Moindre privilège

Ce que ça change pour une organisation

Le NIST définit le moindre privilège comme un principe d’architecture de sécurité selon lequel chaque entité reçoit le minimum de ressources système et d’autorisations dont elle a besoin pour remplir sa fonction. Pour les personnes, la CNIL demande de respecter ce principe à travers la gestion des profils d’habilitation : définir des profils qui séparent les tâches et les domaines de responsabilité, faire valider chaque demande par un responsable, retirer les droits dès que la personne n’est plus habilitée (changement de poste, fin de contrat) et procéder à une revue au moins annuelle, avec les métiers, pour supprimer les comptes inutilisés et réaligner les droits sur les fonctions. Elle déconseille aussi les droits d’administrateur donnés à des utilisateurs qui n’en ont pas besoin.

Le principe vaut également pour les comptes techniques et les applications. En pratique, il demande un suivi dans la durée, car les droits tendent à s’accumuler quand personne ne les revoit : l’intérêt est de réduire les données et les systèmes accessibles à un attaquant qui prendrait le contrôle d’un compte.

Exemple

Exemple générique : une application web interroge sa base de données avec un compte disposant de droits d’administration sur l’ensemble du serveur. Si une injection SQL est exploitée, l’attaquant hérite de ces droits. Si le compte de l’application est limité aux seules tables et opérations dont elle a besoin, la même faille expose beaucoup moins de données ; limiter les droits du compte de base de données figure parmi les mesures recommandées contre l’injection SQL.

À ne pas confondre avec

• L’authentification : elle établit qui se connecte, alors que le moindre privilège limite ce que cette personne peut faire ensuite ; la CNIL traite les deux sujets dans des fiches distinctes.
• La segmentation réseau : elle cloisonne les flux entre zones du réseau, alors que le moindre privilège restreint les droits attribués aux comptes.