Le PAM, ou gestion des accès à privilèges (Privileged Access Management), désigne les dispositifs encadrant l’usage des comptes aux droits étendus : administrateurs, comptes techniques, accès de prestataires. Ces comptes donnent la main sur la configuration des systèmes et sur des données sensibles ; leur compromission pèse bien plus lourd que celle d’un compte ordinaire.
Ce qu’on appelle un compte à privilèges
La notion dépasse largement le seul administrateur de domaine Windows. Dans une banque ou chez un assureur, on en trouve à tous les étages du système d’information, rarement recensés de façon exhaustive.
- les comptes d’administration nominatifs des équipes systèmes, réseau, bases de données ou cloud ;
- les comptes de service, utilisés par des applications ou des tâches planifiées pour s’exécuter, et dont le mot de passe change rarement ;
- les comptes d’urgence, dits « bris de glace », conservés pour reprendre la main quand les mécanismes d’authentification habituels sont indisponibles ;
- les accès des prestataires et infogérants, qui interviennent sur des équipements sensibles depuis l’extérieur de l’organisation.
Ces comptes concentrent le danger parce qu’ils ouvrent des raccourcis vers ce que l’attaquant recherche : un identifiant d’administrateur volé permet de se déplacer de serveur en serveur puis, une fois les outils de détection neutralisés, de déployer une charge malveillante à grande échelle. Leur maîtrise pèse donc lourd dans l’analyse du risque cyber d’un établissement.
Les briques d’une solution PAM
Le socle est un coffre-fort d’identifiants. Mots de passe, clés et certificats des comptes sensibles y sont stockés chiffrés, et leur retrait est contrôlé, parfois soumis à validation. L’administrateur ne connaît plus le mot de passe du compte cible : le coffre l’injecte directement dans la session, ce qui limite les fuites par copie ou par pense-bête.
Le bastion complète ce coffre. Point de passage obligé entre le poste de l’administrateur et les ressources administrées, il porte l’authentification, applique les autorisations et enregistre les sessions, frappes clavier et affichage compris. Ces enregistrements servent en investigation comme en audit, et la journalisation alimente la supervision d’un SOC, qui peut y repérer des gestes inhabituels.
Deux mécanismes réduisent la valeur d’un identifiant volé : la rotation automatique des secrets, qui renouvelle le mot de passe après chaque usage ou à intervalle court, et l’élévation juste-à-temps, qui n’accorde le privilège que pour la durée d’une intervention approuvée. Combinés au principe de moindre privilège — chaque compte ne détient que les droits nécessaires à sa fonction —, ils tendent vers un état où aucun privilège permanent ne subsiste. L’ANSSI a publié des recommandations relatives à l’administration sécurisée des systèmes d’information, qui préconisent entre autres de séparer les comptes d’administration des comptes bureautiques, de dédier des postes à l’administration et de cloisonner les réseaux empruntés par ces flux ; ces textes sont disponibles sur le site de l’agence.
L’articulation avec l’IAM et la gestion des habilitations
La gestion des identités et des accès (IAM) couvre le cycle de vie de toutes les identités : création du compte à l’arrivée d’un collaborateur, ajustement des droits lors d’une mobilité, désactivation au départ. Le PAM en est une couche spécialisée, appliquée à la population restreinte des comptes dont la compromission serait grave. Les deux domaines se rejoignent dans la gestion des habilitations : les revues périodiques, qui vérifient que chaque droit attribué reste justifié, sont généralement plus fréquentes et plus fines pour les accès à privilèges. Cette vérification permanente s’inscrit dans la logique du modèle Zero Trust, où aucun accès n’est réputé légitime du seul fait de sa provenance.
Identités machine et secrets applicatifs
Les comptes détenus par des humains ne représentent qu’une partie du sujet. Applications, conteneurs, chaînes d’intégration continue et scripts d’exploitation s’authentifient eux aussi, au moyen de clés d’API, de certificats ou de jetons. Ces identités machine et leurs secrets échappent souvent aux inventaires : un mot de passe codé en dur dans un script ou une clé oubliée dans un dépôt de code rend à un attaquant le même service qu’un compte d’administrateur, sans la surveillance qui va avec. Les gestionnaires de secrets étendent les principes du PAM à ces usages, avec un stockage centralisé, une distribution à la demande, une rotation et une révocation automatisées.
Authentifier ceux qui administrent
L’accès au bastion constitue lui-même une cible : qui le franchit atteint d’un coup l’ensemble des ressources administrées. Le NIST, dans sa série de publications 800-63 consacrée à l’identité numérique, décrit des niveaux d’assurance d’authentification croissants et réserve les plus élevés à des mécanismes résistants au phishing (pages.nist.gov/800-63-4) ; appliquée aux comptes d’administration, cette logique oriente vers une authentification résistante au phishing fondée sur des clés matérielles ou des passkeys, plutôt que sur des codes transmis ou des notifications à approuver. Les attaques par fatigue MFA, qui consistent à bombarder un utilisateur de demandes de validation jusqu’à ce qu’il cède, ont d’ailleurs montré la limite des notifications simples ; un administrateur qui approuve par lassitude livre bien davantage qu’une messagerie.
Ce qu’attendent les référentiels du secteur financier
Dans la banque et l’assurance, le contrôle des accès figure explicitement parmi les attentes des régulateurs. Le règlement européen DORA, applicable depuis janvier 2025, impose un cadre de gestion du risque informatique comprenant des politiques limitant l’accès aux actifs aux seuls besoins légitimes et des mécanismes d’authentification forte. Sur le périmètre des paiements interbancaires, les contrôles SWIFT attendent notamment une restriction et une surveillance des comptes à privilèges de l’infrastructure concernée. Les enregistrements de session et les journaux produits par le PAM servent alors de preuves en audit comme en inspection.
Questions fréquentes sur la gestion des comptes à privilèges
Quelle est la différence entre PAM et IAM ?
L’IAM administre l’ensemble des identités d’une organisation et leurs droits, de l’arrivée au départ des collaborateurs. Le PAM ne s’occupe que des comptes dont les droits étendus rendraient la compromission particulièrement grave, et leur applique des mesures supplémentaires comme le coffre-fort d’identifiants, l’enregistrement des sessions ou l’attribution de privilèges pour une durée limitée. Les deux briques se complètent et s’appuient souvent sur le même référentiel d’identités.
Qu’est-ce qu’un bastion d’administration ?
Un bastion est un équipement placé entre les postes des administrateurs et les machines qu’ils gèrent. Toute session d’administration doit le traverser : il contrôle qui se connecte et à quoi, saisit les mots de passe à la place de l’utilisateur sans les lui révéler, et conserve une trace détaillée de ce qui a été fait. En cas d’incident, cet historique permet de reconstituer les actions menées.
Pourquoi les comptes de service sont-ils dangereux ?
Un compte de service fait fonctionner une application ou une tâche automatisée. Son mot de passe reste souvent identique pendant des années, car un renouvellement mal coordonné peut interrompre la production, et il figure parfois en clair dans des fichiers de configuration. Doté de droits souvent larges et peu surveillé, il offre une porte discrète et durable à l’attaquant qui l’a récupéré.
Le PAM est-il obligatoire pour les banques ?
Aucun texte n’impose l’achat d’un produit PAM en tant que tel : les exigences portent sur le résultat. Le règlement DORA attend que chaque accès corresponde à un besoin justifié et soit protégé par une authentification robuste, tandis que le référentiel SWIFT prévoit une surveillance des comptes à privilèges. Les fonctions d’un PAM couvrent ces attentes et en facilitent la démonstration devant un auditeur.
