CIEM

01 — DéfinitionQu'est-ce que le CIEM ?

Le CIEM (Cloud Infrastructure Entitlement Management) est une discipline et un outillage qui analysent, rationalisent et sécurisent les identités et droits d'accès dans les environnements cloud multi-providers. Catégorie formalisée par Gartner en 2020, le CIEM est le troisième pilier central des plateformes CNAPP modernes, avec le CSPM et le CWPP.

Le CIEM répond à un défi structurel du cloud moderne : les environnements contiennent typiquement des dizaines de milliers d'identités (humains, rôles, service accounts, machines) avec des millions de permissions combinées. Aucune équipe IAM humaine ne peut maintenir manuellement une vue cohérente de qui peut faire quoi, qui a trop de droits, quels chemins d'escalade existent. Le CIEM automatise cette analyse.

Les 5 activités clés d'un CIEM

• Inventaire exhaustif : cartographier toutes les identités cloud et leurs attributs.
• Analyse des droits effectifs : calculer les permissions réelles en tenant compte des héritages, rôles, conditions, policies multiples.
• Détection des surprivilèges : comparer droits accordés vs droits utilisés.
• Identification des chemins d'escalade : comment une identité peut s'élever en privilèges via une séquence de permissions.
• Remédiation : génération de policies optimisées, suggestions de restriction, parfois auto-remédiation.

Types d'identités couvertes

Le CIEM couvre toutes les identités cloud, pas seulement les humains :

• Utilisateurs humains : comptes des employés, administrateurs, développeurs.
• Rôles IAM : assumés par des applications, services, autres utilisateurs.
• Service accounts : comptes applicatifs des machines.
• Applications SaaS fédérées : qui ont des accès vers les ressources cloud.
• CI/CD pipelines : GitHub Actions, Jenkins, GitLab qui déploient dans le cloud.
• Identités fédérées : via SAML, OIDC depuis des IdP externes.

Les identités non-humaines (NHI) sont devenues le sujet majeur : elles dépassent typiquement les humaines par un ratio de 45:1 dans les environnements modernes (étude GitGuardian/Sonrai 2024).

Relation avec l'IAM traditionnel

Le CIEM n'est pas un remplacement de l'IAM mais un complément analytique :

• L'IAM définit et applique les politiques d'accès.
• Le CIEM analyse, optimise et monitore ces politiques.

Le CIEM fournit la visibilité et les recommandations que les équipes IAM appliquent ensuite via les outils IAM natifs des cloud providers ou des plateformes IAM tierces.

Dans le cloud, les attaquants n'exploitent plus tant les vulnérabilités logicielles que les identités mal gérées — credentials compromis, rôles surprivilégiés, chemins d'escalade oubliés. Le CIEM est la réponse structurelle à cette nouvelle géographie des attaques.

02 — PourquoiL'identité, vecteur principal cloud

Les chiffres qui justifient le CIEM

• 80 % des incidents cloud impliquent une compromission d'identité ou un abus de permissions (rapports IBM, CrowdStrike, Verizon DBIR 2024).
• 95 % des permissions accordées ne sont jamais utilisées (études Microsoft, Palo Alto, Wiz).
• 45 identités non-humaines pour chaque utilisateur humain dans les environnements modernes.
• Plus de 50 000 identités cloud en moyenne dans une ETI typique.
• 13 000+ actions IAM possibles dans AWS, multipliées par les ressources.

Pourquoi l'identité est devenue le maillon faible

• Surface d'attaque directe : un credential volé donne accès sans exploiter de faille.
• Périmètre disparu : l'identité est le nouveau périmètre (Zero Trust).
• Complexité ingérable : impossible de maintenir manuellement la vision des droits.
• Surprivilège systémique : les équipes accordent par défaut trop de droits.
• Rotation insuffisante : credentials et clés d'API peu renouvelés.
• Identités oubliées : employés partis, projets terminés.

Incidents emblématiques par abus d'identité

• Uber 2022 : un attaquant utilise le MFA fatigue contre un contractor, obtient des credentials internes, utilise un script d'admin avec accès privilégié pour escalader jusqu'aux secrets d'infrastructure.
• LastPass 2022 : un attaquant compromet un développeur sur son PC personnel, obtient des credentials AWS avec accès aux backups chiffrés.
• Okta 2022 : compromission d'un sous-traitant (Sitel) avec accès à la plateforme d'Okta.
• Microsoft Midnight Blizzard 2023-2024 : attaque via un compte test non MFA, escalade vers des comptes privilégiés de Microsoft 365.
• Snowflake 2024 : credentials sans MFA exploités, données de 165+ clients Snowflake exfiltrées (Ticketmaster, AT&T, Santander).
• MGM Resorts 2023 : ingénierie sociale d'un helpdesk, reset de MFA, prise de contrôle d'identités privilégiées.

Exigences réglementaires

• NIS2, DORA : renforcement des exigences sur la gestion des accès et identités.
• ISO 27001:2022 : contrôles A.5.15 (contrôle d'accès), A.5.18 (droits d'accès).
• PCI DSS 4.0 : exigences 7 et 8 renforcées sur les accès.
• RGPD : principe de minimisation des accès aux données personnelles.

03 — CapacitésCe que fait un CIEM

1. Inventaire et visibilité

• Découverte automatique de toutes les identités (humaines et non-humaines).
• Classification : types, origines, criticité.
• Métadonnées : propriétaire, création, dernière utilisation.
• Fédération d'identités : visibilité sur les identités venant d'IdP externes (Entra ID, Okta).
• Cross-account et cross-cloud : vue unifiée entre AWS, Azure, GCP.

2. Analyse des droits effectifs

Calculer les permissions réellement détenues par une identité, ce qui est très complexe dans le cloud :

• Permissions directes.
• Permissions héritées via groupes, rôles, policies attachées.
• Conditions et restrictions (IP source, MFA requis, tags).
• Permissions transitives via assume role.
• Permissions service-linked accordées par les cloud providers.
• Interactions avec les politiques resource-based.

Les cloud providers eux-mêmes ont du mal à expliciter les droits effectifs : IAM Access Analyzer d'AWS y répond partiellement. Le CIEM consolide cette analyse entre plusieurs clouds.

3. Détection des surprivilèges

Méthodologie clé :

1. Analyse des logs d'activité sur une fenêtre significative (typiquement 90 jours).
2. Extraction des permissions effectivement utilisées.
3. Comparaison avec les permissions accordées.
4. Calcul du ratio d'utilisation et identification des permissions dormantes.
5. Recommandation de right-sizing : réduire aux permissions effectivement utilisées.

Ratio typique observé : 5% des permissions accordées sont utilisées. Un rôle admin avec 500 permissions possibles n'en utilise réellement que 25 en usage quotidien.

4. Identification des chemins d'escalade

Analyse des séquences de permissions qui permettent à une identité de s'élever en privilèges. Exemples :

• Utilisateur A peut créer un rôle B avec plus de droits.
• Utilisateur A peut modifier une policy attachée à un rôle privilégié.
• Utilisateur A peut prendre un rôle via assume role qui élargit ses capacités.
• Service account avec accès à un secret qui donne accès à d'autres services.
• Rôle attaché à une EC2 accessible via une vulnérabilité applicative (SSRF notamment).

Les CIEM modernes modélisent ces chemins en graphe et les exposent visuellement. Pionniers : PMapper (NCC Group) en open source, Sonrai, puis les plateformes CNAPP leaders.

5. Analyse des identités non-humaines (NHI)

Segment émergent en 2024-2026 :

• Service accounts Kubernetes.
• AWS IAM roles assumés par EC2, Lambda, ECS.
• Azure Managed Identities.
• GCP Service Accounts.
• Tokens d'API pour les applications tierces.
• GitHub Actions, GitLab Runners avec accès cloud.

Les NHI sont souvent surprivilégiées car leur cycle de vie est moins surveillé que les identités humaines. Acteurs émergents spécialisés NHI : Astrix Security, Oasis Security, Entro Security.

6. Dormant identities et nettoyage

• Identités non utilisées depuis X jours.
• Utilisateurs partis de l'organisation.
• Rôles créés pour des projets terminés.
• Service accounts de pipelines disparus.
• Clés d'accès non rotées.

7. Remédiation

• Génération de policies least-privilege : policies IAM optimisées générées automatiquement, prêtes à déployer.
• Pull request IaC : correction des fichiers Terraform, CloudFormation.
• Just-In-Time access : intégration avec des solutions JIT (PAM cloud).
• Auto-remédiation : suppression automatique des identités dormantes (après validation).
• Tickets : workflow d'approbation pour les changements importants.

04 — FonctionnementComment opère un CIEM

Sources de données

• Cloud providers IAM APIs : AWS IAM, Azure AD / Entra ID, GCP IAM.
• Logs d'activité : CloudTrail, Azure Activity Log, GCP Cloud Audit Logs.
• IdP externes : Okta, Entra ID, Ping Identity.
• Secrets managers : AWS Secrets Manager, Azure Key Vault, HashiCorp Vault.
• Policies as Code : Terraform, Pulumi, CloudFormation.
• SaaS : Microsoft 365, Salesforce, Slack avec intégrations cloud.

Architecture type

1. Ingestion : connexion API aux cloud providers (droits de lecture).
2. Normalisation : conversion des structures IAM propriétaires en modèle unifié.
3. Construction du graphe : identités, ressources, permissions, relations.
4. Analyse comportementale : corrélation avec les logs d'activité.
5. Détection des patterns : surprivilèges, chemins d'escalade, dormant.
6. Priorisation : scoring contextuel.
7. Notifications et workflows : alertes, tickets, PRs.

Vue graphe — caractéristique clé

Les CIEM modernes modélisent les environnements cloud en graphe : nœuds pour identités, ressources, permissions ; arêtes pour les relations. Permet des requêtes complexes :

• « Quelles identités peuvent accéder à cette base contenant des données PII ? »
• « Quels sont les chemins à 3 étapes maximum entre cet utilisateur et les secrets de production ? »
• « Si ce rôle était compromis, que pourrait faire l'attaquant ? »

Corrélation avec les autres piliers CNAPP

Le CIEM en silo est utile, mais sa valeur maximale vient de la corrélation avec CSPM et CWPP :

• CIEM + CSPM : détecter qu'un rôle surprivilégié a accès à une base de données mal configurée (chiffrement off).
• CIEM + CWPP : détecter qu'un workload avec une CVE critique a un rôle IAM très privilégié — escalade immédiate en cas de compromission.
• CIEM + DSPM : qui peut accéder aux données sensibles identifiées ?

Ces corrélations produisent les chaînes d'attaque (attack paths) qui sont le livrable clé des CNAPP modernes.

05 — ActeursLe marché CIEM

CIEM intégré dans les CNAPP leaders

• Wiz : très fort sur les chemins d'attaque identitaires via son graphe.
• Palo Alto Prisma Cloud : module CIEM mature, héritage du rachat de RedLock.
• Microsoft Defender for Cloud : intégration native avec Entra ID, renforcé par le rachat CloudKnox.
• CrowdStrike Falcon Cloud Security : renforcé par le rachat de Flow Security en 2024.
• Orca Security : capacités CIEM au sein de la plateforme.
• Tenable Cloud Security : CIEM issu du rachat d'Ermetic en 2023.

Acteurs CIEM spécialisés historiques

• Sonrai Security : pionnier CIEM, focus graphe d'identités.
• Ermetic : racheté par Tenable en 2023, intégré à Tenable Cloud Security.
• CloudKnox : racheté par Microsoft en 2021, devenu Defender for Cloud Permissions Management.
• Authomize : racheté par Delinea en 2024.

Acteurs IAM/PAM évoluant vers CIEM

• SailPoint : IdentityNow étendu avec capacités cloud.
• Saviynt : IGA avec forte composante CIEM.
• BeyondTrust : PAM et Cloud Privilege Broker.
• Delinea : PAM et Cloud Suite, renforcé par rachat d'Authomize.
• CyberArk : PAM leader avec capacités cloud entitlement, renforcé par rachat de Venafi en 2024.
• Okta : ajouts progressifs de fonctionnalités CIEM.

Spécialistes NHI (identités non-humaines)

Segment émergent 2023-2026, focus sur les service accounts, clés d'API, tokens :

• Astrix Security.
• Oasis Security.
• Entro Security.
• Aembit : focus workload identity.

Services natifs cloud providers

• AWS IAM Access Analyzer : capacités basiques gratuites.
• AWS IAM Roles Anywhere, Identity Center : outils de gouvernance.
• Microsoft Entra Permissions Management : ex-CloudKnox, multi-cloud.
• Google Cloud Policy Analyzer, Recommender : analyse d'usage IAM.

Outils open source

• PMapper : NCC Group, modélisation graphe AWS, détection d'escalade.
• Cloudsplaining : Salesforce, analyse de politiques IAM AWS.
• PolicyAnalyzer : AWS officiel.
• Prowler, ScoutSuite : incluent des vérifications IAM partielles.
• IAMActionHunter : recherche d'actions IAM spécifiques.
• Cartography : Lyft, modélisation graphe des ressources cloud incluant IAM.

Tarification indicative

• CNAPP avec CIEM inclus : tarification globale de la plateforme.
• CIEM spécialisé : 50 000 à 300 000 €/an selon volumétrie.
• Services cloud natifs : AWS Access Analyzer gratuit, Microsoft Entra Permissions Management ~5 USD/identité/mois.
• Outils open source : gratuits, expertise et temps requis.

06 — Bonnes pratiquesDéployer un CIEM efficacement

07 — FAQQuestions fréquentes

CIEM et IAM, quelle différence ?

L'IAM (Identity and Access Management) est la discipline globale de gestion des identités — création, authentification, autorisation, cycle de vie. Le CIEM est une spécialisation qui se concentre sur l'analyse et l'optimisation des droits d'accès dans les environnements cloud spécifiquement. L'IAM définit qui peut accéder à quoi, le CIEM analyse si cette définition est appropriée (pas trop de droits, pas de chemins dangereux) et recommande des ajustements. Les deux sont complémentaires : l'IAM est l'exécution, le CIEM est l'analyse et l'optimisation.

CIEM ou PAM, lequel choisir ?

Complémentaires, pas concurrents. Le PAM (Privileged Access Management) gère les accès privilégiés — sessions enregistrées, credentials éphémères, JIT. Il couvre traditionnellement les accès serveurs, bases de données, infrastructures on-premises et cloud. Le CIEM analyse les droits IAM cloud dans leur ensemble — privilégiés ou non. Dans une architecture mature : CIEM pour l'analyse et l'optimisation du paysage IAM global, PAM pour l'exécution sécurisée des accès privilégiés. Les deux s'intègrent avec workflows d'approbation, sessions enregistrées, monitoring.

Combien de temps pour déployer un CIEM ?

Déploiement technique rapide (quelques heures pour connecter les cloud providers), mais la valeur opérationnelle demande du temps. Phase d'observation nécessaire (typiquement 30-90 jours) pour accumuler suffisamment de données d'usage avant de recommander des réductions. Phase de right-sizing progressive sur 6-12 mois pour les grands environnements. Le CIEM est un programme continu, pas un projet ponctuel : les identités évoluent en permanence.

Le CIEM casse-t-il les applications en réduisant les permissions ?

Possible si mal utilisé. Les permissions dormantes peuvent correspondre à des workflows cycliques (annuels, exceptionnels) légitimes mais non capturés dans la fenêtre d'observation. Bonnes pratiques : fenêtre d'analyse longue (90+ jours), communication avec les propriétaires avant réduction, tests en environnement staging, mode detection d'abord, process rapide de réouverture si besoin. Les CIEM matures proposent des simulateurs : « si je retirais ces permissions, quels impacts ? ». Démarche itérative et prudente.

Le CIEM est-il nécessaire avec AWS Access Analyzer ?

Dépend de la taille et de la complexité. AWS IAM Access Analyzer offre des capacités CIEM de base gratuites : génération de policies least-privilege, analyse d'accès cross-account, validation de policies. Pour une PME avec un seul compte AWS et peu d'identités, suffisant. Pour les environnements complexes — multi-cloud, multi-comptes, milliers d'identités, intégrations SaaS — un CIEM dédié ou intégré à une CNAPP apporte une valeur très supérieure : chemins d'escalade multi-ressources, analyse comportementale avancée, consolidation multi-cloud, NHI spécifiques. Règle pratique : si vous gérez plus de 3-5 comptes cloud actifs, un CIEM dédié ou CNAPP est généralement justifié.