Accès tiers et cyberattaques : ce que révèle le DBIR 2026

Le chiffre qui doit alerter les RSSI et DSI

Le dernier rapport Data Breach Investigations Report (DBIR) publié par Verizon fait état d'une tendance préoccupante : près d'une compromission de données sur deux implique désormais un tiers (prestataire, intégrateur, fournisseur technique...). Ce chiffre marque une progression continue sur plusieurs années, avec une accélération notable par rapport à l’année dernière (+60%).

Ce qui doit retenir l'attention des RSSI et DSI n'est pas tant l'ampleur du chiffre que sa cause. Le rapport pointe des causes racines élémentaires : authentification multifacteur absente ou mal configurée, permissions excessives laissées sans revue... Pas de zero-day sophistiqué, pas de chaîne d'exploitation complexe. Seulement une défaillance de contrôle et de sécurité sur les accès tiers.

C'est une bascule de posture qu'il faut opérer : le risque tiers n'est plus un sujet contractuel ou juridique relégué aux équipes achats. C'est un sujet d'architecture et de gouvernance des accès à privilèges.

Pourquoi les accès tiers sont devenus une porte d'entrée privilégiée

La multiplication des prestataires (infogérance, maintenance applicative, support éditeur, intégrateurs spécialisés) a considérablement élargi la surface d'accès aux systèmes sensibles. Chaque tiers qui intervient sur un serveur, une base de données ou un équipement réseau représente un point d'entrée potentiel.

Le problème structurel est connu des équipes sécurité : ces accès sont créés au moment d'un projet ou d'une intervention, puis rarement révoqués ou révisés une fois la mission terminée. Un compte de prestataire ouvert il y a deux ans, avec des droits d'administration jamais réduits, devient une aubaine pour un attaquant, sans qu'aucune vulnérabilité logicielle n'ait besoin d'être exploitée.

83% des incidents d'élévation de privilèges n'impliquent aucune CVE. C'est l'un des points les plus instructifs de ce rapport. Ce n'est pas un problème de correctifs de sécurité manquants. C'est un problème de comptes à privilèges mal gérés, de permissions qui s'accumulent sans jamais être réévaluées, et d'accès tiers qui échappent à toute traçabilité centralisée.

Pour un RSSI, ce constat change la priorité d'investissement : le patch management reste indispensable, mais il ne suffit pas à couvrir le risque principal identifié par les analyses d'incidents.

NIS2 : la réglementation pousse dans le même sens

Ce constat opérationnel converge avec une exigence réglementaire de plus en plus structurante : la directive NIS2 (à travers le RECYF en France) fait explicitement de la sécurisation de la chaîne d'approvisionnement l'un de ses axes de conformité.

Pour les entités concernées, cela signifie concrètement : pouvoir démontrer que les accès accordés à des tiers sont contrôlés, limités dans le temps et dans leur périmètre. Ce n'est plus une bonne pratique facultative, c'est un point de contrôle attendu par les autorités de supervision.

« Pour chaque ressource du système d’information, l’entité n’attribue les droits d’accès qu’aux seuls utilisateurs et processus automatiques justifiant d’un besoin au regard de leurs missions. »

Pour les DSI et RSSI en cours de mise en conformité, cette convergence entre retour d'expérience terrain et cadre réglementaire donne un argument supplémentaire pour prioriser un chantier trop souvent reporté : la gouvernance des accès à privilèges des tiers.

Reprendre le contrôle : traçabilité et moindre privilège sur les accès tiers

Face à ce constat, la réponse structurelle relève d'une logique bien identifiée en cybersécurité : celle du bastion d'administration, ou PAM (Privileged Access Management).

Le principe est simple à énoncer, plus exigeant à mettre en œuvre sans les bons outils : aucun accès direct d'un prestataire vers un serveur, une base de données ou un équipement sensible. Tout accès passe par un point de contrôle unique (le bastion) qui agit comme un broker d'accès.

Quatre piliers structurent cette approche :

Le contrôle des accès : chaque connexion d'un tiers est authentifiée, autorisée et limitée au périmètre strictement nécessaire à sa mission (application du principe du moindre privilège)
L'accès sécurisé : l'authentification multifacteur (MFA) est appliquée à chaque connexion, réduisant le risque qu'un identifiant compromis suffise à accéder à un système sensible. C'est précisément l'une des causes racines identifiées par le DBIR.
La protection des secrets : les secrets pour accéder aux ressources (mots de passe, clés SSH) sont stockés dans un coffre-fort chiffré et ne transitent jamais par le poste du prestataire. Ils ne sont donc jamais divulgués aux intervenants externes.
L'enregistrement des sessions : les actions réalisées par un prestataire sur un système sensible sont journalisées et filmées, ce qui transforme un accès à privilèges en accès traçable et auditable.

Cette approche répond directement aux deux causes racines identifiées plus haut : elle structure l'authentification (au-delà d'un simple MFA mal configuré côté prestataire) et elle empêche l'accumulation silencieuse de permissions excessives.

PROVE IT : une réponse souveraine et opérationnelle

C'est précisément la fonction que remplit PROVE IT, bastion d'administration On-Premise et 100% français.

Plusieurs éléments en font une réponse adaptée aux enjeux des RSSI et DSI confrontés au risque tiers :

Une certification reconnue : PROVE IT dispose du Visa de sécurité CSPN délivré par l'ANSSI depuis 2018, renouvelé en 2023, avec un renouvellement en cours pour une validité jusqu'en 2029. Un gage de robustesse évalué par l'autorité française de référence en cybersécurité.
Une souveraineté dès le premier jour : créé par Rubycat en 2014 à Rennes PROVE IT est 100% français, un critère de plus en plus déterminant pour les entités soumises à des exigences de souveraineté numérique (secteur public, OIV, OSE notamment).
Une simplicité d'exploitation : son déploiement est pensé pour être rapide à mettre en œuvre et simple à administrer au quotidien, sans complexité opérationnelle superflue.
Un TCO maîtrisé : une tarification positionnée pour rester accessible sans sacrifier les fonctionnalités de contrôle et de traçabilité attendues sur ce type de solution.
Une proximité éditeur réelle : un support et une relation directe avec les équipes, un atout de réactivité pour les projets de mise en conformité sous contrainte de calendrier.

Conclusion

Le message de ces rapports d'incidents, année après année, est constant : la sophistication technique n'est pas la première ligne de défense à renforcer. C'est encore l'hygiène des accès, en particulier ceux accordés aux tiers, qui reste le point faible le plus exploité.

Face à un cadre réglementaire qui pousse dans la même direction, la mise en place d'un bastion d'administration devient un chantier à prioriser plutôt qu'à différer.