Gestion des accès pour réduire les risques de sécurité

Un collaborateur change de poste, un prestataire termine sa mission ou un compte reste actif après un départ. En quelques clics, un accès devenu inutile peut exposer des données sensibles ou permettre une élévation de privilèges. La gestion des droits consiste justement à attribuer à chacun le niveau d’accès nécessaire, à le contrôler dans le temps et à le retirer dès qu’il ne se justifie plus.

Donner le bon accès, ni plus ni moins

Le principe est simple à formuler, mais plus difficile à appliquer qu’il n’y paraît. Un utilisateur doit pouvoir accomplir son travail sans recevoir des permissions qui pourraient aggraver les conséquences d’une erreur, d’un compte compromis ou d’une attaque interne. C’est le principe du moindre privilège, recommandé notamment par la CNIL et les référentiels de cybersécurité.

Un droit peut permettre de consulter, modifier, supprimer, exporter ou administrer une ressource. Ces actions ne présentent pas le même risque. Je recommande donc de distinguer clairement la lecture, la modification et la suppression, au lieu d’attribuer un accès global par facilité.

Les trois notions à ne pas confondre

• Authentification : elle vérifie l’identité de la personne, par exemple avec un mot de passe et une double authentification.
• Autorisation : elle détermine ce que cette personne a le droit de faire après s’être connectée.
• Traçabilité : elle conserve la preuve des actions réalisées, notamment sur les ressources sensibles.

Une authentification solide ne compense pas des autorisations trop larges. Un compte protégé par une authentification multifacteur reste dangereux s’il peut supprimer toute la base documentaire de l’entreprise. La sécurité repose donc sur la combinaison de ces trois mécanismes, avec des droits réellement adaptés aux missions.

Organiser les permissions autour des rôles

Attribuer les accès personne par personne peut fonctionner dans une très petite équipe. Dès que l’organisation grandit, cette méthode produit des exceptions impossibles à suivre. Je préfère généralement un modèle RBAC, pour Role-Based Access Control, dans lequel les droits sont rattachés à des rôles comme comptable, responsable commercial ou administrateur informatique.

Cette approche réduit les oublis et simplifie les changements de poste. Lorsqu’une personne quitte le service commercial pour rejoindre la comptabilité, on retire un rôle et on en attribue un autre. On évite ainsi l’accumulation de permissions, souvent appelée prolifération des droits.

Quand les rôles ne suffisent plus

Dans certaines structures, l’accès dépend aussi du lieu, de l’appareil, de l’horaire ou du niveau de sensibilité du document. Un modèle ABAC, fondé sur des attributs, peut alors compléter les rôles. Par exemple, un salarié peut consulter un dossier depuis le réseau de l’entreprise, mais devoir utiliser une authentification renforcée depuis l’extérieur.

Il faut toutefois éviter de créer des règles si complexes que personne ne comprend plus pourquoi un accès est accordé ou refusé. Une politique légèrement moins sophistiquée, mais documentée et contrôlable, donne souvent de meilleurs résultats qu’un système très fin laissé sans maintenance.

Faire vivre les accès de l’arrivée au départ

Une autorisation n’est pas un élément permanent. Elle suit le cycle de vie du collaborateur et doit évoluer avec sa fonction. La CNIL recommande notamment de retirer les permissions dès qu’elles ne sont plus nécessaires et de réaliser une revue des habilitations au minimum annuelle.

1. À l’arrivée, les ressources nécessaires sont définies avec le responsable hiérarchique et le service informatique.
2. Lors d’un changement, les anciens accès sont comparés aux nouvelles missions avant d’ajouter les permissions utiles.
3. Pour une mission temporaire, une date d’expiration est fixée dès l’attribution.
4. Au départ, les comptes, sessions, certificats, badges et accès aux services cloud sont désactivés rapidement.
5. Après chaque évolution, les journaux et les validations permettent de vérifier que la modification était légitime.

Le point faible se trouve souvent entre les ressources humaines et l’informatique. Si le départ n’est pas signalé immédiatement, le compte peut rester utilisable pendant plusieurs jours. Une procédure automatisée, déclenchée par l’annuaire ou le logiciel RH, réduit ce délai et évite de dépendre d’un simple message oublié.

La revue annuelle ne doit pas être une formalité

Une revue sérieuse ne consiste pas à envoyer une longue liste de comptes à un manager qui valide tout en bloc. Il faut lui présenter des informations compréhensibles, par exemple le rôle, la dernière connexion, les ressources accessibles et les droits administrateur. L’objectif est de supprimer les comptes inutilisés et de corriger les accès devenus disproportionnés.

Pour les systèmes critiques, une fréquence trimestrielle ou déclenchée par événement est plus pertinente qu’un contrôle annuel. Je conseille au minimum une revue immédiate après un départ, une réorganisation, une fusion d’équipes ou un changement important de prestataire.

Protéger les comptes privilégiés

Les comptes administrateur concentrent un risque particulier. Ils peuvent modifier une configuration, créer d’autres comptes, désactiver une protection ou accéder à de nombreuses données. Ils doivent donc être réservés à un groupe restreint et utilisés uniquement lorsque l’action technique l’exige.

Une bonne pratique consiste à séparer le compte bureautique du compte d’administration. L’administrateur consulte ses courriels avec un compte standard, puis utilise son compte privilégié pour une opération précise. Cette séparation limite les dégâts si une pièce jointe malveillante compromet la session quotidienne.

• Activer une authentification multifacteur pour les comptes sensibles.
• Limiter les droits administrateur dans le temps grâce à des accès temporaires.
• Interdire les comptes partagés, sauf exception documentée, validée et surveillée.
• Journaliser les connexions, élévations de privilèges et changements de configuration.
• Conserver les comptes d’urgence dans un dispositif contrôlé et testé.

La double authentification est importante, mais elle ne doit pas devenir un prétexte pour conserver des droits excessifs. Si un compte compromis permet de modifier tous les serveurs, le second facteur ne supprime pas le risque, il réduit seulement la probabilité de compromission initiale.

Pour les environnements Microsoft, cloud ou hybrides, le cloisonnement des comptes et des niveaux d’administration est particulièrement utile. L’ANSSI souligne que les attaquants cherchent souvent à progresser latéralement jusqu’aux comptes qui contrôlent l’annuaire et les systèmes centraux.

Éviter les erreurs qui créent des accès invisibles

Les incidents ne viennent pas toujours d’une attaque sophistiquée. Ils résultent souvent d’un accès accordé dans l’urgence, d’un groupe jamais nettoyé ou d’un ancien prestataire oublié. Ce sont des détails administratifs, mais leur impact peut être majeur.

Lire aussi : Score de sécurité Microsoft 365 - Pourquoi ce chiffre ne suffit pas ?

Les dérives les plus fréquentes

• Donner les droits globaux parce que la configuration détaillée semble trop longue.
• Conserver un compte partagé, ce qui empêche d’identifier clairement l’auteur d’une action.
• Oublier les services SaaS, les espaces de stockage, les outils de visioconférence ou les comptes de développement.
• Maintenir un accès temporaire après la fin d’un remplacement ou d’un projet.
• Négliger les comptes techniques utilisés par des applications, scripts ou équipements connectés.

Les comptes techniques méritent une attention particulière, car ils ne correspondent pas toujours à une personne identifiable. Il faut documenter leur propriétaire, leur finalité, les ressources accessibles et la date de révision prévue. Un secret permanent et partagé entre plusieurs équipes est rarement une solution acceptable.

Le cloud ajoute une autre difficulté. Un fichier peut être protégé dans le réseau interne, puis rendu public par un simple mauvais réglage de partage. Je vérifie donc séparément les permissions de l’application, celles du stockage et celles des liens externes. Le droit le plus restrictif n’est utile que s’il s’applique réellement à la ressource finale.

Mesurer la qualité du dispositif et progresser

Une organisation ne sait pas si son système fonctionne en comptant uniquement le nombre de comptes créés. Les indicateurs les plus utiles montrent les écarts entre les droits prévus et la réalité. Ils permettent aussi de choisir les corrections qui auront le plus d’effet.

Pour une petite entreprise, un registre centralisé, des groupes bien nommés et une revue trimestrielle des comptes sensibles peuvent déjà produire une nette amélioration. Une organisation plus grande aura intérêt à utiliser une solution IAM, pour Identity and Access Management, qui centralise les identités, automatise les demandes et conserve les validations.

Je recommande de commencer par les applications qui contiennent les données les plus sensibles, plutôt que de vouloir tout automatiser en même temps. Un plan en 30 jours peut suffire pour inventorier les comptes critiques, supprimer les utilisateurs partis, séparer les administrateurs et imposer l’authentification multifacteur sur les accès prioritaires.

Le contrôle des accès comme réflexe opérationnel

Une politique efficace tient en quelques règles faciles à vérifier. Chaque accès doit avoir un propriétaire, une justification, une durée de validité et un niveau de permission compréhensible. Les comptes privilégiés doivent être séparés, surveillés et utilisés avec parcimonie.

Le meilleur indicateur de maturité n’est pas le nombre d’outils déployés, mais la capacité à répondre clairement à trois questions pour chaque utilisateur. À quoi peut-il accéder, pourquoi et jusqu’à quand ? Si l’organisation peut y répondre sans recherche interminable, elle dispose déjà d’une base solide pour réduire les risques et garder ses systèmes maîtrisables.