Gestion des accès privilégiés¶
1. Objectif du cours¶
Présenter les principes, stratégies et processus pour concevoir, déployer et contrôler une solution PAM (Privileged Access Management) adaptée au secteur de la santé, en tenant compte des contraintes réglementaires (RGPD/HDS) et opérationnelles (disponibilité 24/7).
2. Notions et définitions essentielles¶
- PAM : ensemble des processus et technologies pour contrôler, surveiller et sécuriser les accès aux comptes à privilèges élevés.
- Cartographie des comptes privilégiés : inventaire/classification des comptes à privilèges, propriétaire et justification métier.
- Principe du moindre privilège : n’accorder que les permissions minimales nécessaires, pour la durée requise.
- RBAC : contrôle d’accès basé sur les rôles (utilisateurs, rôles, permissions, sessions, contraintes).
- JIT (Just-In-Time) Access : privilèges temporaires accordés uniquement pour la durée d’une tâche.
- ZSP (Zero Standing Privileges) : supprimer les privilèges permanents ; droits uniquement ponctuels.
- Séparation des tâches / contrôle dual : répartir responsabilités et exiger double validation pour actions critiques.
- UEBA : analyse comportementale des utilisateurs et entités pour détecter anomalies.
- CCM (Continuous Controls Monitoring) : surveillance automatisée continue de la conformité.
3. Fonctionnement et principes¶
- Risques : concentration de pouvoirs dans les comptes privilégiés amplifie erreurs humaines, compromissions et conséquences (techniques, juridiques, réputationnelles) — critique en santé où la continuité des soins est en jeu.
- Démarche PAM : débuter par une cartographie exhaustive (combinaison d’outils automatiques et d’enquêtes humaines), classifier par criticité, tester les privilèges réels, documenter propriétaire/justification et maintenir le registre à jour.
- Gouvernance : définir une matrice RBAC (qui / quoi / comment) avec granularité adaptée (éviter rôles fourre-tout) et rattacher chaque compte à un responsable métier.
- Cycle de vie des comptes : standardiser demande/validation, création/activation, supervision, révision périodique, suspension/suppression et archivage des traces. Automatiser (workflows ITSM) autant que possible.
- Moyens techniques complémentaires : coffres-forts (rotation automatique des mots de passe, génération d’identifiants), supervision des sessions (enregistrement, recherche, alertes), intégration SIEM/UEBA pour corrélations et détection, et automatisation des contrôles (CCM / SOAR).
- Déploiement pragmatique : approche progressive (Pilot → Rollout → Expansion), priorisation des comptes à plus fort risque, coexistence temporaire ancien/nouveau système.
4. Commandes et manipulations¶
Non abordé dans ce cours.
5. Sécurité et bonnes pratiques¶
- Validation à 4 yeux pour opérations critiques.
- Revues régulières du registre des comptes (ex. trimestrielles) pour garantir fraîcheur des inventaires.
- Rotation différenciée des mots de passe recommandée (ex. 30 jours comptes critiques, 60 jours standards, 90 jours faibles privilèges).
- Prévoir haute disponibilité, sauvegardes et procédures d’urgence pour les coffres-forts afin d’éviter une immobilisation des opérations.
- Gestion des accès d’urgence : mécanisme d’accès immédiat avec notification automatique au RSSI et validation a posteriori sous 24 h.
- Respect des durées légales de conservation des enregistrements (3 ans pour traçabilité en santé).
- Tester les configurations dans un bac à sable avant mise en production et prévoir périodes de coexistence et procédures de rollback.
- Conduite du changement : identifier ambassadeurs, communiquer ciblé, formations hands-on, parrainage et supports pratiques (fiches, tutoriels).
- Sensibiliser sur les comptes dormants et comptes de service souvent oubliés.
6. Points essentiels à retenir pour le TSSR¶
- Les comptes privilégiés exposent trois risques majeurs : techniques, juridiques, réputationnels.
- La cartographie exhaustive (automatique + manuelle) est la première étape incontournable du PAM.
- Le principe du moindre privilège et RBAC (qui/quoi/comment) structurent la réduction de la surface d’attaque.
- Le cycle de vie (demande → validation → activation → surveillance → révision → suppression) doit être automatisé et rattaché à un responsable métier.
- ZSP / JIT réduisent les privilèges permanents ; privilégier droits temporaires validés.
- Coffre-fort + rotation automatique + journalisation = suppression du stockage informel des identifiants.
- Supervision des sessions et UEBA permettent détection proactive et enquêtes post-incidents.
- Déploiement progressif (Pilot-Rollout-Expansion) et coexistence limitent les risques opérationnels.
- Révisions périodiques (mensuelle pour critique, trimestrielle standard) et seuils d’alerte (ex. comptes non utilisés 90 jours).
- Intégration PAM ↔ SIEM/CCM/SOAR améliore corrélation, réponse et conformité continue.
7. Tableau récapitulatif¶
| Élément | Objectif principal | Avantage | Risque/limite |
|---|---|---|---|
| RBAC | Structurer droits par rôles | Scalabilité et auditabilité | Rôles trop larges réintroduisent sur-privilège |
| ZSP / JIT | Supprimer privilèges permanents | Fenêtre d'exposition réduite | Complexité opérationnelle sans automation |
| Coffre-fort | Centraliser et chiffrer identifiants | Rotation automatique, journalisation | Doit être HA, sinon blocage opérationnel |
| Supervision sessions | Enregistrer actions privilégiées | Traçabilité et enquête | Stockage et conservation (3 ans) à gérer |
| SIEM + UEBA | Corrélation et détection | Réduction faux négatifs | Nécessite tuning pour limiter faux positifs |
8. Vérifications pratiques¶
- Inventaire : comparer nombre de comptes identifiés avec découverte automatique + retours équipes pour vérifier exhaustivité.
- Alertes/automations : vérifier génération d’alertes pour comptes non utilisés 90 jours et suspension automatique à 6 mois.
- Rotation : consulter journaux du coffre-fort pour confirmer rotations (ex. tous les 30 jours pour comptes critiques).
- Supervision : vérifier existence d’enregistrements de sessions pour accès à la base de données patients et possibilité de recherche (utilisateur/système/période).
- SIEM : confirmer réception d’alertes corrélées (élévation non autorisée, accès hors heures, connexions depuis IP externes).
- Workflows : tester parcours ITSM pour demande → validation → activation et pour workflow d’urgence (notification RSSI, validation a posteriori sous 24 h).
- Rapports/indicateurs : tableau de bord affiche nombre comptes privilégiés actifs, taux de révisions, couverture de supervision et incidents mensuels.
9. Flashcards Anki¶
Qu'est-ce que PAM ? :: Ensemble des processus et technologies permettant de contrôler, surveiller et sécuriser les accès aux comptes disposant de privilèges élevés. Quelles sont les trois catégories de risques majeures des accès privilégiés ? :: Risques techniques, risques juridiques, risques réputationnels. Définir le principe du moindre privilège. :: Accorder uniquement les permissions minimales nécessaires pendant le temps strictement requis. Quelles sont les trois dimensions d'une matrice RBAC efficace ? :: Les rôles (qui), les ressources (quoi), les permissions (comment). Qu'est-ce que JIT (Just-In-Time) Access ? :: Approche accordant des privilèges temporaires uniquement pendant la durée nécessaire à une tâche spécifique. Quelle périodicité de révision est recommandée pour les comptes critiques ? :: Mensuelle. Quel délai sans utilisation déclenche un seuil d'alerte pour un compte privilégié ? :: 90 jours. Combien de temps conserver les enregistrements d'accès aux systèmes de santé selon le cours ? :: 3 ans. Nom d'un outil cité pour l'inventaire automatisé des comptes Active Directory :: Active Directory Explorer. Comment gérer les accès d'urgence selon le document ? :: Mécanisme d'accès immédiat avec notification automatique au RSSI et validation a posteriori sous 24 heures.