« Pourquoi je n’ai pas les accès administrateur? C’est mon entreprise! »
C’est une question tout à fait légitime. Lorsqu’on dirige une entreprise, il est normal de vouloir conserver le contrôle sur ses systèmes, ses données et ses outils.
Mais en matière de sécurité informatique, avoir le contrôle sur son environnement ne signifie pas nécessairement avoir les droits administrateurs sur chaque système.
Et c’est justement là qu’entre en jeu la gestion de la surface d’attaque.
Qu’est-ce que la surface d’attaque?
En cybersécurité, la surface d’attaque représente l’ensemble des points qui pourraient être exploités pour accéder à un environnement informatique ou le compromettre.
Cela peut inclure les ordinateurs, les serveurs, les comptes utilisateurs, les applications, les services infonuagiques, les accès VPN, les équipements réseau, les systèmes de courriel et plusieurs autres éléments.
Plus une entreprise possède de systèmes et d’utilisateurs, plus cette surface peut devenir importante.
Et chaque accès supplémentaire peut représenter un risque potentiel.
L’objectif n’est donc pas de tout bloquer. L’objectif est de réduire les possibilités d’exploitation tout en permettant aux employés de faire leur travail efficacement.
Pourquoi limiter les accès administrateur?
Un accès administrateur donne beaucoup plus de possibilités qu’un compte utilisateur standard.
Il peut notamment permettre de modifier des configurations, d’installer des logiciels, de changer certains paramètres de sécurité, de créer des comptes ou encore de modifier des éléments critiques d’un environnement.
C’est très pratique lorsque ces permissions sont nécessaires.
Mais lorsqu’elles ne le sont pas, elles deviennent un risque supplémentaire.
Imaginez que chaque employé possède la clé de toutes les pièces de votre entreprise : salle des serveurs, bureau de la direction, salle des archives, salle électrique…
Est-ce vraiment nécessaire pour que chacun puisse faire son travail?
Probablement pas.
En informatique, c’est la même logique.
Le principe du moindre privilège
Une bonne pratique en cybersécurité consiste à appliquer le principe du moindre privilège.
Concrètement, cela signifie qu’un utilisateur devrait disposer uniquement des permissions nécessaires pour accomplir ses tâches.
Un employé qui travaille principalement avec son courriel, son logiciel comptable et quelques applications n’a généralement pas besoin d’avoir les mêmes privilèges qu’un administrateur informatique.
Et cela s’applique également aux dirigeants.
Ce n’est pas une question de titre, de hiérarchie ou de confiance.
C’est une question de gestion du risque.
Même le compte d’un président peut être compromis. Un mot de passe volé, une tentative d’hameçonnage réussie ou une session compromise peut donner à un attaquant accès à ce compte.
Si ce compte possède des privilèges administrateur partout, les conséquences potentielles sont beaucoup plus importantes.
Mais l’entreprise appartient au propriétaire
Absolument.
Les données, les équipements et les systèmes de votre entreprise vous appartiennent.
Votre fournisseur TI n’est pas là pour prendre le contrôle de votre environnement ou vous empêcher d’y accéder.
Son rôle est plutôt de vous aider à le sécuriser, le maintenir et le faire évoluer de façon sécuritaire.
C’est une distinction importante.
Nous ne limitons pas les accès administrateur parce que nous voulons empêcher les dirigeants ou les employés de faire des modifications.
Nous les limitons lorsque c’est nécessaire pour éviter qu’une modification accidentelle, une mauvaise configuration ou une compromission puisse affecter l’ensemble de l’environnement.
Gérer les accès, c’est gérer les risques
La gestion de la surface d’attaque ne se limite pas aux comptes administrateur.
Une bonne gestion des accès consiste également à se poser régulièrement les bonnes questions :
- Qui a accès à quels systèmes?
- Ces accès sont-ils toujours nécessaires?
- Combien de comptes possèdent des privilèges élevés?
- Que se passe-t-il lorsqu’un employé quitte l’entreprise?
- Les anciens comptes ont-ils été désactivés?
- Les accès des fournisseurs externes sont-ils contrôlés?
- Les systèmes et logiciels sont-ils à jour?
- Quels services sont accessibles depuis Internet?
Ces vérifications permettent de réduire progressivement les points d’entrée potentiels.
Et surtout, elles permettent d’éviter une situation assez fréquente : des accès qui ont été accordés il y a plusieurs années, qui ne sont plus nécessaires aujourd’hui, mais qui sont toujours actifs.
Le rôle de votre équipe TI
Lorsqu’une entreprise confie la gestion de son environnement informatique à une équipe TI, cette équipe doit aussi agir comme gardienne de la sécurité de cet environnement.
Cela peut vouloir dire conserver certains accès administrateur, contrôler les permissions, surveiller les changements et intervenir lorsqu’une modification présente un risque.
L’objectif n’est pas de retirer le contrôle au propriétaire.
C’est de protéger ce qu’il possède.
Parce qu’au final, la meilleure stratégie n’est pas de donner le maximum d’accès à tout le monde.
C’est de donner le bon niveau d’accès aux bonnes personnes, pour les bonnes raisons.
Et oui, vous êtes le président.
Mais même le président n’a pas nécessairement besoin de la clé de chaque porte.
