Guide opérationnel · Objectif de sécurité 10

NIS2 : ce qu’un IAG permet réellement de mettre en place.

L’ANSSI consacre l’objectif 10 du ReCyF à la gestion des identités et des accès. Nous avons repris ses 17 mesures une par une pour montrer où un IAG intervient, comment le mettre en œuvre et quelles briques restent nécessaires.

Entrée 1

Explorer les 17 mesures ANSSI

Je connais le ReCyF et je veux comprendre la réponse IAG.

Voir la carte des mesures Entrée 2

Partir d’un problème concret

Je veux automatiser une arrivée, un départ, une revue des droits…

Voir les huit situations

Entrée 3

Préparer mon chantier

La feuille de route : les 17 mesures avec l’action à mener, la brique complémentaire, les traces disponibles et un état de travail à tenir. Imprimable.

Pas de score de conformité. Pas de raccourci « IAM = conforme NIS2 ». Le guide distingue ce que l’IAG traite, ce qu’il facilite et ce qui relève d’autres briques.

Je pars de mon problème

Huit situations, huit modes d’emploi.

Chaque situation mène au mode d’emploi correspondant et indique les mesures ANSSI qu’il met en pratique.

Une personne arrive

Créer son identité, ses comptes et les bons accès.

Mode d’emploi : Automatiser une arrivée

10.A.1-EI/EE10.C.1-EI/EE10.C.2-EI/EE10.C.3-EI/EE

Une personne change de poste

Ajouter les nouveaux droits et retirer ceux qui ne sont plus nécessaires.

Mode d’emploi : Gérer un changement de poste sans accumuler les droits

10.C.2-EI/EE10.C.3-EI/EE

Une personne quitte l’entreprise

Désactiver les comptes et retirer rapidement les accès.

Mode d’emploi : Automatiser un départ

10.A.5-EI/EE10.C.2-EI/EE10.C.3-EI/EE

Quelqu’un demande un accès

Encadrer la demande, la validation et l’attribution.

Mode d’emploi : Encadrer les demandes d’accès et les exceptions

10.C.2-EI/EE10.C.3-EI/EE10.A.3-EI/EE

Je ne sais pas à qui appartiennent certains comptes

Réconcilier les comptes avec les identités et traiter les orphelins.

Mode d’emploi : Rechercher les comptes oubliés et orphelins

10.A.6-EI/EE

Je dois revoir les droits

Organiser une campagne de certification et appliquer les révocations.

Mode d’emploi : Faire une revue des droits

10.C.4-EI/EE

Nous avons des comptes partagés

Gouverner les personnes autorisées et articuler l’IAG avec le PAM ou le coffre-fort.

Mode d’emploi : Gérer les comptes partagés sans mentir sur les capacités de l’IAG

10.A.3-EI/EE10.B.3-EI/EE10.B.4-EI/EE10.B.6-EI/EE10.B.7-EE

Je dois construire la base

Définir la source des identités et rapprocher les comptes.

Mode d’emploi : Établir la source de vérité des identités

10.A.1-EI/EE10.A.2-EI/EE10.C.1-EI/EE

Je pars des exigences ANSSI

Les 17 mesures, en un coup d’œil.

Référence, intitulé et niveau de contribution de l’IAG. Ces niveaux sont descriptifs : ils indiquent où l’IAG intervient, jamais un degré de conformité.

Cœur IAG: L’IAG constitue l’une des principales briques de mise en œuvre.
IAG + autre brique: L’IAG intervient mais ne suffit pas.
Principalement hors IAG: L’exigence relève principalement d’une autre technologie ou d’une autre pratique.

Contribution de l’IAG

Famille

Identification

6 mesures

10.A.1-EI/EEDisposer de comptes individuelsCœur IAG 10.A.2-EI/EERéserver un compte individuel à son titulaireIAG + autre brique 10.A.3-EI/EEEncadrer les comptes partagésIAG + autre brique 10.A.4-EI/EENe pas créer inutilement de comptes pour l’accès publicPrincipalement hors IAG 10.A.5-EI/EEDésactiver les comptes devenus inutilesCœur IAG 10.A.6-EI/EERevoir les comptes au moins annuellementCœur IAG

Authentification

7 mesures

L’IAG gouverne principalement qui possède un compte et quels accès il doit avoir. L’IdP, l’annuaire, le MFA ou le système cible déterminent comment cette personne prouve son identité.

10.B.1-EI/EEProtéger l’accès par authentificationIAG + autre brique 10.B.2-EI/EEChanger les secrets configurés par défautPrincipalement hors IAG 10.B.3-EI/EERenouveler le secret d’un compte partagé après le retrait d’un utilisateurIAG + autre brique 10.B.4-EI/EENe rendre le secret accessible qu’aux personnes autoriséesIAG + autre brique 10.B.5-EI/EERespecter les recommandations relatives aux facteurs d’authentificationPrincipalement hors IAG 10.B.6-EI/EETraiter le cas exceptionnel d’un secret fixeIAG + autre brique 10.B.7-EETracer les accès dans ce cas d’exceptionPrincipalement hors IAG

Droits d’accès

4 mesures

10.C.1-EI/EEN’attribuer des droits qu’à des utilisateurs ou processus authentifiésIAG + autre brique 10.C.2-EI/EELimiter les droits aux seules ressources nécessairesCœur IAG 10.C.3-EI/EEN’autoriser sur une ressource que les personnes qui en ont besoinCœur IAG 10.C.4-EI/EERevoir les droits au moins annuellementCœur IAG

Les modes d’emploi

Huit parcours de mise en œuvre.

Même contenu que les fiches, vu depuis l’exécution : le résultat recherché, le flux, le plus petit périmètre utile et ce qu’il faut surveiller ensuite.

01Établir la source de vérité des identitésPersonne ne sait exactement qui existe, ni à qui appartient chaque compte.10.A.1-EI/EE10.A.2-EI/EE10.C.1-EI/EE 02Automatiser une arrivéeChaque arrivée se règle par des mails, des tickets et des créations de comptes application par application.10.A.1-EI/EE10.C.1-EI/EE10.C.2-EI/EE10.C.3-EI/EE 03Gérer un changement de poste sans accumuler les droitsLes mobilités ajoutent des accès sans jamais retirer les anciens.10.C.2-EI/EE10.C.3-EI/EE 04Automatiser un départDes comptes restent actifs après le départ, parfois pendant des mois.10.A.5-EI/EE10.C.2-EI/EE10.C.3-EI/EE 05Encadrer les demandes d’accès et les exceptionsLes besoins particuliers se règlent par un message direct, et le droit reste ensuite pour toujours.10.C.2-EI/EE10.C.3-EI/EE10.A.3-EI/EE 06Rechercher les comptes oubliés et orphelinsL’IAG traite les nouveaux comptes, mais l’existant n’a jamais été repris.10.A.6-EI/EE 07Faire une revue des droitsPersonne ne vérifie si les droits détenus correspondent encore au besoin réel.10.C.4-EI/EE 08Gérer les comptes partagés sans mentir sur les capacités de l’IAGUn compte partagé existe, et plus personne ne sait qui est réellement autorisé à l’utiliser.10.A.3-EI/EE10.B.3-EI/EE10.B.4-EI/EE10.B.6-EI/EE10.B.7-EE

Gouverner une opération, ce n’est pas toujours l’exécuter.

Une application sans connecteur natif ne sort pas du processus. Tant que l’action attendue, son responsable, son état et sa réalisation finale sont connus, l’opération reste gouvernée.

Exécution automatique

IAG → connecteur → retrait du droit

Exécution manuelle gouvernée

IAG → tâche de provisioning manuel → opérateur → confirmation

La limite à garder en tête

Gouverner n’est pas authentifier.

Un IAG contribue à la mise en œuvre du volet identités et accès. Il ne rend pas, à lui seul, une organisation conforme à NIS2.

L’IAG gouverne

L’identité, le propriétaire du compte, les droits attendus, les demandes, les décisions, le provisioning et leur historique.

Les autres briques assurent

L’authentification, la protection et la rotation des secrets, les contrôles techniques et les journaux d’utilisation.

Sources

Référence normative

ANSSI — ReCyF : Référentiel de Cybersécurité France, version 2.5 du 17/03/2026 — Objectif de sécurité 10.

Éclairage pratique

ANSSI — ReCyF en pratique, Gestion des identités, version 1.0, septembre 2026. Cette fiche pédagogique éclaire les effets recherchés et les modalités pratiques ; elle ne se substitue pas au ReCyF et n’est pas prescriptive.

Les quatre attentes de l’objectif 10

Identifier et authentifier les utilisateurs et les processus automatiques.
Attribuer les accès selon les besoins opérationnels.
Révoquer les droits lors d’un changement d’affectation.
Désactiver le compte lors d’un départ.

Pour lancer le projet

Choisissez une première offre, puis obtenez un prix adapté à votre périmètre.

Voyons quelles briques vous pouvez automatiser avec un premier IAG.

Netwrix édite la solution. Ariovis est l’équipe française avec laquelle vous la choisissez, l’achetez et la déployez.

Demander mon prix Voir les trois offres Trouver mon point de départ