Guide du RSSI sur la gestion des accès à privilèges

Fonctionnalités et capacités de la PAM

La PAM agit comme un point d'accès central, gérant la découverte des comptes privilégiés et l'inventaire des actifs, et identifiant, classifiant et surveillant ces comptes à travers les répertoires, les bases de données, les serveurs, les équipements réseau et les environnements cloud.

Ces plateformes stockent les identifiants de manière sécurisée, y compris les mots de passe et les clés d'administrateur, dans un coffre-fort chiffré. La PAM restreint qui peut y accéder et dicte les règles de récupération. La PAM supervise la gestion du cycle de vie des mots de passe, en mettant automatiquement à jour les mots de passe et les clés, et en gérant l'intégration et le retrait des identifiants privilégiés. Ces plateformes gèrent également la récupération de données limitée dans le temps sur une base ponctuelle, en appliquant des privilèges permanents stricts.

Les organisations utilisent la PAM pour supporter l'application du principe de moindre privilège et, si nécessaire, l'élévation de privilèges, assurant une application granulaire des permissions. Les brokers PAM enregistrent et facilitent les examens forensiques de RDP, SSH, SQL et autres sessions à privilèges sans révéler les identifiants à l'utilisateur. Les professionnels de la sécurité peuvent utiliser la PAM pour les worklows d'approbation et pour accorder des demandes d'accès.

Les systèmes de PAM consolident également les journaux d'accès pour rationaliser le support de la conformité à diverses réglementations, y compris PCI DSS et HIPAA. Les systèmes de PAM fonctionnent avec l'IAM, l'authentification unique (single sign-on, SSO), la MFA et les services d'annuaire pour garantir que l'accès privilégié correspond aux mandats de gouvernance d'identité de l'entreprise. Les professionnels de la sécurité peuvent exploiter l'analyse des privilèges et la détection des menaces pour distinguer les anomalies inoffensives de l'activité qui représente de véritables menaces, telles qu'un voyage inhabituel, une utilisation excessive des privilèges et des opérations à risque.

Avantages et défis de la PAM

Les professionnels de la sécurité s'appuient sur la PAM pour renforcer les défenses sur plusieurs fronts. La PAM aide à réduire la surface d'attaque de l'entreprise en restreignant l'accès au contenu sensible et de grande valeur et en respectant les principes du moindre privilège - en s'assurant que les utilisateurs n'ont que le niveau d'accès nécessaire pendant le plus court laps de temps. Cela aide à bloquer les adversaires qui compromettent un système en empêchant l'utilisation d'identifiants administratifs pour se déplacer latéralement vers d'autres ressources du réseau.

Les plateformes de PAM donnent aux équipes de sécurité une perspective claire sur les accès à privilèges, en suivant toute l'activité en temps réel et en créant des pistes d'audit et des journaux de session à des fins de conformité. Du point de vue de l'efficacité, la PAM peut automatiser la gestion standard des identifiants, y compris la rotation et les demandes d'accès.

Mais comme pour la plupart des contrôles de sécurité, la PAM présente ses défis. Il peut introduire des frictions dans l'environnement en exigeant des actions que certains utilisateurs pourraient percevoir comme excessivement restrictives ou même comme entravant leur productivité. Les plateformes de PAM peuvent également être coûteuses à déployer, introduisant des frais de licence, des coûts de configuration et du nouveau matériel. Les professionnels de la sécurité critiquent parfois la PAM pour sa difficulté à s'intégrer au matériel ou aux applications patrimoniales.

Il faut également un certain niveau de maintenance pour suivre les exigences changeantes. Les professionnels de la sécurité doivent rester au courant des mises à jour des règles et des journaux d'audit. La PAM peut interférer avec les workflows standards, nécessitant des approbations qui peuvent retarder l'accès. Il existe également toujours un risque que les utilisateurs adoptent des mécanismes d'informatique parallèle (shadow IT) pour contourner les contrôles afin d'accélérer l'accès.

La PAM peut également introduire une vulnérabilité centrale : si les adversaires réussissent à pirater le coffre-fort, ils peuvent obtenir tous les identifiants critiques au sein de l'organisation. En même temps, si les professionnels de la sécurité commettent une erreur de configuration, ils pourraient bloquer un responsable de la sécurité légitime de l'accès administratif.

Meilleures pratiques PAM pour un succès à long terme

Pour tirer le meilleur parti de la PAM, les équipes de sécurité doivent mettre en œuvre des meilleures pratiques pragmatiques et efficaces, y compris les suivantes :

• Découverte des comptes et des actifs. Scanner l'environnement pour chaque compte, y compris les comptes de service et les comptes root cachés. Catégoriser tous les niveaux de risque en fonction des effets négatifs que l'organisation subirait en cas de vol ou de compromission, afin que les équipes puissent prioriser la protection de ces actifs. 
• Définir et réviser les permissions. Mener un examen fondamental des droits d'accès et éliminer les permissions permanentes. Mettre en œuvre un accès juste-à-temps (just-in-time) qui fournit un accès limité dans le temps aux actifs uniquement pour la période dont l'utilisateur a besoin. N'utilisez pas d'identifiants fixes ; automatisez plutôt la révision des mots de passe et des clés après chaque utilisation. Intégrer la PAM aux annuaires des employés pour permettre une intégration et un retrait efficaces. 
• Mesurer le succès. Surveiller les métriques, telles qu'une baisse des demandes de réinitialisation de mot de passe du service d'assistance et la réduction du temps des audits de conformité. Vérifier également les journaux d'audit pour démontrer que le comportement à haut risque a diminué.

Comment la PAM s'intègre dans une stratégie IAM

Bien qu'elle soit important pour l'image de sécurité globale, la PAM n'est qu'un élément de la gestion des identités. L'IAM offre la base, en fournissant l'authentification et l'accès basé sur les rôles aux actifs de l'entreprise. La PAM ajoute une visibilité granulaire et des contrôles d'application pour les accès privilégiés via des passerelles d'administration. Cela garantit que les utilisateurs n'ont la permission que sur les actifs dont ils ont besoin pour effectuer une tâche spécifique, et que l'accès expire une fois la tâche terminée.

Amy Larsen DeCarlo a couvert l'industrie informatique depuis plus de 30 ans, en tant que journaliste, rédactrice et analyste. En tant qu'analyste principal chez GlobalData, elle couvre la sécurité gérée et les services cloud.