Gartner IAM Summit 2026: les fournisseurs adaptent leurs solutions face à l’évolution des menaces
Au Gartner IAM Summit 2026, les comptes utilisateursse sont imposés comme le point d’entrée privilégié des attaquants. Face à cette évolution, les fournisseurs ont présenté des approches visant à renforcer la détection, le contrôle et la gouvernance des accès, tout en accélérant la transition vers des modèles sans mot de passe et des architectures IAM plus dynamiques.
Le Gartner Identity and Access Management Summit 2026*, organisé à Londres les 9 et 10 mars, a également été l’occasion pour les fournisseurs de présenter leurs stratégies face aux nouveaux défis de la gestion des identités. Dans un contexte marqué par la multiplication des attaques basées sur les identifiants et l’essor des environnements cloud, les solutions IAM évoluent pour renforcer la sécurité des accès tout en s'adaptant à des architectures de plus en plus distribuées.
Identités compromises: détection accélérée
Chez CrowdStrike, les intervenants ont mis en avant une évolution marquante des modes opératoires. Les attaquants exploitent désormais des identifiants valides pour pénétrer les systèmes, rendant les défenses traditionnelles moins efficaces. Une fois l’accès obtenu, la progression est extrêmement rapide. «Au cours des douze derniers mois, le temps moyen s’établit à 29 minutes, avec un minimum observé de 27 secondes», a indiqué Zeki Turedi, Field CTO chez CrowdStrike.
Face à cette accélération, l’éditeur met l’accent sur une approche plus opérationnelle de l’IAM, fondée sur une visibilité étendue des identités dans les environnements cloud, SaaS et les systèmes tiers, afin de limiter les angles morts. Il insiste également sur la nécessité de corriger les mauvaises configurations et d’aligner les politiques de sécurité entre les différents systèmes d’identité. Sur le plan technique, CrowdStrike recommande d’aller au-delà du MFA (authentification multifacteur) classique, avec des mécanismes résistants au phishing et des contrôles d’accès basés sur le risque. La limitation des privilèges reste centrale, à travers des modèles «just-in-time» ou «zero standing privileges», visant à réduire la capacité des attaquants à exploiter des identifiants compromis.
Gouverner les identités non humaines
La multiplication des identités non humaines, comme les agents IA, les comptes de service ou les API, complexifie fortement leur gestion. Pour y faire face, Okta propose de les intégrer comme des identités à part entière dans un annuaire centralisé (Universal Directory), en leur associant un propriétaire, des identifiants et des connexions applicatives afin de mieux contrôler leurs accès.
La plateforme intègre également des capacités de gouvernance, avec des campagnes de recertification, une analyse du niveau de risque et des outils de détection d’identités non référencées ou mal configurées. Le module ISPM (Identity Security Posture Management) permet notamment d’identifier ces entités, d’évaluer leur exposition et de proposer des actions de remédiation, comme la réduction des privilèges ou leur intégration dans les processus de gouvernance.
Usages réels: combler les angles morts
Plusieurs interventions ont mis en évidence un manque de visibilité sur les usages réels. Chez 1Password, les intervenants ont souligné que les entreprises ne disposent souvent que d’une vision partielle de leur environnement. «En moyenne, les organisations ne connaissent qu’environ la moitié des appareils accédant à leurs applications», a indiqué Oliver Cheal, vice-président chez 1Password.
L’éditeur met ainsi en avant une approche centrée sur la découverte des usages réels, incluant les applications hors SSO (Single Sign-On), les identifiants stockés localement et les accès depuis des terminaux non managés. Cette stratégie repose sur la collecte de signaux au niveau des postes de travail afin de cartographier les usages effectifs, y compris liés au shadow IT et au shadow AI, et d’améliorer les capacités de contrôle.
Des modèles de sécurité à adapter à l’IA
L’intégration de l’intelligence artificielle fait évoluer la gestion des autorisations. Dans des environnements où les identités interagissent entre elles et accèdent à de multiples ressources, il devient nécessaire de contrôler plus finement les droits en fonction du contexte.
Axiomatics met en avant des modèles de contrôle d’accès basés sur les attributs (ABAC), permettant de définir des règles dynamiques selon différents paramètres comme l’identité, le type de ressource, la localisation ou le niveau de risque. Contrairement aux approches fondées sur les rôles (RBAC), ces modèles permettent une gestion en temps réel, mieux adaptée à des environnements évolutifs.
L’éditeur souligne également l’importance d’appliquer ces contrôles directement au niveau des données et des API, afin de sécuriser les flux utilisés par les systèmes d’intelligence artificielle, notamment dans des architectures de type RAG (génération augmentée par récupération) ou MCP (Model Context Protocol, dans le contexte de l’IA agentique).
De nouvelles menaces sur l’authentification
L’IA introduit également de nouveaux risques sur les mécanismes d’authentification. Les deepfakes permettent désormais d’imiter voix ou visages pour contourner certains dispositifs de sécurité. Face à ces menaces, les experts recommandent d’adopter une approche multicouche, combinant plusieurs facteurs et signaux comme la biométrie, le comportement et le contexte, plutôt que de s’appuyer sur une seule méthode.
(*) La rédaction a été invitée au Gartner IAM Summit 2026 par l’éditeur suisse MAYI ID, sponsor de l’événement, qui a pris en charge les frais de déplacement et d’hébergement.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
