Le PAM (privileged access management) désigne les dispositifs qui encadrent les comptes à hauts pouvoirs : administrateurs de domaine, comptes racine, comptes de service, accès aux équipements réseau, consoles cloud. Ces comptes concentrent le risque, car un seul d'entre eux suffit à compromettre un système d'information entier.
Les fonctions attendues
- Coffre-fort de secrets : les mots de passe et clés ne sont plus détenus par les personnes, mais délivrés à la demande et renouvelés automatiquement ;
- Élévation juste-à-temps : les droits sont accordés pour une tâche et une durée, puis retirés, au lieu d'être permanents ;
- Session bastion : les connexions passent par un point de passage qui enregistre et rejoue les sessions à des fins d'audit ;
- Découverte : identification des comptes à privilèges non déclarés, y compris les comptes de service intégrés dans des scripts.
Le maillon qui décide de tout
Le PAM déplace le secret, il ne supprime pas la question de la preuve d'identité de l'opérateur. Si l'accès au coffre-fort repose sur un mot de passe et un OTP relayable, l'ensemble du dispositif tient sur un facteur contournable par phishing. De même, une session bastion déjà ouverte reste exploitable en cas de vol de session.
C'est pourquoi les accès à privilèges sont le premier périmètre où une authentification résistante au phishing, voire une validation par action, se justifie sans discussion — et le premier examiné lors d'un contrôle NIS2 ou DORA.
Aller plus loin : PAM : sécuriser les accès à privilèges · sécuriser un accès à privilèges avec facteur cognitif · définition de l'IAM · l'authentification cognitive