Dans beaucoup de PME, tout le monde a accès à tout : c’était plus simple au démarrage, et personne n’a jamais pris le temps de faire le tri. Le jour où un compte est piraté, c’est pourtant toute l’entreprise qui est exposée. Le principe du moindre privilège permet de limiter les dégâts, sans freiner le travail de personne.
Le moindre privilège, qu’est-ce que c’est ?
Chaque collaborateur dispose uniquement des accès nécessaires à son travail, ni plus, ni moins. La secrétaire n’a pas besoin des droits d’administration du serveur, l’apprenti n’a pas besoin du dossier des salaires, et personne n’a besoin d’être administrateur de son poste pour rédiger un devis.
L’objectif n’est pas de se méfier de vos collaborateurs. Il s’agit de réduire ce qu’un pirate peut atteindre s’il prend le contrôle d’un compte, par un e-mail piégé ou un mot de passe volé.
Les comptes administrateurs, une porte grande ouverte
Un compte administrateur peut installer des logiciels, modifier les paramètres de sécurité et accéder à l’ensemble du système. Si un collaborateur travaille au quotidien avec un tel compte, un logiciel malveillant ouvert par erreur hérite de tous ces pouvoirs. L’enjeu est considérable : selon BeyondTrust, la suppression des droits administrateur locaux et le contrôle des applications ont historiquement permis d’atténuer 75 % des vulnérabilités critiques de Microsoft (BeyondTrust, Microsoft Vulnerabilities Report).
Trois mesures concrètes
1. Éviter les comptes administrateurs permanents
Les collaborateurs travaillent avec un compte standard. Les droits d’administration sont réservés au responsable informatique ou au prestataire, sur un compte séparé, utilisé uniquement pour les tâches qui le nécessitent.
2. Segmenter les accès aux dossiers sensibles
Organisez vos dossiers partagés par niveau de sensibilité : direction, ressources humaines, comptabilité, projets. Chaque groupe d’utilisateurs n’accède qu’aux dossiers qui le concernent. Le même principe s’applique à vos applications : messagerie, logiciel métier, banque en ligne.
3. Revoir régulièrement les droits
Avec le temps, les accès s’accumulent : un remplacement temporaire, un projet terminé, un changement de poste. Prévoyez une revue des droits au moins une fois par an, et à chaque arrivée, changement de fonction ou départ. Un ancien collaborateur dont le compte est toujours actif est une faille classique.
Par où commencer ?
Dressez la liste de vos collaborateurs et de ce dont ils ont réellement besoin, puis comparez avec les accès qu’ils ont aujourd’hui. Les écarts sautent souvent aux yeux. Si vous utilisez Microsoft 365, les groupes et les rôles permettent de mettre ces règles en place proprement. Dans le cadre de notre maintenance de parc informatique, nous pouvons vous aider à faire cet inventaire.
Le guide complet à partager avec votre équipe
Cet article reprend l’un des 9 réflexes de notre guide gratuit des bonnes pratiques de sécurité informatique. Recevez-le par e-mail en version PDF imprimable : de quoi sensibiliser tous vos collaborateurs en quelques minutes, ou le garder sous la main dans vos dossiers.