Qui a accès à quoi : le cœur du contrôle d'accès
Le contrôle d'accès répond à une seule question : qui a accès à quel système, et pourquoi exactement cette personne et pas une autre. Dans le cadre des mesures de diligence de NIS2, c'est l'une des mesures qu'une organisation doit pouvoir démontrer, et dans la pratique, c'est aussi la mesure sur laquelle les questionnaires de sécurité posent le plus souvent et le plus vivement des questions. Ce n'est pas un hasard : un attaquant qui a une fois pénétré le système cherche des comptes avec trop de droits, et le contrôle d'accès est précisément la mesure qui limite cela.
Pour un prestataire de services informatiques, cela se présente sous trois formes : la gestion à distance des systèmes propres et des systèmes clients, l'accès direct aux systèmes du client, et le rôle des sous-traitants qui ont parfois besoin d'un accès. Chaque forme soulève une question légèrement différente, et un client qui envoie le questionnaire veut une réponse sur ces trois points.
Gestion à distance : le premier endroit où un questionnaire se pose
Avec la gestion à distance, il ne s'agit pas seulement de savoir s'il faut un mot de passe, mais de savoir qui exactement peut se connecter, avec quel compte, et si cela peut être attribué à une seule personne. Un compte de gestion partagé utilisé par toute l'équipe est difficile à évaluer pour une autorité de surveillance ou un client : si quelque chose s'avère, on ne peut pas établir qui était connecté à ce moment-là. L'authentification multifactorielle sur l'accès de gestion est désormais le minimum qui est demandé, et beaucoup de questionnaires veulent aussi savoir si les sessions sont enregistrées et si l'accès expire automatiquement après une période d'inactivité.
La pensée sous-jacente s'appelle dans la réglementation le principe du moindre privilège : quelqu'un reçoit uniquement les droits nécessaires pour sa tâche, pas plus. Pour une entreprise d'installation ou un gestionnaire informatique, cela semble abstrait, mais en pratique, c'est une simple vérification : un technicien qui n'entretient que des imprimantes peut-il aussi accéder à l'administration financière ? Si non, c'est déjà une indication que le contrôle d'accès est en ordre.
Accès aux systèmes clients : pourquoi cela est demandé séparément
Lorsqu'un prestataire de services informatiques se connecte directement aux systèmes d'un client, une couche supplémentaire se crée. Le client veut alors non seulement savoir comment le prestataire sécurise son propre accès, mais aussi comment éviter qu'un compte du prestataire devienne une porte d'entrée vers le reste du réseau client. Les questionnaires demandent donc souvent séparément la segmentation : l'accès est-il limité au système pour lequel il est destiné, ou un technicien peut-il accéder d'autres parties à partir de ce seul compte.
C'est précisément la raison pour laquelle les clients traitent ce sujet en priorité par rapport aux questions plus générales. Une organisation ayant des obligations de diligence doit évaluer ses fournisseurs, et l'accès à ses propres systèmes est le risque le plus concret qu'elle peut identifier. Un fournisseur qui a déjà une réponse claire ici — qui peut se connecter, avec quel droit, et comment cela est réexaminé régulièrement — s'épargne un certain nombre de questions de suivi. par sujet, élucidé ce qu'une mesure implique exactement fournit un point de départ pour cela.
Sous-traitants : la même question, un maillon plus loin dans la chaîne
Dès qu'un sous-traitant participe à une tâche, la question ne s'éloigne pas mais se décale d'un maillon dans la chaîne. Un client qui évalue le contrôle d'accès du prestataire veut aussi savoir si ce prestataire, à son tour, maîtrise l'accès de ses propres sous-traitants. Un compte pour un sous-traitant est-il créé séparément et retiré dès que la tâche est terminée, ou cet accès demeure-t-il tacitement ? Ce dernier est l'une des constatations les plus courantes lors de l'examen du contrôle d'accès : des comptes qui étaient autrefois nécessaires, mais n'ont jamais été nettoyés.
Un accord pratique veut donc que l'accès soit lié à la durée de la mission, et qu'il y ait un propriétaire désigné responsable de sa révocation. Celui qui peut l'indiquer — un nom, pas une fonction au sens général — donne une réponse plus concrète à une liste de contrôle qu'une simple description de politique.
Ce que cela signifie pour votre propre dossier
La gestion des accès n'est pas une mesure que l'on met en place une fois et qu'on oublie ensuite ; c'est un registre qui doit être tenu à jour dès que des rôles, des clients ou des sous-traitants changent. Pour ceux qui doivent encore déterminer si cela est pertinent en tant qu'obligation sectorielle ou de chaîne d'approvisionnement, le contrôle en quelques questions donne une première indication de la position d'une organisation. Ceux qui savent déjà que les listes de contrôle continueront à arriver peuvent, grâce aux questions les plus fréquemment posées sur ce qui est exactement demandé affiner davantage leur propre situation.
L'essentiel reste simple à retenir, même sans formation juridique : pouvez-vous dire à tout moment qui a accès à quel système, pourquoi et depuis quand ? Celui qui a cette réponse prête à l'emploi est déjà bien avancé pour la plupart des listes de contrôle. Celui qui doit encore l'déterminer peut obtenir une première vue d'ensemble grâce au scan rapide gratuit sur secria.eu sur où commencer.