Lors de la conférence EDUCAUSE Cybersecurity and Privacy Professionals Conference (CPPC) qui s’est tenue cette année à Anaheim, en Californie, les participants ont pu partager un escalator avec un personnage de Star Wars ou apercevoir une multitude de Minnie Mouses traversant le hall. Le salon des influenceurs sur les réseaux sociaux qui se tenait de l’autre côté de la rue a prouvé que les perches à selfie sont un accessoire pratique et que les débardeurs fluo sont toujours une tenue appropriée.
À l’intérieur de l’espace de conférence, des centaines de spécialistes de la cyberdéfense discutaient des moyens de protéger l’enseignement supérieur, alors que l’IA, la réglementation et les techniques d’attaque évoluent tous à une vitesse fulgurante. Les sessions ont abordé les menaces générées par l’IA, les risques et les promesses des agents d’IA, la résilience face aux attaques zero-day, l’harmonisation des frameworks, l’intégration des efforts de modernisation dans la sécurité et la protection de votre écosystème IT contre la fraude. Un thème majeur de la conférence était que l’identité sera la base sur laquelle la sécurité de l’enseignement supérieur sera construite au cours de la prochaine décennie.
Trois points sont à retenir et à prendre en compte sur le campus.
Premier point à retenir : le MFA est nécessaire, mais ne peut plus supporter la charge à lui seul
Plusieurs sessions ont emprunté des voies différentes pour finalement arriver au même point. Les kits de phishing « browser-in-the-middle » servent de proxy pour une connexion réelle, permettant à l’utilisateur de valider le MFA, puis de compromettre la session authentifiée. Le prompt bombing, les échanges de carte SIM et les kits d’attaque « attacker-in-the-middle » sont désormais monnaie courante. Le phishing généré par l’IA a atteint un niveau de qualité et un volume que la formation traditionnelle des utilisateurs peine à égaler. Les deepfakes vocaux ciblant les services d’assistance ont été identifiés comme une menace active.
Plusieurs sessions l’ont clairement indiqué : le MFA protège les identifiants, mais les attaques d’aujourd’hui ciblent les sessions, les terminaux, les flux de récupération et les personnes qui répondent au téléphone.
La phase suivante est familière dans ses éléments : des facteurs résistants au phishing liés au site légitime et à un terminal de confiance, une évaluation continue des risques liés à la session et au terminal après la connexion, une gouvernance liée au rôle, et une automatisation du cycle de vie qui supprime l’accès dès qu’une personne change de rôle ou quitte l’entreprise. Le MFA seul n’a jamais été la solution, et l’exécution de ces capacités en tant qu’outils déconnectés ne le sera pas non plus. Les établissements qui font de réels progrès les rassemblent sur une plateforme d’identité unifiée.
Deuxième point à retenir : la prolifération de l’IA et les agents font leur entrée dans l’enseignement supérieur
Si vous espériez passer une semaine sans entendre parler d’IA et d’agents d’IA, cette conférence n’était pas faite pour vous. Les sessions se sont déroulées en parallèle : l’une relatait des histoires d’horreur d’attaques générées par l’IA, tandis que l’autre vantait la promesse de cas d’usage agentiques.
C’est là où se trouve actuellement l’IT dans l’enseignement supérieur. Des agents d’IA productifs et efficaces émergent dans les services IT plus rapidement qu’il n’est possible de les inventorier. Les professeurs sont convaincus qu’OpenClaw pourrait être meilleur que leur assistant d’enseignement s’il pouvait simplement avoir accès à quelques systèmes supplémentaires. Les étudiants développent un grand nombre de nouveaux cas d’usage.
Le risque est double. Du côté des attaquants, l’IA a réduit le coût de création d’attaques de phishing crédibles, de tentatives de compromission de la messagerie d’entreprise, de deepfakes et de reconnaissances automatisées à un niveau où l’authentification statique et les politiques d’accès ne peuvent plus suivre. Du côté de la Shadow AI, demandez à une équipe sécurité combien d’agents d’IA fonctionnent au sein de leur établissement, et la réponse est presque toujours une fourchette estimée suivie de : « Du moins, ce sont ceux dont nous avons connaissance ».
L’identité offre une solution pour les deux parties, et tout se résume à la capacité de répondre à trois questions :
- Où sont mes agents ?
- À quoi ont-ils accès ?
- Que peuvent-ils faire ?
Les universités mettent déjà en place des assistants et des workflows d’IA pour un grand nombre d’équipes, d’outils et de plateformes. Le défi n’est pas de savoir si ces établissements utiliseront l’IA, mais plutôt comment la déployer à l’échelle sur un socle d’identité qui leur permette de répondre à ces trois questions avec assurance, ce qui signifie :
- Découvrir chaque agent
- Enregistrer la propriété
- Déléguer l’autorité des utilisateurs de manière sécurisée
- Appliquer un accès granulaire avec approbation humaine là où c’est important
- Conserver un registre auditable dans l’ensemble de l’écosystème IT
Troisième point à retenir : enclaves de recherche, données réglementées et couche d’identités sous-jacente
La conformité se manifeste le plus souvent là où elle a le plus d’impact. Les universités à forte intensité de recherche et les centres médicaux universitaires doivent gérer simultanément les exigences de plusieurs frameworks de conformité, souvent redondants, sur les mêmes systèmes, notamment la norme CMMC, la directive 800-171 du NIST, les lois HIPAA et FERPA, ainsi que les accords fédéraux sur les données. Une session a retracé leur parcours de construction d’une enclave de recherche réglementée satisfaisant au niveau 2 de la norme CMMC, et le modèle opérationnel est devenu clair : l’identité est fondamentale.
Une grande partie du niveau 2 de la norme CMMC repose sur l’identification, l’authentification, le contrôle des accès, l’audit et la responsabilité, qui apparaissent de manière similaire dans la loi HIPAA et les accords fédéraux sur les données de recherche. Une plateforme d’identité unifiée qui gère l’authentification, les accès à privilèges, la gouvernance et le reporting adapté aux audits réduit les efforts inutiles dans tous ces domaines.
Un écosystème de sécurité des identités ne garantit pas la conformité à lui seul ; il rend la partie identité du travail mesurable, reproductible et défendable.
Tout est bien qui finit bien
Ce résumé pourrait ressembler à un compte rendu de conférence sur l’identité, tenue étrangement près de l’endroit le plus joyeux du monde. En réalité, il s’agissait d’un rassemblement de professionnels de la cybersécurité qui se penchaient sur les défis les plus ardus en matière de sécurité, de conformité, d’IA et de résilience dans l’enseignement supérieur. L’identité s’est retrouvée partout, presque par hasard. Et tout le monde n’a pas suivi toutes les sessions.
Pour les professionnels de la cybersécurité et de la protection de la vie privée dans l’enseignement supérieur, l’objectif ne se limite plus à un meilleur SSO et à une authentification moderne. Il s’agit d’un écosystème unifié de sécurité des identités qui intègre l’accès, la gouvernance, les risques, la conformité, la sécurité de l’IA et l’expérience utilisateur, afin que chaque personne sur le campus puisse utiliser n’importe quelle technologie en toute sécurité.
