Qu'est-ce que l'accès conditionnel / basé sur le risque et comment fonctionne-t-il ?
Réponse courte
L'accès conditionnel fait dépendre la décision d'accès du contexte plutôt que d'une règle fixe. Il évalue des signaux — qui est l'utilisateur, la conformité de l'appareil, la localisation, l'application et un score de risque calculé par détection d'anomalies — et répond proportionnellement : autoriser, bloquer ou exiger un renforcement comme la MFA ou un appareil conforme. L'accès basé sur le risque est la variante dynamique où un signal de risque en temps réel pilote la politique.
Une décision figée « autoriser si le mot de passe est correct » gaspille de l'information. L'accès conditionnel (et son cousin dynamique, l'accès basé sur le risque) fait de la décision d'autorisation une fonction du contexte, afin que le système puisse être indulgent quand tout paraît normal et strict quand ce n'est pas le cas.
Comment la décision est prise
Un moteur de politique combine des signaux au moment de l'accès :
- Identité — qui est l'utilisateur, quel groupe/rôle.
- Appareil — est-il géré, conforme, à jour, chiffré ?
- Localisation et réseau — pays connu, IP d'entreprise, vérifications de voyage impossible.
- Sensibilité de l'application — application financière vs. menu de la cafétéria.
- Score de risque — un signal en temps réel issu de la détection d'anomalies (correspondances d'identifiants fuités, schémas de connexion inhabituels, usage atypique de jeton).
Le moteur répond ensuite proportionnellement : autoriser, bloquer ou renforcer en exigeant la MFA, un appareil conforme ou une réinitialisation du mot de passe. C'est la couche d'application qui rend le Zero Trust praticable.
L'authentification basée sur le risque en particulier
L'authentification basée sur le risque alimente la politique avec un score de risque calculé en continu. Une connexion depuis l'appareil et la ville habituels de l'utilisateur passe sans heurt ; le même compte s'authentifiant soudain depuis un nouveau pays sur un appareil non géré déclenche la MFA ou un blocage. L'objectif est d'ajouter de la friction seulement là où les données le justifient.
Le piège : friction et faux positifs
Des politiques trop agressives verrouillent des utilisateurs légitimes (un commercial en déplacement, un nœud de sortie VPN) et engendrent des contournements. Une bonne conception utilise des réponses graduées (renforcement, pas blocage dur) et s'ajuste à la télémétrie réelle, et elle préserve toujours un chemin de récupération afin qu'un mauvais signal n'isole personne définitivement.
Ce que recherchent les recruteurs : vous décrivez les signaux contextuels plus les réponses proportionnelles (autoriser/bloquer/renforcer), vous le reliez à l'application du Zero Trust, et vous reconnaissez le compromis utilisabilité/faux positifs.
Questions de suivi probables
- Quels signaux pondéreriez-vous pour évaluer le risque d'une connexion ?
- Qu'est-ce que l'authentification « renforcée » (step-up) et quand devrait-elle se déclencher ?
- Comment éviter de bloquer des utilisateurs légitimes avec des politiques trop agressives ?