Qu'est-ce que l'OWASP NHI Top 10 ?
L'OWASP NHI Top 10 est un référentiel communautaire publié par la fondation OWASP qui recense les dix risques de sécurité les plus critiques liés aux identités non humaines (NHI) — comptes de service, clés API, tokens OAuth, identités machine et, de plus en plus, agents IA. Construit sur le même modèle que l'OWASP Top 10 pour les applications web, il fournit aux équipes sécurité, auditeurs et développeurs un vocabulaire commun pour classer et prioriser les risques liés aux NHI : mauvaise gestion des secrets, accès sur-privilégiés, méthodes d'authentification faibles, gouvernance de cycle de vie insuffisante. Publié pour la première fois en 2025, il s'appuie sur des retours d'incidents réels et des contributions de praticiens, et est de plus en plus cité dans les audits de sécurité, les évaluations fournisseurs et les référentiels de gouvernance interne.
Pourquoi c'est important
L'OWASP NHI Top 10 compte parce qu'il donne un nom et une hiérarchie à une catégorie de risque longtemps traitée au cas par cas. Selon les recherches d'OWASP publiées en 2025, 80 % des compromissions d'identités impliquent une identité non humaine, alors que la plupart des organisations manquent encore d'une méthode structurée pour raisonner sur ce risque. Dans la plupart des organisations, les identités machine sont bien plus nombreuses que les collaborateurs — et la plupart n'ont ni propriétaire, ni privilèges ajustés, ni date d'expiration. Sans référentiel commun, les RSSI peinent à communiquer ce risque à la direction ou à prioriser les remédiations. La transposition de NIS2 en France (projet de loi Résilience) est en cours d'examen au Parlement ; l'ANSSI publie déjà le référentiel ReCyF pour s'y préparer.
Comment Cydenti vous aide
Cydenti cartographie automatiquement les identités non humaines découvertes selon les catégories de l'OWASP NHI Top 10, transformant un référentiel abstrait en un inventaire concret et priorisé des expositions présentes dans votre environnement. Plutôt que de croiser manuellement comptes de service, clés API et autorisations OAuth avec chaque catégorie de risque, les équipes disposent d'une visibilité continue sur la répartition de leurs identités selon les risques OWASP — directement exploitable dans les exigences d'audit et de conformité. De quoi démontrer une approche structurée et alignée sur les standards du secteur en matière de gestion du risque NHI. Voici comment cela s'articule avec le reporting de conformité plus large.
Explorer →Questions fréquentes
L'OWASP NHI Top 10 est-il une obligation réglementaire ?
Non, ce n'est pas une exigence légale ou réglementaire — c'est un référentiel de bonnes pratiques rédigé par la communauté de la fondation OWASP. Il est cependant de plus en plus utilisé par les auditeurs pour structurer les évaluations de risque NHI qui alimentent des cadres réglementaires comme NIS2 ou ISO 27001.
Quelle différence avec l'OWASP Top 10 classique ?
L'OWASP Top 10 original porte sur les vulnérabilités des applications web comme les injections ou les défauts de contrôle d'accès. Le NHI Top 10 est une liste distincte, dédiée aux risques liés aux identités machine et de service — secrets, tokens et credentials automatisés plutôt qu'aux failles de code applicatif.
Découvrez les identités machines que vous ignoriez posséder
— le premier inventaire arrive en général sous une semaine.
L’Audit Flash connecte jusqu’à trois applications SaaS en lecture seule et liste les comptes de service, identifiants orphelins, autorisations OAuth et agents IA qu’il voit. Le premier inventaire des identités arrive en général sous une semaine. Un scan complet des partages, sur un grand tenant, peut prendre plus longtemps. Sans engagement.
Sans engagement · Données hébergées en Europe · Réponse sous 24h