Gestion des accès et principe du moindre privilège

Imaginez un immeuble où chaque habitant aurait la clé de tous les appartements, de la cave et du local technique « au cas où ». Pratique ? Oui, jusqu'au jour où quelqu'un perd son trousseau. En informatique, c'est la même logique : plus vous avez d'accès, plus un incident vous concernant peut faire de dégâts. Cette leçon présente le principe du moindre privilège, vu de la place de l'utilisateur : ce que vous pouvez faire pour limiter les risques, et pourquoi vous ne devez pas vous plaindre quand on ne vous donne pas « tous les droits ».

Dans les leçons précédentes, nous avons parlé de règles et d'environnement de travail. Cette leçon aborde un concept central de la sécurité des organisations, qui vous concerne aussi à titre personnel : qui a accès à quoi, et pourquoi.

Authentification, autorisation, traçabilité

Trois notions voisines sont souvent confondues :

• L'authentification : prouver qui vous êtes (mot de passe, double authentification, badge) ;
• L'autorisation : ce que vous avez le droit de faire une fois identifié (lire un dossier, modifier un fichier, approuver un paiement) ;
• La traçabilité (ou journalisation) : l'enregistrement de qui a fait quoi et quand, qui permet de comprendre un incident et de rendre chacun responsable de ses actes.

Analogie : à l'entrée d'un bâtiment, l'authentification est le contrôle du badge ; l'autorisation décide des portes qu'il ouvre ; la traçabilité est le journal des passages.

Le principe du moindre privilège

Le moindre privilège consiste à donner à chaque personne, chaque programme et chaque compte uniquement les droits nécessaires pour accomplir sa mission, et pas davantage, pendant le temps nécessaire. C'est l'un des principes fondamentaux de la sécurité, et il s'applique à tous les niveaux.

Pourquoi est-ce si efficace ?

• Il limite les dégâts d'une erreur : un clic malheureux d'un salarié qui n'a accès qu'à son dossier ne peut pas supprimer toute l'entreprise ;
• Il limite les dégâts d'une compromission : si votre compte est volé, l'attaquant hérite de vos droits, et uniquement de ceux-là. Plus vos droits sont étendus, plus l'attaque peut aller loin ;
• Il réduit les abus internes : moins de personnes ont accès aux informations sensibles ;
• Il facilite la conformité : le RGPD demande notamment que seules les personnes qui en ont besoin accèdent aux données personnelles.

Les types de droits

Niveau de droit	Exemple	Risque
Lecture seule	Consulter un document, un tableau de bord	Faible (confidentialité)
Modification	Corriger un dossier, modifier un fichier partagé	Moyen (intégrité)
Suppression	Effacer des fichiers, des comptes, des historiques	Élevé (disponibilité)
Administration	Gérer les accès, installer des logiciels, modifier la configuration	Très élevé : tout le système

Un utilisateur ordinaire n'a normalement pas besoin de droits d'administration pour effectuer son travail. Si c'est le cas, c'est probablement la configuration qu'il faut revoir, pas le droit qu'il faut étendre.

Ce que cela change pour vous, utilisateur

Ne pas travailler en administrateur au quotidien

Sur votre ordinateur, qu'il soit professionnel ou personnel, utilisez un compte utilisateur standard pour votre usage courant, et réservez le compte administrateur aux seules opérations qui l'exigent (installer un logiciel, modifier un réglage système). Beaucoup de logiciels malveillants ont besoin de droits élevés pour agir pleinement : sur un compte standard, leurs capacités sont réduites. C'est une mesure simple et très efficace, y compris à la maison.

Ne pas partager ses accès

• Ne communiquez pas votre mot de passe à un collègue, même de confiance, même pour dépanner : si une action est faite avec vos identifiants, c'est vous qui en répondez ;
• Si un collègue a besoin d'un accès, demandez-le pour lui par la voie officielle ;
• Pour des accès partagés (compte générique, boîte mail commune), utilisez le mécanisme de délégation prévu plutôt qu'un mot de passe commun.

Demander ce dont vous avez besoin, pas plus

Quand vous sollicitez un accès, expliquez votre besoin précis et sa durée, plutôt que de demander « les mêmes droits que mon collègue ». Un accès temporaire, limité à un projet, qui se termine avec lui, est une bonne pratique.

Rendre ce que l'on n'utilise plus

Quand vous changez de poste, de projet ou de service, vos anciens droits restent souvent en place : c'est ce qu'on appelle l'accumulation de privilèges. Signalez-le, ou demandez à ce que vos accès soient revus. De même, au départ d'un collègue, ses accès doivent être fermés sans délai.

Respecter la classification et le besoin d'en connaître

Un document confidentiel n'est pas à partager avec « tout le monde dans l'équipe » parce que c'est plus simple. Appliquez la règle du besoin d'en connaître : n'ouvrez l'accès qu'à ceux dont la mission l'exige. Dans un espace de stockage partagé, vérifiez les droits d'un dossier avant d'y déposer des fichiers sensibles, et évitez les liens de partage « accessibles à toute personne disposant du lien » pour des documents sensibles.

Les bonnes pratiques de l'organisation

Les entreprises matures mettent en place des mécanismes qui vous concernent indirectement :

• Gestion des identités : un compte par personne, créé à l'arrivée et supprimé au départ ;
• Rôles et profils : au lieu d'attribuer des droits un par un, on rattache chaque personne à un « rôle » (comptabilité, commercial, support) auquel correspondent des droits cohérents ;
• Séparation des tâches : l'agent qui crée un fournisseur n'est pas celui qui valide le paiement ; deux personnes interviennent sur les opérations critiques ;
• Revue périodique des accès : on vérifie régulièrement qui a accès à quoi, et on retire ce qui n'est plus justifié ;
• Comptes à privilèges séparés : les administrateurs ont un compte ordinaire pour la bureautique et un compte distinct, mieux protégé, pour l'administration ;
• Authentification renforcée sur les accès sensibles (double authentification, clés de sécurité) ;
• Journalisation et alertes : les accès inhabituels sont détectés (connexion à des heures inhabituelles, téléchargement massif).

Et à la maison ?

Le principe du moindre privilège s'applique aussi à votre vie personnelle :

• un compte standard pour l'usage quotidien de l'ordinateur ;
• des comptes distincts pour chaque membre de la famille, avec des droits adaptés aux enfants ;
• des applications qui n'ont pas accès à plus que nécessaire (leçon 4 du chapitre 3) ;
• des partages de fichiers et de calendriers limités aux personnes concernées ;
• le retrait de l'accès aux anciens prestataires, applications ou membres de l'entourage qui n'en ont plus besoin.

Carnet de sécurité : page 6, mes accès

Dressez la liste de vos accès professionnels (applications, dossiers partagés, comptes, outils) et notez pour chacun : à quoi sert-il ? en ai-je encore besoin ? quel niveau de droit ai-je ? Marquez ceux que vous demanderiez à retirer ou à limiter. Faites-en autant pour vos comptes personnels partagés (famille, associations, cercles d'amis).

À vous de jouer

Nora vient de changer de service. Elle conserve ses anciens accès à la comptabilité, auxquels s'ajoutent ses nouveaux accès au service commercial. Son responsable lui dit : « Garde tout, ça pourra servir. » Quels risques cela crée-t-il, et que peut-elle faire ?

Voir une solution

Risques : accumulation de privilèges ; si son compte est compromis, l'attaquant accède à la comptabilité et au commercial ; risque d'erreur ou de soupçon en cas d'incident ; non-respect du besoin d'en connaître et, potentiellement, du RGPD. Action : demander gentiment au responsable et au service informatique de revoir et de retirer les accès qui ne sont plus nécessaires à sa nouvelle mission, avec une date de fin pour tout accès temporaire de transition, et documenter la demande.

Malgré toutes les précautions, un incident peut survenir. La dernière leçon du chapitre vous apprend à le signaler : à qui, comment, et pourquoi la rapidité compte plus que la perfection.