Lors d’un audit, un directeur informatique m’a affirmé que les comptes administrateurs étaient sous contrôle. Deux heures plus tard, nous avions identifié un ancien compte d’infogérance, trois comptes de service avec des droits étendus et un administrateur global Microsoft 365 attribué à une boîte partagée. Personne n’avait cherché à contourner les règles. Simplement, personne ne voyait l’ensemble. Savoir comment cartographier les accès privilégiés commence par accepter cette réalité : les droits sensibles se dispersent vite, surtout lorsque l’infrastructure, le cloud et les applications évoluent au rythme des projets.
La cartographie ne consiste pas à produire une longue extraction d’annuaire à remettre aux auditeurs. Elle doit répondre à une question opérationnelle : qui peut modifier, interrompre, consulter ou exfiltrer des données et services critiques, par quel chemin, et sous quelles conditions ? Lorsqu’elle est bien menée, elle donne aux équipes un point de départ concret pour réduire le risque sans bloquer l’exploitation.
Pourquoi cartographier les accès privilégiés
Un accès privilégié ne se limite pas au compte administrateur de domaine. Il peut s’agir d’un propriétaire d’abonnement cloud, d’un administrateur global d’une suite collaborative, d’un super-utilisateur ERP, d’un compte technique utilisé par une interface, d’un jeton d’API, d’un coffre-fort de mots de passe ou d’un accès distant confié à un prestataire.
Le risque vient souvent des combinaisons. Un compte peut ne disposer que d’un droit apparemment modeste, mais pouvoir réinitialiser le mot de passe d’un autre compte, modifier un groupe, créer une clé d’accès ou changer une règle de sauvegarde. Cette succession de permissions peut mener à un contrôle complet. Une cartographie utile doit donc représenter les droits directs, mais aussi les chemins d’élévation possibles.
Elle apporte également une réponse claire à plusieurs situations fréquentes : un départ d’employé, une revue d’accès, une investigation, l’intégration d’une acquisition ou la préparation d’une évaluation ISO 27001. Sans vue consolidée, ces exercices reposent sur des déclarations, des fichiers locaux et la mémoire de quelques personnes.
Définir le périmètre avant de collecter
La première erreur consiste à lancer une collecte exhaustive sans définir ce que l’organisation considère comme sensible. Le résultat est prévisible : un volume de données difficile à lire et peu de décisions prises.
Commencez par les actifs dont l’indisponibilité, l’altération ou la divulgation aurait un impact significatif. Pour une entreprise de services financiers, cela inclura par exemple les environnements de production, les outils de paiement, les répertoires d’identité et les plateformes de sauvegarde. Dans un établissement de santé, les applications cliniques, les données patients et les interfaces avec les partenaires doivent figurer au premier plan.
Définissez ensuite les catégories de privilèges à suivre. Les droits d’administration système, cloud, réseau, base de données et sécurité sont évidents. Ajoutez les privilèges applicatifs, les comptes d’urgence, les identités techniques, les accès des fournisseurs et les comptes non humains utilisés dans les chaînes CI/CD. L’étendue exacte dépend de votre modèle d’exploitation. Une PME très infogérée devra accorder autant d’attention aux accès de ses prestataires qu’à ses propres comptes internes.
Construire une vue qui relie identité, droit et actif
Une bonne cartographie relie quatre informations : l’identité, le niveau de droit, la ressource administrée et le responsable qui valide cet accès. Sans cette dernière donnée, il est difficile de trancher lorsqu’un droit paraît excessif ou orphelin.
Pour chaque accès, consignez le type d’identité – personne, compte partagé, compte de service, fournisseur ou automatisation -, l’environnement concerné, le rôle attribué, le mode d’authentification et la date de dernière utilisation. La date d’expiration, lorsqu’elle existe, mérite aussi d’être visible. Un accès temporaire sans échéance est rarement temporaire très longtemps.
La représentation visuelle a sa place, à condition de rester lisible. Un tableau structuré est souvent le meilleur support initial. Il permet de filtrer les comptes inactifs, les droits permanents, les propriétaires absents et les privilèges attribués à des groupes. Un schéma complète ensuite ce tableau pour les relations complexes : groupes imbriqués, fédération d’identité, délégations Active Directory, rôles cloud ou chaînes d’administration entre outils.
Ne pas oublier les privilèges indirects
Les groupes sont une source classique d’angles morts. Un utilisateur n’apparaît pas toujours comme administrateur parce qu’il hérite de ses droits par plusieurs niveaux de groupes. Il en va de même pour les rôles cloud assignés à un groupe synchronisé depuis l’annuaire, ou pour les permissions applicatives accordées via une équipe.
Recherchez aussi les droits qui permettent de créer d’autres droits. La capacité de modifier une stratégie d’identité, d’ajouter un propriétaire à un abonnement ou de gérer un coffre de secrets mérite une attention au moins égale à un rôle d’administration traditionnel. Dans plusieurs incidents, le point d’entrée n’était pas le compte le plus puissant, mais celui qui pouvait discrètement le devenir.
Une méthode pragmatique en cinq étapes
La cartographie gagne à être traitée comme un exercice court, répété et orienté vers la décision. Voici une séquence qui fonctionne dans la plupart des organisations.
- Recenser les sources d’autorité. Identifiez les annuaires, plateformes cloud, outils de gestion des identités, applications critiques, solutions de sauvegarde, équipements réseau et coffres de secrets. Une source oubliée fausse le résultat.
- Extraire les rôles et les membres. Collectez les groupes administratifs, les affectations de rôles, les comptes locaux, les délégations et les accès fournisseurs. Préservez la date de collecte : les droits changent, et la cartographie doit pouvoir être datée.
- Normaliser les données. Un même collaborateur peut apparaître sous plusieurs identifiants. Rapprochez les comptes de leur propriétaire réel, distinguez les comptes techniques des comptes humains et éliminez les doublons de présentation, sans effacer les informations source.
- Qualifier le risque. Évaluez l’impact de l’actif, la puissance du droit, la permanence de l’accès, l’exposition externe et la qualité du contrôle d’authentification. Un accès administrateur protégé par authentification multifacteur, journalisé et utilisé via un poste dédié ne présente pas le même niveau de risque qu’un compte partagé sans traçabilité.
- Valider avec les responsables. Les équipes techniques savent expliquer les dépendances réelles. Les responsables applicatifs peuvent confirmer le besoin d’accès. Cette validation évite de supprimer un droit légitime tout en révélant les privilèges hérités d’anciens projets.
Prioriser les écarts plutôt que viser la perfection
Une cartographie complète est un objectif utile, mais elle ne doit pas retarder les corrections évidentes. Si vous trouvez un compte d’un ancien fournisseur, un administrateur sans propriétaire, un compte de service avec un mot de passe inchangé depuis des années ou un accès d’urgence utilisé au quotidien, traitez-le sans attendre le rapport final.
La priorisation peut s’appuyer sur trois critères simples : l’impact potentiel, la facilité d’abus et la capacité de détection. Un compte très puissant est préoccupant. Il devient prioritaire s’il est accessible à distance, mal protégé ou si ses actions ne sont pas journalisées. À l’inverse, certains droits étendus peuvent être justifiés dans un environnement isolé et contrôlé, à condition que cette décision soit documentée et revue.
Les mesures correctives les plus courantes sont la suppression des comptes inutiles, la limitation des droits permanents, l’usage de comptes administratifs séparés, l’authentification multifacteur, l’encadrement des accès d’urgence et la mise sous contrôle des comptes de service. Le bon choix dépend de la maturité et des contraintes techniques. Imposer une gestion des accès à privilèges sophistiquée à une petite structure qui ne maîtrise pas encore son inventaire risque de créer un dispositif peu utilisé. Mieux vaut un processus simple, tenu et mesurable qu’un outil ambitieux laissé sans administration.
Faire vivre la cartographie dans la durée
Le document initial perd rapidement sa valeur s’il n’est pas intégré aux processus courants. Les changements d’organisation, les nouveaux projets cloud, les interventions fournisseurs et les migrations applicatives créent de nouveaux privilèges. La cartographie doit donc avoir un propriétaire, une fréquence de revue et un mécanisme de mise à jour.
Dans la pratique, une revue trimestrielle des accès les plus sensibles est un rythme réaliste pour de nombreuses organisations. Les environnements fortement régulés ou exposés peuvent nécessiter une surveillance plus fréquente. Reliez aussi la mise à jour aux arrivées, départs, changements de fonction et clôtures de projet. Un accès accordé pour une migration devrait être revu dès la fin de cette migration, pas lors de la prochaine campagne annuelle.
Les indicateurs doivent rester compréhensibles par la direction comme par les équipes techniques : nombre de comptes privilégiés sans propriétaire, comptes inactifs, privilèges permanents, accès fournisseurs arrivant à échéance et écarts de revue. Ces données transforment la cartographie en outil de gouvernance plutôt qu’en photographie produite pour un audit.
La question utile n’est donc pas seulement de savoir combien de comptes privilégiés existent. Pouvez-vous expliquer, pour chacun des accès les plus sensibles, pourquoi il existe encore, qui en répond et comment son usage est contrôlé ?
Source : NIST Special Publication 800-53 Rev. 5, contrôle AC-6 « Least Privilege ».