Le PAM (Privileged Access Management) encadre les comptes qui peuvent modifier l'infrastructure : administrateurs de domaine, comptes racine, accès aux hyperviseurs, aux bases de production et aux consoles d'administration des services externes. Son objectif est double : réduire le nombre de privilèges permanents et rendre chaque usage traçable. Sa limite principale est rarement énoncée : l'accès au coffre repose lui-même sur une authentification.
Pourquoi ces comptes concentrent l'essentiel du risque
Un compte à privilèges ne donne pas seulement accès à des données. Il permet de modifier les règles : créer des comptes, désactiver une journalisation, ajouter une méthode d'authentification, changer une politique de sécurité. C'est ce qui en fait l'objectif final de la quasi-totalité des intrusions sérieuses.
Trois caractéristiques aggravent la situation dans la plupart des organisations : ces comptes sont souvent partagés entre plusieurs personnes, donc peu imputables ; leurs secrets sont anciens et parfois documentés dans des procédures ; et leurs droits sont permanents, alors qu'ils ne servent que ponctuellement.
Ce que fait concrètement un PAM
| Fonction | Ce qu'elle apporte | Ce qu'elle ne règle pas |
|---|---|---|
| Coffre de secrets | centralisation, rotation automatique, fin des mots de passe partagés en clair | l'authentification d'accès au coffre lui-même |
| Courtage de session | l'administrateur ne détient jamais le secret : le coffre ouvre la connexion à sa place | un poste d'administration compromis reste dangereux |
| Élévation à la demande | droits accordés pour une tâche et une durée définies | la qualité du contrôle qui précède l'octroi |
| Enregistrement de session | preuve, analyse après incident, effet dissuasif | volume de données et exploitation réelle des enregistrements |
| Découverte de comptes | inventaire des comptes privilégiés oubliés | les comptes hors du périmètre couvert |
| Comptes de secours | continuité en cas d'indisponibilité du dispositif | ces comptes deviennent la cible prioritaire |
Le gain le plus structurant est le passage du privilège permanent au privilège temporaire. Un administrateur qui dispose de droits élevés en permanence expose ces droits en permanence. Un administrateur qui les obtient pour une intervention, avec une justification et une durée, réduit mécaniquement la fenêtre exploitable.
L'angle mort : la porte du coffre
Un PAM déplace la valeur. Auparavant répartie entre plusieurs comptes, elle se concentre désormais dans un composant unique qui détient les clés du système d'information. La question devient donc : comment s'authentifie-t-on auprès de ce composant ?
Si la réponse est « identifiant, mot de passe et code à usage unique », alors la protection de l'ensemble de l'infrastructure repose sur un facteur relayable en temps réel. Un attaquant placé en relais devant le portail du PAM récupère la même chose que devant n'importe quel autre portail — à ceci près que le butin est incomparablement plus élevé.
Deux autres angles morts méritent attention :
Le poste d'administration. Le courtage de session empêche l'administrateur de connaître le secret, mais si son poste est compromis, l'attaquant agit à travers sa session ouverte. D'où la recommandation classique d'un poste dédié à l'administration, cloisonné des usages bureautiques.
Les comptes de secours. Prévus pour les situations où le PAM est indisponible, ils échappent par construction à ses contrôles. Ils doivent être peu nombreux, à secret scellé, avec une alerte immédiate à chaque usage — un accès de secours utilisé sans incident déclaré est un signal d'intrusion.
Erreurs de déploiement les plus fréquentes
- Commencer par l'outil plutôt que par l'inventaire. Un PAM ne protège que ce qu'il connaît. Les comptes de service, les clés d'API, les accès aux consoles d'administration des services externes et les identifiants intégrés dans des scripts sont les grands oubliés.
- Couvrir les administrateurs système et s'arrêter là. Un administrateur d'application métier, d'outil de messagerie ou de plateforme de paie détient un pouvoir considérable, souvent hors périmètre.
- Ignorer les prestataires. Les accès de tiers sont fréquemment les moins encadrés et les plus durables. Ils méritent un traitement au moins équivalent.
- Enregistrer sans exploiter. Des enregistrements que personne ne consulte ne produisent qu'un coût de stockage et un faux sentiment de contrôle.
- Sous-estimer l'adhésion des équipes. Un PAM perçu comme un obstacle sera contourné par des accès parallèles. L'élévation à la demande doit être rapide, sans quoi elle sera abandonnée dès la première urgence.
Articuler PAM et preuve d'intention
Le PAM répond bien à trois questions : qui peut obtenir un privilège, pour combien de temps, et qu'a-t-il fait. Il répond moins bien à une quatrième : est-ce bien cette personne, consciemment, qui demande cette élévation à cet instant ?
C'est là que la nature du facteur employé devient décisive. Une élévation validée par une approbation par notification peut être obtenue par lassitude ou par un appel se faisant passer pour le support. Une élévation validée par un challenge cognitif exige un raisonnement appliqué selon une méthode personnelle : il n'y a ni valeur à relayer, ni geste réflexe à provoquer.
Sur ce périmètre — le plus ciblé, le moins nombreux — le coût de déploiement d'un facteur robuste est faible et le bénéfice immédiat. C'est généralement le premier chantier à engager dans une trajectoire Zero Trust.
FAQ
PAM et IAM, quelle différence ?
L'IAM gère l'ensemble des identités et de leurs droits courants. Le PAM se concentre sur une population réduite aux pouvoirs étendus, avec des contrôles renforcés : coffre, élévation temporaire, enregistrement. Le second est une spécialisation du premier, pas un substitut.
Faut-il enregistrer toutes les sessions d'administration ?
Le principe est sain, mais son intérêt dépend de l'exploitation. Mieux vaut enregistrer les périmètres les plus critiques et analyser réellement ces enregistrements que tout capturer sans jamais l'ouvrir. Les obligations d'information des personnes s'appliquent également.
Comment gérer les comptes de service ?
Comme des identités à part entière : propriétaire désigné, portée minimale, rotation automatisée des secrets, suppression des secrets en dur dans le code, et surveillance des usages hors profil.
Le PAM est-il utile si tout est déjà en Zero Trust ?
Oui, ils sont complémentaires. Le Zero Trust évalue chaque requête ; le PAM traite spécifiquement le cycle de vie du privilège — comment il est obtenu, pour combien de temps, et sous quelle traçabilité.
Aller plus loin : valider l'élévation par une preuve d'intention · Zero Trust : principes · step-up authentication · le facteur cognitif sur les accès admin