Chapitre 4 – La sécurisation des accès et des systèmes d'information

4.1 – La gestion des droits d'accès : principe du moindre privilège, profils utilisateurs

La gestion des droits d'accès est l'un des piliers de la sécurité organisationnelle, et pourtant l'une des disciplines les plus négligées dans les petites structures. Le principe fondateur est celui du moindre privilège : chaque utilisateur ne doit disposer que des accès strictement nécessaires à l'accomplissement de ses missions, ni plus ni moins. Trop d'organisations adoptent la logique inverse, par confort : « on donne tous les accès, comme ça personne ne se plaint ». Cette approche multiplie les risques : un assistant administratif peut, faute de cloisonnement, lire les bulletins de salaire de ses collègues, consulter le dossier médical d'un patient ou modifier les commandes en cours sans aucune justification métier.

Pour structurer la gestion, on définit des profils utilisateurs (ou rôles) qui regroupent un ensemble cohérent d'autorisations. Sophie, assistante dans un cabinet de kinésithérapie, dispose ainsi du profil « secrétariat médical » : accès en lecture-écriture au planning, en lecture aux dossiers patients, en écriture à la facturation, sans accès aux modules administratifs et RH. Karim, chargé d'accueil dans une mutuelle, a un autre profil adapté à ses missions. Le profil simplifie l'administration : quand un nouveau salarié arrive, on lui applique le profil correspondant à sa fonction, sans avoir à cocher cinquante cases. Quand il change de poste, on lui retire son ancien profil et on lui applique le nouveau, automatiquement et de manière traçable.

La revue régulière des accès est l'étape qui complète le dispositif. Au minimum une fois par an, idéalement deux, l'organisation doit examiner la liste de tous les comptes utilisateurs et vérifier qu'ils correspondent encore à des collaborateurs en poste, dans la bonne fonction, avec le bon profil. Cette revue détecte les comptes orphelins (anciens stagiaires, salariés partis), les escalades de privilèges accumulées au fil du temps, et les profils inadéquats. Pour une mairie, ce travail peut révéler qu'un ancien adjoint conserve un accès au logiciel financier deux ans après son départ ; pour une PME, qu'un commercial accède au module comptabilité sans raison. C'est en outre un excellent indicateur de la maturité sécurité d'une organisation, fortement valorisé en cas d'audit ou de certification.

Le principe du moindre privilège

4.2 – L'authentification forte : double facteur (2FA), biométrie, carte à puce

Le mot de passe seul, aussi robuste soit-il, reste vulnérable au phishing, au keylogger ou à la fuite massive de bases de données. L'authentification forte ajoute un second facteur indépendant pour confirmer l'identité de l'utilisateur. Le principe est simple et puissant : un facteur compromis n'est plus suffisant pour usurper l'accès. On distingue trois familles de facteurs d'authentification : ce que je sais (mot de passe, code PIN, phrase secrète), ce que je possède (smartphone, clé physique, carte à puce, token), ce que je suis (empreinte digitale, reconnaissance faciale, voix, iris). Une authentification est dite « forte » dès qu'elle combine au moins deux familles différentes.

La forme la plus répandue est la double authentification ou 2FA (Two-Factor Authentication). Après la saisie du mot de passe, l'utilisateur reçoit un code à usage unique par SMS, courriel, ou plus sûr par une application TOTP (Google Authenticator, Microsoft Authenticator, Authy, FreeOTP). Le code change toutes les 30 secondes. Une variante plus robuste utilise les clés FIDO2/U2F physiques (YubiKey, Titan Security Key) qu'on insère dans le port USB ou qu'on approche en NFC pour valider l'authentification. Pour les accès très sensibles (banque, signature électronique qualifiée), la carte à puce avec certificat et code PIN reste la référence, notamment dans les administrations.

La biométrie connaît un essor important grâce aux smartphones : Touch ID, Face ID, reconnaissance d'empreinte sur ordinateur portable. Elle apporte une expérience utilisateur fluide tout en garantissant un niveau de sécurité élevé, à condition que l'empreinte biométrique ne quitte jamais le terminal (stockage dans un enclave sécurisée). La biométrie ne remplace toutefois pas le mot de passe : elle vient le compléter, car en cas de doute ou de redémarrage, le mot de passe reste nécessaire. Pour Inès, secrétaire d'une école privée, l'activation du 2FA sur la messagerie professionnelle et sur le logiciel de gestion scolaire est l'investissement sécurité le plus rentable : il bloque la quasi-totalité des attaques par phishing même réussies sur le mot de passe.

Les 3 facteurs d'authentification

4.3 – La procédure d'entrée et de sortie des collaborateurs : création, modification, révocation des accès

La vie d'un compte utilisateur épouse celle du collaborateur dans l'organisation : il naît à l'embauche, évolue au gré des changements de poste, et doit mourir le jour du départ. C'est précisément aux moments de transition que se concentrent les risques. Pour l'entrée, la procédure d'onboarding doit garantir que le nouveau salarié dispose le premier jour de tous les accès nécessaires à ses missions, et seulement ceux-là. Cela suppose une coordination étroite entre RH, IT et manager direct : la fiche de poste détermine le profil utilisateur, qui détermine les autorisations dans chaque logiciel. Anaïs, lorsqu'elle a rejoint sa PME industrielle, a reçu un kit d'arrivée : ordinateur préparé, comptes créés, formation sécurité de trente minutes, signature de la charte informatique.

Les changements de poste sont la phase la plus délicate. Quand un collaborateur évolue (promotion, mutation interne, prise de nouvelles missions), on ne se contente pas d'ajouter de nouveaux droits : il faut aussi retirer les anciens qui ne sont plus justifiés. Sans cette discipline, les droits s'accumulent et créent des « super-utilisateurs » par accident, capables de voir et modifier des informations qui ne les concernent plus. Le service IT doit recevoir une notification systématique des changements RH, déclenchant une revue ciblée des profils. Lucas, en mairie, peut ainsi voir son profil basculer de « accueil » à « état civil » lorsqu'il rejoint le service correspondant.

La sortie d'un collaborateur, qu'elle soit volontaire (démission), structurelle (fin de CDD, départ en retraite) ou conflictuelle (licenciement, rupture conventionnelle), demande une révocation immédiate et complète. La procédure doit prévoir le retrait de tous les accès (logiciels, messagerie, VPN, badge, téléphone) dans les heures qui suivent le départ effectif, voire avant en cas de risque de malveillance. Les données professionnelles du compte sont archivées selon la politique de rétention, le matériel est récupéré et inventorié, les éventuelles licences logicielles sont libérées. Pour les départs sensibles, certaines organisations vont jusqu'à révoquer les accès la veille au soir, par précaution. Une procédure de sortie défaillante est l'un des principaux vecteurs de fuite de données par d'anciens salariés mécontents.

Le cycle de vie d'un compte utilisateur

4.4 – La verrouillage et la sécurisation des postes de travail : clean desk, écran de veille, chiffrement disque

La sécurité physique des postes de travail est trop souvent considérée comme accessoire, alors qu'elle constitue la première ligne de défense face aux risques quotidiens : vol opportuniste, curiosité d'un visiteur, intrusion dans les locaux, perte d'un ordinateur portable en déplacement. Trois pratiques simples et puissantes structurent cette défense. La première est le clean desk policy ou « politique du bureau propre » : aucun document confidentiel ne doit rester visible sur le bureau lorsque l'on quitte son poste, même pour quelques minutes. Fiches clients, bordereaux de paie, courriers contractuels, post-it avec un mot de passe : tout ce qui contient des informations sensibles doit rejoindre un tiroir verrouillé, un coffre ou une armoire fermée à clé.

Le deuxième pilier est le verrouillage de session. Toute pause de plus de quelques minutes doit s'accompagner d'un verrouillage manuel (raccourci Windows+L sur PC, Ctrl+Cmd+Q sur Mac), même quand on se déplace à la photocopieuse. À défaut, le système doit verrouiller automatiquement la session après une période d'inactivité courte (5 à 10 minutes maximum). L'écran de veille seul ne suffit pas : il faut un déverrouillage par mot de passe ou biométrie. Sophie, dans son cabinet de kiné, peut ainsi laisser son écran ouvert sur le dossier d'une patiente en allant chercher un café : si quelqu'un passe entre-temps, l'information reste protégée.

Le chiffrement de disque complet est le troisième élément de la trinité de protection physique. Activé sur tous les ordinateurs portables professionnels (et fortement recommandé sur les fixes), il garantit qu'en cas de vol ou de perte, le voleur ne peut rien tirer du disque même en le branchant sur une autre machine. BitLocker pour Windows Pro/Entreprise, FileVault pour macOS, LUKS pour Linux : ces outils sont gratuits ou inclus dans les licences professionnelles courantes. Quentin, qui prend le train trois fois par semaine pour la mutuelle, sait que son ordinateur chiffré reste inutile à un voleur opportuniste. La combinaison clean desk + verrouillage + chiffrement crée un environnement où la moindre fuite physique nécessite plusieurs échecs simultanés, scénario peu probable dans la pratique.

La trinité de sécurisation des postes

4.5 – La gestion des incidents de sécurité : détection, escalade, notification, traitement

Aucune organisation, aussi bien protégée soit-elle, n'est totalement à l'abri d'un incident. La capacité à réagir vite et bien fait toute la différence entre un dégât mineur et une catastrophe majeure. La gestion d'incident suit un cycle classique en quatre phases. La première est la détection : quels signaux indiquent qu'un événement anormal s'est produit ? Cela peut être une alerte de l'antivirus, un comportement étrange du système (lenteur, fichiers chiffrés, redirections inattendues), une notification reçue d'un fournisseur (« vos données ont été potentiellement exposées »), un signalement d'un collaborateur ou d'un client. Plus la détection est rapide, plus les conséquences sont limitées.

Vient ensuite l'escalade. Tout collaborateur qui suspecte un incident doit savoir précisément à qui le signaler, comment et avec quelle urgence. Une procédure clairement affichée — par exemple « En cas de doute, appeler immédiatement le 06.XX.XX.XX.XX (responsable IT) ou écrire à securite@organisation.fr » — évite les hésitations. Anaïs, dans sa PME industrielle, sait qu'un courriel suspect doit être signalé au plus vite, pas analysé seule. L'escalade implique aussi des acteurs internes (direction, DPO, communication) et parfois externes (autorité compétente, prestataire IT, expert cyber, ANSSI via cybermalveillance.gouv.fr pour les TPE/PME, police judiciaire).

Le traitement déploie les actions techniques et organisationnelles : isoler l'appareil ou le système atteint pour stopper la propagation, restaurer depuis une sauvegarde saine, vérifier l'intégrité des autres ressources, changer les mots de passe potentiellement compromis. En parallèle, la notification suit les obligations légales : la CNIL doit être prévenue sous 72 heures si l'incident concerne des données personnelles avec risque pour les personnes ; celles-ci doivent être informées directement en cas de risque élevé. Toute la chronologie est documentée dans un registre des violations, pièce essentielle pour démontrer la conformité. Le retour d'expérience clôt le cycle : qu'est-ce qui a permis l'incident ? quelles failles corriger ? quelle formation déployer ? Un incident bien géré, paradoxalement, renforce la maturité sécurité de l'organisation.

Gestion d'incident en 4 phases