IT Glossary
La politique de gestion des accès fixe qui obtient quels droits, qui les valide, quand ils sont revus et retirés. Contenu, mise en œuvre et sens technique.
November 2, 2026
La politique de gestion des accès (ou politique IAM) est un document de gouvernance qui fixe qui peut obtenir quels accès aux systèmes de l'entreprise, qui les valide, à quelle fréquence ils sont revus et quand ils sont retirés. Elle traduit le moindre privilège et la séparation des tâches en règles contrôlables par la DSI, les managers et les auditeurs. Dans le cloud, le même terme désigne aussi un objet technique de permissions.
C'est aussi la logique de la CNIL sur la gestion des habilitations : profils définis, droits revus, accès obsolètes supprimés.
Les deux sens se rejoignent dans l'exécution. L'article 21 de la directive NIS2 range les politiques de contrôle d'accès parmi les mesures requises, mais un document ne protège rien tant que ses règles ne sont pas traduites en rôles, groupes, validations et tâches de déprovisionnement dans les outils. Les écarts apparaissent là où le texte prévoit un « retrait le dernier jour » sans que personne ne porte cette tâche dans les applications hors SSO.
Une fintech de 180 salariés rédige sa politique de gestion des accès pour préparer sa certification ISO/IEC 27001:2022 : droits par défaut selon le rôle, validation du manager pour tout outil supplémentaire, revue trimestrielle des droits d'administration et retrait de tous les accès le dernier jour travaillé. Six mois plus tard, le fournisseur d'identité respecte la politique, mais 25 outils SaaS achetés par les équipes y échappent. Les droits d'administration ont été donnés par qui a configuré l'outil, personne ne les a revus et deux anciens salariés ont encore un compte actif.
Corma réduit l'écart entre la politique écrite et les outils. La plateforme établit l'inventaire des applications SaaS utilisées, fait passer les demandes d'accès par des workflows de validation, automatise les revues des accès avec preuves d'audit ainsi que le déprovisionnement, y compris dans les applications sans SCIM.
Le périmètre, les droits par défaut par rôle, le circuit de validation des accès supplémentaires, le calendrier des revues et les délais de retrait pour les départs et les mobilités. Elle couvre aussi les comptes à privilèges, les comptes de service et les exceptions.
En général, le RSSI la rédige et la direction la valide. Managers et propriétaires d'applications l'appliquent au quotidien en validant les demandes et en revoyant les accès.
Dans les faits, oui. La mesure 5.15 de l'annexe A de l'ISO/IEC 27001:2022 exige que des règles de contrôle des accès physiques et logiques soient établies et mises en œuvre, et ces règles sont normalement formalisées dans une politique de contrôle d'accès.
La politique de l'entreprise est un document qui dit aux personnes comment les accès sont attribués et retirés. Une IAM policy AWS est un objet JSON de permissions évalué à chaque requête, où un Deny explicite l'emporte toujours.
