Secu
Laurie Garnier (SailPoint) : « L’identité est devenue le premier vecteur des attaques »
Par Laurent Delattre, publié le 08 septembre 2026
DGFiP, Éducation nationale, Tchap… L’été 2026 a rappelé que les cyberattaquants n’ont plus toujours besoin de fracturer les défenses du système d’information. Il leur suffit d’utiliser une identité légitime dérobée. Pour Laurie Garnier, directrice générale France de SailPoint, ces incidents révèlent un angle mort persistant : authentifier un utilisateur ne suffit plus, il faut aussi gouverner ce qu’il peut faire une fois connecté.
Thomas Pagbé le racontait récemment, sur un ton volontairement décalé, dans son Short consacré à l’été infernal des fuites de données des services numériques de l’État. L’été a été très chaud pour les services numériques français sur le front des cyber-attaques. Notre analyse du phénomène (cf notre article L’infernal été des fuites de données des services numériques de l’Etat) en tirait une conclusion encore plus préoccupante : derrière la succession des incidents, un même scénario revient régulièrement. L’attaquant ne force plus nécessairement la porte du SI. Il récupère les identifiants de quelqu’un qui possède déjà le droit d’entrer.
L’attaque de la DGFiP l’a notamment illustré : des identifiants appartenant à un agent et à un tiers autorisé ont permis des accès illégitimes aux systèmes de l’administration.
C’est précisément ce changement de paradigme que décrypte Laurie Garnier, directrice générale France de SailPoint, spécialiste de la gouvernance des identités.
Quand l’attaquant devient un utilisateur « légitime »
Pour Laurie Garnier, l’accumulation récente des attaques marque une évolution profonde. « Auparavant, il y avait beaucoup d’attaques sur des réseaux, des systèmes très établis, des forteresses extrêmement sécurisées. Aujourd’hui, on change de paradigme et on est plutôt sur des attaques finalement invisibles, avec des accès ayant l’air légitimes. »
Une fois les identifiants compromis, les protections traditionnelles peuvent avoir beaucoup plus de difficultés à distinguer l’utilisateur de son usurpateur. « On prend les identifiants d’un utilisateur, on usurpe son identité et finalement on va avoir accès à l’organisation, aux outils, aux applications et aux données. »
D’où son diagnostic : « L’identité est devenue, plus que jamais, le premier vecteur des attaques. »
Authentifier n’est pas gouverner
MFA, authentification forte, EDR, SOC… Les organisations ne manquent pourtant pas de dispositifs de sécurité. Le problème, selon Laurie Garnier, est ailleurs : on confond encore trop souvent authentification et gouvernance des identités.
« Une fois que l’on a donné cet accès, à quoi l’utilisateur va-t-il avoir accès ? Combien de temps ? Est-ce que j’autorise cet accès ? Est-ce qu’il peut télécharger des informations ? C’est là que la gouvernance de l’identité prend tout son sens. »
La question n’est donc plus seulement de déterminer qui entre, mais de contrôler en permanence ce que cette identité peut faire une fois à l’intérieur.
Une nuance essentielle à l’heure où les attaquants privilégient justement le détournement de comptes valides.
Le piège de l’accumulation des droits
La difficulté est aggravée par une vieille faiblesse des SI : les utilisateurs accumulent leurs droits au fil de leur parcours. « Un agent interne ou externe va cumuler des droits parce qu’il a eu une mission, puis une autre, qu’il a été muté. On va lui octroyer des privilèges et on ne va pas forcément les révoquer systématiquement. »
Un compte compromis peut alors donner accès à bien davantage de ressources que son propriétaire n’en utilise réellement. D’où l’intérêt du just-in-time et du moindre privilège : « Un utilisateur n’a pas forcément besoin, 24 heures sur 24 et 7 jours sur 7, de toutes les données et de toutes les applications. »
La même vigilance doit s’appliquer aux consultants, prestataires et partenaires. « Les systèmes ne sont plus fermés. Ils sont très ouverts pour intégrer des tiers. Cela ne veut pas dire moins de contrôles, bien au contraire. »
L’identité, prochain défi des agents IA
Faut-il alors ajouter encore de nouveaux outils au millefeuille cyber ? Pas nécessairement. « Les organisations ont beaucoup d’outils, et de bons outils qui sont matures. Je ne pense pas qu’elles manquent d’outils. »
Pour Laurie Garnier, ces technologies couvrent simplement encore mal « l’angle mort qu’est aujourd’hui l’identité ».
Et ce problème va rapidement dépasser les seuls utilisateurs humains. « On voit maintenant arriver les machines et tous les agents IA. Ils vont avoir des accès, ils vont avoir des droits. Et là, cela devient un vrai challenge. »
Demain, gouverner une identité signifiera donc aussi gérer les permissions d’agents logiciels capables de consulter des données, déclencher des processus ou agir au nom d’un collaborateur.
Après un été marqué par les fuites de données, la leçon est finalement simple : la cybersécurité ne consiste plus seulement à protéger les portes du SI. Elle doit aussi surveiller en permanence ceux – humains ou machines – qui ont parfaitement le droit de les franchir.
À LIRE AUSSI :
À LIRE AUSSI :
