Un compte à privilèges est la cible au meilleur rendement d'un système d'information : un seul accès ouvre l'ensemble. C'est pourquoi les administrateurs sont les plus équipés — clés physiques, bastion, coffre-fort de secrets — et pourtant les compromissions continuent. La raison est presque toujours la même : on protège l'entrée, pas les opérations qui suivent.
Ce que le PAM couvre, et son angle mort
| Fonction du PAM | Ce qu'elle apporte | Ce qu'elle ne dit pas |
|---|---|---|
| Coffre-fort de secrets | plus de mots de passe partagés en clair | qui a réellement demandé l'extraction |
| Bastion / rebond | point de passage unique, journalisé | si la session est encore tenue par la bonne personne |
| Enregistrement de session | preuve a posteriori | rien en temps réel : la trace arrive après le dommage |
| Accès juste-à-temps | droits limités dans le temps | l'action réalisée pendant la fenêtre reste libre |
| Rotation des secrets | réduit la durée de vie d'un secret volé | ne protège pas la session en cours |
L'angle mort commun apparaît en lisant la colonne de droite : ces mécanismes contrôlent l'accès, et supposent ensuite que l'opérateur est celui qu'il prétend être et qu'il agit de son plein gré.
Trois situations cassent cette hypothèse sans déclencher d'alerte : un jeton de session dérobé sur le poste d'administration, un poste laissé ouvert, ou un administrateur manipulé par ingénierie sociale — scénario au cœur de la compromission d'Uber en 2022, où l'attaquant disposait d'identifiants valides et n'avait besoin que d'une approbation.
Authentifier l'opération, pas l'ouverture du bastion
Le déplacement utile consiste à exiger une preuve d'intention sur un petit nombre d'opérations, et non à l'entrée d'une session d'administration qui peut durer des heures.
Les candidats naturels :
- création, modification ou élévation d'un compte à privilèges ;
- modification d'une règle d'authentification, d'un fournisseur d'identité ou d'une fédération ;
- désactivation d'un mécanisme de journalisation ou d'une sauvegarde ;
- accès à un secret de production ou à une clé d'interface ;
- déploiement en production hors fenêtre planifiée ;
- extraction ou export de données sensibles.
Sur ces opérations, la résolution d'un challenge cognitif atteste qu'un être humain identifié a voulu l'action à cet instant. La méthode de résolution, acquise lors d'un enrôlement hors ligne, n'est présente ni dans le poste, ni dans le coffre-fort, ni dans le jeton de session : elle n'est pas extractible par compromission de la machine.
Les trois populations à traiter séparément
Les administrateurs humains. Ce sont eux qui bénéficient le plus d'une validation par opération. La contrainte est acceptable parce que le nombre d'opérations réellement critiques par semaine est faible.
Les comptes de service. Ils ne peuvent pas résoudre un challenge, par construction. La bonne réponse n'est pas de leur en imposer un mais de les traiter comme des identités machines : authentification par certificat, portée strictement limitée, rotation, et surtout inventaire — le plus grand risque tenant aux comptes de service oubliés dont personne ne connaît l'usage.
Les accès d'urgence. Le compte « bris de glace » est indispensable et constitue une cible de choix. Une preuve d'intention à son activation, associée à une alerte immédiate, est l'un des usages les plus rentables du facteur cognitif : l'événement est rare, donc la friction est nulle en régime normal, et l'activation devient impossible à réaliser silencieusement depuis une session volée.
Les parcours annexes qui annulent le dispositif
Trois chemins contournent régulièrement l'ensemble du dispositif :
- La réinitialisation par le support. Un appel convaincant au helpdesk reste l'attaque la plus rentable contre un compte à privilèges. Le parcours de réinitialisation doit être aussi exigeant que le parcours nominal.
- Les interfaces d'administration exposées hors du bastion — consoles cloud, interfaces d'équipements, outils tiers — souvent absentes de l'inventaire.
- Les délégations temporaires accordées pendant les congés et jamais révoquées.
Cadre réglementaire
NIS2 (directive UE 2022/2555) cite explicitement l'authentification multifacteur ou continue et la gestion des accès parmi les mesures attendues. DORA (règlement UE 2022/2554), applicable depuis janvier 2025, impose au secteur financier une maîtrise démontrable des accès privilégiés. ISO/IEC 27001 traite le sujet dans ses mesures de contrôle d'accès. Aucun de ces cadres ne prescrit un mécanisme précis, mais tous demandent de pouvoir démontrer qui a fait quoi — ce qui suppose une preuve rattachée à l'opération, pas seulement à l'ouverture de session.
FAQ
Les clés physiques ne suffisent-elles pas pour les administrateurs ?
Elles traitent très bien la connexion grâce à la liaison à l'origine. Elles ne couvrent ni le vol de session après authentification, ni les opérations réalisées pendant une session légitime, ni la manipulation de l'opérateur.
Cela ralentit-il les interventions en incident ?
Le nombre d'opérations concernées reste faible, et l'exigence peut être calibrée selon la criticité. Une procédure d'urgence documentée et tracée est préférable à un dispositif contourné dans la précipitation.
Comment traiter les comptes partagés ?
Le mieux est de les supprimer. À défaut, une validation individuelle au moment de l'opération permet de rattacher chaque action à une personne, ce qu'un mot de passe partagé ne permet pas.
Le facteur cognitif s'intègre-t-il à un PAM existant ?
Il se déploie en overlay d'une chaîne d'authentification en place, ce qui permet de conserver bastion et coffre-fort tout en ajoutant une validation sur les opérations les plus critiques.
Aller plus loin : le 4ᵉ facteur cognitif · PAM et gestion des accès à privilèges · sécuriser une transaction sensible · NIS2, DORA, DSP3 et CRA