Gestion des utilisateurs privilégiés

Objectifs de formation

Une fois cette unité terminée, vous pourrez :

Expliquer ce qu’est la gestion des accès privilégiés (PAM)
Identifier les responsabilités des utilisateurs privilégiés
Définir les risques associés aux utilisations privilégiées

Définition de la gestion des accès privilégiés (PAM)

Le contrôle des accès est un principe central de la cybersécurité. Vous exercez un contrôle sur les accès afin de mettre en œuvre les politiques de sécurité de votre organisation. Les décisions relatives au contrôle des accès déterminent quelles personnes doivent disposer d’un accès, ce à quoi elles doivent avoir accès, ainsi que les méthodes d’octroi des accès et d’application des restrictions. Une personne doit être chargée de configurer et de surveiller ces paramètres d’accès, et cette personne dispose de ce qu’on appelle un accès privilégié.

La gestion des accès privilégiés (PAM) est l’ensemble des stratégies et technologies de cybersécurité auxquelles les organisations ont recours pour contrôler les niveaux d’accès et les autorisations des utilisateurs, des comptes, des processus et des systèmes. Les organisations élaborent des niveaux d’accès privilégiés appropriés pour éviter et atténuer les dommages pouvant résulter de failles de sécurité. Même si nous aimerions tous penser que chaque attaque provient d’une source externe, un bon protocole de sécurité doit également prendre en compte la possibilité que certaines violations puissent être internes ou provoquées par des fautes graves (accidents ou négligences).

Lorsque vous gérez les accès, n’oubliez pas que le principe du moindre privilège est essentiel pour assurer la sécurité des systèmes. Le principe du moindre privilège signifie que lorsque vous configurez des systèmes, vous accordez uniquement aux utilisateurs les autorisations minimales nécessaires à la réalisation de leurs tâches professionnelles. Cet octroi minimal d’autorisations est ce que nous entendons par moindre privilège.

Présentation des utilisateurs privilégiés

Il est nécessaire de désigner des personnes spécifiques ayant la responsabilité d’attribuer les niveaux d’accès. Ces individus sont appelés « utilisateurs privilégiés ». Il s’agit des personnes qui disposent des privilèges administratifs permettant de modifier les systèmes ou de consulter des informations hautement confidentielles.

Les utilisateurs privilégiés incluent, sans s’y limiter, les personnes suivantes.

Administrateurs de systèmes d’exploitation et de réseaux : utilisateurs disposant de privilèges administratifs sur le système d’exploitation ou le périphérique réseau
Administrateurs de bases de données : utilisateurs disposant de privilèges administratifs sur une ou plusieurs bases de données
Administrateurs de domaines : utilisateurs disposant d’un accès privilégié à tous les postes de travail et serveurs d’un domaine
Administrateurs d’applications : utilisateurs disposant de privilèges administratifs sur une ou plusieurs applications
Administrateurs locaux : utilisateurs disposant d’un accès administratif aux systèmes locaux, tels que le personnel informatique chargé de leur maintenance ou y configurant de nouveaux postes de travail

Étant donné que les utilisateurs bénéficiant d’un accès privilégié interviennent sur les systèmes et les appareils qui contrôlent les activités et les données d’une organisation (ce qui leur fait essentiellement détenir les « clés du royaume »), il est crucial qu’ils comprennent quelles sont les responsabilités en matière de sécurité qui vont de pair avec cet accès. Les utilisateurs privilégiés constituent un point d’accès à toute organisation et à ses données. Il est donc essentiel de se prémunir contre les menaces de sécurité externes et internes.

Illustration représentant une utilisatrice privilégiée détenant la clé d’un château, devant un diagramme système entouré par une entrée de château fort.

Capacités des utilisateurs privilégiés

Les utilisateurs privilégiés, comme les autres utilisateurs, peuvent disposer de différents niveaux d’accès en fonction des responsabilités qui leur incombent. Les utilisateurs privilégiés sont nécessaires aux organisations, car elles ont besoin de personnes capables d’effectuer les tâches suivantes.

Installer un logiciel.
Installer ou modifier des processus système.
Créer ou modifier des configurations système.
Créer ou modifier des contrôles d’accès aux systèmes.
Visualiser ou contrôler l’écran d’un utilisateur via des technologies d’accès à distance afin de l’aider.

Cela signifie que certains utilisateurs privilégiés peuvent avoir la capacité d’accéder à une grande partie des données de votre organisation, ainsi que d’apporter des modifications aux contrôles de production et à d’autres paramètres réseau. Les utilisateurs privilégiés ont également accès au réseau, aux appareils et aux serveurs de l’organisation. Étant donné que les utilisateurs privilégiés disposent d’un accès plus étendu au réseau et sont limités par moins de contrôles, ils ont souvent la possibilité de contourner les restrictions imposées aux autres utilisateurs non privilégiés. Ils doivent toujours garder à l’esprit que, de par la nature même des privilèges dont ils disposent, ils présentent un risque pour la sécurité.

La prudence, un impératif pour les utilisateurs privilégiés

Les utilisateurs privilégiés présentent un risque pour la sécurité en raison du niveau d’accès dont ils disposent. Ainsi, un utilisateur privilégié peut très bien être le responsable de la sécurité d’une organisation, mais également constituer sa plus grande faiblesse en la matière.

Même l’utilisateur privilégié le mieux intentionné présente un risque. Prenons l’exemple d’une tentative basique de hameçonnage. Si un administrateur système ou un ingénieur réseau qui dispose d’un accès élevé clique sur un lien malveillant, il est bien plus probable que cela cause des dommages à l’ensemble de l’organisation que si une autre personne ne disposant pas de son niveau d’accès cliquait sur le même lien. Poursuivez votre lecture pour découvrir comment atténuer ces vulnérabilités particulières.