Un document fondateur
La cybercriminalité a changé de côté de l’écran de connexion. La sécurité n’a jamais suivi.
Pendant trente ans, nous avons défendu le réseau privé, puis le terminal. Pendant ce temps, l’attaque est devenue une autorisation, l’attaquant un identifiant, et le champ de bataille « qui peut atteindre quoi » à l’intérieur des plateformes de collaboration mondiales. Il n’existe aucun rayon pour l’outil qui surveille cela. Nous l’avons donc construit.
Trois ères
Réseau privé. Terminal. Identité.
La première ère a bâti des murs : pare-feu, passerelles, DMZ. L’attaque était un paquet, et l’industrie a créé tout un rayon d’outils pour inspecter les paquets.
La deuxième ère a suivi l’attaque jusque sur la machine : antivirus, puis EDR. L’attaque était un processus, et l’industrie a créé tout un rayon d’outils pour surveiller les processus.
La troisième ère est déjà là. L’attaque est une autorisation exercée par un identifiant valide - aucun exploit à corriger, aucune signature à reconnaître, aucun processus malveillant à tuer. L’industrie n’a créé aucun rayon pour cela. Les SIEM stockent les preuves sans les comprendre ; l’IAM provisionne les identités sans les surveiller ; les scanners de conformité photographient la scène de crime une fois par trimestre.
L’angle mort
Personne ne sait qui a accès à quoi.
Pas comme slogan - comme état observé de pratiquement chaque locataire Microsoft 365 sur Terre, y compris les mieux tenus. L’accès s’accumule à sept endroits à la fois : octrois directs, liens de partage, appartenances à des groupes, rôles de site, autorisations d’application, sources de connaissances d’agents, héritage. Aucune surface native ne les réunit en une seule réponse.
Les attaquants le savent. C’est pour cela qu’ils ont cessé de forcer l’entrée.
- 600 M/jourattaques par identité (Microsoft, 2024)
- 70 %des compromissions exploitent des autorisations excessives
- 98 %des autorisations accordées ne servent jamais
Doctrine
Ce que la catégorie doit faire.
Un outil qui échoue à l’un de ces points est un tableau de bord, pas une défense.
- 01
La carte est toujours active
Une analyse trimestrielle est la photographie d’une rivière. La carte des autorisations doit être vivante, sinon elle est déjà fausse.
- 02
La réponse ne doit pas exiger un expert
La vérité sur les accès vit aujourd’hui dans la tête de quelques personnes qui comprennent l’héritage SharePoint, les groupes Entra imbriqués et la sémantique de Graph - et elle meurt quand elles changent de poste. Une catégorie qui ne rapporte qu’aux spécialistes n’a pas résolu le problème ; elle l’a déplacé. N’importe qui dans la pièce doit pouvoir lire qui peut atteindre quoi, et avoir raison.
- 03
Des minutes pour savoir, pas des mois
La mesure de cette catégorie, c’est l’horloge. « Avons-nous été compromis, et à quoi ont-ils accédé ? » se répond aujourd’hui en semaines d’investigation sur les journaux, et la réponse relève alors de l’archéologie. Cela doit être une affaire de minutes - non parce que la vitesse impressionne, mais parce que chaque heure entre la question et la réponse est une heure de plus où l’intrus conserve l’accès.
- 04
Tout consigner, alerter selon votre seuil
Chaque écart est conservé ; le seuil d’alerte vous appartient, il ne relève pas de l’idée qu’un éditeur se fait de votre appétence au risque - et le déplacer reclasse l’historique instantanément.
- 05
Les constats doivent porter les correctifs
Un constat sans voie de correction est un devoir à la maison. Détection et réparation doivent tenir sur le même écran, avec une revue humaine là où cela compte.
- 06
Chaque identité compte
Humains, comptes de service, applications OAuth, agents IA, appareils. Si cela peut toucher des données, c’est une identité - et elle reçoit la même carte, la même référence et le même historique qu’un employé.
- 07
Cela doit se rentabiliser sur les choses simples
Une visibilité de ce type relève de l’infrastructure : elle doit fonctionner avec des licences standard, pas derrière une montée en gamme E5 ou un contrat SIEM. Et elle doit valoir son prix dès le premier cas d’usage, le plus banal - les invités qui ne sont jamais partis, les licences que personne n’a récupérées - avant tout programme, toute transformation ou toute feuille de route. Un produit qui ne devient rentable qu’après une prestation de services vous facture le fait de le terminer. L’expertise ajoutée doit être un partenaire qui apporte du jugement, jamais une taxe pour faire fonctionner l’outil.
Le premier instrument
1Security est la première incarnation de la catégorie.
Un graphe vivant de chaque identité et de chaque chemin vers les données dans Microsoft 365 - surveillé en temps réel, mémorisé trois ans durant, et relié à l’action. Ce n’est pas une liste de fonctionnalités ; c’est la doctrine ci-dessus, en fonctionnement.
Pas seulement notre thèse
Le propre programme d’innovation de Microsoft la soutient.
Un manifeste est facile à écrire et bon marché à croire. Innovation Alley de Microsoft est partenaire de 1Security et le recommande à l’écosystème - la plateforme dont cette catégorie concerne les locataires, arrivant indépendamment à la même conclusion. Être premier dans une catégorie n’est un avantage que si quelqu’un d’autre voit la catégorie aussi.
Premier à le construire, et déjà de confiance autour des locataires qu’il cartographie.
Si vous utilisez Microsoft 365, vous avez déjà le problème.
Il existe désormais un outil pour cela. Voyez-le sur votre propre locataire - en lecture seule, dès aujourd’hui.