Login Management

Le principe du moindre privilège vise à donner aux utilisateurs tous les droits dont ils ont besoin pour faire leur travail mais rien de plus. Ceci empêche un compte compromis ou une machine infectée d'avoir accès aux données ou aux programmes.

Le modèle du moindre privilège d'accès à l'information permet de réduire l'étendue d'attaque d'un compte corrompu sans nuire aux besoins quotidiens des utilisateurs. Il refuse l'accès aux données non pertinentes pour le profil de l'utilisateur.

Il y a peu de techniques à mettre en œuvre pour assurer le principe du moindre privilège :

  •     Les RH devraient effectuer une vérification des privilèges : En évaluant qui a accès à quoi en ce qui concerne les privilèges en cause, nous nous assurons que personne n'a accès à plus qu'il ne devrait pas voir. Ce processus devrait avoir lieu régulièrement.
  •     Tous les comptes doivent commencer par le moindre privilège : les privilèges élevés ne doivent être ajoutés que lorsque c'est nécessaire au lieu de démarrer tous les comptes avec un accès administrateur.
  •     Une période de temps devrait suivre le privilège supérieur temporaire : les privilèges expirant et les justificatifs d'identité à usage unique peuvent être utilisés dans ce contexte.
  •     La séparation des privilèges doit être appliquée : les comptes standard doivent être séparés des comptes d'administration et le système de niveau supérieur doit être séparé des comptes inférieurs.

Comme le dit NIST : " Les normes, les directives, les implémentations de référence et les programmes de validation liés à la vérification de l'identité personnelle (PIV) des employés et des entrepreneurs sont essentiels pour sécuriser l'accès aux dispositifs informatiques et aux installations matérielles ".