La gestion des identités et des accès, généralement abrégée en IAM (Identity and Access Management), est la spécialisation en sécurité qui vise à déterminer qui et quoi peut accéder aux systèmes d'une organisation, et à garantir que chaque identité ne dispose que des accès dont elle a réellement besoin. Elle couvre l'ensemble du cycle de vie d'une identité, depuis la création d'un compte jusqu'à sa suppression, en passant par chaque changement de rôle, et elle englobe les personnes, les services et les appareils qui interagissent avec les environnements modernes. À mesure que les organisations ont adopté les plateformes cloud, le travail à distance et les applications interconnectées, l'identité est devenue une frontière de sécurité majeure, ce qui place l'IAM au cœur de la façon dont les accès sont accordés, prouvés et révoqués.
Au quotidien, les praticiens de ce domaine conçoivent et exploitent les contrôles qui authentifient les utilisateurs et autorisent leurs actions. Le travail comprend l'administration des services d'annuaire et de l'authentification unique (SSO), la mise en œuvre de l'authentification multifacteur, la définition des rôles et des habilitations afin que les permissions correspondent clairement à la fonction occupée, ainsi que la conduite des processus de provisionnement et de déprovisionnement qui maintiennent les accès à jour lorsque les personnes arrivent, changent de poste et partent. Un thème récurrent est le principe du moindre privilège, poursuivi au moyen de revues d'accès, de campagnes de certification et de la réduction constante des permissions permanentes et excessives. La gestion des accès à privilèges, qui protège les comptes administrateurs et à haut risque, ainsi que la gouvernance des identités non humaines telles que les comptes de service et les identifiants applicatifs, prennent une place croissante dans le périmètre. L'essentiel de la valeur réside dans le fait de rendre les accès à la fois fiables pour les utilisateurs légitimes et difficiles à détourner.
Le rôle s'appuie sur un mélange de compétences techniques et organisationnelles. Les praticiens doivent avoir une solide maîtrise des concepts d'authentification et d'autorisation, une bonne connaissance des protocoles et normes tels que SAML, OAuth, OpenID Connect, LDAP et SCIM, et une expérience pratique des plateformes d'annuaire et d'identité, aussi bien sur site que dans le cloud. Tout aussi importante est l'aisance avec les enjeux métier : l'IAM touche presque tous les services, de sorte que la capacité à traduire une politique d'accès en conceptions de rôles concrètes, à collaborer avec les propriétaires d'applications et les auditeurs, et à documenter clairement les décisions compte souvent autant que la compétence de configuration. Le scripting et l'automatisation sont précieux, car les processus liés à l'identité sont répétitifs et gagnent grandement en cohérence grâce à eux.
On entre couramment dans l'IAM depuis l'administration système, le support aux annuaires et à l'assistance (help desk), l'administration cloud, ou un parcours général en opérations de sécurité, en apportant une compréhension du comportement des comptes et des permissions dans les environnements réels. Le travail initial tend à être opérationnel, avec le traitement des demandes d'accès, les tâches liées au cycle de vie des comptes et le support, avant d'évoluer vers des rôles d'ingénierie qui construisent des intégrations et automatisent le provisionnement, puis vers des rôles de gouvernance et d'architecture qui définissent les modèles d'accès et les politiques à l'échelle de l'organisation. Les parcours seniors mènent vers l'architecture d'identité, le pilotage de programme ou la direction d'une fonction identité. La spécialisation est proche de l'architecture de sécurité, qui établit la conception plus large que l'IAM met en œuvre, et de la GRC, qui s'appuie sur les preuves issues de l'IAM pour les certifications d'accès et les audits ; elle soutient également la sécurité du cloud, où l'identité constitue souvent le principal plan de contrôle.