La gestion des accès : cours de Bac pro CIEL

Imagine le réseau d'une petite entreprise : un serveur de fichiers, une messagerie, un logiciel de facturation, quelques postes et un accès depuis la maison pour deux commerciaux. Si tout le monde peut tout ouvrir, une erreur de manipulation ou un mot de passe volé suffit à exposer l'ensemble. Dans les chapitres précédents, tu as étudié les menaces et les attaques, puis les mesures de protection. La gestion des accès est l'une de ces mesures, et c'est l'une des plus concrètes : elle répond à la question « qui peut faire quoi, sur quoi, et quand ? ».

Dans cette définition, deux mots méritent ton attention. D'abord habilitation : c'est ce qu'un utilisateur est autorisé à faire. Ensuite à travers le temps : un accès n'est pas donné une fois pour toutes. Une personne arrive, change de poste, part en congé longue durée, quitte l'entreprise. À chaque étape, ses droits doivent évoluer. Beaucoup d'incidents ne viennent pas d'un pirate génial, mais d'un droit resté ouvert alors qu'il n'avait plus de raison d'être.

Pour contrôler un accès, le système doit d'abord savoir à qui il a affaire. Un utilisateur du réseau n'est pas seulement un prénom et un nom : c'est une identité numérique, c'est-à-dire un ensemble d'informations qui le représentent dans le système d'information. Quand un service n'est pas public, mais réservé à des personnes précises, on passe par une procédure d'identification : la personne fournit un identifiant, qui représente son identité.⁵

À la création d'une identité, le système lui associe des paramètres qui la caractérisent de façon unique. Ils sont rassemblés dans une fiche identité, propre à chaque utilisateur. Cette fiche contient aussi les droits d'accès liés à la fois à la personne et au contexte dans lequel elle utilise les ressources de l'organisation.⁵

Après l'identification vient l'authentification. Le système demande à la personne de démontrer qu'elle est bien celle qu'elle prétend être. Les sources de référence soulignent que l'authentification des utilisateurs prend une place croissante dans la gestion des identités et des accès, parce qu'elle limite les fraudes et permet de s'assurer de l'identité d'une personne qui cherche à entrer dans un système.⁵

Un simple mot de passe est la preuve la plus répandue, mais aussi l'une des plus fragiles : il peut être deviné, réutilisé sur plusieurs services, volé par hameçonnage. C'est pourquoi les propriétaires de systèmes ou d'applications exigent souvent une authentification à plusieurs facteurs.⁵ Le principe est simple à comprendre avec un exemple : pour entrer, l'utilisateur donne son mot de passe, puis il valide aussi un code que seul son téléphone peut produire. Un pirate qui connaît le mot de passe seul reste bloqué à la deuxième vérification.

Une fois l'utilisateur identifié et authentifié, le système doit décider de ce qu'il peut faire. Dans les descriptions de la gestion des identités et des accès, l'autorisation désigne le moment où l'on accorde à l'utilisateur l'accès à une ressource.⁵ C'est là que les droits d'accès de la fiche identité sont consultés.

En pratique, on évite d'attribuer les droits un par un à chaque personne, parce que c'est long et source d'oublis. On regroupe plutôt les utilisateurs selon leur fonction (comptabilité, atelier, informatique, direction) et on associe des droits à chaque groupe. Ce regroupement est un choix d'organisation que tu peux construire toi-même ; il rend la vérification plus simple : si on doit savoir qui lit le dossier « paie », on regarde un groupe et non trente comptes.

La fiche « Gestion des identités » de l'ANSSI traite notamment des mécanismes d'authentification, des comptes partagés et du cycle de vie des identités.⁴ Ces trois sujets sont au cœur du quotidien d'un technicien.

Les comptes partagés posent un autre problème. Quand plusieurs personnes utilisent le même identifiant et le même mot de passe, on ne sait plus qui a fait quoi. Si un fichier est supprimé, il est impossible de dire quelle personne l'a fait. Quand une personne quitte l'équipe, il faut changer le mot de passe pour tous. La fiche de l'ANSSI consacre d'ailleurs un éclairage particulier à ce cas.⁴ Retiens l'idée de fond : à chaque compte, une personne identifiable.

Dans une organisation qui compte de nombreuses applications, créer et modifier des comptes application par application devient vite ingérable. On gagne beaucoup à centraliser : une seule source gère les identités, et les applications s'y réfèrent. D'après les descriptions de la GIA, les modifications constantes d'accès ou d'identité d'un utilisateur sont alors appliquées plus rapidement sur l'ensemble des applications, ce qui permet une mise en conformité simplifiée et accélérée des accès aux besoins de l'organisation.⁵

La gestion des accès s'étend aussi aux appareils mobiles. Les salariés utilisent de plus en plus d'applications mobiles pour atteindre le cloud et des applications web. Associer à la GIA la gestion des appareils mobiles (MDM, Mobile Device Management) permet aux entreprises de garder le contrôle sur leurs ressources.⁵

Contrôler les comptes ne suffit pas si le réseau lui-même laisse tout passer. La fiche « Architectures sécurisées » de l'ANSSI, également rangée dans la rubrique Protection, revient sur les modes de cloisonnement, le filtrage et les accès distants.⁴ Ces trois notions complètent la gestion des identités.

Les deux niveaux se renforcent. Le niveau réseau limite où une personne peut aller ; le niveau identité limite ce qu'elle peut faire une fois arrivée. Si l'un des deux cède, l'autre garde une part de protection.