L’épisode met en lumière une évolution vers une centralisation amont accrue et une dépendance à l’infrastructure pour l’infogérance. Des plateformes telles que 8OS de Pax8 et les démarches de la Channel Trade Association (GTIA) centralisent la gestion de l’IA, les droits d’accès et le consentement, ce qui ramène les identités privilégiées du côté des éditeurs plutôt que des prestataires informatiques ou de leurs clients.
L’incident de ConnectWise Cloud Backup illustre ce risque : une seule autorisation détenue par l’éditeur a permis un accès à 173 tenants Microsoft 365 en deux heures. Cet accès était permanent et large, sans que les prestataires informatiques disposent de moyens autonomes d’audit ou de révocation. ConnectWise a stoppé les services concernés pour tous pendant l'enquête, preuve des risques opérationnels de la centralisation amont.
D’autres développements appuient cette centralisation : la logique de place de marché de Pax8 pour la gestion de l’IA et l’initiative Managed Intelligence Alliance de la GTIA cherchent à normaliser et certifier la gouvernance IA, en gardant le contrôle côté éditeur. Des produits comme LogMeIn Resolve de GoTo implantent aussi des accès IA privilégiés, renforçant la dépendance à l’éditeur.
Pour les professionnels de l’infogérance et responsables IT, cela accroît le risque opérationnel et la dépendance vis-à-vis des distributeurs pour la gestion des identités, consentements et logs. La réduction effective des risques passe par l’inventaire des applications privilégiées, la maîtrise de la détention des accès, la conservation indépendante des journaux et la préparation à une désactivation manuelle rapide. Les contrats et la gouvernance doivent intégrer que les incidents éditeurs peuvent avoir des impacts étendus et immédiats.