De l’observation à l’action : le regard pragmatique d’un CISO sur le rayon d’impact des identités

Pourquoi la gestion préemptive de l’exposition des identités remplace les outils de posture traditionnels, vue à travers les frameworks du secteur.

La boucle OODA (Observe, Orient, Decide, Act, soit observer, s’orienter, décider, agir) est le cycle de décision adopté par les organisations les plus rapides au monde pour bâtir un avantage concurrentiel durable. Le Continuous Threat Exposure Management (CTEM), le cycle en cinq étapes de Gartner (cadrage, découverte, priorisation, validation et mobilisation), applique la même idée à la sécurité : transformer les données d’exposition en une boucle continue qui accroît la valeur défensive à chaque itération.

Si un attaquant compromettait aujourd’hui une seule identité dans votre environnement, jusqu’où pourrait-il aller ?

C’est la question à laquelle la plupart des programmes de sécurité des identités peinent encore à répondre. Les tableaux de bord regorgent de constats, de scores de posture et de contrôles de politiques ; pourtant, les responsables n’ont toujours pas une vision claire de la manière dont le risque se cumule à travers les relations de confiance, les chaînes de délégation et les chemins d’héritage de privilèges. C’est la question du rayon d’impact, et c’est précisément celle à laquelle Saporo a été conçu pour répondre.

La plupart des organisations abordent encore la sécurité des identités de manière réactive. Ce n’est pas faute d’expertise : les environnements modernes sont rarement bien segmentés au niveau des identités et des accès, et des risques critiques restent souvent cachés au sein d’accès légitimes. Les attaquants entreront. L’enjeu est de s’assurer qu’ils ne puissent pas atteindre facilement ce qui compte le plus.

Pour la plupart des organisations, le malaise ne vient pas du fait que leurs outils sont défaillants. Il vient du fait que toute la catégorie a été bâtie sur un socle hérité de listes et de constats, plutôt que sur la réalité en graphe qu’exploitent les attaquants.

« Les défenseurs pensent en listes. Les attaquants pensent en graphes. Tant que ce sera le cas, les attaquants gagneront. », John Lambert, CTO de l’organisation du CISO, Security Fellow, Corporate Vice President, Microsoft

Les organisations qui l’emporteront face aux menaces fondées sur les identités ne seront pas celles qui affichent la plus longue liste de mauvaises configurations et de chemins d’attaque détectés. Ce seront celles qui font preuve d’adaptabilité : celles qui savent observer l’ensemble de leur paysage d’identités, s’orienter vers les expositions qui comptent vraiment, décider de la bonne remédiation en toute confiance et agir avant que les attaquants n’exploitent la faille.

La catégorie a-t-elle rattrapé le problème ?

Pendant des années, l’exposition des identités pouvait être traitée par l’Attack Path Management (APM) en tant que technique, intégrée à l’Identity Security Posture Management (ISPM) en tant que sous-catégorie. Gartner a désormais défini une catégorie émergente plus large et orientée résultats, la Preemptive Identity Exposure Management (PIEM), ou gestion préemptive de l’exposition des identités, qui réunit l’ISPM et l’APM dans un même cadre : éliminer les expositions des identités exploitables avant que les adversaires ne les découvrent.

Saporo se positionne pleinement sur la PIEM, avec une couverture ISPM complète et, en son cœur, un moteur APM nativement fondé sur les graphes.

Nous avons conçu Saporo pour donner aux défenseurs l’avantage stratégique dont les attaquants disposent déjà : une visibilité fondée sur les graphes. En analysant les relations entre identités, les mauvaises configurations et les journaux d’événements liés aux identités, Saporo met au jour les chemins d’attaque et les expositions cachés que les outils traditionnels ne voient pas. Grâce à cette visibilité, les défenseurs peuvent anticiper le mouvement latéral et l’élévation de privilèges, casser les chemins d’attaque et rendre l’accès aux actifs critiques nettement plus difficile, avant qu’il ne soit trop tard.

La suite de cet article utilise OODA et CTEM comme grille de lecture opérationnelle pour montrer à quoi ressemble concrètement un programme PIEM complet.

Un cadre de décision pour la sécurité des identités

Les attaquants enchaînent les relations de confiance et les élévations de privilèges plus vite que des listes statiques ne peuvent les suivre. Les défenseurs ont besoin d’un cycle de décision qui passe de la visibilité à l’action validée, en boucle continue.

Le framework Continuous Threat Exposure Management (CTEM) de Gartner définit un cycle de vie composé du cadrage (Scoping), de la découverte (Discovery), de la priorisation (Prioritization), de la validation (Validation) et de la mobilisation (Mobilization). La boucle OODA s’aligne naturellement sur ces étapes et affine chacune d’elles par une approche de la sécurité des identités centrée sur la vitesse de décision et ancrée dans les réalités de votre activité :

Parallèle entre frameworks : OODA ↔ CTEM de Gartner

Le « cadrage » (Scoping) du CTEM est implicite : pour la gestion préemptive de l’exposition des identités (PIEM), le périmètre est l’ensemble du graphe des identités.

Phase OODA	Étape CTEM	Ce que Saporo apporte
OBSERVER	DÉCOUVERTE	Une découverte sans agent cartographie l’intégralité du graphe des accès et des chemins d’attaque liés aux identités : chaque chaîne de confiance, délégation, mauvaise configuration, chemin de privilèges, contrôle de conformité et journal d’événements, pour les identités humaines comme non humaines.
S’ORIENTER	PRIORISATION	Classer les expositions des identités selon leur impact réel, leur rayon d’impact et leur rôle dans les chemins d’attaque, en faisant ressortir les mauvaises configurations, les changements dangereux et les chemins d’attaque comportant des points de passage critiques (chokepoints), là où une seule correction élimine le plus grand rayon d’impact.
DÉCIDER	VALIDATION	Une validation prédictive fondée sur la faisabilité réelle : Saporo calcule des millions de chemins d’attaque viables pour ne faire ressortir que ce qui est exploitable aujourd’hui, afin que les équipes sachent ce qui mérite d’être corrigé maintenant et ce qui relève du bruit.
AGIR	MOBILISATION	Transformer les priorités validées en workflows de remédiation à travers l’ensemble du dispositif de sécurité des identités (identity security fabric) et des équipes plateforme, avec un retour mesurable sur les changements qui alimente l’itération suivante.

Bientôt dans Saporo v5 (mi-2026) : des workflows de remédiation qui transforment les expositions validées en actions de changement sûres et vérifiables, tout en laissant la responsabilité des changements aux équipes plateforme.

Observer (Observe), phase de découverte : l’exposition des identités est un problème de graphe

Observer, c’est construire l’image la plus complète possible de la réalité. En sécurité des identités, cela signifie cartographier l’intégralité du graphe des accès et des attaques : les chaînes de confiance, les chemins de délégation, les imbrications de groupes et l’héritage de privilèges que les scanners fondés sur des listes ne voient pas. L’ampleur même des identités modernes, humaines comme non humaines, en fait un problème d’aiguille dans une botte de foin : des milliers de comptes, de groupes, de rôles et de principaux de service génèrent des millions de relations. Analyser manuellement ce graphe complet est impossible, et les attaquants n’ont besoin de trouver qu’un seul chemin négligé.

Un compte de service apparemment anodin, situé à trois sauts d’un Domain Admin ou d’un Enterprise Admin, peut représenter un risque plus important qu’une mauvaise configuration isolée affichant un niveau de sévérité plus élevé, mais seulement si vous pouvez voir le chemin qui les relie. Dans la plupart des incidents liés au phishing, les attaquants atteignent des actifs critiques et des opérations ayant un impact sur l’activité sans jamais avoir besoin d’une mauvaise configuration ou d’un rôle privilégié.

C’est pourquoi la capacité à observer à travers le prisme du rayon d’impact est passée, pour les CISO, du statut d’atout appréciable à celui d’exigence incontournable. De nombreux outils se concentrent uniquement sur le graphe d’attaque, en adoptant l’état d’esprit de l’attaquant pour traquer les actifs critiques. Les défenseurs ont besoin à la fois du graphe des accès (les relations légitimes, prévues par conception) et du graphe d’attaque (les chemins issus de l’exploitation). Sans les deux, chaque phase suivante (s’orienter, décider, agir) repose sur des données incomplètes.

LE DÉFICIT D’OBSERVATION

Les listes montrent des fragments. Les graphes montrent des relations, c’est-à-dire exactement ce que voient les attaquants. Combler ce déficit d’observation est la première étape vers un cycle de décision plus rapide et plus efficace.

Le marché se divise en deux

À mesure que l’ISPM gagne en maturité en tant que sous-catégorie et l’APM en tant que technique, une ligne de fracture architecturale nette apparaît au sein de la catégorie plus large de la gestion préemptive de l’exposition des identités (PIEM), entre deux approches fondamentalement différentes : l’une fondée sur les listes, l’autre nativement fondée sur les graphes.

Les éditeurs de plateformes : forts pour observer, faibles pour s’orienter

Les grands fournisseurs EDR/XDR ont greffé des modules d’identité sur leurs suites de sécurité. Ces outils offrent de l’étendue (visibilité hybride, tableaux de bord de conformité, intégration étroite au SOC) et se montrent plutôt performants dans la phase Observe. Mais leurs capacités en matière d’identité restent centrées sur la configuration plutôt que sur les chemins : elles produisent des listes notées au lieu de modéliser la façon dont les mauvaises configurations s’enchaînent pour former des chemins d’attaque exploitables. L’étendue sur de nombreux domaines se paie par un manque de profondeur dans chacun d’eux, alors que la sécurité des identités exige le compromis inverse : une grande fidélité du graphe dans la couche où se produisent réellement le mouvement latéral et l’élévation de privilèges. Certains introduisent aussi des dépendances de déploiement qui ralentissent le cycle.

Les spécialistes des chemins d’attaque : forts pour s’orienter, faibles pour décider et agir

De l’autre côté, des éditeurs spécialisés ont conçu des moteurs de graphe d’attaque haute fidélité qui modélisent les relations entre identités dans Active Directory, Entra ID, AWS, Google Cloud et les écosystèmes adjacents. Ces outils excellent dans l’orientation : ils montrent précisément aux praticiens de la sécurité comment un attaquant pourrait parcourir les relations de confiance pour atteindre des actifs critiques.

Historiquement, cependant, nombre d’entre eux ont sous-investi dans les workflows opérationnels dont les grandes entreprises ont besoin pour les phases Decide et Act : validation de l’exploitabilité, correspondance avec les référentiels de conformité, reporting à destination de la direction et large couverture des identités en cloud hybride. Sans ces capacités, la mitigation s’enlise. Les équipes voient le problème mais ne parviennent pas à avancer sereinement vers sa résolution.

Il existe aussi un déficit de profondeur du graphe. Les attaquants d’aujourd’hui ont de moins en moins besoin d’exploiter une mauvaise configuration ou une vulnérabilité : ils parcourent des relations de confiance et des chemins de délégation légitimes du graphe des accès, configurés exactement comme prévu. Les défenseurs doivent donc aller au-delà de la recherche de ce qui est « cassé » et segmenter correctement l’environnement en réduisant le Relationship-Based Access (ReBAC), c’est-à-dire les accès implicites et transitifs qui s’accumulent au fil des imbrications de groupes, des attributions de rôles et des chaînes de confiance. Sans réduction du ReBAC, même un environnement parfaitement à jour en correctifs peut laisser grands ouverts des couloirs de mouvement latéral. Saporo offre aux praticiens de la sécurité des identités une grande fidélité des graphes d’accès et d’attaque, en plus des contrôles de conformité et de la surveillance des journaux d’événements liés aux identités.

Le principe défensif est bien établi. Le modèle d’administration par tiers de Microsoft sépare les accès d’administration et les systèmes critiques en niveaux de confiance isolés. Il vise à contenir le rayon d’impact de toute compromission isolée et à empêcher un attaquant qui prend pied sur un compte ou un poste de travail d’un tier inférieur de se déplacer latéralement vers des environnements hautement privilégiés tels que les contrôleurs de domaine, les fournisseurs d’identité et les autres actifs Tier 0. Saporo met ce principe en œuvre en continu sur l’ensemble du graphe des identités hybrides, non pas comme une revue d’architecture ponctuelle, mais comme une mesure en temps réel de la solidité effective du tiering dans des conditions réelles et exploitables.

LA RÉALITÉ DU MARCHÉ

Aucune de ces deux approches ne boucle à elle seule le cycle de bout en bout. Sans le contexte du graphe, les listes ne permettent pas de classer selon l’impact réel, le rayon d’impact ou le rôle dans les chemins d’attaque lors de la phase Orient. Sans suivi opérationnel, l’analyse de graphe s’enlise aux phases Decide et Act. La plateforme gagnante sera celle qui accélère la boucle tout entière.

S’orienter (Orient), phase de priorisation : classer selon l’impact réel, le rayon d’impact et le rôle dans les chemins d’attaque

C’est dans l’orientation que l’architecture nativement fondée sur les graphes se révèle décisive. La modélisation des chemins d’attaque va au-delà de la visibilité : alignée sur la PIEM, elle classe chaque exposition des identités selon son impact réel, son rayon d’impact et son rôle dans les chemins d’attaque, afin que les équipes voient comment un attaquant pourrait atteindre un actif critique avant que l’exploitation ne se produise.

Quand la plupart des outils prennent vos praticiens au dépourvu en omettant le graphe des accès ou en ne modélisant que des chemins d’attaque superficiels, la profondeur qualitative l’emporte à chaque fois sur le volume quantitatif.

La plateforme de Saporo repose sur un moteur nativement fondé sur les graphes qui modélise toute la complexité des environnements d’identités hybrides : Active Directory, Entra ID (Azure AD), les services de certificats ADCS et les fournisseurs d’identité cloud. Les attaquants ne respectent pas la frontière entre votre Active Directory historique et vos environnements modernes Entra ID ou AWS. Une orientation efficace exige de cartographier l’ensemble du pont hybride.

Plutôt que de générer une liste classée de mauvaises configurations, Saporo cartographie chaque relation entre identités, chaîne de confiance, signal de conformité, journal d’événements et chemin d’élévation de privilèges afin d’identifier les points de passage critiques précis : les points de convergence où une seule action de remédiation élimine simultanément le plus grand nombre de chemins d’attaque. Nous appelons cela l’ingénierie des points de passage critiques : la discipline qui consiste à transformer des millions de chemins d’attaque possibles en une courte liste de remédiation actionnable.

Lorsqu’une poignée de points de passage critiques architecturaux peut faire disparaître 80 % de la surface d’attaque exploitable, l’équation économique change. Pour des équipes de sécurité aux ressources limitées et aux priorités concurrentes, cette focalisation analytique fait la différence entre un programme de mitigation au point mort et un programme dont les gains se cumulent à chaque itération.

L’ISPM fondé sur les listes éponge les flaques une par une. L’ISPM nativement fondé sur les graphes remonte les canalisations jusqu’aux vannes principales. La PIEM de Saporo, propulsée par un ISPM nativement fondé sur les graphes, ne se contente pas de prioriser les vannes principales à réparer en premier : elle montre comment les réparer, et ce que cela permettra d’obtenir, avant même que vous ne preniez la clé.

Décider (Decide), phase de validation : se concentrer sur ce qui est réellement exploitable

La phase Decide est celle où la plupart des programmes s’enlisent. Modifier Active Directory ou Entra ID comporte un réel risque opérationnel. Les équipes savent quoi corriger ; elles hésitent parce qu’elles ne peuvent pas mesurer l’impact de la correction en aval.

Saporo fournit une validation prédictive en calculant en continu des millions de chemins d’attaque viables pour déterminer comment des attaquants pourraient, de façon réaliste, atteindre des actifs critiques dans l’environnement réel. Contrairement à la simulation de compromission traditionnelle, qui doit rejouer les attaques une par une, Saporo valide l’exposition en continu, à l’échelle de l’ensemble du graphe des identités, sans perturber la production.

Deux fonctionnalités de la plateforme intègrent cette validation au quotidien d’un CISO : Impact Indicator et Business Impact. Ensemble, elles accélèrent le passage de « je pense que c’est important » à « je sais que ce sont les priorités critiques pour l’activité ».

Chaque constat est filtré selon son exploitabilité actuelle : seuls les chemins d’attaque d’identité réellement praticables aujourd’hui sont retenus, avec leur accessibilité, leur rayon d’impact et leur impact sur les actifs critiques rendus explicites. Les équipes priorisent les changements qui font progresser de manière démontrable leur Attack Path Resistance Score (une mesure consolidée de la résistance structurelle de l’environnement face aux chemins d’attaque fondés sur les identités), alignent les parties prenantes sur ce qu’il faut corriger en premier et s’engagent dans l’action en toute confiance. Cela comble l’écart entre « identifié » et « résolu » qui mine la plupart des programmes de sécurité des identités, et fait passer la boucle OODA du cadre conceptuel à la réalité opérationnelle.

VALIDATION PRÉDICTIVE = VÉLOCITÉ DE DÉCISION

Sans focalisation sur l’exploitabilité, la phase Decide se noie dans le bruit. Les comités de gestion des changements délibèrent pendant des semaines face à des constats qui semblent tous aussi urgents. Avec des chemins d’attaque d’identité validés, uniquement ceux qui sont réellement exploitables aujourd’hui, les équipes réduisent les cycles de revue de plusieurs semaines à quelques jours et concentrent leurs efforts sur les changements qui réduisent de manière démontrable le rayon d’impact.

Agir (Act), phase de mobilisation : indépendance de déploiement et itération continue

La phase Act est celle où les frictions de déploiement peuvent ralentir l’ensemble du cycle. La dernière chose dont un CISO a besoin, c’est d’un nouvel outil qui exige un agent spécifique sur les postes, crée une dépendance envers un fournisseur ou impose des concessions sur la souveraineté des données.

Saporo adopte une approche fondamentalement différente. Notre plateforme est entièrement sans agent et entièrement déployable on-premise ; elle collecte les données d’identité via les protocoles natifs des annuaires, sans nécessiter aucun logiciel sur les postes. Nos clients déploient généralement en 1 à 3 heures plutôt qu’en plusieurs semaines, sans dépendance à une plateforme endpoint spécifique et avec la liberté de fonctionner indépendamment des choix plus larges concernant la pile de sécurité.

La phase Act n’est pas une ligne d’arrivée : c’est le début de la boucle suivante. La surveillance continue et le scoring de posture de Saporo mesurent l’impact de chaque remédiation, mettent à jour le graphe en temps réel et réinjectent les résultats dans l’itération suivante du CTEM et de l’OODA.

Cette boucle de rétroaction prépare le terrain pour le prochain bond en avant de la mobilisation. Dans Saporo v5 (mi-2026), les workflows de remédiation réduiront la distance entre une exposition validée et le changement exécuté : ils rédigeront des actions de remédiation vérifiables, feront apparaître les chemins de retour arrière et maintiendront des humains responsables dans la boucle à chaque étape, avec la possibilité d’utiliser l’IA générative pour construire et guider les workflows.

À VENIR DANS SAPORO v5 | MI-2026

Le plus grand bond en avant à ce jour dans la phase Act : des workflows de remédiation conçus spécifiquement pour l’étape Mobilization du CTEM. Les constats validés deviennent des actions de changement sûres et vérifiables, ce qui accélère le délai de remédiation tout en laissant la responsabilité des changements aux équipes plateforme et en offrant une piste d’audit claire aux responsables des risques.

Mesurer ce qui compte : des checklists de conformité à la vitesse d’amélioration de la posture

Les dirigeants veulent une vision de la posture de risque en des termes sur lesquels ils peuvent agir : réduisons-nous l’exposition des identités ? À quel rythme ? Où sont les lacunes ?

C’est là que le reporting devient une partie intégrante de la boucle plutôt qu’une réflexion après coup. Les tableaux de bord de conformité et les synthèses prêtes pour le conseil d’administration constituent la couche de rétroaction qui indique à la direction si les investissements de sécurité font réellement bouger les lignes.

Saporo met en correspondance les constats de sécurité des identités avec plus de 700 contrôles réglementaires et issus de frameworks, notamment ISO 27001, CIS, SOC 2, ANSSI et MITRE ATT&CK. Il traduit ainsi la posture technique dans le langage du risque métier, afin que les mêmes informations qui guident la remédiation éclairent aussi les décisions prises au niveau de la direction.

La checklist de l’acheteur PIEM alignée sur OODA et CTEM

À mesure que la catégorie émergente de la PIEM évolue, nous encourageons les responsables sécurité qui étudient des solutions de sécurité des identités à mettre chaque éditeur à l’épreuve sur l’ensemble du cycle OODA :

Le « cadrage » (Scoping) du CTEM est implicite : l’ensemble du graphe des identités.

Étape OODA / CTEM	Question à poser	À quoi ressemble une bonne réponse
OBSERVER / DÉCOUVRIR	La plateforme modélise-t-elle les accès et les chemins d’attaque sous forme de graphe, ou principalement sous forme de liste notée de constats ?	Elle fait apparaître l’ensemble du paysage d’exposition grâce à des graphes approfondis, en reliant mauvaises configurations, journaux d’événements et signaux de conformité dans tout l’environnement, plutôt qu’en constats isolés.
S’ORIENTER / PRIORISER	Peut-elle prioriser les expositions selon le rayon d’impact et l’impact dans les environnements d’identités hybrides : AD, Entra ID, ADCS et fournisseurs cloud ?	Elle priorise la réduction de l’exposition selon le rayon d’impact, et non selon le nombre de constats. Une couverture partielle crée des angles morts que les attaquants exploitent.
DÉCIDER / VALIDER	La plateforme valide-t-elle les expositions réellement exploitables aujourd’hui, en réduisant le bruit parmi les constats ?	Elle réduit le bruit de posture aux seuls chemins d’attaque d’identité validés, ceux qui sont réellement exploitables aujourd’hui, afin que les équipes agissent sur les changements qui réduisent le rayon d’impact au lieu de rediscuter sans fin de constats à faible impact.
AGIR / MOBILISER	La solution est-elle sans agent, indépendante de l’EDR et capable de prendre en charge des workflows de remédiation ?	Elle déploie la réduction de l’exposition via des workflows de changement vérifiables qui maintiennent des humains dans la boucle. Elle génère des rapports de conformité étayés par des preuves pour les auditeurs et les responsables des risques. Aucune dépendance à un fournisseur.
Boucle / Cycle de vie	Les résultats peuvent-ils être traduits en reporting aligné sur les référentiels de conformité et prêt pour le conseil d’administration ?	Elle crée un mécanisme de rétroaction qui accélère chaque itération suivante du cycle et indique à la direction, en termes métier, si le programme progresse.

Prochainement : Saporo v5 (mi-2026) étend ces workflows de remédiation à la phase Act/Mobilization.

La voie à suivre : remporter la course de la PIEM

Les attaquants pensent en graphes et agissent vite. Les défenseurs ont besoin de plateformes qui parcourent l’intégralité de la boucle OODA (observer, s’orienter, décider, agir) au sein d’un cycle CTEM qui s’accélère. C’est la vision stratégique de la PIEM : éliminer les chemins exploitables avant que les adversaires ne les découvrent, plutôt que de réagir après coup.

Saporo a été conçu pour les défenseurs qui reconnaissent que la sécurité des identités est un défi de vitesse de décision, et que l’organisation dotée du cycle le plus rapide l’emporte.

Le prochain chapitre, les workflows de remédiation de Saporo v5 (mi-2026), porte cette vélocité de décision directement dans la phase Act, là où la plupart des programmes perdent encore le plus de temps.

La détection vous dit que le voleur est dans le bâtiment. Saporo s’assure de manière préemptive qu’il n’y a aucun couloir à emprunter.

Si vous cherchez comment réduire l’exposition des identités dans Active Directory, Microsoft Entra ID, Microsoft ADCS et les identités cloud, demandez-vous si votre approche actuelle vous aide à boucler l’intégralité du cycle, de la découverte à l’action.

Demandez une Analyse gratuite de l’exposition des identités et obtenez une vision claire de votre rayon d’impact sur l’ensemble de votre environnement, ainsi que des mesures à prendre.