondateur de Keeper Security. « Grâce à cette intégration, l’infrastructure de votre organisation reste isolée, car l’application de chat ne sert que d’interface. Le chiffrement et la vérification s’effectuent entièrement dans votre environnement. Les identifiants ne transitent donc jamais vers l’infrastructure de Google ou la nôtre. »

Un accès fluide, sans exposition des identifiants

L’application Google Chat fonctionne sur l’infrastructure existante d’une organisation grâce au mode « Commander Service ». Les identifiants restent chiffrés de bout en bout et ne transitent jamais par des services externes, ce qui permet de conserver le même modèle Zero Knowledge que celui de la plateforme principale de Keeper. Grâce à cette intégration, les administrateurs disposent d’outils qui réduisent le recours au passage manuel d’un système à l’autre, tout en renforçant la sécurité et la productivité.

L’intégration prend en charge :

• Les demandes d’accès aux enregistrements du coffre-fort avec des autorisations personnalisées et des sessions à durée limitée, afin d’éviter les délais associés au partage des identifiants
• Endpoint Privilege Manager : les autorisations d’élévation de privilèges pour permettre des élévations « juste-à-temps » et réduire les frictions liés aux validations
• La gestion des autorisations pour les appareils cloud via l’authentification unique (SSO), afin de simplifier les processus d’authentification fédérée et l’intégration des appareils
• Les notifications en temps réel relatives aux demandes et les processus de validation au sein de canaux dédiés, afin de permettre aux validateurs de rester dans leur flux de travail
• La journalisation centralisée de tous les enregistrements d’audit relatifs aux demandes d’accès, aux validations et à l’accès aux identifiants, afin de garantir la visibilité nécessaire à la conformité

L’intégration est disponible dès maintenant pour les clients Keeper disposant de licences actives de Keeper Secrets Manager ou de KeeperPAM. L’installation est facilitée par un processus de configuration guidé qui utilise Keeper Secrets Manager pour stocker en toute sécurité la configuration et les identifiants de l’intégration. Pour plus de détails sur la configuration et la documentation destinée aux utilisateurs, rendez-vous sur docs.keeper.io.

Dans la plupart des organisations, la gouvernance des identités et la gestion des accès à privilèges fonctionnent comme deux systèmes distincts, sans transmission automatisée de l’un vers l’autre. Les plateformes IGA définissent quels utilisateurs doivent disposer de quels accès : elles gèrent les validations, les contrôles et les certifications qui aident l’organisation à rester conforme. Les plateformes PAM appliquent ces décisions en délivrant des accès juste à temps aux identités et aux ressources sensibles, protégées dans un coffre-fort chiffré en zero knowledge, c’est-à-dire dont l’éditeur lui-même ne peut pas lire le contenu. Sans lien entre les deux, chaque décision prise au niveau de la gouvernance devait être appliquée manuellement dans le coffre-fort, et chaque changement de rôle, révocation ou départ d’un collaborateur risquait de laisser subsister des identifiants à privilèges actifs. Ce travail de nettoyage reposait sur des processus manuels, lents, irréguliers et exposés aux erreurs. Selon une étude menée par Keeper en 2026, 96 % des responsables informatiques interrogés estiment que le cloisonnement de leurs outils de sécurité crée des failles exploitables, et 64 % ne disposent pas encore d’une gouvernance des accès à privilèges pleinement consolidée.

L’intégration développée par Keeper avec SailPoint est unique en son genre. Le provisionnement des coffres-forts ainsi que l’attribution des rôles et des habilitations définies dans SailPoint sont répercutés automatiquement dans Keeper, qu’il s’agisse des appartenances aux équipes, des dossiers partagés, des rôles, des nœuds, des enregistrements ou des permissions d’administration. Les certifications d’accès couvrent les identifiants à privilèges conservés par Keeper, si bien que les revues reflètent les accès réellement en vigueur. Les organisations choisissent les types d’habilitations que SailPoint gère au sein de Keeper, et les identifiants ne sont à aucun moment exposés à SailPoint, ce qui préserve l’architecture zero knowledge de Keeper. Chaque attribution, mise à jour et révocation est journalisée automatiquement sur les deux plateformes.

« Les organisations qui déploient correctement la sécurité des identités savent qu’une gouvernance ne vaut que par la capacité à la faire appliquer, déclare Darren Guccione, CEO et cofondateur de Keeper Security. L’absence d’intégration fluide entre l’IGA et le PAM, pour tout type d’identité humaine et non humaine, constitue une lacune majeure dans la plupart des entreprises. Notre intégration avec SailPoint y répond. »

Keeper est certifié FedRAMP High, validé selon la FIPS 140-3 et figure sur la liste des produits approuvés du programme Continuous Diagnostics and Mitigation (CDM) de la CISA, l’agence américaine de cybersécurité. Pour les administrations fédérales américaines, l’intégration contribue directement au respect des exigences de la publication NIST SP 800-53 Rev. 5 en matière de gestion des comptes, d’application du principe de moindre privilège et de contrôle des identifiants à privilèges. Lorsque SailPoint exécute une campagne de certification des accès, la revue inclut désormais les identifiants à privilèges, les identités non humaines et les identités gérées par Keeper, ce qui fournit aux auditeurs un historique complet et réconcilié sur les deux plateformes.

L’intégration de Keeper avec SailPoint est disponible dès à présent. Pour les organisations qui utilisent SailPoint pour la gouvernance des identités et KeeperPAM pour la gestion des accès à privilèges, elle supprime le travail de réconciliation manuelle qui séparait jusqu’ici ces deux systèmes. Pour en savoir plus, consultez la page intégrations de Keeper Security.

Le rapport met en avant l’innovation constante, la profondeur architecturale de Keeper et sa capacité à aider les organisations à sécuriser bien plus que de simples mots de passe. Grâce à Keeper, les entreprises ont la possibilité de sécuriser les identifiants, les secrets, les machines, les identités non humaines ainsi que les agents d’IA depuis une plateforme centralisée et unique. Demandez une démonstration dès aujourd’hui pour constater par vous-même pourquoi nous sommes si bien classés.

Aperçu du rapport et points saillants

Le rapport Radar 2026 de GigaOm examine 23 des principales solutions de gestion des mots de passe d’entreprise. Chaque fournisseur est évalué sur la base de divers critères, comprenant les fonctionnalités indispensables, actuelles et émergentes, de même que des critères d’entreprise plus généraux.

Les plateformes qui renforcent leur présence sur le marché par le biais d’une innovation constante et d’une architecture robuste sont récompensées dans le quadrant des Enduring Innovators (innovateurs durables). Keeper s’est distingué par une progression supérieure à celle de la grande majorité du secteur, affichant des points forts spécifiques dans la gestion des secrets, son serveur officiel Model Context Protocol (MCP) ainsi que la gouvernance pour les identités agentiques et non humaines.

Cette édition marque la cinquième année d’évaluation du marché de la gestion des mots de passe d’entreprise par GigaOm, ainsi que la cinquième année consécutive où Keeper se voit attribuer le statut de leader.

Comment Keeper se démarque

À la différence des outils fragmentés ou des solutions restreintes aux seuls coffres-forts, Keeper met à disposition une architecture de sécurité zero-trust et zero-knowledge afin de protéger les identifiants et les accès à l’échelle de l’entreprise. Les principaux atouts sont les suivants :

• Sécurité prête pour la conformité : certification FedRAMP High et autorisation GovRAMP High, validation FIPS 140-3, accompagnées de certifications SOC 2 et ISO établies de longue date.
• Une plateforme unique pour toutes les identités : supervisez les identités des utilisateurs, des machines, des entités non humaines et des agents d’IA depuis un plan de contrôle unique.
• Gestion des secrets intégrée : protégez les identifiants utilisés par les développeurs, les applications, les services et l’infrastructure.
• Accès sécurisé partout : utilisez Keeper sur les ordinateurs de bureau, les appareils mobiles et les navigateurs.
• Contrôles précis : appliquez les principes du moindre privilège avec un accès limité dans le temps, le partage unique et des entrées autodestructrices.
• Intégrations étendues : connectez-vous avec le SSO, la MFA, les SIEM, les outils CI/CD et l’authentification sans mot de passe.
• Déploiement rapide : déployez en quelques minutes aux côtés des outils existants, sans remplacement perturbateur requis.

Innovation depuis le dernier rapport GigaOm

Le secteur de la sécurité des identités change à un rythme rapide, tandis que les agents d’IA, les identités de machines et les comptes non humains s’intègrent aux opérations commerciales de tous les jours. Pour y faire face, Keeper n’a cessé d’étoffer sa plateforme afin d’aider les structures à assurer la gestion de ces identités aux côtés de celles de leurs collaborateurs.

Parmi les dernières capacités figurent la gestion des agents d’IA, un serveur Model Context Protocol (MCP) officiel, l’identification des menaces en direct via KeeperAI, une meilleure perception des risques ainsi qu’une sécurisation plus poussée des sessions. Keeper a également étendu l’authentification par clés d’accès et sans mot de passe, tandis que KeeperPAM réunit la gestion des mots de passe, la gestion des secrets, la gestion des accès privilégiés et la gestion des privilèges des terminaux en une plateforme unifiée de sécurité des identités.

Together, these updates give security teams greater visibility and control as identity environments become more complex. To see the full Keeper platform beyond just password management, request a demo of KeeperPAM.

L’importance de la gestion des mots de passe d’entreprise

L’utilisation d’identifiants faibles, recyclés ou divulgués fragilise la sécurité des organisations. La gestion des mots de passe d’entreprise permet aux services de sécurité de préserver les mots de passe, secrets et identifiants machine, tout en imposant des règles d’accès, en assurant l’authentification sans mot de passe et en maintenant des pistes d’audit précises.

Password management is about more than just storing passwords. It provides centralized control and visibility across users, devices, applications and identities.

Essayez Keeper gratuitement

Protégez les mots de passe, les identifiants et les secrets de votre entreprise avec une sécurité zero-trust et zero-knowledge. Inscrivez-vous pour profiter d’un essai gratuit de 14 jours ou contactez notre équipe pour en savoir plus.

Cherchez-vous à sécuriser votre organisation au-delà de la gestion des mots de passe ? En savoir plus sur KeeperPAM®

Renforcez la posture de sécurité de votre organisation en investissant dans une solution de gestion des accès privilégiés compatible avec une stratégie zero-trust. KeeperPAM s’appuie à la fois sur les principes zero-trust et zero-knowledge, ce qui permet de prévenir les accès non autorisés et de garantir que seuls les utilisateurs légitimes disposent du niveau d’accès approprié. Avec des fonctionnalités telles que la gestion des privilèges des terminaux, le contrôle d’accès basé sur les rôles, l’accès juste-à-temps (JIT) et l’audit détaillé, la surveillance et l’enregistrement des sessions, KeeperPAM aide votre organisation à sécuriser les données critiques et à maintenir des contrôles stricts dans l’ensemble de son infrastructure.

Pour en savoir plus sur la manière dont KeeperPAM peut protéger votre organisation avec sa stratégie zero-trust, demandez une démonstration dès aujourd’hui.

Lisez la suite de l’article pour comprendre l’importance du ZSP et en savoir plus sur son fonctionnement avec Keeper et son application dans différents environnements.

Pourquoi les privilèges permanents constituent un risque pour la sécurité

Les comptes privilégiés qui restent actifs indéfiniment offrent aux attaquants une cible durable : les identifiants n’expirent pas, les accès sont constamment disponibles et aucune échéance n’est fixée pour la révocation de ces droits. Si des attaquants dérobent ou compromettent l’un de ces comptes, ils héritent de tous leurs privilèges permanents.

Le problème majeur est le rayon d’impact, car un compte compromis disposant d’un accès permanent se limite rarement au système auquel il était destiné. Les attaquants utilisent les privilèges permanents pour se déplacer latéralement au sein des environnements, atteignant ainsi des serveurs, des bases de données et des ressources cloud supplémentaires sur leur passage. Ce qui peut commencer par un simple identifiant compromis peut rapidement se transformer en point d’ancrage sur l’ensemble de votre infrastructure si l’utilisateur dispose d’un accès permanent. Lorsque les privilèges sont permanents, l’attribution des accès n’est liée à aucune demande, tâche ou échéance spécifique. Cela ne laisse en outre aucune trace claire de la raison pour laquelle un utilisateur a pu accéder à un système à un moment donné. Cette ambiguïté complique considérablement les enquêtes sur les incidents de sécurité impliquant des privilèges permanents ainsi que la preuve de conformité.

Comment fonctionne l’absence de privilèges permanents dans Keeper

Keeper permet d’appliquer le ZSP par l’intermédiaire de Keeper Privileged Cloud, qui étend le cadre de l’accès JIT de KeeperPAM à vos fournisseurs d’identité et applications fédérées. Au lieu d’attribuer des droits d’administrateur permanents, Keeper Privileged Cloud n’accorde un accès élevé qu’en cas de demande, uniquement pour une période approuvée et selon les contrôles de flux de travail que vous définissez. Les utilisateurs ne disposent par défaut d’aucun privilège et peuvent les élever par le biais d’un processus contrôlé et auditable avant de se voir révoquer ces droits lorsque la tâche est terminée. Voici comment fonctionne le ZSP en pratique avec Keeper.

Configuration des politiques d’accès

Sur une entrée PAM Cloud, les administrateurs définissent les règles d’accès à l’aide de réglages JIT et de flux de travail. Cela inclut si une demande requiert une approbation, qui peut l’approuver, pour combien de temps l’accès est accordé et le rôle auquel l’utilisateur accède avec des privilèges élevés. Ces réglages permettent de déterminer avec précision comment l’accès privilégié est demandé, approuvé et limité dans le temps, garantissant qu’aucune élévation ne dépasse les limites que vous avez fixées.

Partage d’entrées avec des utilisateurs autorisés

Une fois la politique en place, l’entrée PAM Cloud est partagée avec les utilisateurs qui doivent pouvoir demander l’accès. Comme l’élévation des privilèges s’effectue par l’intermédiaire de votre fournisseur d’identité, chaque utilisateur doit avoir un compte chez votre fournisseur d’identité et dans votre tenant Keeper. Une fois l’entrée partagée, ces utilisateurs pourront demander un accès élevé lorsqu’une tâche le requiert, sans détenir des privilèges permanents entre-temps.

Examen et approbation des demandes

Lorsqu’un utilisateur a besoin d’un accès, il peut en faire la demande directement depuis son coffre-fort Keeper ou la CLI de Keeper Commander. Les approbateurs désignés reçoivent des notifications en temps réel à partir d’outils tels que Slack, Teams, Jira et ServiceNow. Ils peuvent ensuite approuver ou refuser une demande depuis n’importe quel client Keeper, de sorte que les demandes ne restent pas bloquées en attendant le retour des approbateurs à leur poste de travail. En fonction de la politique définie, les approbateurs peuvent également exiger une justification et un numéro de ticket avant d’accorder un accès pour associer chaque élévation de privilèges à un motif documenté.

Octroi et révocation automatique des accès

Une fois la demande approuvée, la passerelle Keeper procède à l’élévation des privilèges sur le fournisseur d’identité ou la ressource cible, accordant à l’utilisateur l’appartenance au groupe, le rôle ou le droit configuré afin qu’il obtienne l’accès autorisé par la politique. À l’expiration de la durée approuvée, la passerelle Keeper révoque automatiquement cet accès, supprimant l’appartenance ou l’attribution temporaire et rétablit le statut ZSP de l’utilisateur. Elle enregistre également chaque élévation ayant demandé un accès, qui l’a approuvée ainsi que le moment où elle a commencé et pris fin, afin que les équipes de sécurité et de conformité disposent d’un compte rendu clair, par demande, de la manière dont l’accès privilégié a été accordé et utilisé.

Où est-ce que Keeper applique l’absence de privilèges permanents

Keeper ne limite pas le ZSP à un seul système ou type de compte. Le même cadre JIT s’applique partout où un accès privilégié existe dans votre environnement, des fournisseurs d’identité auprès desquels vos utilisateurs s’authentifient aux ressources cloud, bases de données et machines qui y sont associées.

Dans l’ensemble de vos fournisseurs d’identité

Keeper Privileged Cloud étend l’accès JIT aux fournisseurs d’identité existants, notamment AWS IAM, Microsoft Entra ID, Google Cloud via Google Identity, Okta et Active Directory. Keeper accorde et révoque les privilèges directement au sein de votre infrastructure existante, de sorte que l’élévation s’effectue là où vos comptes se trouvent déjà, sans perturber la façon dont les utilisateurs s’authentifient. Le fournisseur d’identité reste votre source de vérité, tandis que Keeper contrôle simplement le moment où un utilisateur se voit accorder des privilèges au sein d’un groupe et lorsqu’ils lui sont retirés.

Cette portée ne concerne pas uniquement les plateformes elles-mêmes, mais inclut également les applications qui fédèrent l’accès et l’autorisation par le biais de ces fournisseurs d’identité. Les applications fédérées peuvent également utiliser Keeper pour le contrôle d’accès, ce qui permet aux utilisateurs de mettre en œuvre le même modèle JIT dans les applications en aval auxquelles les équipes se connectent chaque jour.

À travers le cloud, les bases de données et les machines

Le ZSP ne se limitant pas aux consoles cloud, KeeperPAM applique le même cadre d’élévation des privilèges au-delà de vos fournisseurs d’identité. Grâce aux entrées de cloud PAM, de base de données PAM et de machine PAM, vous pouvez étendre l’accès limité dans le temps aux ressources cloud, aux bases de données et aux machines individuelles, en appliquant le même cycle de vie à l’infrastructure qui sous-tend votre couche d’identité.

Au-delà de l’élévation des privilèges, la passerelle Keeper assure également la rotation des identifiants privilégiés afin qu’ils ne restent pas des cibles statiques. Quant aux bases de données et aux machines, elle peut provisionner des comptes éphémères, en injectant les identifiants côté serveur afin que l’utilisateur ne les manipule jamais. Tout ceci repose sur l’architecture zero knowledge de Keeper, ce qui signifie que les identifiants et les secrets restent chiffrés de bout en bout et ne sont jamais exposés à Keeper ni à quiconque. Ensemble, la rotation automatisée et le zero knowledge garantissent que même les identifiants permettant un accès privilégié ne subsistent pas en tant qu’éléments qu’un attaquant pourrait dérober et exploiter.

Minimisez votre surface d’attaque avec Keeper

L’absence de privilèges permanents ne fonctionne que si elle est appliquée de manière cohérente, et c’est là que Keeper Privileged Cloud excelle. Avec Keeper Security, les équipes de sécurité disposent d’un moyen auditable d’accorder un accès privilégié à la demande et de le révoquer automatiquement, en s’appuyant sur les fournisseurs d’identité et l’infrastructure que vous utilisez déjà. Les administrateurs peuvent contrôler les accès et prouver qui peut accéder à quelles ressources et à quel moment ; les utilisateurs obtiennent les accès nécessaires sans attendre leur attribution manuelle et sans conserver les droits dont ils n’ont plus besoin.

Demandez une démonstration de KeeperPAM pour voir le fonctionnement de l’accès JIT et la révocation automatique au sein de votre environnement.

Mme Krowel apporte près de 20 ans d’expérience à des postes de direction dans le domaine de la gestion des identités et des accès. Elle a passé 14 ans chez CyberArk, où elle a gravi les échelons jusqu’au poste de vice-présidente mondiale des ventes internes et de chef de cabinet de l’organisation chargée de la stratégie de commercialisation (GTM), avant d’occuper plus récemment le poste de vice-présidente du développement commercial mondial chez Delinea. M. Grabner apporte plus de deux décennies d’expérience à des postes de direction commerciale dans le secteur public et fédéral. Il occupait récemment le poste de vice-président senior et directeur général chez JMA Wireless, après avoir occupé des fonctions de direction chez Ribbon Communications, Cisco et BroadSoft.

Mme Krowel et M. Grabner soutiendront et renforceront les équipes GTM de Keeper dans les régions clés afin de répondre à la demande du segment des moyennes entreprises, des grandes entreprises et des organismes fédéraux. L’année dernière, Keeper a enregistré une croissance de son chiffre d’affaires de 53,4 % en 2025, soit plus de trois fois la moyenne globale du marché des logiciels de sécurité (15,5 %), se classant ainsi en deuxième position derrière Google selon l’analyse de Gartner. Le marché mondial des logiciels de sécurité, évalué à 111 milliards de dollars, a connu une croissance régulière l’année dernière, et Gartner a attribué la croissance des acteurs les plus performants en partie à la consolidation des plateformes et au fait que les organisations remplacent des solutions ponctuelles fragmentées par des plateformes unifiées.

« Le marché de la cybersécurité connaît un tournant sans précédent avec l’avènement et l’adoption généralisée des technologies d’IA », déclare Tim Strickland, directeur des recettes chez Keeper Security. « Avec l’arrivée de Jessica et Bill, Keeper est en passe de continuer à accélérer sa croissance fulgurante,  alors que les organisations recherchent des solutions de sécurité des identités qui exploitent la puissance de l’IA pour se protéger contre les risques humains existants et les menaces émergentes liées à l’IA agentique. »

La plateforme phare de sécurité des identités de Keeper unifie la gestion des mots de passe et des clés d’accès, la gestion des sessions privilégiées, la gestion des secrets et la gestion des privilèges des terminaux au sein d’une architecture unique, native du cloud et à Zero Knowledge. La plateforme intègre KeeperAI®, qui assure une détection des menaces en temps réel sur l’ensemble des sessions privilégiées, et étend la gouvernance aux agents IA, aux machines et aux identités non humaines, parallèlement aux utilisateurs humains. Krowel et Grabner seront tous deux chargés de développer l’adoption de Keeper sur leurs marchés respectifs, alors que les entreprises consolident leurs outils d’identité fragmentés au sein d’une solution unique offrant une visibilité, une sécurité et un contrôle supérieurs. 

La propre étude 2026 de Keeper met en lumière la demande en matière de sécurité unifiée des identités, puisque seules 36 % des entreprises déclarent disposer d’une solution de gestion des accès privilégiés entièrement déployée, tandis que 64 % ne disposent toujours pas d’une gouvernance des accès privilégiés pleinement consolidée. La majeure partie du marché n’a pas encore résolu ce problème.

« L’identité est devenue au cœur des risques et de la gouvernance d’entreprise, étant donné que les identités humaines et non humaines prolifèrent plus rapidement que la plupart des entreprises ne peuvent les sécuriser et les gérer », déclare Darren Guccione, CEO et cofondateur de Keeper Security. « Nous sommes ravis d’accueillir Jessica et Bill au sein de notre équipe, compte tenu de leurs connaissances et de leur expertise exceptionnelles pour aider les entreprises à sécuriser et à gouverner toutes les identités à l’ère moderne. »

Pourquoi la reconnaissance IAM est importante

L’IAM est passée d’une fonction principalement administrative à une strate de sécurité essentielle qui permet aux organisations modernes de régir l’accès à travers des écosystèmes hybrides, multicloud et partenaires. Le marché de l’IAM s’est considérablement développé pour suivre le rythme rapide des avancées en matière de sécurité, telles que les agents d’IA et les identités non humaines (NHI), tandis que le paysage des fournisseurs s’est lui aussi rapidement élargi. ISG a évalué 20 fournisseurs dans son Buyers Guide 2025 pour l’IAM, contre 31 en 2026, parmi lesquels des spécialistes de la gouvernance des identités, des fournisseurs d’accès privilégié et des plateformes d’identité plus diversifiées. Puisque les décisions en matière d’IAM ont désormais un impact sur presque tous les éléments de la pile technologique, choisir la mauvaise solution peut avoir des conséquences durables, tant pour les organisations que pour les clients, si la sécurité, la gouvernance, l’évolutivité, l’expérience utilisateur et l’impact opérationnel ne sont traités comme une priorité. Un guide comme celui d’ISG est précieux pour les organisations à la recherche d’une solution d’IAM, car il applique les mêmes critères à chaque fournisseur, utilise les preuves soumises pour étayer son évaluation et publie la méthodologie qui sous-tend ses conclusions.

Ce que signifie « Exemplary » pour ISG

ISG classe chaque fournisseur évalué dans l’une des quatre catégories en fonction des performances pondérées dans deux domaines : l’expérience produit et l’expérience client.

L’expérience produit, dont 50 % se rapporte aux capacités et 30 % à la plateforme, représente 80 % de l’évaluation globale. L’expérience client représente les 20 % restants, mesurée par la validation du fournisseur, le coût total de possession (TCO) et le retour sur investissement (ROI). Obtenir le statut d’« Exemplary », ou exemplaire, nécessite donc bien plus que des fonctionnalités performantes. En effet, les fournisseurs exemplaires doivent également démontrer la robustesse de leurs produits et leur capacité à apporter aux clients une valeur mesurable.

En quoi Keeper se démarque dans l’ISG Buyers Guide 2026

Le rapport 2026 marque la première apparition de Keeper dans l’ISG Buyers Guide pour l’IAM, où Keeper a fait son entrée au niveau « exemplaire ». Voici les performances de Keeper dans les catégories d’évaluation d’ISG :

Keeper s’est classé parmi les six meilleurs fournisseurs sur 31, tant pour l’expérience produit que pour l’expérience client. Keeper a également surpassé plusieurs fournisseurs réputés de gestion des accès privilégiés (PAM) évalués par ISG, notamment CyberArk, Delinea, BeyondTrust et One Identity, dans les quatre catégories. Ces résultats démontrent la capacité de Keeper à répondre aux exigences critiques de sécurité des identités, et même à les dépasser, tout en maintenant une expérience client de qualité.

Expérience produit

Keeper a obtenu un score de 83,1 % pour l’expérience produit, juste derrière Microsoft, AWS, Okta, Oracle et Google Cloud. Cette évaluation reflète la croissance de Keeper bien au-delà du stockage des identifiants, vers une sécurité plus large des identités et des accès privilégiés. KeeperPAM^® combine la gestion des sessions privilégiées, la rotation des identifiants, la gestion des mots de passe d’entreprise, la gestion des secrets, la gestion des connexions, l’isolation du navigateur à distance et la gestion des privilèges des terminaux au sein d’une plateforme unifiée et cloud-native. Par conséquent, Keeper aide aujourd’hui les organisations à protéger les identités humaines et machines, les secrets d’infrastructure et les sessions privilégiées sans nécessiter plusieurs outils isolés.

Capacités

Les capacités constituent la composante la plus importante de l’évaluation d’ISG, représentant 50 % du score total. Keeper a obtenu 85,4 % dans cette catégorie, se classant devant IBM, SAP, CyberArk, Entrust, ManageEngine, One Identity et BeyondTrust. ISG évalue les capacités IAM en matière de gestion et de gouvernance des accès, d’utilisation de l’IA et de l’apprentissage automatique, d’intégration des API et des connecteurs d’applications, d’audit et de reporting, de vérification d’identité, d’authentification multifacteur (MFA), de contrôle d’accès basé sur les rôles (RBAC), de fonctionnalités en libre-service et de provisionnement des utilisateurs. Keeper prend en charge ces exigences grâce à des capacités telles que la MFA appliquée, le RBAC, l’administration déléguée, l’authentification unique (SSO), le provisionnement SCIM, l’intégration et le départ de personnel automatisés, la journalisation granulaire des audits avec exportation SIEM et la détection des menaces optimisée par l’IA via KeeperAI^®. Ensemble, ces capacités permettent aux entreprises d’appliquer des politiques d’accès, d’améliorer la visibilité, et de réduire les risques de sécurité liés aux identités dans des environnements complexes.

Plateforme

Avec un score de 81,5 %, lui valant la place de quatrième sur 31 fournisseurs évalués, Keeper est passé à 0,1 point de pourcentage de la désignation de « leader » par ISG. ISG évalue 16 points fonctionnels afin de déterminer le bon fonctionnement d’un produit au sein de l’infrastructure de sécurité d’une organisation une fois déployé à grande échelle. La plateforme couvre spécifiquement l’adaptabilité, la facilité de gestion, la fiabilité et la convivialité. ISG a désigné la plateforme comme l’un des deux domaines phares de Keeper, citant la configurabilité de KeeperPAM et ses fonctionnalités de gestion des performances et de l’évolutivité.

C’est dans cette catégorie que l’architecture zero trust et zero knowledge de Keeper donne toute sa mesure à l’échelle de l’entreprise. Le chiffrement et le déchiffrement ont lieu localement sur l’appareil de l’utilisateur, garantissant que personne, pas même Keeper, ne peut jamais accéder aux données du coffre-fort des clients en texte brut, ce qui permet de limiter la surface d’attaque sans demander aux utilisateurs finaux de changer leur façon de travailler. KeeperPAM centralise également l’accès privilégié aux infrastructures sur site, hybrides et cloud, en utilisant la passerelle Keeper pour établir un accès sécurisé aux environnements cibles sans nécessiter de règles de pare-feu pour les flux entrants. Détenteur de la certification FedRAMP High et de l’autorisation GovRAMP High, Keeper accompagne les organisations soumises à des exigences strictes en matière de sécurité et de conformité.

Expérience client

Keeper a obtenu 82,7 % pour l’expérience client, devançant Okta, SailPoint, CyberArk et SAP. ISG évalue cette catégorie en fonction de la validation par les fournisseurs de la réussite client, du TCO et du ROI. Cette partie de l’évaluation aide les acheteurs à regarder au-delà des fonctionnalités techniques et à réfléchir à ce à quoi pourraient ressembler l’adoption, le déploiement et l’utilisation à long terme d’une plateforme. Pour les acheteurs qui évaluent des solutions IAM, un score élevé d’expérience client démontre que les capacités de sécurité ne sont bénéfiques que lorsque les organisations parviennent à les gérer et à les faire évoluer avec succès. ISG a tout particulièrement salué l’expérience client de Keeper, en raison notamment de l’assistance proposée à ses collaborateurs et clients potentiels pour calculer leur TCO et ROI.

Ce que la reconnaissance de Keeper comme « exemplaire » signifie pour vous

ISG recommande aux entreprises qui évaluent des solutions de gestion des identités et des accès (IAM) de privilégier des fonctionnalités telles qu’une gestion unifiée du cycle de vie des identités, une authentification forte, une gouvernance cohérente des accès, des contrôles d’accès adaptatifs, l’authentification multifacteur (MFA), l’auditabilité, l’évolutivité et l’analyse des risques basée sur l’IA. Les performances de Keeper mettent en évidence trois considérations principales pour les organisations qui évaluent leur stratégie de sécurité des identités :

Renforcez votre stratégie IAM avec Keeper

Le fait d’être désigné comme « exemplaire » dans l’ISG Buyers Guide 2026 valide l’approche de Keeper en matière de sécurité moderne des identités : combiner la gestion des accès privilégiés, la gestion des secrets, la gestion des privilèges des terminaux et la gestion des mots de passe d’entreprise au sein d’une architecture zero knowledge. Pour les organisations qui cherchent à réduire la complexité tout en renforçant le contrôle des accès privilégiés, KeeperPAM fournit une plateforme cloud-native pour protéger les identifiants sensibles, les secrets, l’infrastructure et les sessions privilégiées. Demandez une démonstration de KeeperPAM dès aujourd’hui pour découvrir comment Keeper peut aider votre organisation à améliorer sa stratégie de sécurité des identités.

Pour y parvenir, il faut d’abord comprendre pourquoi les privilèges permanents constituent une part si importante de la surface d’attaque du cloud. Pour pérenniser cette protection, il vous faut la bonne plateforme afin d’appliquer le correctif sur l’ensemble des clouds et des identités que vous exploitez.

Pourquoi les privilèges permanents constituent votre plus grande surface d’attaque dans le cloud

Votre surface d’attaque cloud représente l’ensemble complet des vecteurs par lesquels un pirate pourrait s’introduire dans votre environnement ou y agir : chaque compte, identifiant, autorisation, et intégration qui y touche. Sur site, une grande partie de cette surface est structurée en réseau. Dans le cloud, celle-ci s’articule autour de l’identité. Un utilisateur, un compte de service ou une application connectée disposant d’identifiants valides et des autorisations appropriées n’a pas besoin de franchir un pare-feu, car il se trouve déjà à l’intérieur.

Les privilèges permanents s’accumulent secrètement. Les rôles changent, les projets prennent fin, et les personnes partent, mais l’accès a tendance à rester. Au fil du temps, cela se traduit par quelques problèmes prévisibles :

• Accumulation des autorisations : les autorisations s’accumulent au fur et à mesure que les rôles évoluent et que les anciennes demandes d’accès ne sont pas révoquées, laissant les comptes avec bien plus d’accès que nécessaire.
• Administrateurs zombies : les comptes laissés actifs sans aucune surveillance qui détiennent toujours des accès privilégiés, après le départ ou le changement de rôle d’une personne.
• Administrateurs shadow : les comptes exerçant un contrôle effectif mais ne semblant pas disposer de privilèges au sein de vos groupes d’annuaire ; ils échappent donc aux revues standard.
• Identités machines et non humaines (NHI) : les comptes de service, les clés API et les identités de charge de travail sont désormais plus nombreux que les utilisateurs humains ; et la plupart disposent de leurs propres autorisations permanentes.

Chacune d’entre elles est une cible. Un cybercriminel n’a besoin que d’un seul identifiant compromis pour mettre le pied dans la porte ; les privilèges permanents sont ce qui lui permet d’aller plus loin. Un seul compte doté d’autorisations excessives ouvre la porte au mouvement latéral et à l’élévation des privilèges dans votre environnement.

Comment éliminer les privilèges permanents

Voici ce qu’il faut faire pour commencer à éliminer les privilèges permanents :

1. Découvrir et auditer les accès privilégiés : inventoriez chaque voie d’accès privilégiée à travers AWS, Entra ID, GCP, Okta et Active Directory, utilisée par les utilisateurs humains, les comptes de service et les intégrations tierces.
2. Appliquer le moindre privilège : supprimez les autorisations inutilisées et excessives, nettoyez les comptes orphelins et zombies, et identifiez les administrateurs fantômes qui n’apparaissent pas dans les répertoires.
3. Remplacer les droits d’administrateur permanents par un accès JIT : ne laissez plus les droits d’administrateur attribués de manière permanente. Accorder plutôt les privilèges sur demande : après approbation, ils sont limités à une période définie, et automatiquement révoqués lorsque celle-ci prend fin.
4. Viser l’absence de privilège permanent (ZSP) : le moindre privilège minimise les accès détenus par chaque compte. L’absence de privilège permanent va plus loin en supprimant totalement les accès permanents, de sorte qu’aucune identité ne conserve d’accès privilégié permanent et que l’élévation de leurs privilèges se limite à une période approuvée au préalable.
5. Conserver les exceptions dans un coffre-fort : certains identifiants doivent toutefois être conservés, comme ceux des clés maîtresses, des comptes root et des comptes de secours dits « break-glass ». Le ZSP ne remplace pas le stockage en coffre-fort ; veillez donc à conserver ces éléments dans un coffre-fort soumis à des contrôles stricts.
6. Adopter une approche continue : passez régulièrement les accès en revue et journalisez chaque élévation afin d’éviter que l’accumulation des autorisations ne reprenne secrètement.

Il est important de garder à l’esprit que supprimer un privilège permanent d’AWS ne sert à rien s’il est toujours présent dans Entra ID ou Okta. La mise en œuvre doit couvrir chaque identité cloud et fédérée que vous exploitez, car les failles que vous laisserez deviendront la surface d’attaque que vous cherchez à réduire.

Comment Keeper Privileged Cloud réduit votre surface d’attaque cloud

Keeper Privileged Cloud gère l’accès JIT, en remplaçant les droits d’administrateur permanents par une élévation accordée sur demande et automatiquement révoquée. Il étend le cadre juste-à-temps de KeeperPAM à AWS IAM, Microsoft Entra ID, GCP, Okta et Active Directory, ainsi qu’à toute application qui fédère par leur intermédiaire.

Le privilège est accordé uniquement après approbation, pour une durée définie, et automatiquement révoqué une fois la période expirée. C’est l’absence de privilège permanent en pratique : l’accès est basé sur l’approbation, limité dans le temps, entièrement auditable, et appliqué de la même manière aux identités cloud et fédérées depuis une plateforme unique.

Réduisez définitivement votre surface d’attaque cloud

Peu de contrôles réduisent autant votre surface d’attaque dans le cloud que la suppression des privilèges permanents, car elle supprime l’accès permanent sur lequel s’appuient les pirates. Pérenniser l’absence de privilège permanent est la partie la plus difficile. Cela repose sur une surveillance continue des accès et une élévation automatisée limitée dans le temps, qui empêcheront l’accumulation d’autorisations de reprendre et de saper vos efforts.

Pour mettre cela en place sur toutes les plateformes cloud et d’annuaire que vous utilisez, commencez un essai gratuit de KeeperPAM.

Les cas de figure varient d’un environnement client à l’autre :

• Une équipe marketing utilise une plateforme de graphisme basée sur l’IA pour créer des visuels de campagne
• Un représentant commercial connecte un assistant IA à un CRM pour résumer les interactions avec les clients
• Un responsable des ressources humaines téléverse un CV sur un chatbot public à des fins d’évaluation
• Un développeur utilise un outil de codage IA pour dépanner le code source de l’entreprise

Et chaque cas de figure peut se produire sans que le MSP ne le sache jamais.

Cela ne signifie pas nécessairement que les clients dissimulent délibérément des informations. Le problème est que l’utilisation de l’IA est devenue très décentralisée dans la pratique. Les employés et les différents services peuvent accéder à des outils puissants via un simple navigateur, une carte de crédit ou une autorisation OAuth dans le cadre de ce que l’on appelle le shadow AI, ou « IA fantôme », permettant à de nouvelles technologies d’accéder au système d’une organisation avant même que les équipes informatiques ou les fournisseurs de services n’en soient informés, et encore moins en mesure de les évaluer pleinement.

Pour les MSP, cela crée un problème immédiat : vous ne pouvez pas protéger efficacement un environnement opaque, et vous ne pouvez pas défendre ce dont vous ignorez l’existence.

Comment le shadow AI crée des risques de sécurité pour les MSP

Le shadow IT, ou « informatique fantôme », représente un défi pour les entreprises depuis des années, car les employés continuent d’adopter des technologies en dehors des canaux informatiques approuvés. Cependant, le shadow AI accroît l’exposition potentielle. Ces applications ne se contentent pas de côtoyer les systèmes métier ; elles peuvent interagir avec des données sensibles de l’entreprise, se connecter à des plateformes existantes au-delà de leur périmètre initial et exécuter des tâches avec une autonomie croissante.

Des recherches récentes montrent à quel point ce comportement s’est généralisé. Le rapport 2025 de KPMG sur le shadow AI a révélé que 44 % des employés américains interrogés utilisaient sciemment l’IA d’une manière qui enfreignait les politiques ou les directives de leur entreprise. L’intention n’est pas nécessairement malveillante ; elle est souvent motivée par la commodité, la rapidité et l’efficacité. Aujourd’hui, la culture du travail valorise de plus en plus ces mêmes qualités, encourageant les employés à automatiser les tâches répétitives et à adopter des outils qui, selon eux, les aideront à être plus performants.

Mais la recherche d’une plus grande efficacité n’élimine pas les risques.

Pour les MSP, la véritable préoccupation réside dans ce que chaque application non reconnue ajoute à l’environnement : un nouvel ensemble de connexions, d’autorisations et de voies d’accès potentielles opérant en dehors de la supervision établie.

Les accès et autorisations invisibles derrière les outils d’IA

Les implications en matière de sécurité de l’utilisation de l’IA ne sont pas toujours évidentes pour la personne qui adopte cette technologie. Ce qui ressemble à une simple connexion peut introduire des autorisations et des accès qui vont bien au-delà de la tâche immédiate.

Voyons ce qui se passe lorsqu’un employé connecte une application d’IA à une plateforme d’entreprise.

Pour l’utilisateur, le processus peut être aussi simple que de cliquer sur le bouton « Autoriser ». D’une telle approbation peut découler une série d’autorisations permettant de récupérer des fichiers, d’accéder à des contacts, d’interagir avec les informations client ou de se connecter à d’autres applications.

Ces connexions peuvent persister au-delà de l’interaction initiale, créant alors un accès dont le MSP ignore peut-être l’existence. Bien que le MSP puisse encore gérer le terminal, sécuriser le compte de l’utilisateur et protéger l’application métier sous-jacente, il se peut qu’il n’ait pas connaissance de la connexion établie entre eux.

C’est là que l’IA commence à redéfinir le concept traditionnel de shadow IT. L’inconnue n’est plus de savoir quelle application est utilisée. Les MSP doivent également comprendre à quelles informations un service d’IA peut accéder, les autorisations exactes qui lui ont été accordées, quels identifiants lui sont associés, et si cet accès est toujours nécessaire.

Les conséquences d’une telle lacune en matière de surveillance commencent déjà à émerger. Le rapport 2025 d’IBM sur le coût d’une violation de données a révélé que 63 % des organisations interrogées ayant subi une violation ne disposaient pas de politique de gouvernance de l’IA, ou étaient encore en train d’en élaborer une. Parmi ceux qui ont mis en place des politiques, seuls 34 % effectuaient régulièrement des audits concernant l’utilisation non autorisée de l’IA. Les organisations présentant des niveaux élevés de shadow AI ont également subi, à la suite de violations, des pertes supérieurs de 670 000 $ en moyenne par rapport à celles qui n’utilisaient pas ou très peu l’IA.

Pourquoi les MSP ont-ils besoin de visibilité sur les accès d’IA

Pour les MSP, la priorité n’est pas de contrôler si les clients utilisent l’IA, mais de comprendre comment cette utilisation modifie l’environnement qu’ils sont chargés de sécuriser.

Les équipes adoptent ces applications parce qu’elles résolvent des problèmes réels et simplifient les tâches chronophages. Au niveau organisationnel, il existe des incitations tout aussi fortes à explorer des technologies qui améliorent la productivité.

Une réponse plus efficace commence par reformuler les questions que posent les MSPs.

Documenter les applications d’IA qu’un client a formellement approuvées constitue un bon point de départ, mais ne lève qu’une partie du mystère. Les MSP ont besoin de visibilité sur :

• Les services d’IA que les employés utilisent réellement
• Les applications et données commerciales auxquelles ces services peuvent accéder
• Les autorisations OAuth accordées
• Les clés API ou comptes de service utilisés pour ces connexions
• Les actions auxquelles ces outils sont autorisés une fois connectés

Et plus important encore, l’étendue de cet accès et sa justification.

Ces questions appellent à un changement d’approche, au-delà de la simple définition de politiques, vers une évaluation pratique des risques. Même l’utilisation approuvée de l’IA peut créer des failles :

• Un assistant d’IA connecté à un outil de gestion de la relation client peut se voir accorder l’accès à des dossiers clients dont il n’a pas besoin pour effectuer la tâche qui lui est destinée.
• Le même service d’IA peut être restreint à des sources de données approuvées pour un département, mais également se voir accorder un accès plus large par un autre.
• L’accès accordé pour un projet temporaire peut rester actif longtemps après la fin de la tâche.

L’approbation seule ne garantit pas un accès approprié.

Suivre le rythme de ces changements nécessite plus qu’un exercice d’inventaire ponctuel. De nouvelles applications apparaissent constamment : les fournisseurs SaaS existants continuent d’ajouter des fonctionnalités d’IA, tandis que des agents autonomes effectuent des tâches qui, jusqu’à récemment, nécessitaient une intervention humaine directe. La surveillance de cette activité devrait être une pratique standard à intégrer dans les analyses de sécurité des MSP et le suivi client après-vente.

L’intérêt croissant du secteur pour la découverte de l’IA reflète l’urgence de ce besoin. Des fonctionnalités de sécurité dédiées émergent de plus en plus pour identifier les applications d’IA générative utilisées sans l’accord du service informatique, analyser les schémas d’utilisation, évaluer les risques liés aux applications et surveiller l’exposition potentielle des données. Pour les petites organisations ne disposant pas de ressources internes comparables, les MSP peuvent apporter une visibilité et des directives précieuses dans ce domaine. La découverte de l’IA devient rapidement un élément essentiel pour maintenir la visibilité dans l’ensemble des environnements clients.

Les administrateurs peuvent analyser les schémas d’utilisation, identifier les applications non autorisées, évaluer les risques liés aux applications, examiner les autorisations d’accès, et surveiller l’exposition potentielle des données. Ces capacités peuvent révéler des activités d’IA qui pourraient autrement échapper à la surveillance informatique traditionnelle.

Pour les MSP, la découverte de l’IA devient rapidement un élément essentiel pour maintenir la visibilité dans l’ensemble des environnements clients.

Comment les MSP peuvent améliorer la gouvernance de l’IA chez leurs clients

Pour la plupart des organisations, combler cet écart ne représente pas simplement un enjeu technique ; c’est un enjeu de communication.

Le décalage se creuse souvent lorsque les employés ne comprennent pas quelles utilisations de l’IA comportent des implications en matière de sécurité ou justifient l’intervention d’un MSP. Loin d’être sans conséquence, la moindre application, intégration ou acquisition par un service peut introduire de nouvelles autorisations, de nouveaux identifiants et de nouvelles exigences d’accès qui vont bien au-delà de son utilisation prévue.

Pour les MSP, une gouvernance de l’IA plus solide commence par la définition d’attentes claires quant au moment et à la manière dont les clients communiquent les changements liés à l’IA. Ces conversations devraient aborder certaines questions, telles que :

• Quels nouveaux outils d’IA les équipes expérimentent-elles, et sont-ils approuvés pour un usage professionnel ?
• Des services ont-ils connecté des outils d’IA directement à des systèmes sensibles ou à des applications critiques pour l’entreprise ?
• Quelles données sensibles de l’entreprise, des clients ou autres sont partagées avec ces outils, et où vont-elles une fois soumises ?
• À qui appartient chaque intégration d’IA et qui est responsable de la gestion de ses accès au fil du temps ?
• Les autorisations ont-elles été étendues ou modifiées depuis l’introduction de l’outil ?
• Les intégrations précédemment approuvées sont-elles toujours nécessaires, ou bien l’accès est-il maintenu une fois que le besoin métier initial a pris fin ?

En entretenant ce dialogue à mesure que les environnements clients évoluent, les MSP peuvent identifier chaque activité liée à l’IA avant qu’elle n’ajoute une autre strate non gérée à l’environnement. Plus important encore, les MSP peuvent permettre à leurs clients d’intégrer l’IA plus rapidement, sans se laisser dépasser par les nouveaux besoins en matière d’accès, d’autorisations et de surveillance.

L’objectif est simple : les MSP ont besoin d’une visibilité en temps réel sur les déploiements d’IA avant que ces outils n’accèdent aux données ou aux systèmes de l’entreprise.

Comment les MSP peuvent sécuriser l’accès à l’IA dans les environnements clients

Découvrir une utilisation de l’IA jusque-là inconnue ne résout qu’une partie du problème. Une fois cette activité mise en évidence, les MSP ont besoin d’un moyen cohérent de la maîtriser dans chaque environnement client.

Les assistants, intégrations et agents d’IA dépendent tous d’identifiants, d’autorisations et de connexions aux systèmes d’entreprise. C’est pourquoi ces voies d’accès doivent être protégées, les privilèges limités au strict nécessaire, et les autorisations ajustées à mesure que les besoins évoluent. Pour les MSP opérant à grande échelle, le défi consiste à appliquer ces principes de manière cohérente auprès de plusieurs clients à mesure que leurs environnements évoluent.

Keeper fournit aux MSP une plateforme unifiée qui leur permet justement de faire cela. En consolidant la sécurité des identifiants, les accès privilégiés, la gestion des secrets et la gestion des privilèges des terminaux au sein d’une architecture zero trust et zero knowledge, Keeper aide les MSP à régir les identités humaines et machines à grande échelle sans introduire une nouvelle strate isolée à la pile de sécurité.

Il se peut que le risque le plus sérieux posé par l’IA ne provienne pas des applications déjà gérées par un MSP.

En effet, celui-ci pourrait très bien provenir de celles non déclarées par le personnel.

Découvrez le Programme de partenariat de Keeper pour les MSP et voyez comment Keeper permet aux MSP de combler les lacunes de visibilité concernant l’utilisation de l’IA dans les environnements clients.

Ce blog aborde l’importance de l’absence de privilèges permanents, le fonctionnement du flux de travail de Keeper Privileged Cloud et les plateformes prises en charge par Keeper Privileged Cloud.

Pourquoi l’absence de privilèges permanents est importante

Chaque privilège administrateur permanent augmente votre surface d’attaque, qu’il soit utilisé ou non. Les autorisations s’accumulent sous l’effet de la dérive des privilèges, les anciens accès administrateur restent actifs bien après que quiconque en a besoin, et chaque privilège inutilisé élargit le rayon d’impact lorsque des identifiants sont volés. Plus une organisation détient d’accès permanents, plus un pirate hérite d’autorisations dès qu’il obtient l’accès.

L’absence de privilège permanent élimine cette exposition. Aucune identité ne détient d’accès privilégié permanent. Un compte ne bénéficie de privilèges élevés que pendant une période approuvée et limitée dans le temps ; une fois cette période écoulée, l’accès est supprimé, de sorte qu’aucun élément ne reste inactif et ne puisse être découvert ou exploité par un pirate.

L’accès JIT est ce qui rend le ZSP pratique. Le JIT accorde des autorisations lorsque quelqu’un en a besoin et les révoque ensuite, au lieu de les attribuer de façon permanente. Les deux ne sont pas interchangeables : le JIT contrôle le moment où l’accès est accordé, tandis que le ZSP signifie qu’aucun privilège permanent ne peut perdurer une fois la tâche d’un utilisateur terminée.

Comment Keeper Privileged Cloud applique l’absence de privilèges permanents

Keeper Privileged Cloud applique l’absence de privilèges permanents grâce à un flux de travail de demande et d’approbation : un utilisateur demande l’accès à une ressource spécifique, un approbateur donne son accord. Keeper rehausse les privilèges de l’utilisateur pendant une période définie et supprime automatiquement cet accès à la fin de cette période.

Keeper Privileged Cloud fait partie de KeeperPAM, la plateforme de sécurité des identités de Keeper, et applique le même cadre JIT à vos fournisseurs d’identité (IdP) cloud. Il fonctionne avec trois types d’entrées : Ressource cloud PAM, Machine PAM et Base de données PAM. Chaque entrée nécessite deux configurations avant que quiconque puisse demander un accès : les réglages JIT, qui définissent les modalités d’octroi de l’accès, ainsi que les réglages du flux de travail, qui définissent les exigences d’approbation, la limite de temps, le motif et le numéro de ticket.

Quelques prérequis doivent d’abord être en place : une application Keeper Secrets Manager configurée, une passerelle KeeperPAM déployée, un accès basé sur les flux de travail activé, et une configuration PAM pour un IdP pris en charge. La passerelle est un service léger que vous exécutez sur votre propre réseau à l’aide de Docker sur Linux ou Windows, fournissant un accès sortant à votre infrastructure cible.

Une fois cela configuré, le flux de travail fonctionne comme suit :

Si une demande est refusée, l’entrée repasse à « Demander l’accès », et l’utilisateur peut soumettre une nouvelle demande.

L’élévation s’effectue au niveau du groupe ou du rôle, soit au niveau de l’IdP, soit directement sur la ressource. Keeper Privileged Cloud prend en charge les IdP que la plupart des organisations utilisent déjà : AWS IAM, Microsoft Entra ID, Google Cloud Platform, Okta et Active Directory, ainsi que toute application fédérée par leur intermédiaire. Keeper gère ces identités directement sur la ressource ou via un fournisseur fédéré.

Une fois l’accès approuvé, il existe deux façons d’accéder à la ressource. L’une d’elles est l’isolation du navigateur à distance (RBI) de Keeper, lancée depuis le coffre-fort Keeper. L’autre est une connexion standard via le portail AWS, l’interface de ligne de commande (CLI) ou Terraform.

Ce que Keeper Privileged Cloud offre aux équipes de sécurité

Avec ce workflow exécuté via Keeper Privileged Cloud, les équipes de sécurité ont moins d’accès privilégiés à défendre et une piste d’audit claire pour les accès accordés.

Une surface d’attaque réduite

Les pirates ne peuvent alors trouver aucun privilège latent à exploiter entre deux tâches. Comme chaque élévation est temporaire, la surface d’attaque privilégiée n’existe que lorsque l’accès est utilisé.

Accès basé sur l’approbation, limité dans le temps et auditable

Chaque élévation est demandée, approuvée et enregistrée. Cela fournit aux équipes de sécurité un journal indiquant qui a demandé l’accès, qui l’a approuvé et quand il a expiré. Cette piste d’audit prend en charge les exigences en matière de preuves de contrôle d’accès pour des cadres tels que SOC 2, CMMC et NIST 800-53, en plus des examens internes de routine.

Application cohérente depuis une seule plateforme

Le même flux de travail s’exécute sur chaque cloud et IdP fédéré que vous connectez : vous n’avez donc pas à gérer plusieurs jeux de paramètres distincts pour AWS, Entra ID et Okta.

Éliminez les privilèges permanents avec Keeper

Avec Keeper Privileged Cloud, l’accès privilégié n’existe que lorsqu’une personne le demande, le fait approuver et l’utilise durant une période définie. Une fois que la période a expiré, il ne reste plus rien à sécuriser, ni à voler.

Pour voir comment Keeper Privileged Cloud fonctionne avec votre configuration cloud et celle de vos identités, demandez une démonstration de KeeperPAM.

Poursuivez votre lecture pour découvrir les défis les plus courants associés à l’absence de privilèges permanents, comment les aborder et de quelle manière Keeper^® peut vous aider.

Les 6 défis les plus courants associés à l’absence de privilège permanent

Bien que l’absence de privilèges permanents soit souhaitable pour toute organisation, il n’est pas toujours facile d’y parvenir. Voici quelques-uns des défis les plus courants liés au ZSP et comment surmonter chacun d’entre eux.

1. Systèmes hérités

Les infrastructures et applications plus anciennes ont été conçues pour fonctionner avec des identifiants persistants afin de disposer d’une connexion toujours disponible. C’est exactement le contraire de ce qu’exige le modèle ZSP ; par conséquent, ces systèmes ne sont souvent pas capables, de manière native, d’accorder un accès à la volée puis de le révoquer peu après, ce qui en fait l’un des contextes les plus difficiles pour l’application de ce modèle. La solution consiste à migrer par étapes plutôt qu’en une seule fois, en commençant d’abord par les systèmes les plus à risque et en plaçant un proxy de gestion des accès privilégiés (PAM) en amont du système hérité. Avec le proxy agissant comme contrôleur d’accès, l’ancien système continue de fonctionner comme il l’a toujours fait, tandis que l’outil PAM gère l’accès éphémère et journalise tout.

2. Identités non humaines (NHI)

Les privilèges permanents ne sont pas uniquement un problème humain ; ils s’appliquent également aux identités non humaines (NHI). Les comptes de service et les automatisations comportent fréquemment des identifiants à longue durée de vie qui ont été configurés une seule fois, puis oubliés, puisqu’aucun être humain ne les utilise réellement, sans jamais être renouvelés ou révoqués. Étant donné que ces identités disposent souvent d’un accès privilégié et dépassent en nombre les utilisateurs humains, selon un ratio de 144:1, dans les environnements cloud-native, elles constituent une superficie croissante et fréquemment négligée des surfaces d’attaque. Les organisations doivent régir les NHI avec la même rigueur que celle qu’elles appliquent aux personnes : en remplaçant les identifiants à longue durée de vie par des identifiants à durée limitée émis lors de l’exécution et qui expirent automatiquement, afin qu’aucun accès permanent ne reste exposé au vol.

3. IA agentique

En plus des identités machines, les agents d’IA opposent un autre obstacle lors de l’application de l’absence de privilèges permanents. Ils sont éphémères, conçus pour gérer une tâche et fonctionner avec ce à quoi ils ont besoin d’accéder au moment de l’exécution. Si les organisations tentent de provisionner leurs accès à l’avance, elles finissent par surprovisionner au cas où, causant ainsi l’accumulation et la dérive hors périmètre de ces accès. Il est nécessaire d’accorder aux agents d’IA un accès uniquement lors de leur exécution, ainsi que de restreindre étroitement chaque jeton à la tâche ou à l’outil spécifique utilisé par l’agent, et de révoquer cet accès dès que la tâche est terminée.

4. Complexité du RBAC

Le contrôle d’accès basé sur les rôles (RBAC) constitue un socle naturel pour appliquer l’absence de privilèges permanents. Cependant, définir des rôles précis pour chaque tâche à l’échelle de toute une entreprise demeure difficile. Les rôles changent à mesure que les utilisateurs assument de nouvelles responsabilités, les autorisations s’accumulent au fil du temps, et finalement vos rôles soigneusement définis ne justifient plus l’accès privilégié dont votre organisation a besoin. La solution consiste à maintenir l’exactitude des rôles grâce à un passage en revue régulier des accès et à la découverte automatisée des droits d’accès afin d’identifier les accès non utilisés et d’évoluer vers le contrôle d’accès basé sur les attributs (ABAC).

5. Résistance et frictions liées à la productivité

Les personnes ont tendance à considérer l’accès permanent comme leur appartenant, c’est pourquoi leur demander d’y renoncer suscite de la résistance et la crainte que les flux de travail de demande et d’approbation ne ralentissent les équipes évoluant à un rythme soutenu. Si elle n’est pas prise en compte, cette opposition freine les déploiements avant qu’ils ne se généralisent. La solution repose sur la communication, en expliquant pourquoi ce changement est important et en utilisant des exemples réels de violations facilitées par des accès permanents afin de rendre le risque tangible plutôt qu’abstrait.

6. Lacunes d’auditabilité

Il est très difficile de prouver que le ZSP fonctionne réellement sans disposer d’une visibilité en temps réel sur qui a accédé à quoi, quand et pourquoi. Si les organisations ne sont pas en mesure de démontrer que les accès sont accordés et révoqués correctement, elles ne peuvent pas satisfaire les auditeurs ni, franchement, faire elles-mêmes confiance au modèle. Pour lutter contre cela, les organisations doivent disposer d’une journalisation centralisée, d’une surveillance et d’un enregistrement des sessions, et d’analyses continues des accès produisant des rapports qu’elles peuvent transmettre directement aux auditeurs. Une visibilité démontrable est ce qui transforme le ZSP d’une politique sur le papier en une innovation vérifiable en matière de sécurité.

Comment aborder les défis associés à l’absence de privilèges permanents

Bien que de nombreux défis liés au ZSP soient réels, ils peuvent être résolus grâce aux bonnes solutions. Voici les étapes pour parvenir à l’absence de privilèges permanents au sein de votre organisation :

Surmontez les défis associés à l’absence de privilèges permanents avec Keeper

Grâce à une séquence de processus et à une automatisation adaptées pour gérer les changements d’accès, le passage à l’absence de privilèges permanents, qui pouvait paraître intimidant, devient un choix évident pour une meilleure gestion des accès. Keeper Privileged Cloud applique le ZSP en n’accordant un accès élevé que lorsqu’il est demandé, approuvé et nécessaire, puis en le révoquant automatiquement à l’expiration de la période approuvée. Keeper fonctionne avec vos fournisseurs d’identité existants, notamment AWS, Microsoft Entra ID, Google Cloud, Okta et Active Directory. Il conserve également une piste d’audit complète indiquant qui a demandé l’accès, qui l’a approuvé, et quand il a expiré. L’association d’une élévation automatisée et d’une visibilité totale permet de relever certains des défis ZSP les plus complexes, le tout sans introduire un autre système isolé à maintenir.

Demandez une démonstration de KeeperPAM pour éliminer les privilèges permanents au sein de votre organisation.

Poursuivez votre lecture pour en savoir plus sur chaque modèle, leurs principales différences, et pourquoi les organisations devraient mettre en œuvre les deux.

Qu’est-ce que l’absence de privilège permanent ?

L’absence de privilège permanent (ZSP) élimine les accès privilégiés permanents pour chaque identité (humaine comme machine) au sein d’une organisation. Dans le cadre de l’absence de privilège permanent (ZSP), aucune identité ne dispose d’un accès privilégié par défaut. Les utilisateurs demandent plutôt un accès éphémère pour chaque tâche, et ces privilèges sont automatiquement révoqués une fois la tâche accomplie. L’objectif du ZSP est qu’aucun compte ne dispose d’un accès permanent qu’un pirate pourrait exploiter.

Le ZSP fonctionne en évaluant chaque demande d’accès à l’exécution plutôt qu’en provisionnant l’accès à l’avance. Lorsqu’un utilisateur demande un accès, la politique évalue la demande en temps réel afin de déterminer si l’accès demandé est approprié en fonction de l’identité de l’auteur de la demande, de l’accès demandé et des conditions applicables. Si c’est le cas, seuls les privilèges minimaux spécifiques à la tâche sont accordés, et cet accès expire dès que la tâche est terminée. Cela garantit que les privilèges n’existent que pendant la brève période où ils sont réellement utilisés.

Mettre en œuvre le ZSP est essentiel, car les accès permanents constituent l’une des surfaces d’attaque les plus persistantes dans tout environnement. Les droits d’accès permanents ont tendance à s’accumuler au fil du temps, un phénomène connu sous le nom d’accumulation des privilèges. Si un pirate compromet un compte disposant d’un accès permanent, il peut se déplacer latéralement dans un réseau et élever ses privilèges afin de causer des dommages généralisés. En accordant des privilèges uniquement lorsque cela est nécessaire et pour la durée requise, le modèle ZSP réduit considérablement cette fenêtre d’attaque et limite le rayon d’impact de tout identifiant compromis.

Qu’est-ce que le principe du moindre privilège (PoLP) ?

Le principe du moindre privilège (PoLP) est un concept selon lequel chaque identité ne se voit accorder que l’accès minimum nécessaire pour accomplir ses tâches, et rien de plus. La mise en œuvre du moindre privilège s’applique non seulement aux personnes, mais aussi aux applications, aux appareils et aux systèmes. En limitant chaque identité aux seules données et aux seuls systèmes dont elle a réellement besoin, le principe du moindre privilège restreint ce à quoi un utilisateur peut accéder et empêche les modifications non autorisées. Le moindre privilège est un contrôle fondamental pour minimiser la surface d’attaque, réduire les menaces internes et limiter le mouvement latéral si un compte venait à être compromis.

La moindre privilège à ses limites dans la mesure où il ne définit que l’étendue de l’accès d’une identité, et pas nécessairement la durée pendant laquelle elle conserve cet accès. Les autorisations sont généralement attribuées en fonction d’un rôle, puis laissées en place, de sorte à maintenir cet accès même après l’accomplissement de la tâche, au lieu de le révoquer. Le résultat est un accès permanent : des privilèges qui persistent indéfiniment alors même qu’ils ne sont plus nécessaires. Même une configuration de moindre privilège parfaitement définie peut laisser une surface d’attaque permanente ; c’est précisément pour cette raison que le ZSP est important pour combler cette lacune.

Les principales différences entre l’absence de privilège permanent et le moindre privilège

L’une des principales différences entre le ZSP et le moindre privilège peut se résumer en une opposition étendue/temps. En clair, le moindre privilège limite vos accès, tandis que le ZSP limite vos accès et leur durée. Cela fait du ZSP l’évolution naturelle du moindre privilège, reprenant le même objectif de réduction des risques en y ajoutant une dimension temporelle. Voici un comparatif entre le ZSP et le moindre privilège.

Comment l’absence de privilège permanent et le moindre privilège fonctionnent ensemble

L’absence de privilège permanent et le moindre privilège sont conçus pour fonctionner ensemble, le moindre privilège servant de fondement à l’absence de privilège permanent (ZSP). Les organisations ne peuvent pas réellement éliminer les accès permanents sans d’abord savoir à quoi ressemble l’accès minimum nécessaire pour chaque identité. Le moindre privilège indique aux organisations le niveau d’accès qu’un utilisateur devrait avoir, et ZSP garantit que les utilisateurs ne disposent de cet accès que pendant une période temporaire. Une bonne façon d’envisager cela est de considérer le ZSP comme le produit du moindre privilège, de l’accès juste-à-temps (JIT) et de la révocation automatique. Le moindre privilège définit le périmètre minimal, l’accès JIT accorde cet accès en temps réel et la révocation automatique garantit que rien ne subsiste sous forme de privilège permanent. La combinaison des trois aboutit à une absence de privilège permanent : le niveau d’accès adéquat, accordé uniquement lorsque cela est nécessaire et révoqué dès qu’il ne l’est plus.

Comment mettre en œuvre l’absence de privilège permanent

La transition vers le ZSP est un processus progressif pour la plupart des organisations. Puisque le ZSP repose sur le moindre privilège, de nombreuses équipes parviennent au ZSP en restreignant d’abord le périmètre d’accès, puis en supprimant les accès permanents restants. Voici comment aborder le ZSP :

Appliquez l’absence de privilège permanent avec Keeper

Le ZSP et le moindre privilège fonctionnent mieux lorsqu’ils sont combinés dans la même stratégie. L’application du ZSP implique de faire du moindre privilège une norme, d’y superposer un accès JIT avec expiration automatique et d’étendre ces contrôles à toutes les identités. Une solution de sécurité des identités cloud-native et zero knowledge comme KeeperPAM^® aide les organisations à appliquer le moindre privilège et à progresser vers le modèle ZSP grâce au RBAC, à l’accès JIT et à un audit avancé au sein d’une plateforme unifiée. En accordant l’accès uniquement lorsque cela est nécessaire et en le révoquant automatiquement, KeeperPAM réduit votre surface d’attaque à une fenêtre d’utilisation active restreinte, contribuant ainsi à éviter que les privilèges permanents ne deviennent source de risque.

Demandez une démonstration de KeeperPAM pour découvrir comment mettre en place le moindre privilège et le ZSP au sein de votre organisation.

À mesure que les organisations étendent l’automatisation de leurs workflows à travers les environnements cloud, la gestion des secrets est devenue une lacune critique, et souvent négligée. Les identifiants codés en dur dans les scripts d’automatisation et les workflows représentent l’une des vulnérabilités les plus persistantes et les plus exploitables dans les environnements d’entreprise. Le connecteur Keeper Secrets Manager pour Azure Logic Apps répond directement à ce problème, en offrant aux équipes une voie de gestion des secrets Zero Knowledge, régie par des politiques, au sein de Microsoft Power Platform.

« La sécurité de l’automatisation des flux de travail dépend entièrement de celle des secrets qui la sous-tendent, et la plupart des organisations continuent de coder en dur ces secrets, ce qui engendre un risque cybernétique considérable », déclare Darren Guccione, CEO et cofondateur de Keeper Security. « Ce connecteur élimine cette vulnérabilité en intégrant directement l’architecture Zero Knowledge de Keeper dans la couche d’automatisation de Microsoft : les secrets restent sous chiffrement dans le coffre-fort et ne sont récupérés qu’au moment où ils sont nécessaires ; il n’y a donc rien de codé en dur à voler. »

Le connecteur fonctionne via un service middleware Python léger déployé sous forme d’application Azure Function, qui communique avec le coffre-fort Keeper via le SDK Keeper Secrets Manager. Toutes les clés secrètes restent chiffrées dans le cadre de l’architecture de sécurité Zero Knowledge de Keeper et sont déchiffrées localement au sein de l’environnement Azure du client – elles ne sont jamais transmises en cryptographie via l’infrastructure de Keeper. 

« Cette architecture reflète un principe que Keeper applique à l’ensemble de sa plateforme », déclare Craig Lurey, CTO et cofondateur de Keeper Security. « Les secrets doivent être déchiffrés aussi près que possible de la charge de travail et uniquement lorsque cela est nécessaire. Le middleware Azure Function offre aux clients un modèle de déploiement dans lequel le SDK Keeper s’exécute au sein de leur propre environnement Azure, leur propre gestion des clés gère la configuration et la cryptographie des identifiants ne traverse jamais les limites d’un réseau qu’ils ne contrôlent pas. »

Principales fonctionnalités du connecteur Keeper Secrets Manager pour Azure Logic Apps

• Connecteur certifié : s’intègre de manière native dans le Logic App Designer sans nécessiter d’importation personnalisée pour les déploiements standard.
• Récupération des secrets à l’exécution : récupère les identifiants à la demande au sein de n’importe quel flux Logic App sans les stocker dans la définition du workflow.
• Déploiement en un clic : provisionne toute l’infrastructure requise – y compris l’application Azure Functions, Key Vault et l’identité gérée – en quelques minutes à l’aide d’un modèle Azure Resource Manager (ARM).
• Menus déroulants dynamiques : remplit automatiquement les sélecteurs de secrets et de dossiers dans le concepteur de Logic Apps, ce qui réduit les erreurs de configuration et accélère le déploiement.
• Création d’identifiants : provisionne des secrets directement à partir de workflows automatisés, facilitant l’intégration des employés et les audits de conformité planifiés.

Le connecteur prend en charge cinq opérations, notamment « Lister les secrets », « Récupérer un secret », « Créer un secret », « Mettre à jour un secret » et « Lister les dossiers », couvrant ainsi des workflows allant de l’injection d’identifiants dans les API et de la récupération de chaînes de connexion aux bases de données jusqu’à la synchronisation des secrets GitHub et à l’audit de conformité du coffre-fort.

Le connecteur Keeper Secrets Manager pour Azure Logic Apps est désormais disponible. La documentation complète, le référentiel du middleware et les instructions de déploiement sont disponibles à l’adresse docs.keeper.io.

La fenêtre d’exposition aux menaces s’élargit

L’éducation compte parmi les secteurs les plus ciblés par les ransomwares, le vol d’identifiants et les violations de données. Écoles et universités concentrent une combinaison particulièrement attractive pour les attaquants : des données à forte valeur (dossiers des élèves, informations financières, données de recherche), des services informatiques chroniquement sous-dotés et une base d’utilisateurs immense et en perpétuel renouvellement.

La période de rentrée accentue chacune de ces vulnérabilités. Création de comptes en masse, enregistrement massif d’appareils et afflux d’intégrations d’applications tierces surviennent simultanément, créant une fenêtre de mauvaise configuration et d’exposition que les attaquants sont prêts à exploiter. Or, Keeper a mené une étude qui révèle que seulement 14 % des établissements scolaires imposent une formation à la sensibilisation à la sécurité, un manque de pédagogie qui se traduit dans les faits : près d’un élève ou parent sur cinq déclare réutiliser les mêmes mots de passe entre ses comptes personnels et scolaires.

L’IA a considérablement accru la dangerosité des cybermenaces. Les e-mails de phishing peuvent désormais imiter avec précision les communications des services de vie scolaire, des services d’assistance informatique ou de la direction des établissements, sans plus présenter les signaux d’alerte qui permettaient autrefois de les repérer facilement. Les attaques par deepfake vocal et vidéo viennent prêter des visages et des voix crédibles à ces messages, rendant plus difficile, pour le personnel, de faire confiance à ce qu’il voit et entend. Selon une étude Keeper, 52 % des responsables de l’éducation considèrent l’usurpation par deepfake comme une préoccupation majeure, mais seulement 26 % se disent confiants dans leur capacité à reconnaître les menaces alimentées par l’IA. Par ailleurs, la barrière à l’entrée pour les attaquants s’est considérablement abaissée : des outils qui exigeaient autrefois une réelle expertise technique sont désormais largement accessibles, ce qui signifie que des attaques par vol d’identifiants, jusqu’ici réservées aux plus grandes institutions, peuvent désormais viser n’importe quel établissement scolaire ou campus. 41 % des établissements déclarent avoir été ciblés par des tentatives de phishing générées par IA ou des campagnes de désinformation.

La surface d’attaque invisible : les identités non humaines dans l’EdTech

Alors que les équipes IT concentrent leurs efforts sur la sécurisation des comptes humains, une population bien plus vaste et largement invisible d’identités numériques prolifère sans contrôle au sein des environnements éducatifs : les identités non humaines (Non-Human Identities, NHI). Dans une école ou une université moderne, les NHI sont omniprésentes et quasiment jamais gérées :

• Les comptes de service synchronisent les listes d’élèves ou d’étudiants et les inscriptions aux cours entre les systèmes d’information scolaires comme Pronote ou Apogée, les Espaces Numériques de Travail (ENT) des établissements, et les plateformes de gestion de l’apprentissage (LMS) comme Canvas, Blackboard ou Google Classroom. Leurs identifiants sont rarement renouvelés, souvent partagés et presque jamais audités.
• Les clés API et jetons d’intégration connectent des applications pédagogiques tierces, des manuels numériques via des dispositifs comme le GAR (Gestionnaire d’Accès aux Ressources), des bases documentaires et des passerelles de paiement aux bases de données centrales des établissements. Les jetons orphelins issus d’intégrations des années précédentes restent fréquemment actifs.
• Les identités machines et certificats numériques authentifient les connexions Wi-Fi de l’ensemble du campus, les tableaux numériques interactifs, les équipements de laboratoire, les imprimantes 3D et les caméras de sécurité. Des certificats expirés ou mal configurés créent des failles silencieuses dans la sécurité du réseau.
• Les identités et charges de travail gérées dans le cloud sur des plateformes comme Azure, AWS ou Google Cloud pilotent les sauvegardes automatisées, les pipelines de données de recherche et le reporting administratif, souvent avec des permissions bien plus larges que ne l’exigent leurs tâches — un enjeu renforcé, dans le secteur public, par les exigences de cloud de confiance et de qualification SecNumCloud portées par l’ANSSI.
• Les agents IA et robots automatisés qui font fonctionner les chatbots d’admission, les scripts d’assistance et les correcteurs automatiques possèdent chacun leur propre identité et leurs propres droits d’accès, et comptent parmi les NHI les plus nombreuses et les moins encadrées de l’éducation aujourd’hui.

Dans la plupart des établissements, les NHI sont bien plus nombreuses que les utilisateurs humains, et pourtant rares sont les établissements qui en tiennent un inventaire. La surface d’attaque s’en trouve démultipliée, chaque NHI représentant un point d’entrée potentiel pour les attaquants.

«Le débat sur la cybersécurité dans l’éducation s’est historiquement concentré sur les comptes humains : élèves, enseignants et administrateurs, déclare Darren Guccione, PDG et cofondateur de Keeper Security. Mais le véritable angle mort, c’est le vaste écosystème d’identités machines qui fait fonctionner l’EdTech moderne. La rentrée est le moment idéal, pour les équipes IT de l’éducation, de faire l’inventaire de chaque identité présente sur leur réseau, humaine comme non humaine.»

Comment les équipes IT de l’éducation peuvent réduire leur exposition au risque

Pour la plupart des établissements, les fondamentaux restent gérables : imposer l’authentification multifacteur (MFA), auditer les accès à privilèges et supprimer les identifiants obsolètes avant l’arrivée des nouveaux utilisateurs. Le défi le plus complexe consiste à construire une visibilité et une gouvernance sur les NHI qui font fonctionner l’EdTech moderne : comptes de service, jetons API, certificats machines et agents IA, qui se multiplient à chaque nouvelle intégration. Keeper recommande aux équipes IT de l’éducation de prendre les mesures suivantes avant la rentrée :

• Imposer la MFA sur l’ensemble des comptes du personnel, des enseignants et des élèves ou étudiants avant l’arrivée des nouveaux utilisateurs. Il s’agit toujours du contrôle le plus efficace contre les attaques par vol d’identifiants.
• Déployer un gestionnaire de mots de passe d’entreprise à l’échelle de l’établissement pour éliminer les mots de passe faibles, réutilisés ou partagés. S’assurer que tous les comptes à privilèges sont couverts.
• Auditer les accès à privilèges, humains comme non humains, avant la rentrée. Supprimer les accès des personnels partis, des comptes de service expirés et des applications qui ne sont plus utilisées.
• Constituer un inventaire des identités non humaines. Répertorier chaque compte de service, clé API, certificat machine, identité cloud et agent IA présent dans l’environnement. On ne peut pas sécuriser ce que l’on ne voit pas.
• Mettre en place des politiques de renouvellement des identifiants pour les identités machines, en prêtant une attention particulière aux agents IA et aux intégrations EdTech tierces ajoutées pour la nouvelle année scolaire. Automatiser ce renouvellement chaque fois que possible.
• Mettre à jour les formations de sensibilisation au phishing pour tenir compte du fait que les messages générés par IA peuvent désormais être indissociables des communications institutionnelles légitimes.

La plateforme zero-trust et zero-knowledge de Keeper est conçue précisément pour répondre à ces enjeux, en permettant aux établissements de découvrir, gouverner et renouveler automatiquement les identifiants liés aux utilisateurs humains comme aux NHI, y compris les agents IA et robots automatisés qui se multiplient dans les environnements EdTech. KeeperPAM offre également les contrôles d’accès à privilèges, l’enregistrement des sessions et les pistes d’audit dont les établissements ont besoin pour se conformer au RGPD, à la loi Informatique et Libertés, aux recommandations de la CNIL et aux préconisations de cybersécurité de l’ANSSI destinées aux établissements scolaires et universitaires, et pour garantir qu’aucune identité du réseau, humaine ou non humaine, n’échappe au contrôle.

Poursuivez votre lecture pour découvrir les points clés de ces cyberattaques dans le secteur de l’eau, leur impact plus large sur le secteur et comment Keeper^® peut contribuer à protéger les IC dans tous les secteurs contre les cybermenaces.

Ce que vous devez savoir sur les cyberattaques contre le secteur de l’eau aux États-Unis

L’impact des cyberattaques sur les réseaux d’eau américains

Les cyberattaques nationales contre le secteur de l’eau se distinguent des violations de données qui dominent l’actualité car, plutôt que de voler des informations sensibles, les attaquants ont ciblé les technologies opérationnelles dans un effort clair pour perturber les infrastructures critiques. Cet incident relevait moins du vol que d’une démonstration de la vulnérabilité des systèmes de contrôle industriels qui assurent le fonctionnement des services essentiels. En modifiant les mots de passe et les adresses IP des PLC exposés, les cybercriminels ont empêché les opérateurs d’accéder aux systèmes nécessaires à la surveillance et au contrôle des équipements de distribution d’eau, les privant ainsi de toute visibilité sur leur fonctionnement. Plusieurs services publics ont été contraints de recourir à des procédures manuelles pour maintenir l’approvisionnement en eau pendant qu’ils s’efforçaient de reprendre le contrôle.

La dimension globale de cet événement est précisément ce qui suscite autant d’inquiétude. Au cours de cette campagne menée dans plusieurs États, les autorités fédérales ont signalé des conséquences plus importantes dans certaines régions, notamment des avis de faire bouillir l’eau et des baisses de pression au robinet. Les réseaux d’approvisionnement en eau sont devenus des cibles de choix pour les cyberattaques, car bon nombre d’entre eux reposent sur des systèmes de technologie opérationnelle exposés à Internet et gérés à distance, souvent connectés via des appareils et des modems obsolètes peu sécurisés. De nombreux services publics, en particulier les petits réseaux municipaux, souffrent également d’un grave manque de ressources en matière de cybersécurité, ne disposant ni des fonds ni du personnel nécessaires pour sécuriser chaque connexion. En conséquence, un secteur essentiel dont dépendent quotidiennement des millions de personnes et d’entreprises est protégé par des systèmes que les cybercriminels ont appris à contourner relativement facilement.

Ce que le secteur de l’eau peut retenir des cyberattaques subies aux États-Unis

Bien que l’enquête soit toujours en cours au moment de la rédaction de cet article, ces cyberattaques ont déjà mis en évidence des failles de sécurité dont les services d’eau et d’assainissement, quelle que soit leur taille, peuvent tirer des enseignements. Cet incident a démontré ce qui peut se produire lorsque des systèmes exposés, des identifiants faibles et des failles dans les contrôles d’accès de base sont exploités. Pour les exploitants de réseaux d’eau et d’assainissement, les enseignements ci-dessous sont à la fois urgents et réalisables.

Le risque lié aux technologies opérationnelles exposées à Internet

La principale vulnérabilité de ces attaques résidait dans le fait que les technologies opérationnelles étaient directement accessibles depuis l’Internet public. Les cybercriminels ont identifié et exploité des PLC et des modems cellulaires exposés, y compris des appareils non documentés installés par des fournisseurs ou des opérateurs et qui n’avaient pas été détectés lors des analyses de sécurité de routine. Ces connexions oubliées ou non gérées ont offert aux cybercriminels un accès direct aux systèmes critiques.

Les services des eaux doivent recenser toutes les connexions externes et partir du principe que des voies d’accès à distance non gérées existent déjà ailleurs dans leur environnement. Les technologies opérationnelles ne doivent jamais être exposées directement à Internet. Les opérateurs ont plutôt besoin d’un accès à distance sécurisé qui crée une couche de protection entre l’Internet public et les systèmes chargés de faire fonctionner les infrastructures critiques.

Le péril lié aux identifiants par défaut et vulnérables

De nombreux PLC utilisés lors de cette attaque étaient protégés seulement par des mots de passe par défaut fournis par le fabricant ou par des identifiants faibles, ce qui a permis aux cybercriminels de se connecter, de les modifier et d’empêcher les opérateurs d’accéder à leurs propres systèmes. La principale leçon à tirer pour le secteur de l’eau est d’éliminer tous les mots de passe par défaut et d’imposer des identifiants robustes et uniques sur chaque appareil et chaque compte. Les identifiants par défaut et ceux partagés de manière non sécurisée comptent parmi les moyens les plus courants utilisés par les cybercriminels pour s’introduire dans les systèmes, mais ils font également partie des failles de sécurité les plus faciles à corriger.

L’importance de la segmentation du réseau et des sauvegardes hors ligne

La réaction de Braham, dans le Minnesota, face à cet incident a prouvé la valeur d’une préparation rigoureuse, le personnel ayant rétabli les services en moins de 90 minutes. Après avoir détecté la compromission, ils ont isolé le système affecté, l’ont restauré depuis une sauvegarde et ont redémarré l’usine — tout en continuant à fournir aux habitants de la ville un service d’eau ininterrompu. Cela démontre à quel point des pratiques de récupération efficaces peuvent réduire l’impact d’une intrusion et transformer une crise potentielle en une brève perturbation.

La principale leçon à retenir est de renforcer la résilience avant qu’une attaque ne se produise, en séparant les systèmes de technologie opérationnelle des systèmes informatiques et de l’Internet public, afin qu’une faille dans un domaine ne se propage pas aux autres. Des sauvegardes hors ligne testées permettent aux opérateurs de réaliser rapidement la restauration des systèmes en cas de problème.

Pourquoi les petits services publics sont-ils particulièrement vulnérables

CISA a souligné que les attaquants ciblent les entités du secteur de l’eau de toutes tailles, pas seulement les grandes agglomérations. C’est une préoccupation majeure, car les petits services municipaux fonctionnent souvent avec des budgets limités et un personnel informatique minimal, ce qui les rend moins bien préparés à se défendre contre ce type d’attaque. Ces derniers doivent prendre conscience que même les services publics les plus modestes doivent mettre en place des contrôles d’accès de base, et qu’ils sont de moins en moins contraints de les financer seuls. Au niveau fédéral, le programme de subventions pour la cybersécurité au niveau des États et des collectivités locales (SLCGP) de la CISA aide les gouvernements étatiques, locaux et territoriaux à renforcer leur résilience en matière de cybersécurité ; les réseaux d’eau municipaux gérés par les collectivités locales peuvent solliciter ce financement par l’intermédiaire de l’organisme de gestion de leur État. Plusieurs États américains commencent également à intervenir ; par exemple, celui de New York a récemment annoncé plus de 9 millions de dollars de subventions en matière de cybersécurité pour aider à protéger les réseaux d’eau sur l’ensemble de son territoire. Les services publics de taille plus modeste auraient tout intérêt à solliciter activement ce genre de subventions et d’aide pour combler leurs failles de sécurité avant qu’elles ne fassent l’objet d’une exploitation.

Comment Keeper Security contribue à protéger les infrastructures critiques contre les cyberattaques

Les recommandations émises par les autorités en réponse à ces attaques soulignent toutes le même besoin fondamental : un contrôle granulaire des accès et des identités. C’est exactement ce que la plateforme unifiée de sécurité des identités de Keeper est conçue pour offrir. Grâce à une architecture zero-trust et zero-knowledge, Keeper garantit que l’accès aux infrastructures critiques est vérifié, chiffré et contrôlé à chaque étape, de sorte que même les connexions sur lesquelles les cybercriminels se sont appuyés dans le Minnesota soient bloquées avant de pouvoir être exploitées.

Accès à distance sécurisé

La principale faille de ces attaques résidait dans le fait que les systèmes de technologie opérationnelle étaient accessibles directement depuis l’Internet public. L’accès à distance sécurisé de Keeper pour les infrastructures élimine ce risque d’exposition, en offrant aux opérateurs un accès contrôlé aux PLC et aux systèmes de contrôle sans les exposer directement à Internet. Au lieu de se fier à des modems non sécurisés et des appareils exposés, les connexions à distance passent par un canal sécurisé et surveillé avec Keeper.

Gestion des identifiants et des secrets

Default or weak credentials can make internet-facing devices easier for attackers to compromise. Keeper Password Management for Business helps enforce strong, unique credentials across accounts and replace default passwords that can give attackers an easy way in. By generating and securely storing credentials, Keeper helps close one of the easiest entry points and aligns with official recommendations to replace default passwords with strong, unique ones.

En ce qui concerne les identités et les secrets des machines qui fonctionnent en arrière-plan, Keeper Secrets Manager prend en charge la rotation automatisée des jetons API, des comptes de service et d’autres identifiants d’infrastructure. C’est important car même si un attaquant parvient à obtenir un accès non autorisé, des identifiants uniques faisant l’objet d’une rotation régulière peuvent réduire le risque qu’un identifiant compromis puisse être réutilisé pour se déplacer d’un système à l’autre.

Gestion des accès privilégiés (PAM)

Au-delà de la sécurisation des identifiants individuels, protéger les infrastructures critiques implique de contrôler précisément qui peut accéder aux systèmes qui les font fonctionner. KeeperPAM^® applique l’accès de moindre privilège, de sorte que les utilisateurs et les fournisseurs ne disposent que de l’accès dont ils ont réellement besoin, avec une surveillance des sessions et un contrôle des connexions privilégiées gérés via KeeperPAM. Les capacités de Keeper s’alignent sur les recommandations officielles visant à garantir que l’accès à distance soit régulé, surveillé et contrôlé, et à limiter strictement l’accès au réseau aux systèmes de contrôle critiques, ce qui confère aux opérateurs une plus grande capacité à détecter et à réagir face à des activités suspectes avant qu’elles ne s’aggravent.

Sécurisez l’accès à distance avec Keeper

Les cyberattaques nationales visant les réseaux d’approvisionnement en eau devraient rappeler aux entreprises qu’aucun secteur n’est à l’abri des cyberattaques, pas même les infrastructures critiques dont les communautés dépendent au quotidien. Alors que les cyberattaques ciblant les infrastructures d’eau se propagent d’un État à l’autre, ces événements mettent en évidence que la défense des services indispensables doit débuter par la maîtrise des accès aux plateformes qui les gèrent. Keeper sécurise à la fois les accès privilégiés et les accès à distance grâce à une architecture zero-trust et zero-knowledge qui bloque les connexions exposées et les identifiants faibles sur lesquels s’appuient les cybercriminels.

Demandez une démonstration de KeeperPAM pour découvrir comment votre entreprise peut protéger ses infrastructures les plus critiques.

Poursuivez la lecture pour en savoir plus sur la gouvernance de l’IA, les risques qu’elle contribue à réduire et la manière dont Keeper^® facilite la gestion de vos agents d’IA et sécurise les identifiants, les accès et les données dont ils dépendent.

Qu’est-ce que la gouvernance de l’IA ?

La gouvernance de l’IA désigne l’ensemble des politiques, processus et contrôles qui régissent la manière dont les systèmes d’IA sont déployés, consultés et surveillés au sein d’une entreprise. Elle réduit les risques de sécurité en imposant le principe du moindre privilège et en rendant chaque action de l’IA transparente et responsable. Concrètement, ceci implique de savoir exactement ce que l’IA exécute, à quoi elle a accès et ce qu’elle fait.

Une gouvernance solide de l’IA repose sur cinq piliers :

Les risques que la gouvernance de l’IA contribue à réduire

Sans gouvernance, chaque outil et agent d’IA adopté par une entreprise constitue un angle mort. La gouvernance réduit ce risque en offrant aux équipes de sécurité une visibilité et un contrôle sur la manière dont l’IA est utilisée, sur ce à quoi elle a accès et sur son comportement. Voici les principaux risques auxquels elle s’attaque.

Shadow AI

Le shadow AI, ou IA fantôme, désigne l’utilisation d’outils d’IA qu’une entreprise n’a pas approuvés ou dont elle ignore l’existence. Lorsque des collaborateurs collent des informations sensibles dans des chatbots ou des assistants de codage non approuvés afin de gagner en rapidité, personne ne dispose d’un inventaire des outils utilisés, d’une politique définissant les données pouvant être partagées, ni d’une visibilité sur la manière dont ces modèles conservent et réutilisent ces données. Le shadow AI provoque une crise liée aux identités non gérées, mais la gouvernance réduit ce risque en exigeant leur identification et la mise en place d’une politique avant que l’IA n’accède à des données sensibles.

Accès permanents

Les agents et comptes d’IA accumulent des accès permanents, qu’ils les utilisent activement ou non. Les accès permanents constituent l’un des plus grands risques de sécurité dans tout environnement, car tout identifiant inactif peut être exploité par un cybercriminel. L’IA aggrave ce problème, car les agents sont créés rapidement, se voient accorder un accès étendu pour accomplir une tâche, puis font rarement l’objet d’une vérification ou d’une révocation. Plus il existe d’accès permanents, plus la surface d’attaque est vaste et, par conséquent, plus l’ampleur des répercussions est importante lorsqu’une identité est compromise. La gouvernance de l’IA réduit ce risque en s’orientant vers le ZSP, où aucune identité ne dispose d’un accès permanent. Au lieu de cela, les identités se voient accorder un accès éphémère pour une tâche spécifique, et cet accès est automatiquement révoqué une fois celle-ci terminée.

Fuite de données

La sécurité des systèmes d’IA dépend de celle des données qui y transitent. Les informations saisies dans un prompt ne disparaissent pas simplement une fois que le modèle a répondu. Selon le fournisseur et la formule choisie, elles peuvent être enregistrées, conservées ou utilisées pour entraîner le modèle d’IA, et dans certains cas, réapparaître dans les résultats d’un autre utilisateur. La gouvernance réduit ce risque en contrôlant, dès le départ, les données auxquelles les systèmes d’IA peuvent accéder et celles qu’ils peuvent ingérer.

Exposition des identifiants et des secrets

Les scripts, pipelines et applications d’IA ont besoin d’identifiants tels que des clés API, des tokens et des mots de passe pour fonctionner. Trop souvent, ces secrets sont intégrés directement dans le code ou la configuration, ce qui peut entraîner des fuites via les référentiels, les journaux ou des failles de sécurité, avant d’être réutilisés par des cybercriminels. La gouvernance réduit ce risque en exigeant que les secrets soient stockés, gérés et injectés de manière sécurisée, plutôt que d’être intégrés à un endroit où n’importe qui peut les trouver.

Prolifération des NHI

Les NHI sont des identités de machines, notamment des agents d’IA, des comptes de service et des bots, qui s’authentifient et agissent de manière autonome. L’IA a accéléré la croissance des NHI, et les identités machine sont désormais bien plus nombreuses que les utilisateurs humains. Cependant, elles sont rarement gouvernées avec la même rigueur, laissant ainsi en place des accès et des identifiants statiques que personne ne vérifie ni ne renouvelle. La gouvernance comble cette lacune en étendant aux NHI le même niveau de contrôles d’accès, de responsabilité et de gestion du cycle de vie que celui dont bénéficient les comptes humains.

Infiltration de prompts

Lors d’une attaque par infiltration de prompts, les cybercriminels créent des entrées malveillantes afin de détourner le comportement d’un modèle d’IA, en passant outre ses instructions pour récupérer des données, effectuer des actions risquées ou contourner les contrôles de sécurité. Le principe du moindre privilège limite les dégâts, car un agent d’IA détourné peut accéder uniquement aux quelques ressources pour lesquelles il a reçu une autorisation. Les entreprises qui surveillent l’activité de l’IA peuvent détecter le comportement anormal déclenché par une infiltration avant la propagation de l’attaque.

Comment Keeper facilite la gouvernance de l’IA agentique

La gouvernance de l’IA parvient à réduire les risques uniquement lorsque les équipes l’appliquent à chaque identité en interaction avec l’IA. Keeper assure cette gouvernance à partir d’une plateforme unique.

Gouvernance de l’IA agentique sur tous les terminaux

Les assistants de codage et les agents autonomes basés sur l’IA s’exécutent sous l’identité de la personne qui les a lancés, ce qui signifie qu’ils héritent des privilèges de l’utilisateur et peuvent lire des fichiers sensibles, exécuter des commandes privilégiées ou accéder à des services externes. Keeper Endpoint Privilege Manager (Keeper EPM) gouverne ces agents de la même manière que les utilisateurs humains disposant d’accès privilégiés. Keeper EPM identifie les agents en cours d’exécution sur un terminal, détermine si un agent donné est autorisé à s’exécuter et limite ce qu’un agent en cours d’exécution peut effectuer en évaluant chaque requête indépendamment des droits propres à l’utilisateur. Un agent ne peut pas hériter discrètement de privilèges excessifs ni agir sans contrôle : chaque action sensible est autorisée, refusée ou soumise à validation.

Gestion sécurisée des secrets pour les NHI

Les identifiants dont l’IA a besoin pour fonctionner se retrouvent souvent codés en dur dans des scripts, des pipelines et des applications, où ils sont exposés et peuvent être réutilisés par des cybercriminels. Keeper Secrets Manager élimine les identifiants codés en dur en les stockant dans un coffre-fort chiffré et en ne les injectant de manière sécurisée qu’au moment de l’exécution. Conçu pour les identités machine et les comptes de service, il leur fournit un accès contrôlé plutôt que des secrets permanents que personne ne surveille. Keeper Secrets Manager s’intègre également aux workflows des agents d’IA via le protocole MCP (Model Context Protocol), ce qui permet aux agents de récupérer les secrets dont ils ont besoin à la demande plutôt que de les stocker localement.

Application du principe du moindre privilège et de l’accès juste-à-temps (JIT)

Les privilèges permanents peuvent transformer un seul agent d’IA compromis en un incident de sécurité majeur. KeeperPAM^® applique le principe d’absence de privilèges permanents (ZSP) et l’accès JIT sur l’ensemble des comptes privilégiés et des systèmes auxquels l’IA a accès, de sorte que l’accès est accordé uniquement pour une tâche précise et révoqué dès que celle-ci est terminée. La rotation automatisée des identifiants et la découverte les maintiennent sous contrôle en continu. En supprimant les accès permanents, Keeper minimise les accès dotés de privilèges excessifs ainsi que la portée de l’IA en cas de compromission d’un compte, réduisant ainsi les possibilités d’action des cybercriminels.

Mise en œuvre du chiffrement zero knowledge

La protection des données traitées par l’IA commence par la garantie que seuls les utilisateurs autorisés peuvent les consulter. L’architecture zero knowledge de Keeper garantit que le chiffrement et le déchiffrement s’effectuent uniquement sur l’appareil de l’utilisateur ; les données ne sont jamais visibles par Keeper, ni au repos ni en transit. Des couches de défense en profondeur (DiD), telles que le chiffrement au repos soutenu par un HSM, renforcent la protection des données stockées. Cela réduit considérablement le risque de fuite de données et d’accès non autorisé, car les informations sensibles sur lesquelles s’appuient les systèmes d’IA et les identifiants restent chiffrées et sont lisibles seulement par les utilisateurs autorisés.

Détection et surveillance des menaces liées à l’IA

Même avec des contrôles d’accès granulaires, les équipes doivent être informées dès qu’un comportement anormal est détecté. KeeperAI^® combine des fonctionnalités pilotées par l’IA de détection des menaces, de détection des anomalies et d’analyse des sessions pour l’ensemble des activités privilégiées, associées à une classification par niveau de risque, afin que les équipes puissent se concentrer sur l’essentiel. Au lieu de laisser passer des comportements malveillants ou suspects jusqu’à ce que le mal soit fait, Keeper les met en évidence en temps réel et déclenche des alertes sur lesquelles les équipes de sécurité peuvent agir immédiatement.

Prise en charge de l’audit, du reporting et de la conformité

La gouvernance de l’IA repose sur la capacité à prouver ce qu’ont fait les outils et les comptes d’IA. Le module de rapports et d’alertes avancés (ARAM) de Keeper fournit une journalisation détaillée des événements, des rapports personnalisés, des alertes configurables et une intégration SIEM, offrant ainsi aux équipes une traçabilité complète de chaque action privilégiée et de chaque action effectuée par l’IA. Keeper assure également une couverture complète en matière de conformité :

• SOC 2 Type 2
• ISO 27001
• Certification FedRAMP High
• Autorisation GovRAMP High
• FIPS 140-3
• HIPAA
• RGPD

Grâce à Keeper, les équipes de sécurité ne se contentent pas de combler les lacunes en matière d’audit, mais s’alignent également sur les référentiels qui définissent désormais l’utilisation responsable de l’IA, tels que le cadre NIST AI RMF et le règlement européen sur l’IA.

Sécurisez l’accès de l’IA avec Keeper dès aujourd’hui

La gouvernance de l’IA fait passer le risque de sécurité lié à l’IA de non géré à contrôlé. Appliquez le principe du moindre privilège pour chaque identité humaine et machine, protégez les identifiants, les secrets et les données dont dépend l’IA, et rendez chaque action de l’IA auditable grâce à une gouvernance qui offre visibilité et contrôle sur le fonctionnement de l’IA dans l’ensemble de vos environnements. Keeper réunit sur une seule plateforme la gouvernance de l’IA agentique, la gestion des secrets, la gestion des accès privilégiés et une auditabilité complète, afin que vous puissiez gouverner l’IA sans avoir à combiner plusieurs outils.

Commencez votre essai gratuit de KeeperPAM pour prendre le contrôle de l’IA déployée dans vos environnements.

Poursuivez votre lecture pour en savoir plus sur la gouvernance de l’IA et la conformité de l’IA, leurs différences et pourquoi votre entreprise a besoin des deux.

Qu’est-ce que la gouvernance de l’IA ?

La gouvernance de l’IA désigne l’ensemble des politiques, rôles et processus qui déterminent la manière dont une entreprise développe, déploie et gère l’IA tout au long de son cycle de vie. Il s’agit d’une démarche interne et proactive reposant sur les valeurs propres à l’entreprise, qui établit des garde-fous avant la mise en production d’un système.

Concrètement, la gouvernance de l’IA englobe les décisions quotidiennes visant à garantir la responsabilité en matière d’IA, telles que la classification des cas d’utilisation selon le niveau de risque, la désignation d’un responsable pour chaque système et la définition de seuils d’approbation. Elle couvre également les opérations continues, telles que la surveillance du comportement des modèles, l’enregistrement des décisions et la détection des biais, permettant à l’entreprise d’expliquer comment un système donné génère ses résultats.

Qu’est-ce que la conformité de l’IA ?

La conformité de l’IA implique de respecter les exigences externes – lois, réglementations, normes du secteur et obligations contractuelles – qui régissent l’utilisation de l’IA. Contrairement à la gouvernance, elle ne repose pas sur les valeurs propres à l’entreprise. Elle vise plutôt à déterminer si celle-ci respecte ou non les règles qui lui sont applicables. Des réglementations telles que le Règlement européen sur l’IA imposent des classifications des risques, des obligations de transparence et une supervision humaine pour les systèmes à haut risque. Les entreprises adoptent également de plus en plus des cadres volontaires tels que le Cadre de gestion des risques liés à l’IA du NIST afin de démontrer une approche crédible et structurée, même lorsque la législation n’impose pas encore ces dispositifs.

Les principales différences entre la gouvernance de l’IA et la conformité de l’IA

La gouvernance de l’IA est interne et proactive ; elle émane de l’entreprise elle-même et reflète les normes qu’elle s’impose. La conformité de l’IA est externe et fondée sur des preuves ; elle atteste que l’entreprise respecte des règles établies par des tiers et repose sur la documentation que l’entreprise est en mesure de produire. La gouvernance vise à déterminer si une entreprise gère l’IA de manière responsable et met en place les mécanismes de contrôle nécessaires à cette fin. La conformité vise à déterminer si l’entreprise respecte les règles en vigueur et si elle peut en apporter la preuve. Voici les principales distinctions entre la gouvernance de l’IA et la conformité de l’IA.

Comment la gouvernance de l’IA et la conformité de l’IA fonctionnent ensemble

Malgré leurs différences, la gouvernance de l’IA et la conformité de l’IA sont interdépendantes. Une fois qu’une entreprise a classé ses cas d’utilisation, désigné des responsables et intégré des mécanismes de surveillance au fonctionnement de l’IA, le respect d’une exigence externe revient essentiellement à s’appuyer sur des contrôles déjà en place. La conformité sans gouvernance se résume à une documentation sans substance : les documents permettent de cocher des cases, alors même que les règles ne sont pas appliquées dans la pratique. Une véritable conformité de l’IA n’est pérenne que si la gouvernance de l’IA assure le travail de fond.

L’IA a besoin à la fois de gouvernance et de conformité

Ignorer la gouvernance de l’IA ou la conformité de l’IA entraîne des conséquences importantes. Faute de respecter les exigences de conformité, vous exposez l’entreprise à des sanctions réglementaires et à une atteinte durable à sa réputation. Si la gouvernance fait défaut, vous vous exposez à une adoption de l’IA non sécurisée et à un risque accru d’IA fantôme. Ces deux risques augmentent à mesure que les agents IA obtiennent des accès privilégiés au sein de votre environnement ; il est donc essentiel de gouverner et de sécuriser ces agents pour protéger les données sensibles.

Sécurisez vos agents IA et vos accès privilégiés avec Keeper^® pour appliquer l’accès de moindre privilège, maintenir une piste d’audit détaillée et contrôler les identités humaines et machines.

Chaque déploiement d’IA repose sur un accès de confiance aux systèmes d’entreprise. Qu’un assistant d’IA se connecte à Microsoft 365, Salesforce, SharePoint ou à une base de connaissances interne, il s’authentifie, récupère des informations et effectue des actions à l’aide d’identifiants et de permissions qui doivent être accordés et gérés. Par conséquent, chaque déploiement introduit une nouvelle identité qui doit être sécurisée.

Lors des réunions avec les clients comme dans les échanges entre dirigeants, les conversations sur l’IA tournent généralement autour des gains de productivité, des politiques de gouvernance et de l’usage acceptable. Les identités créées pour prendre en charge ces technologies font l’objet de peu d’attention.

Alors, quelles nouvelles identités créons-nous au cours de ce processus ?

La réponse soulève des enjeux qui vont bien au-delà de l’adoption de l’IA.

Comment l’IA accroît la surface d’attaque des identités pour les MSP

Regardons ce qui se passe lorsqu’une entreprise déploie un nouvel outil d’IA :

Une équipe marketing connecte un assistant de rédaction basé sur l’IA à SharePoint. Une équipe commerciale active un assistant CRM alimenté par l’IA. Un responsable du service client lance un chatbot connecté à la documentation interne. L’équipe chargée des opérations automatise les flux de travail répétitifs grâce à une orchestration pilotée par l’IA.

Chaque déploiement semble être une amélioration de la productivité mise en place de manière isolée. Toutefois, du point de vue de la sécurité, les implications sont beaucoup plus profondes.

Chacune de ces solutions nécessite un accès de confiance afin d’accomplir les tâches pour lesquelles elle est conçue. Certaines s’authentifient via des connexions OAuth, tandis que d’autres s’appuient sur des clés API, des comptes de service, des identifiants machine ou des jetons d’accès. Chacune reçoit l’autorisation de récupérer des informations, d’interagir avec les applications métier et d’exécuter des actions au nom des utilisateurs. Prises individuellement, ces identités attirent rarement beaucoup d’attention. Ensemble, elles commencent à étendre ce que de nombreuses organisations ne mesurent jamais : leur surface d’attaque liée aux identités.

L’expansion rapide de l’IA au sein des entreprises rend cet enjeu difficile à ignorer. Selon le baromètre Work Trend Index 2025 de Microsoft, 82 % des dirigeants d’entreprise affirment qu’il s’agit d’une année charnière pour repenser les aspects fondamentaux de la stratégie et des opérations via l’IA. Le rapport a également révélé que 46 % des organisations utilisent déjà des agents d’IA pour automatiser entièrement des flux de travail ou des processus métier, ce qui illustre la rapidité avec laquelle l’IA passe de l’expérimentation aux opérations quotidiennes.

Ces chiffres reflètent bien plus qu’une utilisation accrue de l’IA.

Ils mettent en évidence un nombre croissant d’applications, de flux de travail et de processus automatisés nécessitant un accès de confiance au sein des environnements d’entreprise.

Pourquoi les identités non humaines (NHI) entraînent des risques cachés

Les programmes d’identité traditionnels ont été conçus autour des utilisateurs humains. Un salarié rejoint l’organisation, se voit ouvrir un compte, obtient un accès aux systèmes nécessaires et finit par se voir retirer cet accès lorsqu’il change de poste ou quitte l’entreprise. Bien que ce processus ne soit pas toujours fluide, il suit un cycle de vie prévisible avec une propriété définie.

Ce n’est pas le cas de l’IA.

Un assistant d’IA peut s’authentifier via un jeton OAuth. Une plateforme d’automatisation des flux de travail peut s’appuyer sur plusieurs comptes de service et clés API. Un agent autonome peut accéder à plusieurs applications d’entreprise en utilisant des identifiants machine qui fonctionnent en continu sans interaction humaine directe. Contrairement aux comptes des salariés, ces identités sont souvent créées instantanément lors de la configuration de l’application ou par des administrateurs, des développeurs et des utilisateurs de l’entreprise qui connectent des outils d’IA à des systèmes existants.

Un grand nombre de ces identités existent en dehors des processus déjà mis en place par les organisations pour encadrer les employés. Certaines restent actives alors qu’elles ne sont plus nécessaires depuis longtemps, car leur suppression peut perturber les flux de travail ou rompre les intégrations. Au fil du temps, les organisations accumulent des centaines, voire des milliers d’identités qui ne sont pas liées à une personne, mais qui disposent pourtant d’un accès légitime aux principaux systèmes d’entreprise.

Les professionnels de la sécurité les regroupent sous l’appellation d’identités non humaines (NHI) : des identités numériques employées par les applications, les services, les charges de travail et les processus automatisés, par opposition aux employés. Bien que ce terme puisse être inconnu pour certaines organisations, le concept, lui, ne l’est pas. Chaque clé API, connexion OAuth, compte de service, identifiant machine et agent d’IA agissant au nom d’un utilisateur représente une identité disposant d’un accès privilégié qui doit être gérée tout au long de son cycle de vie.

Le nombre de NHI n’est pas figé. Chaque nouveau déploiement de l’IA, flux de travail automatisé et intégration de système introduit des identifiants, des comptes de service et des identités machines qui doivent être gérés et encadrés. À mesure que les applications, les flux de travail et les systèmes deviennent de plus en plus interconnectés, le maintien de la visibilité est de plus en plus difficile.

Ce n’est pas simplement un problème d’inventaire. C’est un problème de visibilité et de contrôle.

Les organisations ne peuvent pas protéger efficacement des identités dont elles ignorent l’existence, examiner régulièrement des autorisations qu’elles ne peuvent pas voir ou supprimer des accès dont elles n’ont pas connaissance.

Malheureusement, les attaquants n’ont pas à se soucier de cette limitation.

Pourquoi les attaquants ciblent les identités machines non gérées

Les cybercriminels ne font pas de distinction entre les identités humaines et machines. Ils cherchent simplement la voie le plus rapide pour accéder aux systèmes à forte valeur et aux données sensibles.

Pendant des années, les campagnes d’hameçonnage et le vol d’identifiants ciblaient principalement les employés, car les comptes d’utilisateurs représentaient la voie la plus directe vers l’environnement d’une organisation. Cette réalité n’a pas changé, mais le nombre de points d’entrée potentiels, si.

Aujourd’hui, les attaquants exploitent de plus en plus les clés API, les comptes de service, les jetons d’accès et les identifiants machine, car ces identités fonctionnent souvent avec des autorisations étendues, des accès permanents et beaucoup moins de surveillance que les comptes utilisateurs classiques. Contrairement à un compte d’employé, un compte de service ne remettra pas en question une requête inattendue, une clé API ne signalera pas d’activité suspecte et un agent d’IA ne pourra pas reconnaître qu’il interagit avec un système malveillant. Si ces identités sont compromises, elles fournissent souvent aux attaquants exactement ce dont ils ont besoin : un accès légitime.

Selon le Threat Detection Report de 2025 de Red Canary, les attaques basées sur l’identité ont augmenté de 850 % par rapport à 2024 et ont représenté 53 % du volume global de détection en 2025, ce qui illustre la dépendance croissante des attaquants au vol d’identifiants et aux techniques d’attaque basées sur l’identité.

Chaque nouveau déploiement d’IA introduit une autre identité machine, un autre compte de service ou un autre identifiant au sein de l’environnement.

L’enjeu n’est pas simplement la multiplication des identités. Le problème, c’est que bon nombre de ces identités reçoivent des autorisations qui dépassent le cadre nécessaire, restent actives plus longtemps que prévu ou fonctionnent sans surveillance continue. Pris individuellement, ces problèmes peuvent paraître insignifiants. Or, ensemble, ils créent un groupe croissant d’identités de confiance que les attaquants peuvent exploiter.

Plus les organisations choisissent de déployer des outils d’automatisation, plus il devient crucial de comprendre non seulement qui a accès aux systèmes critiques, mais aussi ce qui y a accès.

Pourquoi la sécurité des identités IA est essentielle pour les MSP

Pour la plupart des organisations, la gestion de cet écosystème d’identités en pleine croissance ne représente pas seulement un enjeu technique ; c’est un défi de visibilité.

De nombreuses entreprises ne savent tout simplement pas combien de NHI ont été déployées dans leurs environnements, à quels systèmes elles peuvent accéder ou si ces autorisations sont encore nécessaires. Les initiatives en matière d’IA sont souvent menées par des départements, des unités commerciales ou des développeurs individuels afin de répondre à un besoin immédiat. La gouvernance des identités à long terme fait rarement l’objet d’une discussion.

Pour les MSP, c’est là que l’expertise devient un facteur de différenciation.

Historiquement, les MSP ont aidé les clients à protéger les terminaux, à gérer l’infrastructure et à déployer des solutions de cybersécurité. À mesure que les clients intégreront l’IA dans leurs opérations, ils s’appuieront sur des conseillers de confiance pour assurer une meilleure gouvernance des identifiants, des autorisations et des identités machines que ces technologies introduisent.

Pour aider les clients à aborder cette transition, il convient de commencer par une série de questions différentes :

• Quelles applications d’IA ont actuellement accès aux systèmes critiques de l’entreprise ?
• Quels comptes de service et clés API sont encore activement requis ?
• À qui appartient chaque identité machine ?
• Les autorisations sont-elles conformes aux principes du moindre privilège ?
• Comment les identifiants sont-ils renouvelés, surveillés et protégés ?

En engageant ces discussions et en y revenant à mesure que les environnements d’IA évoluent, les MSP passent du rôle de fournisseur technologique à celui de conseiller stratégique. En aidant leurs clients à gouverner les identités liées à l’IA, les MSP peuvent minimiser les risques à long terme tout en permettant une adoption responsable de l’IA.

Comment KeeperMSP peut aider les clients à bâtir une base d’IA sécurisée

Comprendre le problème n’est que la première étape. Aider les clients à le résoudre exige de disposer des bonnes bases en matière de sécurité des identités.

Pour les MSP, cela signifie accompagner les clients dans la mise en œuvre d’un cadre permettant de gouverner les accès privilégiés de manière cohérente, pour les identités humaines comme pour les identités machines. Cela signifie sécuriser les identifiants, imposer un accès de moindre privilège, protéger les secrets, surveiller les sessions privilégiées et maintenir une visibilité tout au long du cycle de vie des identités.

Plutôt que de traiter l’accès lié à l’IA comme un enjeu de sécurité distinct, les MSP devraient encourager leurs clients à l’intégrer dans leur stratégie globale de sécurité des identités. Que l’accès appartienne à un salarié, une application, un agent d’IA ou un flux de travail automatisé, les mêmes principes fondamentaux doivent s’appliquer : vérification des accès, application du principe du moindre privilège, protection des identifiants et surveillance continue de l’activité. Une approche unifiée réduit la complexité tout en garantissant que les clients maintiennent des contrôles de sécurité cohérents à mesure que leurs environnements continuent d’évoluer.

La plateforme KeeperMSP a été conçue pour relever ces défis. Grâce à son architecture de sécurité zero knowledge, ses fonctionnalités de gestion des mots de passe d’entreprise, de gestion des accès privilégiés (PAM), de gestion des secrets et d’accès distant sécurisé, Keeper permet aux fournisseurs d’aider les clients à sécuriser les identifiants, les secrets et les voies d’accès privilégié que les attaquants adorent cibler. Au lieu de s’appuyer sur des outils distincts, les MSP peuvent gérer à la fois les identités humaines et machines grâce à une plateforme unique reposant sur des principes zero trust et une gouvernance continue des accès.

Pour les MSP, la valeur va bien au-delà de la technologie. Cette approche offre la visibilité, le contrôle et l’évolutivité nécessaires pour aider les clients à adopter l’IA sans que leur surface d’attaque liée à l’identité ne dépasse leur stratégie de sécurité.

Chaque déploiement d’IA crée de nouveaux risques de sécurité liés aux identités

Chaque déploiement d’IA étend l’écosystème d’identités d’une organisation et, avec lui, la responsabilité de gérer et d’encadrer chaque nouvelle identité avec la même rigueur que ses homologues humains. Les organisations qui font rapidement le rapprochement seront mieux positionnées pour innover sans accroître inutilement leur surface d’attaque.

Pour les MSP, aider leurs entreprises gérées à comprendre et gouverner ces identités représente bien plus qu’un nouveau déploiement technologique. Cela place les MSP à la pointe de l’une des évolutions les plus importantes en matière de cybersécurité depuis le passage au cloud. En aidant leurs clients à relever les défis créés par l’IA, les MSP peuvent renforcer leur rôle de conseillers indispensables tout en permettant aux organisations de suivre le rythme de l’innovation sans compromettre la visibilité ni le contrôle.

Chaque déploiement d’IA introduit bien plus qu’une nouvelle capacité : il s’accompagne d’une identité supplémentaire à sécuriser.

Découvrez le Programme de partenariat de Keeper pour les MSP et comment il aide les MSP à faire face à l’empreinte croissante de l’IA en matière d’identités.

Voici une liste de contrôle de cybersécurité structurée à l’intention des MSSP, qui fournit un cadre auditable permettant de garantir une gestion sécurisée et cohérente des accès sur l’ensemble des systèmes internes et des environnements clients.

1. Mettre en œuvre un modèle de sécurité zero trust

La sécurité zero trust fonctionne selon le principe qu’aucun utilisateur, appareil ou session n’est implicitement digne de confiance, et que chaque demande d’accès doit être vérifiée, quel que soit l’emplacement. Pour les MSSP, ce cadre s’applique à tous les niveaux de fonctionnement, du personnel interne accédant aux plateformes aux techniciens supervisant les systèmes des clients. Chaque point de contact élargit la surface d’attaque de l’organisation, et la suppression de la confiance implicite est essentielle au maintien d’une sécurité robuste. Ceci est crucial pour les MSSP qui sécurisent des environnements multi-tenant car, sans contrôles zero trust en place, un identifiant compromis ou une session non autorisée peut augmenter les risques. L’application de la vérification à chaque point d’accès permet de contenir ce risque et de maintenir les environnements clients correctement isolés les uns des autres.

2. Appliquer l’accès de moindre privilège dans tous les environnements clients

L’accès de moindre privilège signifie que chaque utilisateur, système et application ne fonctionne qu’avec les autorisations nécessaires à l’exécution d’une fonction spécifique. Pour les MSSP dont les techniciens se déplacent régulièrement entre les environnements clients, le contrôle de ces accès est important pour se protéger contre les risques internes et externes. En pratique, l’accès doit être spécifique au client et éphémère. Par exemple, un technicien provisionné pour effectuer la maintenance d’un pare-feu pour un client ne devrait pas avoir un accès permanent à l’environnement d’un autre client, et cet accès devrait être révoqué immédiatement après l’accomplissement de la tâche.

3. Éliminer le partage non sécurisé des identifiants

Le partage de mots de passe par e-mail ou leur stockage dans des feuilles de calcul constitue l’un des risques pour la sécurité les plus courants, mais évitables, chez les MSSP. Les identifiants gérés sans contrôles de sécurité appropriés sont vulnérables à l’interception et ne laissent aucune piste d’audit. Pour les MSSP qui gèrent des identifiants dans de nombreux environnements clients, l’exposition potentielle se multiplie rapidement. La gestion sécurisée des identifiants basée sur un coffre-fort devrait remplacer entièrement ces pratiques. Les gestionnaires de mots de passe dédiés sont conçus pour centraliser le stockage des identifiants, appliquer des contrôles d’accès granulaires et conserver un historique détaillé de qui a accédé à quoi et à quel moment.

4. Sécuriser et gérer les identifiants de manière centralisée

À mesure qu’un MSSP ajoute des clients, le nombre de mots de passe, de comptes de service, de clés API et d’identifiants privilégiés qu’il doit gérer augmente rapidement. Sans système unifié, ces identifiants peuvent être dispersés dans les environnements clients, ce qui limite la visibilité et le contrôle. Une plateforme chiffrée basée sur un coffre-fort permet de gérer les identifiants de manière centralisée et de ne les rendre accessibles qu’en fonction du rôle du technicien. Elle permet également d’auditer les autorisations et les activités, tout en simplifiant la révocation des accès des techniciens et la rotation des identifiants.

5. Protéger les identités non humaines (NHI)

Les identités non humaines (NHI), comme les comptes de service, les jetons et les agents IA, sont parmi les vecteurs d’attaque les plus négligés dans les environnements MSSP. Contrairement aux comptes d’utilisateurs humains, les NHI fonctionnent généralement sans authentification multifacteur (MFA) et accumulent souvent des autorisations au-delà de leur fonction initiale. L’un des points d’exposition les plus courants est la prolifération des secrets : des secrets sont intégrés directement dans le code, les scripts ou les fichiers de configuration, puis partagés entre les équipes ou oubliés dans des systèmes hérités. Dans un contexte MSSP, un secret codé en dur dans un référentiel partagé peut exposer plusieurs clients à la fois, étant donné que les scripts d’automatisation et les intégrations peuvent être réutilisés dans différents environnements clients. Un gestionnaire de secrets centralisé tel que Keeper, qui stocke et effectue la rotation des identifiants NHI, permet de garantir que les secrets ne sont jamais stockés en clair et qu’ils sont soumis aux mêmes contrôles d’accès que les identités humaines.

6. Utiliser l’accès JIT pour les comptes privilégiés

L’accès juste-à-temps (JIT) accorde des privilèges élevés uniquement lorsque cela est nécessaire pour une tâche spécifique, et révoque automatiquement l’accès une fois la tâche terminée. Au lieu de maintenir un accès permanent indéfiniment, l’accès JIT garantit que les privilèges élevés n’existent que le temps nécessaire. Pour les MSSP, l’accès permanent à l’infrastructure des clients met en péril chaque environnement client. Si les identifiants d’un technicien disposant d’un accès permanent aux systèmes d’un client sont compromis, cet accès devient immédiatement exploitable par un cybercriminel. L’accès JIT supprime cette vulnérabilité, car chaque session privilégiée est provisionnée à la demande, cible des systèmes spécifiques et expire automatiquement.

7. Surveiller et enregistrer toutes les sessions

La gestion des sessions privilégiées offre une visibilité en temps réel sur chaque session privilégiée, en suivant l’activité au fur et à mesure et en conservant un enregistrement complet et horodaté à des fins d’audit. Dans un environnement multi-client où plusieurs techniciens peuvent accéder au même environnement lors de sessions et à des moments différents, disposer d’une visibilité totale permet de garantir la traçabilité. Détecter un comportement suspect en temps réel est tout aussi important que de disposer d’un enregistrement a posteriori. Une session qui s’écarte de l’activité attendue, notamment en accédant à des systèmes en dehors du périmètre défini ou en exécutant des commandes inhabituelles, peut être signalée et interrompue avant que l’activité ne prenne de l’ampleur. Grâce à la surveillance des sessions en temps réel, chaque action effectuée au cours d’une session privilégiée est vérifiable et attribuable, tant en interne qu’auprès des clients qui exigent de la transparence.

8. Sécuriser tous les terminaux dans les environnements clients

Chaque terminal dans chaque environnement client constitue un point d’entrée potentiel et, dans les environnements multi-tenant, un appareil mal configuré ou non géré sur le réseau d’un client peut étendre les risques au-delà de cette organisation. L’application de contrôles cohérents au niveau des appareils et de politiques de sécurité sur l’ensemble des terminaux gérés permet de combler cette faille à grande échelle. L’application de la configuration garantit que les terminaux dans chaque environnement client respectent un référentiel de sécurité défini, y compris les normes de chiffrement, les contrôles d’application et les niveaux de correctifs. Grâce à une gestion appropriée des privilèges des terminaux, les MSSP peuvent appliquer l’accès de moindre privilège sur les terminaux, en élevant les privilèges d’applications ou de processus spécifiques lorsque cela est légitimement nécessaire, tout en supprimant les droits d’administration permanents inutiles.

9. Maintenir une visibilité totale et des pistes d’audit

Dans un environnement multi-client, il est crucial de savoir qui a accédé à quoi et quand. Des pistes d’audit complètes consolident cette visibilité en un seul enregistrement, chaque connexion et modification d’autorisation étant attribuée à un utilisateur spécifique et à un horodatage dans l’ensemble des environnements gérés. Dans la réponse aux incidents, les pistes d’audit réduisent le temps entre la détection des menaces et leur confinement. Au lieu de reconstituer manuellement une chronologie à partir de journaux fragmentés, les intervenants disposent d’une vue immédiate et précise de ce qui s’est produit. À des fins de conformité, les pistes d’audit attestent des contrôles d’accès, de la séparation des tâches et de l’intégrité des activités privilégiées, conformément aux exigences de référentiels tels que CMMC, RGPD, SOC 2 et HIPAA. Les MSSP qui accompagnent des secteurs réglementés doivent fournir les rapports et les contrôles de sécurité dont leurs clients ont besoin pour être prêts à tout moment pour un audit.

Comment Keeper^® aide les MSSP à renforcer leur sécurité

La plateforme unifiée de sécurité des identités de Keeper est conçue pour relever les défis uniques auxquels les MSSP sont confrontés lors de la gestion des accès privilégiés, des identifiants et des identités dans les environnements clients à grande échelle.

Architecture zero knowledge pour assurer la sécurité multi-tenant

L’une des menaces les plus importantes dans les environnements multi-tenant est le risque de compromission inter-clients. L’architecture zero knowledge de Keeper garantit que les données sont chiffrées et déchiffrées au niveau de l’appareil, ce qui signifie que même Keeper ne peut pas accéder aux données stockées. Keeper fournit également une console d’administration centralisée qui garantit une isolation stricte des tenants ; aucun transfert de données ni aucun accès croisé entre les environnements clients n’est possible. Avec Keeper, chaque environnement client reste entièrement compartimenté, éliminant le risque de mouvement latéral faisant des MSSP des cibles de choix pour les attaquants.

Gestion des mots de passe pour un stockage sécurisé des identifiants

Le coffre-fort chiffré de Keeper offre un environnement zero knowledge pour stocker et gérer les identifiants, garantissant que les mots de passe ne sont jamais exposés en clair. Le partage sécurisé permet aux équipes d’accorder l’accès aux identifiants sans jamais exposer le mot de passe sous-jacent, rendant l’accès contrôlé et révocable. Pour les situations qui nécessitent le partage d’identifiants avec des clients ou des fournisseurs tiers, le partage ponctuel transmet les identifiants via un lien chiffré et limité dans le temps qui expire après une seule utilisation. Ce partage sécurisé et temporaire élimine le risque que les identifiants subsistent dans les e-mails ou soient envoyés au mauvais destinataire, réduisant ainsi l’exposition interne et externe.

PAM pour l’accès JIT et la gestion des sessions

KeeperPAM^® applique des contrôles d’accès basés sur les rôles (RBAC) qui garantissent que les techniciens n’opèrent qu’avec les autorisations requises par leurs rôles et leurs tâches, délimitées par client et automatiquement révoquées après utilisation. Le provisionnement JIT élimine les privilèges permanents sur l’ensemble de l’infrastructure client, limitant ainsi la fenêtre d’opportunité qu’un accès persistant permettrait d’exploiter pour causer des dommages. KeeperAI^® assure une détection des menaces en temps réel, signale les comportements suspects et conserve une piste d’audit complète pour chaque session, offrant ainsi aux MSSP la visibilité transversale et la traçabilité exigées par la conformité.

Gestion des secrets pour la protection des NHI

Keeper Secrets Manager fournit un stockage sécurisé et centralisé pour les NHI tels que les clés API, les comptes de service, les jetons et les identifiants machine, éliminant ainsi le besoin de coder en dur des secrets dans les scripts ou les fichiers de configuration. La prolifération des secrets dans les environnements clients est contenue grâce à une couche de gestion centralisée dotée de contrôles d’accès complets et de fonctionnalités de rotation intégrées. Les intégrations natives avec les flux de travail DevOps et les pipelines CI/CD garantissent que la protection NHI ne crée pas de friction pour les équipes tout en maintenant les mêmes normes de sécurité que celles appliquées aux identités humaines.

Gestion des privilèges des terminaux pour appliquer le principe du moindre privilège

Le gestionnaire des privilèges des terminaux de Keeper (EPM) supprime les droits d’administrateur local permanents sur les terminaux gérés et impose un accès de moindre privilège au niveau des appareils. Cela permet de prévenir l’élévation des privilèges sur laquelle les attaquants s’appuient pour se déplacer latéralement une fois à l’intérieur d’un environnement. L’élévation au niveau de l’application permet à des processus spécifiques de s’exécuter avec des autorisations élevées lorsque cela est opérationnellement nécessaire, sans accorder un accès administrateur global qui s’étendrait bien au-delà du cas d’utilisation prévu. KeeperEPM étend également la gouvernance à l’IA agentique, en contrôlant qui peut exécuter des agents sur un terminal, ce que ces agents peuvent faire pour le compte d’un utilisateur et la manière dont ils demandent une élévation administrative. Pour un vaste portefeuille de clients, l’EPM constitue une couche de gouvernance unifiée pour les identités humaines et machine, sans nécessiter de configuration individualisée pour chaque organisation.

Renforcer la sécurité des MSSP avec Keeper

Le contrôle d’accès est l’une des préoccupations de sécurité les plus importantes auxquelles les MSSP sont confrontés, mais aussi l’une des plus fréquemment exploitées. Étant donné qu’ils disposent d’un accès privilégié aux environnements de leurs clients, les MSSP doivent mettre en place des contrôles de sécurité structurés, cohérents et appliqués en continu. La présente liste de contrôle sert de guide pratique aux MSSP pour évaluer la robustesse des contrôles existants et identifier les lacunes potentielles dans l’application du principe du moindre privilège, la protection NHI et la sécurité des terminaux. KeeperMSP permet aux MSSP de mettre en œuvre ces bonnes pratiques dans chaque environnement client depuis une console centralisée, sans compromettre l’isolation et la traçabilité requises par chaque tenant.

Commencez votre essai gratuit de KeeperPAM pour les MSP et découvrez comment la plateforme unifiée de Keeper prend en charge l’ensemble des exigences de sécurité des MSSP.