Privileged access management pour les PME

Global Admin, AWS root, Salesforce system admin — ce sont ces rôles qui causent le plus de dégâts. Ce que vous pouvez faire sans acheter un outil PAM coûteux.

Privileged Access Management (PAM) semble réservé aux banques et aux administrations. Pour les PME, je le formule simplement : quels comptes, s'ils étaient compromis, pourraient paralyser toute votre entreprise ? En pratique, ils sont entre 5 et 15, et ils méritent une attention particulière.

Faites l'inventaire de vos comptes privilégiés

Passez en revue cette liste :

• M365 / Entra Global Administrator(s)
• Google Workspace super admin
• AWS root user
• Admin du logiciel de comptabilité (Exact, Moneybird, etc.)
• Salesforce system admin
• GitHub/GitLab org owner
• Registrar de domaine (TransIP, Hover, Namecheap)
• Fournisseur DNS (Cloudflare)
• Admin du gestionnaire de mots de passe
• Panneau d'hébergement (Plesk, cPanel)
• Compte bancaire (« droits d'effectuer des paiements »)

Notez-les en précisant pour chaque compte : qui détient les identifiants, dans quel coffre-fort ils sont stockés, et qui est le remplaçant. Voir aussi Établir un inventaire SaaS.

Les trois règles de l'accès privilégié

1. Pas pour le travail quotidien. Votre Global Admin envoie des e-mails et participe aux réunions avec un compte utilisateur ordinaire. Le compte privilégié n'est utilisé que pour les tâches d'administration. On appelle cela des comptes d'administration dédiés.
2. Le MFA est obligatoire, pas optionnel. Le MFA est fortement recommandé pour les utilisateurs ordinaires, mais il est non négociable pour les comptes privilégiés. Préférez un token matériel (YubiKey) pour cet ensemble de comptes.
3. Au moins deux personnes connaissent les identifiants root. Une seule personne = point de défaillance unique. Trois = trop. Deux, c'est idéal.

L'accès juste-à-temps : le modèle mature

Dans Entra ID, vous pouvez configurer PIM (Privileged Identity Management) : les droits Global Admin ne sont PAS actifs par défaut ; quelqu'un doit les activer pour une session de 8 heures maximum, avec l'approbation d'un collègue. Cela réduit considérablement la surface d'attaque. Consultez le guide de gouvernance M365 pour la configuration.

Révision et rotation

Chaque trimestre : passez en revue la liste des comptes privilégiés. Deux questions par ligne : « cette personne en a-t-elle encore besoin ? » et « quand a eu lieu la dernière utilisation ? » À noter : si un Global Admin ne s'est pas connecté depuis 95 jours, c'est un risque (revue des accès).

Parmi toutes les catégories de votre gestion des accès, c'est celle qui concerne le moins de comptes mais qui mérite le plus d'attention. Et c'est bien ainsi.