Un prestataire a parfois besoin d'un accès puissant pour maintenir une application, intervenir sur un serveur ou assister un utilisateur. Le risque ne vient pas de l'externalisation en elle-même, mais d'un compte partagé, permanent et utilisable depuis n'importe où sans trace exploitable. Cinq garde-fous réduisent ce risque sans empêcher l'intervention. Ils doivent être prévus avant l'urgence, quand l'entreprise peut encore tester l'accès et négocier la restitution.
1. Une identité nominative par intervenant
Le compte générique du fournisseur empêche de savoir qui s'est connecté et reste souvent actif après un changement d'équipe. Ce choix evite d'empiler des outils tout en laissant la procedure, l'acces ou la donnee critique sans proprietaire.
Créez une identité par personne ou imposez au prestataire une fédération qui restitue cette identité dans les journaux. Interdisez le partage. La CNIL recommande un identifiant unique et une traçabilité renforcée quand un compte partagé ne peut pas être évité.
2. Le moindre privilège sur un périmètre écrit
Un droit administrateur global est commode mais transforme la compromission d'un sous-traitant en accès à toute l'entreprise. La bonne question n'est pas de savoir si la protection existe, mais si elle tient encore pendant une panne ou une attaque.
Listez les machines, applications, actions et horaires nécessaires. Utilisez des rôles ou un bastion plutôt qu'un compte omnipotent. Toute extension temporaire expire automatiquement et laisse une demande validée.
3. Une authentification forte sans secret commun
Envoyer un mot de passe par courriel ou réutiliser la même clé chez plusieurs clients annule la séparation attendue. Le controle utile porte sur un comportement observable, pas sur la presence d'une option dans une console.
Activez la MFA, fournissez des secrets propres à l'entreprise et protégez les comptes capables de réinitialiser les autres. L'accès d'urgence suit une procédure distincte et alerte un responsable interne.
4. Une session visible et une alerte utile
Journaliser une connexion sans heure fiable, identité ou action ne permet pas d'enquêter. À l'inverse, enregistrer tout sans destinataire ne sert pas davantage. La priorite se decide selon l'impact sur l'activite et la facilite d'exploitation de la mesure par l'equipe.
Conservez début, fin, origine, cible et opérations sensibles. Alertez sur une connexion hors fenêtre, un nouvel intervenant ou une élévation de privilège. L'entreprise teste une alerte avant la mise en service de l'accès.
5. Une fermeture et une réversibilité
Les comptes oubliés et agents de prise en main persistent après la fin d'une mission. Les données de configuration peuvent rester chez le fournisseur. Le resultat doit rester comprehensible par la direction, l'informatique et le prestataire qui interviendrait en urgence.
Prévoyez la révocation, le retrait des logiciels, la restitution des journaux et la liste des données conservées. Le guide NIST sur le risque fournisseur replace cette exigence dans la gestion de la chaîne d'approvisionnement. La clôture comporte une preuve technique et une attestation contractuelle, puis un contrôle différé.
Le contrôle à conserver dans le dossier
Une mesure cybersécurité devient durable quand une autre personne peut la vérifier sans dépendre de la mémoire de son auteur. Conservez le périmètre, la date, le responsable, le résultat observé et la prochaine échéance. Le dossier ne stocke aucun secret : il indique seulement où les accès protégés se trouvent et qui peut les révoquer.
- Chaque intervenant possède une identité distincte.
- Le périmètre et la durée sont bornés avant l'ouverture.
- MFA, journaux et alerte ont été testés.
- La clôture révoque comptes, outils et données conservées.
Après un changement important, rejouez le contrôle concerné plutôt que d'attendre la revue générale. Une migration, un départ, une ouverture vers Internet ou un incident modifie le risque immédiatement. La preuve datée permet de distinguer une correction réelle d'une intention et de transmettre la décision à la direction, au prestataire ou à l'équipe de reprise.
Organiser le prochain passage sans tout recommencer
Pour le sujet securiser acces prestataire, conservez une page de suivi plutôt qu'un rapport figé. Elle relie le premier angle, « 1. Une identité nominative par intervenant », au dernier, « 5. Une fermeture et une réversibilité », afin de montrer le chemin entre exposition, action et vérification. Ajoutez la date du prochain contrôle, la personne qui l'exécutera et le changement qui imposerait de le rejouer plus tôt. Cette préparation évite que la mesure dépende d'un projet ponctuel ou d'un prestataire qui n'est plus présent.
Lors de la revue, commencez par reproduire le résultat attendu avant de lire les commentaires anciens. Une restauration, une alerte, une révocation ou un appel hors bande fournit une observation directe. Comparez-la ensuite au dossier et expliquez tout écart. Si le contrôle n'est plus pertinent, remplacez-le explicitement plutôt que de le laisser passer au vert par habitude. La sécurité reste ainsi liée au fonctionnement réel de l'entreprise.
Partager une décision compréhensible par un tiers
La synthèse reprend quatre preuves concrètes : chaque intervenant possède une identité distincte. Le périmètre et la durée sont bornés avant l'ouverture. MFA, journaux et alerte ont été testés. La clôture révoque comptes, outils et données conservées. Elle précise aussi ce qui reste incertain et ce qui n'entre pas dans le périmètre. Cette transparence permet à la direction de prioriser, à l'équipe technique d'agir et à un autre prestataire de reprendre le travail sans interpréter une note opaque.
Terminez par une décision unique pour chaque écart : corriger, compenser, accepter temporairement ou retirer le service. Une décision temporaire porte une échéance et une condition de réouverture. La preuve de fermeture doit montrer le comportement obtenu, pas seulement une facture, une capture de licence ou la présence d'une option. Cette règle simple protège le budget et rend les arbitrages auditables dans le temps.
Commentaires
No comments yet