Gouvernance et administration des identités

La gouvernance et l'administration des identités, souvent abrégées IGA, regroupent le modèle opératoire et les capacités permettant de piloter le cycle de vie des identités, les demandes d'accès, les workflows d'approbation, les certifications, les politiques et l'auditabilité. Elles relient la donnée identité, les règles d'accès, les applications et les exigences de conformité afin que les décisions d'accès restent explicables et maîtrisées. L'IGA (Identity Governance and Administration) regroupe traditionnellement la gouvernance et les capacités opérationnelles de provisioning au sein d'une même plateforme ; l'IAG (Identity and Access Governance) est un cadrage plus large centré sur la dimension gouvernance, indépendamment du moteur de provisioning.

La gestion des identités n'est plus seulement un enjeu de productivité : elle fait désormais partie de la cyber-résilience attendue par les régulateurs. Dans le cadre de la directive NIS2 (article 21), les entités essentielles et importantes doivent appliquer des mesures proportionnées couvrant la gestion des identités et le contrôle des accès ; dans le secteur financier, DORA ajoute ses propres exigences en matière de contrôle des accès et de preuves. Aucun de ces textes n'impose un outil particulier, mais tous deux rendent nécessaire de démontrer que les accès sont intentionnels, revus et maîtrisés.

C'est là que l'IGA apporte la preuve de conformité : une traçabilité complète de qui a accès à quoi, pourquoi et depuis quand ; des campagnes de recertification périodiques qui éliminent les comptes orphelins et les droits excessifs ; et l'application du moindre privilège, pour que chaque identité ne dispose que des accès strictement nécessaires à sa mission.