Un compte à privilèges peut modifier une configuration, accéder à de nombreuses données ou neutraliser un contrôle. Les comptes administrateurs, techniques et de secours concentrent donc un risque disproportionné. Leur sécurité repose d’abord sur la réduction du nombre et de la durée des privilèges.
Identifier les pouvoirs, pas seulement les intitulés
Un compte nommé « utilisateur » peut disposer d’un accès étendu par héritage de groupe. L’inventaire doit couvrir annuaires, cloud, messagerie, logiciels métiers, hébergement, sauvegardes et équipements réseau. Pour chaque accès, on relève le propriétaire, la justification, la méthode d’authentification et la dernière utilisation.
Séparer l’usage quotidien de l’administration
Une même personne utilise un compte standard pour la messagerie et la navigation, puis un compte distinct pour les actions d’administration. Cette séparation limite l’effet d’un hameçonnage ou d’une session compromise. Les comptes partagés sont remplacés par des identités nominatives lorsque le système le permet.
Renforcer l’authentification et la récupération
L’authentification multifacteur est prioritaire sur les accès exposés et les consoles centrales. Le moyen de récupération doit être protégé avec le même sérieux : une adresse secondaire faible ou un numéro non maîtrisé peut contourner le contrôle principal.
Les comptes de secours sont testés périodiquement, stockés de façon protégée et utilisés uniquement selon une procédure documentée. Chaque usage déclenche une revue.
Accorder le privilège au moment nécessaire
Lorsque l’outil le permet, les droits élevés sont temporaires et liés à une tâche. À défaut, une procédure simple de demande, d’approbation et de retrait réduit les accès permanents. Les droits des prestataires sont limités au système et à la période utiles.
Journaliser les actions qui comptent
Les connexions, changements de rôle, créations de compte, exports massifs et désactivations de sécurité doivent être détectables. Un journal inutilisé ne protège pas : l’équipe définit quelques alertes prioritaires et une personne responsable de leur traitement.
Organiser les départs et les situations d’urgence
La suppression d’un accès doit suivre le départ ou le changement de fonction sans dépendre de la mémoire d’une seule personne. La procédure inclut jetons, clés API, comptes locaux et délégations. Un exercice annuel vérifie qu’un administrateur indisponible ne bloque pas l’activité.
Mesurer la réduction réelle du risque
Les indicateurs utiles sont simples : comptes privilégiés sans propriétaire, accès inactifs, couverture multifacteur, droits permanents et délai de retrait. La progression consiste à réduire ces écarts, pas à accumuler les outils.
L’ANSSI propose des guides d’hygiène informatique et de sécurisation adaptés aux organisations : bonnes pratiques de cybersécurité.