Points clés
- L’accès conditionnel applique un contrôle contextuel en évaluant l’identité, la conformité de l’appareil, la localisation et le niveau de risque au moment de la connexion.
- L’accès étendu détermine la durée et l’étendue de l’accès après l’authentification, y compris pour les VPN et les sessions à distance.
- L’accès conditionnel réduit le risque au point d’entrée, tandis que l’accès étendu peut accroître l’exposition si les sessions se prolongent sans réévaluation.
- Une modélisation du risque efficace suppose de limiter la durée des sessions, d’appliquer le moindre privilège et de segmenter les ressources sensibles.
- La surveillance des sessions d’accès étendu est indispensable pour détecter les déplacements latéraux, les comportements anormaux et les escalades de privilèges.
- Une stratégie par couches associe l’accès conditionnel à un accès étendu strictement délimité, au service du Zero Trust et sans perte d’efficacité.
De nombreuses entreprises déploient plusieurs mécanismes de contrôle d’accès, mais leurs rôles respectifs restent souvent flous dans la pratique. Les récentes conclusions de Microsoft Security confirment cette évolution : 96 % des entreprises jugent l’adoption du Zero Trust déterminante pour leur réussite et 73 % prévoient d’augmenter leurs investissements dans les années à venir. Sans distinction claire entre ces contrôles, les entreprises se retrouvent avec des politiques qui se chevauchent, une application incohérente et une exposition au risque accrue.
Deux des approches les plus répandues, l’accès conditionnel et l’accès étendu, remplissent des rôles importants et bien distincts dans une stratégie d’identité et d’accès à distance. Pourtant, elles sont fréquemment considérées comme interchangeables. Bien comprendre la différence entre accès conditionnel et accès étendu est essentiel pour concevoir des contrôles d’accès à la fois sûrs et exploitables au quotidien.
Ce que l’architecture d’accès conditionnel applique
Les politiques d’accès conditionnel analysent en temps réel plusieurs facteurs contextuels pour déterminer si un utilisateur doit obtenir l’accès, et à quelles conditions. Les décisions d’accès deviennent ainsi adaptatives et cohérentes avec le niveau de risque au point d’entrée.
Ce mécanisme évalue différents signaux pour trancher :
- vérification de l’identité de l’utilisateur et de la robustesse de l’authentification (par exemple, exiger une authentification multifacteur pour les comptes à privilèges)
- contrôle de la conformité de l’appareil aux normes de sécurité (par exemple, n’autoriser l’accès qu’à partir d’appareils à jour de leurs correctifs et dotés d’une protection des terminaux)
- prise en compte de la localisation géographique ou réseau de l’utilisateur (par exemple, bloquer ou soumettre à vérification les connexions provenant de pays inhabituels)
- évaluation des niveaux de risque calculés à partir du comportement ou des anomalies (par exemple, déclencher une vérification supplémentaire après une activité de connexion inhabituelle)
- degré de sensibilité de l’application ou de la ressource concernée (par exemple, appliquer des contrôles plus stricts aux systèmes financiers qu’aux outils généralistes)
Selon les signaux évalués, les résultats possibles sont notamment :
- exiger une authentification supplémentaire avant d’accorder l’accès
- limiter l’accès à certaines fonctionnalités ou au mode lecture seule
- bloquer totalement l’accès lorsque le risque est jugé trop élevé
Ce que représente le modèle de sécurité à accès étendu
À l’inverse, le modèle d’accès étendu offre aux utilisateurs une connectivité plus large ou plus durable après l’authentification initiale. Il privilégie souvent le confort d’usage et la continuité au détriment d’un contrôle précis.
Voici les formes d’accès étendu les plus courantes dans la pratique :
- sessions à distance qui restent actives pendant de longues périodes (par exemple, un administrateur informatique qui maintient une session RDP continue pour gérer plusieurs serveurs)
- autorisations à l’échelle du réseau qui donnent accès à plusieurs ressources internes sans vérification répétée (par exemple, un utilisateur connecté à un segment du réseau interne avec accès aux systèmes partagés)
- connexions VPN permanentes qui maintiennent les utilisateurs reliés au réseau de l’entreprise même en dehors des périodes de travail (par exemple, un VPN « always-on » configuré sur un ordinateur portable professionnel)
- accès permanent aux systèmes internes (par exemple, accès persistant aux partages de fichiers ou aux applications internes, sans réauthentification de session)
Cette approche soutient la productivité, mais elle peut considérablement amplifier les conséquences de la compromission d’un compte ou d’un appareil, en allongeant la durée de l’accès et en élargissant sa portée. Les sessions persistantes laissent plus de temps aux attaquants pour agir, tandis qu’un accès large leur permet de circuler d’un système à l’autre sans contrôle répété, ce qui accroît les dégâts possibles avant détection.
Remarque terminologique : ici, « accès étendu » désigne la persistance des sessions et l’étendue de la connectivité. À ne pas confondre avec les Extended Access Policies (XAP) ou l’Extended Access Management (XAM), qui portent sur une évaluation contextuelle plus poussée, au niveau de l’appareil.
Des modèles de risque très différents
L’accès conditionnel réduit l’exposition en fondant les décisions d’accès sur le contexte en temps réel. L’accès étendu, lui, peut l’augmenter dès lors que l’accès se poursuit au-delà du point de vérification initial.
Les éléments suivants aident à évaluer le risque propre à chaque approche :
- le système réévalue-t-il en continu l’état de sécurité de l’appareil ?
- la durée des sessions est-elle encadrée ?
- les situations à risque élevé déclenchent-elles automatiquement des restrictions ?
- les ressources sensibles sont-elles isolées ?
C’est en définitive la modélisation du risque qui doit déterminer si l’accès étendu est justifié ou s’il crée une exposition inutile. Il s’agit d’arbitrer entre confort d’usage et impact potentiel d’une session ou d’un appareil compromis.
Visibilité et surveillance : ce qu’il faut prévoir
L’accès conditionnel offre surtout une visibilité au moment de la connexion : qui tente d’accéder à un système, et dans quelles conditions. Mais une fois l’accès accordé, le risque se déplace vers ce que l’utilisateur fait pendant sa session, particulièrement dans les scénarios d’accès étendu. Une surveillance continue devient alors nécessaire pour garantir la sécurité.
Les équipes informatiques doivent accomplir les tâches suivantes pour garder la main sur l’accès étendu :
- suivre la durée pendant laquelle les sessions restent actives ;
- détecter les déplacements entre systèmes ;
- observer la façon dont les ressources sont utilisées ;
- repérer les tentatives d’obtention de privilèges plus élevés.
Une visibilité continue permet de repérer et de traiter les comportements suspects survenant après la connexion. À défaut, les entreprises détectent les connexions à risque mais laissent passer entre les mailles du filet les activités malveillantes menées une fois l’accès établi.
Concevoir une stratégie d’accès par couches
L’accès conditionnel et l’accès étendu ne sont pas des contrôles distincts ou opposés. Même s’ils semblent se contredire sur le plan de la sécurité, ils peuvent parfaitement fonctionner ensemble. Cette combinaison crée plusieurs points de contrôle qui encadrent à la fois l’octroi de l’accès et son usage dans le temps.
Voici quelques pratiques qui contribuent à une stratégie d’accès plus robuste et mieux équilibrée :
- appliquer l’accès conditionnel avant le début de la session (valider l’identité, l’état de l’appareil et les signaux de risque à la connexion)
- restreindre la portée de l’accès étendu (par exemple, limiter les utilisateurs aux seuls systèmes ou ressources nécessaires à leur fonction)
- demander aux utilisateurs de confirmer leur identité pour les actions sensibles (valider des modifications à fort impact ou consulter des données critiques)
- relier les informations d’identité à la surveillance au niveau des sessions (par exemple, rapprocher le contexte de connexion de l’activité observée pendant la session)
Superposer ces contrôles aide les entreprises à combler l’écart entre l’authentification et l’activité réelle. Il devient alors plus simple d’appliquer les principes du Zero Trust sans perturber les opérations quotidiennes.
Ce que cela implique en matière de gouvernance
Pour que les contrôles d’accès restent cohérents et gérables, les entreprises ont besoin d’une documentation claire et de responsabilités définies quant à l’application de l’accès conditionnel et de l’accès étendu. Cette structure évite que les politiques se fragmentent ou deviennent impossibles à appliquer.
Définissez clairement ces éléments dans votre gouvernance :
- les rôles autorisés à bénéficier d’un accès étendu
- les normes de durée des sessions
- les conditions qui déclenchent les décisions d’accès
- les procédures de traitement des incidents d’accès
Une gouvernance solide évite les configurations incohérentes. Elle garantit aussi une application uniforme des politiques d’accès, y compris à mesure que les environnements grandissent et évoluent.
Quelle approche choisir, et quand
Le choix entre les deux stratégies dépend de plusieurs facteurs : niveau de risque, besoins opérationnels et sensibilité des ressources concernées. Chaque approche a son terrain de pertinence, et bien les employer permet d’éviter une exposition inutile.
Voici quelques repères pour déterminer la stratégie adaptée :
- l’accès conditionnel suffit lorsque l’accès doit être strictement contrôlé au point d’entrée ;
- l’accès étendu convient lorsque les utilisateurs ont besoin d’une connectivité continue ;
- l’accès conditionnel doit être renforcé lorsque les signaux de risque sont élevés ;
- l’accès étendu doit être limité ou écarté pour les systèmes très sensibles, où un accès persistant ou large aggrave l’impact potentiel.
Notez que la plupart des environnements gagnent à combiner les deux approches. Utilisez l’accès conditionnel pour filtrer l’entrée et délimitez soigneusement l’accès étendu, en le réservant aux cas réellement nécessaires.
Concilier souplesse d’accès et maîtrise du risque
Une stratégie d’accès bien pensée repose sur des contrôles définissant qui entre, jusqu’où va son accès et combien de temps il reste actif. L’accès conditionnel et l’accès étendu répondent à des problèmes différents : utilisés ensemble de façon stratégique, ils permettent aux entreprises de prendre des décisions d’accès pragmatiques et défendables. À terme, cette approche crée un environnement plus maîtrisé et plus transparent, où l’accès reste toujours proportionné au risque réel.
Sujets connexes :
