Ariovis

Cas d'usage · Belgique · NIS2 et CyberFundamentals

NIS2 en Belgique : de CyFun aux contrôles IAM vérifiables

En Belgique, NIS2 est déjà une réalité réglementaire. La loi du 26 avril 2024 est entrée en vigueur le 18 octobre 2024 et impose aux organisations concernées des mesures de gestion des risques, des obligations de notification et un dispositif de supervision. Le Centre pour la Cybersécurité Belgique (CCB) a structuré les parcours d'évaluation autour de CyberFundamentals (CyFun), d'ISO/IEC 27001 et de l'inspection directe, selon la situation de chaque entité.

La gestion des identités et des accès intervient au cœur de plusieurs de ces mesures : savoir qui dispose d'un compte, identifier les responsables des accès, maîtriser l'authentification, limiter les privilèges et vérifier que les habilitations restent légitimes. L'intérêt d'un programme IAM ne se mesure donc pas uniquement au nombre de comptes administrés, mais à sa capacité à maintenir ces contrôles dans le temps et à en produire des preuves exploitables.

Quelles organisations sont concernées par NIS2 en Belgique ?

Le champ d'application de NIS2 dépend des services fournis, de la taille de l'organisation et des règles permettant de la rattacher à la Belgique. Les secteurs concernés figurent notamment dans les annexes de la législation, avec des critères particuliers et des exceptions. Une organisation ne peut donc pas déduire son assujettissement du seul fait qu'elle appartient à un secteur sensible ou qu'elle possède une implantation belge.

La qualification doit être examinée à partir des activités réellement exercées, des seuils et exceptions applicables, ainsi que des éventuelles dispositions sectorielles. Le CCB met à disposition un outil officiel de vérification du champ d'application. Pour une organisation internationale, cette analyse doit aussi tenir compte des règles de compétence et de territorialité de NIS2.

Vérifier son assujettissement avant de choisir ses contrôles

Le CCB propose un outil de vérification du champ d'application de NIS2. Ce contrôle préalable permet d'orienter l'analyse réglementaire sans confondre une première estimation avec une qualification juridique définitive.

Accéder à l'outil officiel du CCB

Entité essentielle ou importante : ce que cela change

Les entités essentielles et les entités importantes sont soumises à des obligations de cybersécurité, mais leur supervision n'est pas organisée de manière identique. Les entités essentielles font l'objet d'une évaluation régulière obligatoire de leur conformité, tandis que les entités importantes relèvent principalement d'un régime de supervision a posteriori. Une entité importante peut néanmoins choisir de faire évaluer ses mesures et doit être en mesure de répondre aux demandes des autorités compétentes.

La catégorie juridique ne suffit pas à déterminer le niveau d'assurance CyFun pertinent. Une entité essentielle n'est pas automatiquement tenue d'obtenir le niveau CyFun Essential : le niveau approprié dépend de l'analyse de risques et du cadre d'évaluation retenu.

  • Entité essentielle

    Évaluation régulière obligatoire

    La loi prévoit une évaluation de conformité pouvant s'appuyer sur CyFun, sur ISO/IEC 27001 ou sur une inspection directe. Le niveau d'assurance, les preuves et les échéances doivent être appréciés suivant le parcours choisi et les dispositions applicables.

  • Entité importante

    Supervision principalement ex post

    Les obligations de gestion des risques et de notification restent applicables. En revanche, la loi ne prévoit pas pour toutes les entités importantes une obligation générale de certification ou de vérification périodique comparable à celle des entités essentielles.

Entité essentielle ≠ niveau CyFun Essential. Entité importante ≠ niveau CyFun Important.

Les dates clés de NIS2 en Belgique

La Belgique a déjà franchi les premières étapes de mise en œuvre de NIS2. Les échéances encore à venir concernent notamment l'évaluation de conformité de certaines entités essentielles. Leur portée dépend du parcours retenu et, dans certains cas, de la date à laquelle l'entité est entrée dans le périmètre réglementaire.

  1. Entrée en vigueur

    La loi belge NIS2 entre en vigueur.

  2. Enregistrement de certains prestataires numériques

    Date initiale prévue pour l'enregistrement de certaines catégories spécifiques de services numériques auprès du CCB.

  3. Enregistrement général

    Date initiale prévue pour l'enregistrement des autres entités entrant dans le champ d'application.

  4. CyFun 2025

    Publication de la nouvelle version du cadre CyberFundamentals, alignée notamment sur les principes du NIST Cybersecurity Framework 2.0.

  5. Premier jalon d'évaluation

    Échéance initiale importante pour les entités essentielles : vérification CyFun ou engagement formalisé dans ce parcours, transmission des documents ISO/IEC 27001, ou transmission des éléments demandés pour l'inspection directe, selon la voie retenue.

  6. Deuxième jalon

    Date prévue notamment pour certaines vérifications CyFun Important, les certifications CyFun Essential, les certifications ISO/IEC 27001 ou les rapports de progression du parcours d'inspection directe, selon le cas.

Ces dates correspondent au calendrier initial prévu par la réglementation belge et aux précisions publiées par le CCB. Elles ne constituent pas toutes des échéances universelles. Les conditions spécifiques de l'entité, son niveau d'assurance, sa date d'assujettissement et les communications officielles reçues doivent être examinés.

CyFun, ISO 27001 ou inspection directe : quel parcours d'évaluation ?

Pour les entités essentielles, la réglementation belge prévoit plusieurs voies d'évaluation de la conformité. Ces voies ne doivent pas être assimilées à trois niveaux de sécurité équivalents : elles possèdent leurs procédures, leurs exigences documentaires et leurs modalités de vérification propres. Le choix du parcours doit tenir compte de l'évaluation des risques, du champ d'application, des dispositifs déjà en place et des conditions reconnues par le CCB.

CyberFundamentals : un référentiel de contrôles structuré par les risques

CyberFundamentals est le référentiel de cybersécurité développé par le CCB. Il permet aux organisations de structurer leurs mesures selon plusieurs niveaux d'assurance : Basic, Important et Essential. Les niveaux correspondent à des exigences progressives, dont le choix dépend de l'évaluation des risques. Les mesures des niveaux supérieurs s'ajoutent aux exigences des niveaux inférieurs.

Dans le dispositif d'évaluation, les niveaux Basic et Important font l'objet d'une vérification, tandis que le niveau Essential relève d'une certification. Ces évaluations sont réalisées par des organismes d'évaluation de la conformité répondant aux conditions d'accréditation et d'agrément applicables.

Basic
Les mesures fondamentales destinées à couvrir les principaux risques de cybersécurité.
Important
Des mesures supplémentaires permettant de traiter des risques plus élevés, notamment certaines attaques ciblées.
Essential
Un niveau renforcé destiné à faire face à des menaces plus avancées et exigeant une certification selon le dispositif CyFun.

ISO 27001 : s'appuyer sur un système de management existant

Une organisation qui dispose déjà d'un système de management de la sécurité de l'information peut choisir le parcours ISO/IEC 27001 prévu par le dispositif belge. Cette voie repose notamment sur un périmètre de certification approprié, une déclaration d'applicabilité (Statement of Applicability, ou SoA) et la démonstration des mesures de sécurité mises en œuvre. Le CCB doit pouvoir apprécier l'adéquation du périmètre et de la déclaration d'applicabilité avec les exigences correspondantes.

Une certification ISO 27001 ne constitue donc pas automatiquement une preuve universelle de conformité NIS2. Elle doit notamment être délivrée dans les conditions d'accréditation et d'agrément applicables et couvrir les systèmes et les risques concernés.

Pour le parcours ISO/IEC 27001 des entités essentielles, le calendrier initial prévoyait la transmission, au plus tard le 18 avril 2026, du périmètre, de la SoA et du dernier audit interne pertinent. La certification reconnue selon les conditions du dispositif doit être obtenue au plus tard le 18 avril 2027 dans le cas général prévu.

Inspection directe : démontrer les mesures au CCB

Le dispositif belge prévoit également une voie d'inspection directe par le CCB. Pour les entités essentielles concernées, le calendrier initial comprenait la transmission d'une auto-évaluation CyFun ou d'éléments documentaires ISO/IEC 27001 au 18 avril 2026, puis un rapport de progression au 18 avril 2027.

Cette voie n'exonère pas l'organisation de ses obligations et peut conduire à des demandes de pièces, à des inspections et à des mesures de supervision. Elle doit être appréciée dans le cadre des procédures officielles.

  • CyFun

    Modalité
    Vérification Basic/Important ou certification Essential
    Preuve structurante
    Auto-évaluation, mesures et preuves selon le niveau

  • ISO/IEC 27001

    Modalité
    Certification dans les conditions reconnues
    Preuve structurante
    Périmètre, SoA, audit et certification

  • Inspection directe

    Modalité
    Supervision par le CCB
    Preuve structurante
    Auto-évaluation, documentation, rapports et éléments demandés

CyFun 2025 : que change la nouvelle version ?

CyFun 2025 fait évoluer le référentiel pour tenir compte notamment du NIST Cybersecurity Framework 2.0, des évolutions de la cybersécurité et des retours des organisations utilisatrices. Les contrôles sont structurés autour des fonctions Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir. La nouvelle version clarifie les objectifs des mesures, renforce les orientations de gouvernance et facilite l'évaluation de la maturité documentaire et opérationnelle.

Le CCB a prévu une période transitoire pendant laquelle CyFun 2023 et CyFun 2025 peuvent coexister. Jusqu'au 18 avril 2027, les organisations concernées peuvent choisir la version applicable dans les conditions du régime transitoire. Les déclarations de vérification et les certificats établis selon CyFun 2023 peuvent rester valables jusqu'au 18 avril 2028 au plus tard, conformément aux dispositions transitoires. Pour préparer une démarche actuelle, il convient donc d'identifier précisément la version utilisée, sans supposer que les références et les contrôles des deux éditions sont interchangeables.

Découvrir CyberFundamentals 2025 et ses outils

De CyFun aux contrôles IAM : ce qu'il faut mettre en œuvre

Dans CyberFundamentals 2025, plusieurs mesures de la famille PR.AA (Identity Management, Authentication, and Access Control) concernent directement la gouvernance des identités, l'authentification et les droits d'accès. Leur mise en œuvre ne se résume pas à une configuration technique : elle nécessite des responsabilités identifiées, des règles formalisées et une capacité à vérifier les résultats.

Les correspondances ci-dessous reposent sur des mesures publiées dans le niveau Basic de CyFun 2025. Les mécanismes IAM et les preuves proposés constituent une traduction opérationnelle de ces mesures. Ils ne doivent pas être confondus avec une reproduction exhaustive des exigences normatives ni avec une attestation de conformité.

  • Référence CyFun

    CyFun 2025 — PR.AA-01.1

    Gouverner les identités

    Objet de la mesure
    Gérer les identités et les informations d'authentification des utilisateurs, services et équipements autorisés.
    Analyse Ariovis
    L'organisation doit pouvoir distinguer une identité, les comptes qui lui sont associés et les droits qui lui sont attribués. Un référentiel IAM apporte une vision structurée des collaborateurs, des prestataires et des comptes techniques, mais cette vision doit être reliée aux référentiels métier, aux propriétaires des ressources et aux événements de cycle de vie. La création d'un compte n'est qu'une étape : sa modification et sa désactivation doivent également relever d'un processus maîtrisé.
    Mécanismes IAM possibles
    • Référentiel d'identités.
    • Rapprochement identité / compte.
    • Processus Joiner / Mover / Leaver.
    • Identification des propriétaires des comptes techniques.
    • Provisioning et déprovisioning.
    Preuves opérationnelles possibles
    Inventaire des identités et comptes, identification des responsables, historique des créations et désactivations, règles de cycle de vie et rapports d'écarts.

  • Référence CyFun

    CyFun 2025 — PR.AA-03.2

    Maîtriser l'authentification multifacteur

    Objet de la mesure
    Imposer l'authentification multifacteur pour les accès distants aux réseaux de l'organisation.
    Analyse Ariovis
    Le MFA doit être déployé sur les parcours concernés, mais sa valeur dépend également de la manière dont les identités, les mécanismes d'authentification et les exceptions sont administrés. Une politique lisible doit préciser les populations, les ressources, les moyens d'authentification et les situations exceptionnelles. D'autres scénarios sensibles peuvent justifier une protection renforcée au regard des risques, sans que cela autorise à élargir artificiellement le libellé de cette mesure CyFun.
    Mécanismes IAM possibles
    • Fournisseur d'identité.
    • MFA sur les accès distants concernés.
    • Politiques d'authentification.
    • Gestion des exceptions.
    • Journalisation des modifications de politiques.
    Preuves opérationnelles possibles
    Liste des parcours couverts, configuration des politiques MFA, états de déploiement, exceptions documentées et traces d'administration.

  • Référence CyFun

    CyFun 2025 — PR.AA-05.1

    Gouverner et revoir les droits

    Objet de la mesure
    Définir, gérer, appliquer et revoir les permissions, droits d'accès et autorisations.
    Analyse Ariovis
    Les habilitations doivent être gouvernées depuis leur attribution jusqu'à leur retrait. Un catalogue de droits sans responsables ou une campagne de recertification qui ne débouche sur aucune correction ne suffisent pas à démontrer un contrôle opérationnel. L'enjeu consiste à définir les règles, à identifier les décideurs, à appliquer les droits effectivement approuvés et à conserver la trace des décisions et des remédiations.
    Mécanismes IAM possibles
    • Catalogue des habilitations.
    • Workflows de demande et d'approbation.
    • Rôles et règles d'attribution.
    • Recertification.
    • Révocation et déprovisioning.
    Preuves opérationnelles possibles
    Matrice des droits, décisions d'approbation, campagnes de revue, écarts constatés, remédiations effectuées et historique des révocations.

  • Référence CyFun

    CyFun 2025 — PR.AA-05.2

    Identifier les besoins d'accès critiques

    Objet de la mesure
    Déterminer les personnes ayant besoin d'accéder aux informations et technologies critiques pour l'organisation, ainsi que les moyens d'accès correspondants.
    Analyse Ariovis
    La gouvernance des accès nécessite de connaître les ressources importantes et les responsabilités qui leur sont associées. Une analyse purement technique des groupes d'annuaire ne suffit pas toujours : le propriétaire d'une application ou d'une donnée doit pouvoir expliquer quelles populations ont légitimement besoin d'y accéder. Ce rapprochement entre criticité, usage métier et habilitation permet de prioriser les contrôles.
    Mécanismes IAM possibles
    • Inventaire des applications et ressources critiques.
    • Identification des propriétaires métier et techniques.
    • Cartographie des droits.
    • Qualification des accès sensibles.
    • Contrôles ciblés sur les ressources prioritaires.
    Preuves opérationnelles possibles
    Inventaire des ressources critiques, propriétaires désignés, matrice d'accès, politiques validées et historique des décisions.

  • Référence CyFun

    CyFun 2025 — PR.AA-05.3

    Appliquer le moindre privilège

    Objet de la mesure
    Limiter les droits et autorisations aux systèmes et informations nécessaires à la réalisation des tâches.
    Analyse Ariovis
    Le moindre privilège consiste à aligner les permissions avec les besoins réels, sans conserver indéfiniment des droits attribués pour une situation passée. Les modèles de rôles peuvent répondre à une partie des besoins, mais certains accès nécessitent une granularité supplémentaire ou une décision contextualisée. La gouvernance des habilitations doit donc rester cohérente avec les mécanismes d'autorisation effectivement utilisés par les applications.
    Mécanismes IAM possibles
    • Rôles métier et techniques.
    • Politiques de moindre privilège.
    • Réduction des droits excessifs.
    • Revue des exceptions.
    • Autorisation fine lorsque nécessaire.
    Preuves opérationnelles possibles
    Règles d'habilitation, résultats de contrôles, décisions de réduction des droits, revues d'exceptions et traces de modification des autorisations.

  • Référence CyFun

    CyFun 2025 — PR.AA-05.4

    Séparer administration et usage courant

    Objet de la mesure
    Éviter l'utilisation de privilèges administratifs pour les tâches quotidiennes courantes.
    Analyse Ariovis
    La maîtrise des privilèges doit porter sur les actions permises et sur les conditions de leur exécution. Séparer les usages administratifs des usages bureautiques, limiter les droits permanents et contrôler certaines élévations permet de réduire l'exposition des comptes sensibles. Une solution PAM peut participer à cette maîtrise, mais son déploiement ne constitue pas à lui seul une politique de moindre privilège.
    Mécanismes IAM possibles
    • Comptes administratifs distincts.
    • Gestion des habilitations privilégiées.
    • Élévation temporaire lorsque nécessaire.
    • Contrôle des sessions et des secrets.
    • Traçabilité des opérations sensibles.
    Preuves opérationnelles possibles
    Inventaire des comptes privilégiés, règles d'utilisation, droits permanents identifiés, traces d'élévation, journaux des opérations concernées et revues d'habilitations.

Réutiliser les contrôles CyFun dans une gouvernance IAM commune

Les contrôles CyFun de gestion des identités, d'authentification et de maîtrise des droits peuvent s'appuyer sur des processus IAM déjà utilisés dans d'autres référentiels. Leur mise en correspondance doit néanmoins distinguer les objectifs de sécurité communs, les exigences propres au cadre belge et les preuves réellement attendues dans le parcours d'évaluation choisi.

Référence éditoriale : 19 octobre 2026 · Rapprochements thématiques et contributions opérationnelles

Identités et cycle de vieCyFun 2025 · BasicPR.AA-01.1

Identifier les utilisateurs, les services et leurs comptes

Problème traité
Une personne quitte l'organisation, change de poste ou perd la responsabilité d'un service, mais les comptes et droits qui lui étaient associés demeurent actifs. À l'inverse, certains comptes techniques existent sans propriétaire ou usage clairement identifié.
Effet recherché
Relier chaque compte à une identité ou à un processus autorisé, puis maîtriser son cycle de vie jusqu'à sa désactivation.

ReCyF — version de travail 2.5

  • 10.A.1-EI/EE

    Comptes individuels pour les utilisateurs et les processus automatiques.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.2-EI/EE

    Utilisation des comptes individuels réservée à leur titulaire.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.5-EI/EE

    Désactivation des comptes devenus inutiles dans les délais définis par la politique de gestion des comptes.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.6-EI/EE

    Revue des comptes au moins annuelle, avec correction des anomalies.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-01.1 — Basic

    Gestion des identités et informations d'authentification des utilisateurs, services et équipements autorisés.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.5.16

    Gestion des identités.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.5.18

    Droits d'accès, notamment leur gestion et leur révision.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

La gouvernance commence par la capacité à distinguer une personne, une identité, un compte et une habilitation. Un système IAM peut rapprocher ces objets à partir de sources de référence et orchestrer les événements d'arrivée, de mobilité et de départ. Il doit aussi traiter les comptes techniques, dont la légitimité dépend d'un usage et d'un propriétaire, même lorsqu'aucune personne ne les utilise directement.

L'automatisation n'a de valeur que si les événements sont fiables et si les systèmes cibles exécutent réellement les décisions. Une source RH erronée ou un compte sans correspondance peut sinon produire une fausse impression de maîtrise.

Mécanismes IAM

  • Référentiel d'identités.
  • Corrélation identité / compte.
  • Sources RH ou autres sources autoritatives.
  • Processus Joiner / Mover / Leaver.
  • Provisioning.
  • Déprovisioning.
  • Reconciliation et contrôle des écarts.

Preuves possibles

  • Inventaire des comptes actifs.
  • Rattachement à une identité ou à un processus.
  • Propriétaire des comptes techniques.
  • Historique des créations et désactivations.
  • Traces des événements de départ.
  • Liste des écarts non résolus.
  • Résultats des revues de comptes.
Responsabilités types
Référentiel RH, responsable IAM, propriétaires des comptes ou applications, exploitation.
Indicateur possible
Part des comptes actifs dont le propriétaire ou l'identité de rattachement est identifié.

Nature et limites des rapprochements

objectif proche de gestion des identités, mais sans identité démontrée des modalités de cycle de vie ou de périodicité.

Correspondance thématique, selon l'applicabilité définie dans le SMSI.

L'automatisation n'a de valeur que si les événements sont fiables et si les systèmes cibles exécutent réellement les décisions. Une source RH erronée ou un compte sans correspondance peut sinon produire une fausse impression de maîtrise.

Approfondir : Identités et cycle de vie

Approfondissement technique dans le contexte du ReCyF français.

Authentification et secretsCyFun 2025 · BasicPR.AA-03.2

Authentifier avec des mécanismes adaptés au risque

Problème traité
Une organisation possède une politique d'authentification, mais ne sait pas précisément quels accès sont protégés, comment les exceptions sont gérées ou à quel moment les secrets doivent être remplacés.
Effet recherché
Maîtriser les mécanismes d'authentification, leur couverture, la gestion des secrets et les exceptions documentées.

ReCyF — version de travail 2.5

  • 10.B.1-EI/EE

    Mécanisme d'authentification utilisant au moins un élément secret.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.2-EI/EE

    Modification des secrets configurés par défaut avant mise en service.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Le texte prévoit aussi de s'assurer auprès du fournisseur des moyens et droits nécessaires au changement.

    Version de travail 2.5 du 17 mars 2026

  • 10.B.3-EI/EE

    Renouvellement de l'élément secret d'un compte partagé lorsqu'un utilisateur de ce compte est retiré.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.4-EI/EE

    Connaissance des éléments secrets réservée aux utilisateurs autorisés.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.5-EI/EE

    Respect des recommandations applicables aux facteurs d'authentification et à leur gestion.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Le texte vise la complexité et la fréquence de renouvellement selon les recommandations ANSSI, compte tenu du maximum techniquement permis.

    Version de travail 2.5 du 17 mars 2026

  • 10.B.6-EI/EE

    Mesures de réduction du risque lorsqu'un élément secret ne peut pas être modifié pour des raisons techniques ou opérationnelles.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Cette exception exige un contrôle d'accès approprié et une réduction du risque lié au secret fixe ; la traçabilité supplémentaire relève de 10.B.7-EE.

    Version de travail 2.5 du 17 mars 2026

  • 10.B.7-EE

    Traçabilité supplémentaire dans le cadre de l'exception prévue au contrôle précédent, pour les entités essentielles.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-03.2 — Basic

    MFA requis pour accéder à distance aux réseaux de l'organisation.

    Rapprochement thématique · Vérification documentaire à confirmer

    Portée du brief à confirmer dans le livret Basic : l'annexe Key Measures indexée emploie une formulation différente pour 2025. Le livret détaillé n'a pas pu être lu (HTTP 403).

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.5.17

    Informations d'authentification.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.5

    Authentification sécurisée.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

Une politique d'authentification ne se mesure pas uniquement à l'existence d'un MFA. Elle doit permettre de comprendre quels parcours sont protégés, quels mécanismes sont utilisés, comment les exceptions sont autorisées et comment les informations d'authentification sont administrées. Les secrets techniques et les accès partagés nécessitent également un traitement adapté à leurs usages réels.

L'IGA gouverne les identités et les droits associés, tandis que l'Access Management applique les politiques d'authentification. Les solutions de gestion des secrets et de PAM interviennent lorsque les comptes et les opérations concernés nécessitent des contrôles supplémentaires.

Mécanismes IAM

  • IdP et Access Management.
  • MFA.
  • Fédération.
  • Politiques d'authentification.
  • Gestion des exceptions.
  • Coffres de secrets.
  • Rotation des secrets selon les besoins et règles applicables.
  • Journalisation des modifications sensibles.

Preuves possibles

  • Inventaire des parcours d'authentification.
  • Politiques MFA appliquées.
  • Couverture des accès distants concernés.
  • Exceptions autorisées et justifiées.
  • Historique des changements de politique.
  • Traces de rotation des secrets concernés.
Responsabilités types
Responsable Access Management, sécurité, responsables applicatifs et exploitation des secrets.
Indicateur possible
Part des parcours d'accès distants identifiés qui sont effectivement couverts par le MFA prévu.

Nature et limites des rapprochements

cette mesure ne doit pas être présentée comme imposant textuellement le MFA à toutes les applications, pour toutes les connexions et sans distinction de contexte.

Approfondir : Authentification et secrets

Approfondissement technique dans le contexte du ReCyF français.

Droits et recertificationCyFun 2025 · BasicPR.AA-05.1 à PR.AA-05.3

Attribuer, revoir et retirer les droits légitimes

Problème traité
Les droits s'accumulent à mesure que les collaborateurs changent de fonction. Les propriétaires des applications ne disposent pas toujours d'une vision claire des permissions attribuées et les campagnes de revue peuvent rester sans correction effective.
Effet recherché
Maintenir les habilitations au niveau du besoin réel, documenter les décisions et contrôler leur application.

ReCyF — version de travail 2.5

  • 10.C.1-EI/EE

    Droits attribués aux utilisateurs et processus automatiques authentifiés.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.C.2-EI/EE

    Limitation des droits aux ressources nécessaires.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.C.3-EI/EE

    Attribution des droits aux seuls utilisateurs et processus justifiant un besoin sur la ressource.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.C.4-EI/EE

    Revue des droits au moins annuelle, avec correction des anomalies.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-05.1 — Basic

    Définir, gérer, appliquer et revoir les permissions, droits d'accès et autorisations.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

  • PR.AA-05.2 — Basic

    Déterminer les personnes qui ont besoin d'accéder aux informations et technologies critiques.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

  • PR.AA-05.3 — Basic

    Limiter les droits et privilèges aux besoins nécessaires à la réalisation des tâches.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.5.15

    Contrôle d'accès.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.5.18

    Droits d'accès.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.3

    Restriction de l'accès aux informations.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.5.3

    Séparation des tâches, lorsque pertinente pour le contrôle étudié.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

La gouvernance des habilitations exige de relier une décision métier à un droit effectivement présent dans le système. Une demande approuvée, une règle de rôle ou une campagne de recertification ne suffit pas si les autorisations techniques ne sont pas alignées avec le résultat attendu. Le contrôle doit couvrir la légitimité du droit, son attribution, ses éventuelles exceptions et son retrait.

Les modèles de rôles permettent d'industrialiser une partie des décisions. Ils doivent néanmoins rester adaptés à l'organisation et peuvent être complétés par des mécanismes d'autorisation fine lorsque les décisions dépendent de la ressource, de l'action ou du contexte.

Mécanismes IAM

  • Catalogue d'habilitations.
  • Propriétaires des ressources.
  • Rôles métier et techniques.
  • Règles d'attribution.
  • Demandes et validations.
  • Campagnes de recertification.
  • Gestion des exceptions.
  • Révocation.
  • Contrôles d'écart entre droits théoriques et effectifs.

Preuves possibles

  • Matrice des droits.
  • Validation des propriétaires.
  • Historique des demandes.
  • Décisions de recertification.
  • Liste des exceptions.
  • Corrections effectuées.
  • Journal des révocations.
Responsabilités types
Propriétaires métier, responsables applicatifs, responsables IAM et exploitation des droits.
Indicateur possible
Part des décisions de révocation effectivement exécutées et vérifiées dans les systèmes cibles.

Nature et limites des rapprochements

La gouvernance des habilitations exige de relier une décision métier à un droit effectivement présent dans le système. Une demande approuvée, une règle de rôle ou une campagne de recertification ne suffit pas si les autorisations techniques ne sont pas alignées avec le résultat attendu. Le contrôle doit couvrir la légitimité du droit, son attribution, ses éventuelles exceptions et son retrait.

Approfondir : Droits et recertification

Approfondissement technique dans le contexte du ReCyF français.

Comptes partagésCyFun 2025 · BasicPR.AA-01.1, PR.PS-04.1 — liens indirects

Encadrer les comptes partagés et préserver l'imputabilité

Problème traité
Certains systèmes historiques ou contraintes opérationnelles conduisent à l'utilisation de comptes partagés. Sans dispositif adapté, il devient difficile de savoir quelle personne a utilisé le compte, à quel moment et pour quelle opération.
Effet recherché
Limiter les usages partagés, justifier les exceptions et conserver une attribution exploitable des accès concernés.

ReCyF — version de travail 2.5

  • 10.A.2-EI/EE

    Utilisation des comptes individuels réservée à leur titulaire.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.3-EI/EE

    Mesures compensatoires et traçabilité lorsque des contraintes empêchent le recours à des comptes individuels.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.3-EI/EE

    Renouvellement de l'élément secret d'un compte partagé après retrait d'un utilisateur de ce compte.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.4-EI/EE

    Protection de la connaissance des secrets.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.6-EI/EE

    Exception relative aux secrets qui ne peuvent pas être modifiés, avec exigence supplémentaire de traçabilité pour les EE dans le cas prévu.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Cette exception exige un contrôle d'accès approprié et une réduction du risque lié au secret fixe ; la traçabilité supplémentaire relève de 10.B.7-EE.

    Version de travail 2.5 du 17 mars 2026

  • 10.B.7-EE

    Exception relative aux secrets qui ne peuvent pas être modifiés, avec exigence supplémentaire de traçabilité pour les EE dans le cas prévu.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

ISO/IEC 27001:2022

  • A.5.16

    Gestion des identités.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.5.17

    Informations d'authentification.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.15

    Journalisation.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

La traçabilité d'un compte partagé ne se résume pas à la conservation de ses journaux techniques. Elle suppose de pouvoir comprendre les conditions dans lesquelles le compte a été utilisé et de rattacher son usage à une personne ou à une opération autorisée. Lorsque les comptes individuels ne sont pas possibles, il faut donc documenter l'exception, définir les mesures compensatoires et vérifier qu'elles restent opérationnelles.

La gestion des secrets, le contrôle des sessions et les procédures d'exploitation peuvent contribuer à cette maîtrise. Aucun de ces mécanismes ne doit être présenté comme une autorisation générale de partager des comptes sans justification.

Mécanismes IAM

  • Inventaire des comptes partagés.
  • Justification des exceptions.
  • Désignation des responsables.
  • Gestion des secrets.
  • Rotation à la révocation d'un utilisateur concerné.
  • Contrôle d'accès.
  • Traçabilité des usages.
  • Révision des exceptions.

Preuves possibles

  • Registre des comptes partagés.
  • Justification technique ou opérationnelle.
  • Liste des utilisateurs autorisés.
  • Traces de rotation.
  • Journaux pertinents.
  • Résultats des contrôles périodiques.
  • Décisions de maintien ou de suppression des exceptions.
Responsabilités types
Propriétaire du système, responsable sécurité, responsable PAM ou secrets, exploitation.
Indicateur possible
Part des comptes partagés identifiés disposant d'une exception justifiée et d'un dispositif de traçabilité documenté.

Nature et limites des rapprochements

Ces mesures constituent des points d'appui thématiques. Elles ne doivent pas être présentées comme une transposition textuelle des exceptions aux comptes partagés prévues par le ReCyF.

Correspondances thématiques, à apprécier selon le périmètre et les contrôles retenus.

Approfondir : Comptes partagés

Approfondissement technique dans le contexte du ReCyF français.

Annuaires et privilègesCyFun 2025 · BasicPR.AA-05.1, PR.AA-05.4, ID.AM-08.2

Sécuriser les annuaires et les chemins d'administration

Problème traité
Une organisation dispose d'une gouvernance IAM, mais certains groupes, délégations, comptes administratifs et mécanismes hérités dans ses annuaires permettent encore des accès excessifs ou des escalades de privilèges.
Effet recherché
Articuler la gouvernance IAM avec la sécurité technique des annuaires et la maîtrise des droits d'administration.

ReCyF — version de travail 2.5

  • 11.A.1-EI/EE

    Séparation des comptes d'administration et de leur usage.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    L'administration se fait exclusivement via des comptes d'administration, eux-mêmes réservés exclusivement à ces actions.

    Version de travail 2.5 du 17 mars 2026

  • 11.A.3-EI/EE

    Application des règles de gestion des identités aux comptes d'administration.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Les règles concernent les identités et les accès des comptes d'administration.

    Version de travail 2.5 du 17 mars 2026

  • 11.A.4-EE

    Usage des comptes d'administration limité aux ressources et opérations d'administration prévues.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Connexion aux ressources administrées pour les administrer, ou à une ressource d'administration.

    Version de travail 2.5 du 17 mars 2026

  • 11.B.1-EI/EE

    Application des correctifs de sécurité sur les annuaires concernés.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Les correctifs doivent être appliqués sans retard injustifié.

    Version de travail 2.5 du 17 mars 2026

  • 11.B.2-EE

    Identification des ressources constituant le cœur de confiance de chaque annuaire.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    Le cœur de confiance comprend l'annuaire et les ressources permettant de l'héberger ou d'en prendre le contrôle.

    Version de travail 2.5 du 17 mars 2026

  • 11.B.6-EE

    Revue annuelle de la configuration des annuaires.

    Rapprochement thématique · Identifiant et applicabilité vérifiés dans le document officiel

    La revue vise les éléments inutiles ou anormaux ; un outil automatisé est recommandé, non imposé par cette ligne.

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-05.1 — Basic

    Gestion et revue des droits.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

  • PR.AA-05.4 — Basic

    Absence de privilèges administratifs pour les tâches courantes.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

  • ID.AM-08.2 — Basic

    Installation des correctifs et mises à jour de sécurité sur les systèmes et composants critiques concernés.

    Rapprochement thématique · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.8.2

    Droits d'accès privilégiés.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.9

    Gestion des configurations.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.15

    Journalisation.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

La sécurité des annuaires ne découle pas automatiquement de la gouvernance des habilitations. L'IGA peut contrôler l'attribution de groupes et de droits, mais la protection d'Active Directory ou de LDAP nécessite aussi une analyse des délégations, des comptes sensibles, des configurations et des chemins permettant d'atteindre les ressources critiques. Les corrections doivent être priorisées selon les risques plutôt que limitées à un inventaire de comptes administratifs.

Le PAM intervient sur certains usages privilégiés, mais la réduction des privilèges permanents et la sécurisation du cœur de confiance exigent également des décisions d'architecture, de configuration et d'exploitation. Un bastion ne suffit pas à supprimer les chemins d'attaque présents dans l'annuaire.

Mécanismes IAM

  • Revue des comptes administratifs.
  • Analyse des groupes sensibles.
  • Séparation des usages administratifs.
  • Analyse des délégations.
  • Réduction des privilèges.
  • Contrôle des chemins d'attaque.
  • Revue de configuration des annuaires.
  • Gestion des correctifs.
  • Journalisation des changements critiques.

Preuves possibles

  • Inventaire des comptes et groupes privilégiés.
  • Justification des droits sensibles.
  • Cartographie des chemins d'attaque.
  • Historique des remédiations.
  • Rapports de revue de configuration.
  • Suivi des correctifs.
  • Journaux de changements privilégiés.
Responsabilités types
Équipe annuaire, architecte IAM, sécurité des identités, responsable PAM et exploitation.
Indicateur possible
Nombre de chemins d'attaque critiques identifiés puis supprimés ou maîtrisés selon un périmètre documenté.

Nature et limites des rapprochements

Ces références ne constituent pas une description exhaustive du durcissement d'Active Directory ni une équivalence aux exigences françaises sur le cœur de confiance.

Approfondir : Annuaires et privilèges

Approfondissement technique dans le contexte du ReCyF français.

Identités machines et certificatsCyFun 2025 · BasicPR.AA-01.1

Gouverner les identités machines et leurs mécanismes de confiance

Problème traité
Une organisation connaît les comptes de ses collaborateurs, mais maîtrise insuffisamment les identités des applications, équipements et processus automatiques. Certains certificats, secrets ou comptes techniques persistent sans propriétaire identifié ni cycle de vie documenté.
Effet recherché
Relier les identités techniques à leurs usages et contrôler les moyens cryptographiques associés lorsque ceux-ci sont utilisés.

ReCyF — version de travail 2.5

  • 10.A.1-EI/EE

    Identification individuelle des utilisateurs et processus automatiques accédant aux ressources.

    Contribution opérationnelle · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.A.5-EI/EE

    Désactivation des comptes devenus inutiles.

    Contribution opérationnelle · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.1-EI/EE

    Mécanismes d'authentification des utilisateurs et processus automatiques.

    Contribution opérationnelle · Identifiant et applicabilité vérifiés dans le document officiel

    Version de travail 2.5 du 17 mars 2026

  • 10.B.2-EI/EE

    Changement des éléments secrets configurés par défaut.

    Contribution opérationnelle · Identifiant et applicabilité vérifiés dans le document officiel

    Le texte prévoit aussi de s'assurer auprès du fournisseur des moyens et droits nécessaires au changement.

    Version de travail 2.5 du 17 mars 2026

CyFun 2025 — Basic

  • PR.AA-01.1 — Basic

    Gestion des identités et informations d'authentification des utilisateurs, services et équipements.

    Contribution opérationnelle · Vérification documentaire à confirmer

    CyFun 2025 — Basic, 1er octobre 2025

ISO/IEC 27001:2022

  • A.5.16

    Gestion des identités.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

  • A.8.24

    Utilisation de la cryptographie.

    Rapprochement thématique · Vérification documentaire à confirmer

    ISO/IEC 27001:2022

Les contrôles de l'annexe A doivent être examinés selon l'évaluation des risques, le périmètre du SMSI et la déclaration d'applicabilité (SoA).

Références européennes — article 21(2)

Directive NIS2

  • Article 21(2)(h)

    cryptographie et, le cas échéant, chiffrement.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(i)

    sécurité des ressources humaines, contrôle d'accès et gestion des actifs.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

  • Article 21(2)(j)

    MFA ou authentification continue lorsque cela est approprié.

    Contribution opérationnelle · Vérification documentaire à confirmer

    Directive (UE) 2022/2555

Analyse Ariovis

Une identité machine ne se résume pas à un compte de service. Elle peut être portée par un certificat, une clé, un jeton, un compte applicatif ou plusieurs mécanismes combinés. L'organisation doit distinguer la légitimité de cette identité, les ressources qu'elle peut atteindre et les moyens techniques permettant de l'authentifier.

L'IAM peut gouverner les propriétaires, les usages et les habilitations de ces identités. La PKI assure la gestion des certificats et des mécanismes cryptographiques correspondants. La maîtrise du risque exige une articulation entre ces responsabilités, notamment lorsqu'une application est abandonnée, qu'un certificat expire ou qu'un secret doit être révoqué.

Mécanismes IAM

  • Inventaire des identités machines.
  • Identification des propriétaires.
  • Gestion des comptes de service.
  • Cycle de vie des identités techniques.
  • Inventaire des certificats concernés.
  • Attribution et retrait des droits.
  • Émission, renouvellement et révocation des certificats par les dispositifs appropriés.
  • Contrôle des secrets et clés associés.

Preuves possibles

  • Inventaire des identités non humaines.
  • Propriétaire et usage documentés.
  • Références des comptes ou certificats associés.
  • Dates de validité et renouvellement.
  • Historique des révocations.
  • Résultats des revues de droits.
  • Traitement des identités devenues inutiles.
Responsabilités types
Responsables applicatifs, équipe IAM, équipe PKI, exploitation et sécurité.
Indicateur possible
Part des identités techniques critiques disposant d'un propriétaire et d'un mécanisme de renouvellement ou de révocation documenté.

Nature et limites des rapprochements

Aucune des références citées ne doit être présentée comme imposant systématiquement le déploiement d'une PKI complète pour l'ensemble des organisations.

Les certificats constituent un mécanisme technique possible pour certains usages. Leur gestion dépend des besoins d'authentification, de confiance et de cryptographie concernés.

Approfondir : Identités machines et certificats

Approfondissement technique dans le contexte du ReCyF français.

Une politique d'accès ne suffit pas : il faut démontrer son application

CyFun distingue la maturité des politiques et la maturité de leur mise en œuvre. Cette distinction est particulièrement pertinente pour les identités et les accès : une procédure de départ peut être parfaitement documentée sans que les comptes soient effectivement désactivés, et une politique de moindre privilège peut exister sans que les droits historiques aient été revus. La qualité du contrôle dépend donc de l'écart entre la règle prévue et les pratiques observables.

Un dispositif IAM bien gouverné permet de rapprocher ces deux dimensions. Il relie les décisions prises par les métiers et les équipes de sécurité aux opérations exécutées dans les systèmes, puis conserve les éléments nécessaires pour vérifier le résultat. Cette capacité doit être pensée dès la conception des processus, plutôt qu'ajoutée au moment d'une évaluation.

  • Départ d'un prestataire

    Situation
    un prestataire quitte l'organisation alors qu'il possède des comptes dans plusieurs applications.
    Contrôle attendu
    le départ doit déclencher le retrait des accès selon les règles définies.
    Preuves possibles
    événement de départ, décisions de révocation, traces de désactivation et traitement des éventuels écarts.

  • Intervention administrative sensible

    Situation
    un administrateur doit effectuer ponctuellement une opération privilégiée.
    Contrôle attendu
    l'accès utilisé doit être cohérent avec les responsabilités, les autorisations et les conditions prévues.
    Preuves possibles
    identité de l'intervenant, droit attribué, durée et contexte de l'accès, journalisation de l'opération lorsque nécessaire.

  • Compte technique sans propriétaire identifié

    Situation
    un compte de service dispose de permissions importantes, mais aucun responsable n'est clairement identifié.
    Contrôle attendu
    le compte doit être rattaché à un usage et à un responsable, avec une décision explicite sur les droits et les mécanismes d'authentification associés.
    Preuves possibles
    inventaire, propriétaire désigné, justification des droits, date de revue et historique des corrections.

L'IAM contribue à NIS2, sans couvrir l'ensemble de la réglementation

La gouvernance des identités et des accès ne remplace ni l'analyse globale des risques, ni la gestion des incidents, ni la sécurité de la chaîne d'approvisionnement, ni les exigences de continuité ou de gouvernance prévues par NIS2. Les mécanismes IAM doivent s'inscrire dans un dispositif de cybersécurité plus large, piloté par les responsables compétents et adapté aux risques de l'organisation.

De la même manière, une plateforme IGA ne remplace pas un fournisseur d'identité, un mécanisme MFA ou une solution PAM. Chaque brique répond à un besoin différent : gouverner les droits, authentifier, contrôler les privilèges, appliquer les autorisations et conserver les traces. Leur valeur vient de la cohérence des responsabilités et des processus, pas de leur simple juxtaposition.

Construire les contrôles IAM adaptés à votre organisation

Les contrôles à mettre en œuvre dépendent du système d'information existant, des risques et des responsabilités déjà définies. Ariovis intervient aussi bien sur le cadrage des processus que sur l'intégration des mécanismes techniques et leur exploitation. L'objectif est de disposer de contrôles utiles au fonctionnement quotidien, dont les résultats peuvent être vérifiés dans le cadre d'une démarche CyFun, ISO 27001 ou d'un contrôle interne.

Sources réglementaires et techniques

Cette analyse s'appuie sur les publications officielles du Centre pour la Cybersécurité Belgique, sur les informations de Safeonweb@Work et sur les documents du référentiel CyberFundamentals 2025. Les dates et procédures sont celles connues au 19 octobre 2026. Les obligations propres à chaque entité doivent être vérifiées à partir de sa situation et des communications officielles qui lui sont applicables.

Rendre vos contrôles IAM démontrables dans votre démarche CyFun

Une évaluation CyFun ou une démarche ISO 27001 nécessite des éléments cohérents avec les mesures retenues, mais la production de preuves ne doit pas devenir un exercice déconnecté du fonctionnement quotidien. Ariovis accompagne la gouvernance des identités et des habilitations, la sécurisation des parcours d'accès et l'industrialisation des contrôles qui relèvent de son expertise. Le travail vise à rendre les processus plus fiables et leurs résultats vérifiables, dans le cadre d'évaluation applicable à votre organisation.

Échanger sur mes contrôles IAM et mes preuves CyFun
Découvrir notre approche de gouvernance des identités