La première étape pour créer un environnement d’entreprise sûr consiste à sécuriser les identités privilégiées. L’entreprise gagnant en complexité, il s’avère essentiel d’élaborer des stratégies pour protéger ces identités tout en suivant l’activité des utilisateurs les concernant.
L’objectif de la gouvernance de l’accès privilégié est de garantir que les utilisateurs disposent d’un accès autorisé à des ressources d’entreprise. Qu’il s’agisse d’utilisateurs privilégiés ou d’acteurs externes, le principe fondamental reste logique : l’accès aux ressources dépend uniquement du rôle des utilisateurs et tout besoin de privilèges élevés exige l’approbation d’un administrateur. Comment l’entreprise simplifie-t-elle ce processus ? Comprenons-le grâce à l’exemple suivant.
Lorsqu’un utilisateur doit effectuer une action sensible comme le lancement d’une connexion à distance ou la réinitialisation d’un mot de passe, il a besoin d’accéder aux mots de passe des terminaux concernés. Toutefois, le fait de fournir les mots de passe sous forme claire obligerait les administrateurs à suivre les révocations et effectuer une réinitialisation manuelle une fois la tâche terminée. Le déploiement d’une stratégie de gouvernance de l’accès leur permet de gérer précisément l’accès à des ressources sensibles, de la création à la fermeture, et d’assurer la continuité opérationnelle.
La gouvernance de l’accès privilégié revêt les éléments essentiels suivants, visant à optimiser le workflow dans l’infrastructure de l’organisation.
Lorsque l’organisation intègre des employés, l’étape initiale pour délimiter leurs autorisations d’accès et séparer les fonctions consiste à affecter des rôles. Cela simplifie beaucoup la gestion de l’accès, car les utilisateurs savent dans quelle mesure ils peuvent agir indépendamment. Les rôles d’utilisateur aident aussi à regrouper ceux ayant les mêmes privilèges, facilitant l’accès en masse au besoin.
Les rôles d’utilisateur prennent un sens avec la série de tâches qu’on leur affecte. Il s’agit d’autorisations permettant aux utilisateurs de connaître les domaines auxquels ils ont ou pas un accès direct. Les autorisations peuvent aller du simple affichage des identifiants à leur modification selon que la demande d’accès émane d’un administrateur ou pas. Une bonne pratique consiste à toujours fournir aux utilisateurs un accès à privilège minimum aux ressources d’entreprise. Un accès précis à des ressources sensibles garantit que l’utilisateur ne réalise que le strict minimum d’opérations et assure des privilèges permanents nuls pour tous les domaines.
L’accès à des ressources sensibles concerne aussi leurs données. Cela exige des contrôles d’accès minimal, mais aussi un mécanisme de demande-octroi strict lorsqu’un accès élevé s’avère nécessaire. En déployant un outil PAM, on permet à l’utilisateur d’effectuer des actions sensibles uniquement pendant une période fixée. Cela évite un cumul de privilèges excessifs au fil du temps et protège les identités d’entreprise contre la dérive et l’exploitation de privilèges.
Il ne suffit pas pour l’organisation d’établir des stratégies de gouvernance de l’accès, car elle doit respecter les exigences de conformité et assurer un suivi de l’activité des utilisateurs. En instaurant une gouvernance de l’accès privilégié, l’organisation peut démontrer la conformité avec diverses normes sectorielles ou réglementaires, de type HIPAA, RGPD et SOX, renforçant le degré de sécurité à tous les niveaux du réseau informatique.
En adoptant une stratégie de gouvernance de l’accès privilégié avec divers niveaux d’affectation de privilèges, les administrateurs peuvent :
La gestion des identités privilégiées n’a jamais été plus facile pour les organisations, surtout celles en croissance constante. Les entreprises manquent souvent de visibilité sur l’activité des utilisateurs, compliquant davantage le suivi des vulnérabilités découlant d’une négligence. Il suffit d’un identifiant compromis pour qu’un acteur malveillant pénètre de façon latérale dans une organisation et prenne contrôle de sa sécurité.
ManageEngine PAM360 offre des fonctions de gouvernance de l’accès privilégié veillant à ce que le bon utilisateur possède les privilèges adéquats pour accéder à des ressources. Cela permet aux administrateurs et aux utilisateurs autorisés d’exercer un pouvoir sur les éléments vitaux : mots de passe, signatures numériques, certificats, clés de licence, comptes de service, etc. Cela aide à adopter des contrôles centralisés pour gérer les ressources privilégiées et répond au besoin d’une stratégie globale de gestion de l’accès.