Aucune organisation ne défend les privilèges permanents. Posez la question en réunion et tout le monde acquiesce : le moindre privilège est un principe sain, personne ne devrait conserver des droits d’administration dont il n’a pas l’usage quotidien.
Puis on examine le locataire, et l’on trouve des rôles Propriétaire attribués trois ans plus tôt à des personnes qui en ont eu besoin une fois, pour une migration terminée depuis longtemps.
Ce n’est pas de l’hypocrisie. C’est structurel : il n’existe aucun moment naturel où un privilège est retiré. L’attribution répond à un besoin précis et daté ; le retrait ne répond à rien. Personne ne se réveille en se disant qu’il faudrait révoquer un droit dont personne ne se plaint.
Le vrai problème n’est pas qui, c’est quand
Le RBAC répond à la question « qui peut faire quoi ». C’est nécessaire, et la plupart des organisations y consacrent l’essentiel de leur effort — en affinant les définitions de rôles, en réduisant les portées, en documentant les attributions.
Mais un rôle correctement défini et attribué en permanence reste un rôle disponible en permanence. Pour un attaquant qui compromet ce compte, la question de savoir si le rôle était bien conçu n’a aucune importance. Ce qui compte, c’est qu’il était actif au moment de la compromission.
Le Privileged Identity Management ajoute la dimension manquante : la durée. Un rôle privilégié n’est plus attribué, il est activable — pour une période déterminée, avec une justification, et éventuellement une approbation.
La différence est considérable. Un compte compromis en dehors d’une fenêtre d’élévation ne donne accès à rien de privilégié. Vous n’avez pas empêché la compromission ; vous avez fait en sorte qu’elle survienne, dans la grande majorité des cas, à un moment où elle ne vaut rien.
Ce que l’on entend, et ce qu’il faut répondre
« Cela va ralentir les interventions d’urgence. » C’est l’objection la plus fréquente et la plus légitime. La réponse est de concevoir explicitement le chemin d’urgence : des comptes bris-de-glace, hors PIM, fortement surveillés, dont l’usage déclenche une alerte immédiate. Ils existent, ils sont documentés, et leur utilisation est un événement. Ce qui est inacceptable, c’est que le chemin d’urgence soit l’état permanent.
« Nos administrateurs vont perdre du temps. » Quelques secondes par élévation, plusieurs fois par jour dans le pire des cas. Mesurez-le plutôt que d’en débattre : dans la pratique, le coût réel est nettement inférieur à celui anticipé, et il diminue encore une fois l’habitude prise.
« On l’activera après la migration. » C’est la version polie du refus. Après la migration, le parc est plus grand et les attributions permanentes plus nombreuses. Le moment le moins coûteux, c’est maintenant.
Séquencer sans casser la production
Un déploiement brutal produit une panne et enterre le projet. L’ordre qui fonctionne :
Inventorier d’abord. Combien d’attributions permanentes existent, à quelles portées, et lesquelles ont réellement servi au cours des quatre-vingt-dix derniers jours ? Cette dernière donnée transforme la conversation : il est difficile de défendre un rôle dont les journaux montrent qu’il n’a jamais été exercé.
Commencer par les portées les plus élevées. Propriétaire et Administrateur d’accès utilisateur au niveau du groupe d’administration et de l’abonnement. Ce sont les moins nombreuses et les plus conséquentes — le meilleur rapport entre effort et risque supprimé.
Exécuter une période en parallèle. Rôle activable en place, attribution permanente encore présente. Vous observez si le mécanisme fonctionne sans rien casser.
Puis retirer. C’est l’étape que les organisations omettent, et son omission annule tout le reste.
Ce qu’il faut surveiller ensuite
Le contrôle ne vaut que par ce qu’il produit comme preuve. Trois éléments à conserver :
- Les activations : qui, quel rôle, quelle justification, quelle durée. C’est votre piste d’audit et, accessoirement, la réponse à la question « quelqu’un utilise-t-il encore ce rôle ? » lors de la prochaine revue.
- Les élévations refusées ou expirées sans usage — souvent le signe d’un rôle mal dimensionné plutôt que d’un abus.
- L’usage des comptes bris-de-glace, qui devrait être rare et toujours expliqué.
Le résultat
Vous ne supprimez pas le risque d’un compte compromis ; cela n’existe pas. Vous supprimez la fenêtre pendant laquelle cette compromission donne quelque chose.
Et vous obtenez un bénéfice secondaire souvent sous-estimé : la question « qui a des droits d’administration ? » cesse d’être un exercice d’archéologie. Elle possède une réponse, elle est à jour, et elle tient dans une revue trimestrielle plutôt que dans un projet.
Besoin d’aide pour mettre cela en œuvre ?
Nous travaillons avec votre équipe pour concevoir, construire et exploiter les contrôles décrits ci-dessus.