Disposez-vous d'une politique de gestion des accès (principe du moindre privilège) ?
En bref — ce que vous devez retenir
Le moindre privilège signifie que chaque utilisateur n'accède qu'aux ressources dont il a besoin pour son travail — ni plus. Quand un compte est compromis, cette règle limite les dégâts à son périmètre d'accès plutôt qu'à toute l'entreprise.
Dans beaucoup de PME, tout le monde a accès à tout : les commerciaux voient les données RH, les stagiaires ont des droits admin, les comptes partagés permettent à n'importe qui de tout modifier. Quand un compte est compromis (phishing, mot de passe volé), l'attaquant hérite de tous ces accès.
Le principe du moindre privilège (Least Privilege) est simple : un commercial a besoin du CRM, pas du serveur de fichiers RH. Un comptable a besoin du logiciel de facturation, pas du dossier de brevets R&D. En limitant les accès, vous limitez la surface d'attaque.
Le moindre privilège s'applique aussi aux comptes de service et aux applications : une application qui n'a besoin que de lire une base de données ne devrait jamais avoir les droits d'écriture ou de suppression. Les applications mal configurées avec des droits excessifs sont exploitées lors d'injections SQL ou d'attaques sur les APIs.
La gestion des comptes de départ est souvent négligée : un employé qui quitte l'entreprise doit voir tous ses accès révoqués le jour même. Des études montrent que 30 % des anciens employés conservent des accès actifs 3 mois après leur départ — parfois utilisés intentionnellement ou exploités par des tiers.
Un développeur junior (stagiaire) avait reçu des droits admin sur le serveur de production "pour aller plus vite". Son poste a été compromis par un malware. L'attaquant a eu accès à toutes les bases de données clients de l'agence.
"Une secrétaire médicale avait accès à tous les dossiers patients, même ceux qu'elle ne gérait pas. Quand son compte a été compromis, 3 000 dossiers sensibles ont fuité."
"Un ancien employé du service IT gardait ses accès administrateurs 6 mois après son départ — personne n'avait pensé à les révoquer. Il a accédé à nos systèmes depuis l'étranger et exfiltré notre base de données clients. On l'a découvert lors d'un audit de sécurité trimestriel."
Obtenez votre score cybersécurité en 25 minutes et un plan d'action concret.