un principe clé pour la sécurité du système d’information
Le principe de moindre privilège consiste à limiter les droits / habilitations de tout individu sur le système d’information aux seules applications / données qui lui sont nécessaires dans le cadre de ses missions. Ce principe figure dans de nombreux guides relatifs à la cybersécurité, notamment dans les documents édités par l’ANSSI, que ce soit le PA-022 (recommandations relatives à l’administration sécurisée des systèmes d’information) ou le PG-040 (recommandations pour la mise en place de cloisonnement système) ou encore dans les règles édictées par la LPM (Loi de Programmation Militaire).
L’intérêt du principe de moindre privilège est évident : en individualisant et en limitant les données auxquelles ont accès les utilisateurs, le risque de fuite de données en sera d’autant limité. Il en va de même pour les applications qui, étant accessibles seulement par les personnes qui en ont besoin dans le cadre de leur travail, auront moins de chance d’être exploitées par des cyber attaquants.
L’ingénierie sociale (pratique qui consiste à manipuler des personnes en gagnant leur confiance pour récupérer des informations, dont des identifiants de connexion) est un parfait exemple de l’utilité du principe de moindre privilège. Si une personne usurpe l’identité d’un utilisateur, elle pourra certes, extraire des données ou mener des actions dans les applications de l’organisation cible, mais celles-ci seront limitées aux seules données et applications auxquelles a accès l’utilisateur victime d’ingénierie sociale. Pour gagner en efficacité, la notion de moindre privilège doit donc être la plus fine possible et surtout, régulièrement actualisée, en fonction des évolutions de postes des salariés.
Plusieurs outils permettent aux RSSI ou DSI d’implémenter efficacement ce principe de moindre privilège, en premier lieu desquels, les solutions de gestion des identités et des habilitations. Elles permettent en effet de gérer les habilitations des utilisateurs sur le SI et donc les accès aux applications, données ou comptes à privilèges des utilisateurs. Ces solutions de gestion des identités et des habilitations permettent d’automatiser certains process, notamment en cas de changement de poste, garantissant ainsi que tout utilisateur a accès aux applications et données qui lui sont nécessaires, ni plus, ni moins.
En situation de nomadisme, pour mettre en œuvre ce principe de moindre privilège et garantir la sécurité du SI en toute circonstance, les organisations peuvent se tourner vers des solutions de ZTNA (Zero Trust Network Access), bien plus sécurisées que les VPN puisque le ZTNA donne accès à une application ou une ressource, permettant une granularité des accès là où, le VPN, donne accès à un réseau dans son ensemble. Ainsi, en cas de malveillance, intentionnelle ou non, provoquée par l’utilisateur légitime ou non, celle-ci aura un impact limité aux seules applications accessibles par le compte en question.
Et lorsqu’il s’agit de comptes à privilèges, le principe de moindre privilège est d’autant plus important que toute action malveillante aura potentiellement un impact significatif pour l’intégrité du SI. Il convient donc d’actualiser régulièrement les droits et de veiller à supprimer tout compte inactif de salariés ayant quitté la société ou d’infogéreur dont le contrat est expiré. L’utilisation d’une solution de PAM (Privileged Access Management) peut permettre d’atteindre ces objectifs grâce à la centralisation de la gestion des comptes à privilèges et la traçabilité des actions menées sur le SI.
cyberelements, en intégrant l’IAM (Gestion des identités et des accès), le Zero Trust et le PAM (Gestion des accès à privilège), permet, à différents niveaux, d’implémenter ce principe de moindre privilège et ainsi élever le niveau global de sécurité du SI.
Lignes de défense Zero Trust Décryptage du rapport du NIST sur l’architecture Zero Trust « La confiance est une vulnérabilité que les cybermenaces exploitent. Le Zero
