Gestion des identités : les grandes tendances IAM qui transforment la cybersécurité en 2026
Pendant longtemps, la cybersécurité s’est principalement concentrée sur la protection du réseau, des postes de travail et des serveurs.
Avec le cloud, le SaaS, le télétravail et maintenant l’intelligence artificielle, cette frontière a pratiquement disparu.
L’identité est devenue l’un des nouveaux périmètres de sécurité de l’entreprise.
Lorsqu’un attaquant dispose d’une identité légitime et des bons privilèges, il n’a plus nécessairement besoin de contourner les protections réseau.
Le Microsoft Digital Defense Report 2026 identifie ainsi l’identité comme l’un des principaux plans de contrôle de la défense et insiste sur l’importance de l’authentification résistante au phishing, de la réduction des privilèges et de la sécurisation des identités humaines comme non humaines.
TENDANCE N°1 : LA FIN PROGRESSIVE DU MOT DE PASSE
Pendant des années, le mot de passe a représenté le principal mécanisme d’authentification.
Mais les campagnes de phishing, le vol d’identifiants et les attaques par ingénierie sociale montrent aujourd’hui ses limites.
La tendance est désormais au passwordless, notamment grâce aux passkeys basées sur les standards FIDO.
Contrairement aux mots de passe traditionnels, ces mécanismes sont conçus pour résister au phishing et réduisent fortement l’intérêt du vol de mots de passe.
Le mouvement s’accélère fortement en 2026. Microsoft a notamment annoncé qu’à compter du 1er septembre 2026, les passkeys deviennent progressivement la méthode d’authentification par défaut pour les utilisateurs éligibles de Microsoft Entra ID.
Pour les entreprises, la trajectoire devient claire : réduire progressivement la dépendance aux mots de passe et aux mécanismes MFA facilement détournables, comme les codes SMS.
TENDANCE N°2 : LES ATTAQUES CONTOURNENT DÉSORMAIS LA MFA
Déployer une authentification multifacteur reste indispensable, mais ne suffit plus.
Les attaquants s’intéressent désormais aux sessions déjà authentifiées, aux navigateurs compromis ou aux jetons permettant d’accéder directement aux applications.
Selon l’étude SANS 2026 consacrée à l’Identity Threat Detection and Response, le phishing d’identifiants ne représente qu’une partie des attaques observées. Les organisations font également face au détournement de sessions, à la MFA fatigue et à la compromission des navigateurs.
La protection doit donc dépasser l’étape de connexion.
Le comportement d’une identité doit pouvoir être surveillé pendant toute la durée de la session afin d’identifier une connexion inhabituelle, une élévation de privilèges ou l’utilisation anormale d’une application.
TENDANCE N°3 : L’ITDR DEVIENT LE SOC DE L’IDENTITÉ
Cette évolution favorise l’émergence de l’Identity Threat Detection and Response, ou ITDR.
Son objectif est de détecter les comportements suspects liés aux identités et de permettre une réponse rapide : désactivation d’un compte, révocation d’une session, blocage d’un token ou retrait de privilèges.
Mais disposer d’outils ne garantit pas encore une bonne capacité de réaction.
Dans l’enquête SANS 2026, 85 % des organisations interrogées indiquent utiliser des capacités ITDR, alors que 55 % déclarent néanmoins avoir subi au moins une compromission liée aux identités au cours des douze derniers mois. Le rapport souligne également un écart entre la vitesse de détection et la capacité à contenir rapidement l’incident.
L’enjeu devient donc l’intégration de l’IAM au SOC : les événements d’identité doivent être corrélés aux événements endpoint, cloud, réseau et applicatifs.
TENDANCE N°4 : L’EXPLOSION DES IDENTITÉS NON HUMAINES
Un autre phénomène transforme profondément l’IAM : les utilisateurs humains ne représentent plus l’ensemble des identités de l’entreprise.
Applications, API, workloads cloud, comptes de service, certificats, pipelines CI/CD et robots disposent également de droits d’accès.
Ce sont les Non-Human Identities, ou NHI.
Le développement de l’intelligence artificielle amplifie encore ce phénomène. Les agents IA ont besoin d’identités et de permissions pour consulter des données ou réaliser des actions dans différentes applications.
L’étude SANS 2026 indique que trois quarts environ des organisations interrogées observent une augmentation de ces identités non humaines, tandis que la rotation régulière de leurs secrets reste encore très insuffisante.
Le risque est évident : une clé API oubliée ou un compte de service trop privilégié peut devenir une porte d’entrée durable dans le système d’information.
TENDANCE N°5 : DE L’IAM À L’IDENTITY SECURITY
L’IAM traditionnel répondait essentiellement à une question : qui peut accéder à quoi ?
L’Identity Security doit désormais répondre à une question plus large : cette identité doit-elle toujours disposer de cet accès, dans ce contexte précis, et son comportement est-il normal ?
Les entreprises rapprochent donc progressivement plusieurs disciplines historiquement séparées : IAM, IGA, PAM, gouvernance des droits, ITDR et sécurité cloud.
Le principe du moindre privilège devient central.
Les droits permanents doivent être progressivement remplacés, lorsque cela est possible, par des mécanismes temporaires de type Just-in-Time ou Just-Enough-Access.
LES PRIORITÉS IAM POUR LES ENTREPRISES
En 2026, un programme IAM mature doit commencer par une visibilité complète sur les identités humaines et non humaines.
Il faut ensuite réduire les comptes dormants, supprimer les droits inutiles, sécuriser fortement les comptes privilégiés et accélérer le déploiement d’authentifications résistantes au phishing.
La surveillance des identités doit également être rapprochée du SOC afin que la compromission d’un compte puisse être détectée et contenue rapidement.
Enfin, toute entreprise développant des usages d’intelligence artificielle doit désormais intégrer une nouvelle question dans ses projets : quelle identité utilise l’agent IA et avec quels privilèges ?
EN CONCLUSION
Le périmètre de sécurité de l’entreprise s’est déplacé.
Une grande partie des systèmes critiques étant désormais accessibles à distance et dans le cloud, protéger uniquement les infrastructures ne suffit plus.
L’enjeu devient de contrôler en permanence qui, ou quoi, accède aux ressources de l’entreprise, pourquoi et avec quel niveau de privilège.
Dans ce contexte, l’IAM n’est plus uniquement un projet d’infrastructure. Il devient un élément central de la stratégie de cybersécurité.
Références pour aller plus loin : SANS Institute, 2026 State of Identity Threat Detection and Response Étude SANS 2026 sur l’ITDR ; Microsoft Security, annonce du 13 juillet 2026 sur les passkeys dans Entra ID Microsoft Entra ID – Passkeys ; Microsoft, Digital Defense Report 2026 Microsoft Digital Defense Report 2026.
