Qu'est-ce que l'Objectif 10 du ReCyF (ANSSI) ?
Le ReCyF (Référentiel Cyber) est le socle de sécurité publié par l'ANSSI, l'agence nationale de cybersécurité française, pour aider les organisations à répondre à leurs obligations issues de la directive NIS2 telle que transposée en droit français. Ce référentiel est structuré en une série d'objectifs de sécurité numérotés, couvrant la gouvernance, la gestion des risques et les mesures techniques. Les objectifs 10 et 11 portent spécifiquement sur la gestion des comptes à privilèges et des identités non humaines : comptes de service, comptes techniques et identités machine utilisés par les applications, scripts et composants d'infrastructure. Il impose de tenir un inventaire de ces comptes, d'appliquer le principe du moindre privilège, de faire tourner les identifiants régulièrement et de surveiller les usages anormaux. Pour les entités essentielles et importantes soumises à NIS2, se conformer à l'Objectif 10 fait partie du processus d'audit piloté par l'ANSSI.
Pourquoi c'est important
Les comptes de service et comptes techniques sont précisément la cible de l'Objectif 10, et c'est aussi là que se concentrent les compromissions : 80 % des violations d'identité impliquent désormais une identité non humaine (OWASP NHI Top 10, 2025). Contrairement à un collaborateur, un compte de service n'est presque jamais déprovisionné à la fin d'un projet, ses droits sont rarement revus, et il porte souvent des identifiants permanents qui ne périment jamais. Dans la plupart des organisations, les identités machine sont bien plus nombreuses que les collaborateurs — et la plupart n'ont ni propriétaire, ni privilèges ajustés, ni date d'expiration. La transposition de NIS2 en France (projet de loi Résilience) est en cours d'examen au Parlement ; l'ANSSI publie déjà le référentiel ReCyF pour s'y préparer. Sans cet inventaire, l'écart de conformité rejoint une surface d'attaque bien réelle : une identité machine orpheline ou sur-privilégiée reste l'un des points d'entrée les plus discrets pour un attaquant.
Comment Cydenti vous aide
Cydenti construit et maintient à jour un inventaire des comptes de service, comptes techniques et identités machine sur l'ensemble des environnements cloud et on-premise, en associant chaque compte à son propriétaire, ses droits et son usage réel. Les équipes conformité et sécurité disposent ainsi de la base de preuves attendue par l'Objectif 10, sans tableur qui devient obsolète en quelques semaines. Le scoring de risque met en évidence les comptes orphelins, sur-privilégiés ou dormants avant qu'un auditeur — ou un attaquant — ne les découvre, avec des rapports structurés pour s'aligner sur les objectifs de sécurité de l'ANSSI. Pour préparer un audit NIS2, c'est la différence entre une exigence abstraite et une preuve concrète à présenter.
Explorer →Questions fréquentes
L'Objectif 10 du ReCyF s'applique-t-il à mon organisation ?
Il s'applique aux entités classées essentielles ou importantes au titre de la transposition française de NIS2, sous supervision de l'ANSSI. Cela couvre l'énergie, les transports, la santé, les infrastructures numériques, et de plus en plus les fournisseurs de taille intermédiaire dans leurs chaînes d'approvisionnement. Si NIS2 vous concerne, les objectifs du ReCyF, dont l'Objectif 10, font partie du socle évalué.
Qu'est-ce qu'un compte de service au sens de l'Objectif 10 ?
Tout identifiant non humain utilisé par une application, un script, une intégration ou un composant d'infrastructure pour s'authentifier et accéder à des ressources — pas seulement les comptes nommés 'compte de service'. Cela inclut les clés API, les bots d'automatisation, les identifiants CI/CD et les tokens machine-à-machine, tous attendus inventoriés et à moindre privilège.
Découvrez les identités machines que vous ignoriez posséder
— le premier inventaire arrive en général sous une semaine.
L’Audit Flash connecte jusqu’à trois applications SaaS en lecture seule et liste les comptes de service, identifiants orphelins, autorisations OAuth et agents IA qu’il voit. Le premier inventaire des identités arrive en général sous une semaine. Un scan complet des partages, sur un grand tenant, peut prendre plus longtemps. Sans engagement.
Sans engagement · Données hébergées en Europe · Réponse sous 24h