Les 7 règles d’or de la gestion des comptes à privilèges

Dans le contexte actuel – avènement du Big Data, transformation digitale des entreprises, nécessité d’une stratégie mobile –, les données se montrent de plus en plus volatiles au sein de l’entreprise, mais aussi, et c’est là que réside le risque le plus important, dans son environnement immédiat. Le système d’information dessine ainsi une mosaïque de données qui voit son périmètre évoluer au gré des accès distants de toutes natures. Ce contour mouvant constitue un vrai casse-tête pour les RSSI, qui doivent reconsidérer l’approche établie pour garantir la sécurité du SI : les systèmes de sécurité périmétriques et autres approches en « fortin » n’ont en effet plus cours dans cette nouvelle organisation. Désormais, le péril n’est plus cantonné à l’extérieur des murs de l’entreprise, il est incarné par un nouveau vecteur ô combien difficile à maîtriser : l’utilisateur.

Limiter les risques

48 % des violations de données sont en effet effectuées en interne – qu’il s’agisse de malveillance ou d’accident. Pas si étonnant lorsque l’on sait que 33 % des entreprises autorisent leurs collaborateurs à accéder sans restrictions à leurs ressources professionnelles depuis leur smartphone !** Les risques liés à une source de données, quelle qu’elle soit, sont multiples, ce qui rend la tâche du DSI d’autant plus compliquée : vol ou perte de données, altération des informations, destruction du terminal, ou encore erreur de manipulation au sein du SI. Et la liste est loin d’être exhaustive, avec des conséquences qui peuvent s’avérer dramatiques.

Pourquoi adopter une gestion des privilèges ?

Dans ce contexte, et faute de pouvoir sécuriser à 100% à la fois les terminaux et leurs utilisateurs, l’approche reposant sur une gestion fine des privilèges apparaît comme une alternative pertinente. Dans ce modèle, la sécurité est déportée du terminal ou de l’accès au SI vers l’utilisateur lui-même, au plus près de la donnée. Chaque collaborateur se voit ainsi attribuer un « rôle », qui va définir ses autorisations au sein du SI comme de l’entreprise en elle-même : droit d’accès, de modification, ou même de consultation, à chaque profil correspond un corpus d’autorisation. Cette approche présente un double avantage : préventif d’une part, puisqu’une erreur de manipulation ou l’accès à un fichier protégé est en principe impossible ; curatif d’autre part, puisque tout comportement anormal peut être automatiquement signalé aux exploitants afin d’y apporter un correctif. Si un poste dédié à la maintenance se connecte soudainement à la comptabilité, il y a probablement une erreur ou, au pire, une tentative malveillante.

Comment attribuer ces privilèges

Toutefois, pour donner sa pleine mesure, cette politique de gestion des privilèges doit être minutieusement définie, et surtout capable d’épouser les changements au sein de l’entreprise. Au fil de sa carrière, un collaborateur peut ainsi voir ses droits évoluer, tout comme l’intégration d’une nouvelle application peut entrainer une remise en question des privilèges établis. Pas question donc d’imposer un cadre monolithique : plus fine sera la granularité de cette politique, plus performants seront ses résultats. Il est donc primordial de se faire accompagner par un spécialiste lors de la conception comme de l’exploitation de ce type de solution. Voici sept règles à prendre en considération lorsque l’on envisage de mettre en œuvre une politique de gestion des privilèges :

1. Voyez petit : octroyez le minimum de droits nécessaires : les besoins ne sont pas immuables, les privilèges non plus. Mieux vaut cependant les limiter dès le départ au périmètre exact des besoins utilisateurs et les faire évoluer ultérieurement si nécessaire.

2. Effectuez un « nettoyage » régulier et fréquent : une entreprise est soumise au turnover de ses collaborateurs, Il est donc nécessaire soit de supprimer les comptes des utilisateurs qui ont quitté l’entreprise, soit de réaffecter de nouveaux droits selon l’évolution des collaborateurs.

3. Cloisonnez : prévoyez un rôle « visiteur », destiné aux clients et partenaires de l’entreprise. Durant leur séjour dans ses murs, ceux-ci auront accès à des ressources utiles (réseau wi-fi sécurisé, applications partagées, etc.), et il sera possible de tracer avec précision l’origine d’une intrusion le cas échéant.

4. Pensez également à restreindre les connexions aux données les plus sensibles à un nombre limité d’utilisateurs VIP.

5. Limitez les ressources disponibles : selon le système de gestion de base de données, il est possible d’attribuer à chacun des ressources systèmes limitées afin d’éviter les abus ou les surcharges du serveur.

6. Établissez des journaux quotidiens : le meilleur moyen de vous rendre compte rapidement d’une tentative de piratage ou d’un abus sur un privilège. En effet, les journaux de logs conservent les requêtes non conformes aux privilèges octroyés à chaque utilisateur.

7. Prêtez une attention particulière aux applications ouvertes sur le web, par nature plus ouvertes et donc plus soumises aux failles de sécurité.

La gestion des privilèges est donc une solution particulièrement pertinente par sa capacité à s’affranchir d’une logique périmétrique pour se concentrer sur les usages. Elle offre ainsi une grande souplesse à moindre coût, à condition toutefois de faire l’objet d’un suivi précis et régulier. Malgré le déclin des antivirus, le mantra des experts de la sécurité a encore de beaux jours devant lui : pensez aux mises à jour !