Sécurité des accès informatiques.

La sécurité des accès informatiques regroupe les dispositifs qui déterminent qui peut entrer dans le système d'information, jusqu'où, et pendant combien de temps. Elle repose sur trois fonctions. L'authentification vérifie l'identité de la personne, l'autorisation décide de ses droits, et la traçabilité conserve la preuve de ce qui a été fait. Le périmètre couvre les comptes des collaborateurs et des prestataires, les comptes d'administration, et les comptes techniques utilisés par les applications entre elles.

Parce que l'identifiant est devenu le chemin d'entrée le plus économique pour un attaquant. Obtenir un mot de passe valide par hameçonnage demande moins d'efforts que de forcer une protection périmétrique. Les comptes d'administration sont la cible privilégiée, puisqu'ils permettent ensuite de créer d'autres comptes, de désactiver des protections et d'effacer les traces. Sécuriser les accès poursuit deux objectifs, réduire la probabilité qu'une attaque aboutisse, et raccourcir le délai de remise en service quand elle survient.

L'IAM, pour Identity and Access Management, désigne le cadre global de gestion des identités et des droits sur l'ensemble du parc. Le PAM, pour Privileged Access Management, en est le sous-ensemble consacré aux comptes à privilèges, ceux qui disposent de droits d'administration. La distinction compte parce que les deux ne se traitent pas avec les mêmes outils. L'IAM s'appuie sur l'annuaire, le SSO et le MFA. Le PAM s'appuie sur un bastion, qui enregistre les sessions et gère les secrets techniques.

Quatre situations reviennent le plus souvent. À la création de comptes pour des employés, des partenaires ou des tiers, car c'est le moment où les droits sont attribués. Pour contrôler l'accès aux applications, qu'elles soient hébergées en interne, dans le cloud ou en SaaS. Dans le travail collaboratif, pour limiter l'accès aux fichiers aux seules personnes concernées. Et pour les connexions depuis l'extérieur, au domicile, en déplacement ou depuis un réseau que vous ne maîtrisez pas.

Non, et personne ne devrait le prétendre. Le MFA traite l'authentification, c'est-à-dire l'entrée. Il ne dit rien des droits accordés une fois à l'intérieur, ni de la surveillance des comptes d'administration, ni des secrets techniques inscrits dans les fichiers de configuration. Il reste la mesure au meilleur rapport entre effort de déploiement et risque évité, ce qui en fait la première à mettre en place. Elle appelle ensuite le bastion pour les accès à privilèges et une revue des habilitations.

Un bastion est un point de passage unique par lequel transitent les accès à privilèges. Il assure la traçabilité en enregistrant les sessions d'administration, il gère le stockage et la rotation des mots de passe techniques, qui ne sont plus connus des administrateurs, et il détecte les comportements suspects. Blue a retenu la solution Wallix. Le bastion s'applique aussi bien aux administrateurs internes qu'aux prestataires externes, dont les accès deviennent limités dans le temps et tracés.

Le Zero Trust est un modèle de sécurité selon lequel aucune personne et aucun terminal, à l'intérieur comme à l'extérieur du réseau de l'entreprise, ne doit accéder à un système ou à un service tant qu'il n'a pas été authentifié et vérifié. La position sur le réseau ne confère plus de droit par elle-même. Chaque accès est vérifié au moment où il est demandé, et les droits accordés sont les plus étroits possibles. Le MFA, le SSO et le bastion en sont les instruments concrets.

Oui. La directive NIS 2, transposée en droit français, attend des entités concernées qu'elles maîtrisent le contrôle d'accès et qu'elles recourent à l'authentification multifacteur sur les accès sensibles. La gestion des comptes à privilèges et la traçabilité des actions d'administration figurent également parmi les points examinés. NIS 2 couvre par ailleurs d'autres domaines, dont la gestion des incidents et la continuité d'activité, si bien que la mise en conformité ne se limite pas à un projet d'accès.

Oui. Blue prend en charge l'inventaire des comptes et des accès, la priorisation par le risque, le déploiement du MFA, la mise en place du bastion, la fédération progressive des applications, puis l'exploitation courante et la revue des habilitations. Nous sommes une entreprise française fondée en 2005, qui compte 200 collaborateurs et exploite ses propres datacenters à Rennes et à Nantes. Le taux de disponibilité de Blue est de 99,98 %. Un expert vous rappelle sous 2 heures ouvrées.