Fonctionnement
Le POLP stipule que les comptes, application, et les appareils ne doivent recevoir que l'accès et les autorisations nécessaires à l'accomplissement de leur travail. Il s'agit d'identifier ces exigences en fonction des besoins de l'entreprise et de l'objectif de l'utilisateur, de l'appareil ou de l'application au sein de l'entreprise.
Par exemple, la plupart des employés n'ont pas besoin d'un accès administratif à leur propre ordinateur pour remplir leur rôle, c'est pourquoi le POLP stipule qu'ils ne devraient pas l'avoir. De même, le personnel financier n'a pas besoin d'accéder aux dossiers des ressources humaines ou aux systèmes informatiques, et ne devrait donc pas se voir accorder cet accès.
Le POLP s'applique également à la limitation de l'accès aux autorisations élevées aux tâches qui les requièrent. Par exemple, un administrateur informatique peut avoir besoin d'un accès privilégié pour effectuer certaines de ses tâches. Toutefois, ils doivent utiliser un compte non privilégié pour les tâches quotidiennes et n'utiliser leur compte privilégié que lorsque cela est nécessaire pour une tâche donnée.
L'importance du moindre privilège
Selon la 2021 Rapport d'enquête de Verizon sur les violations de données (DBIR)Environ 70 % des violations de données sont liées à un abus de privilèges. Cela signifie qu'un compte ayant un accès légitime aux ressources de l'entreprise a été utilisé pour accéder à des données sensibles et les exfiltrer. Cela peut être dû à un compte compromis, à la négligence du propriétaire du compte ou à une menace interne.
Le POLP permet de limiter le risque d'abus de privilèges en limitant les privilèges accordés à un utilisateur, à une application, etc. Si un compte ne dispose que des autorisations nécessaires pour remplir son rôle, sa capacité à abuser de ces privilèges est limitée. Si un compte ou une application ayant un accès légitime à la base de données clients peut toujours accéder à cette base de données et voler les enregistrements qu'elle contient, il s'agit d'un risque beaucoup plus faible que si chaque utilisateur et application de l'entreprise pouvait potentiellement être utilisé à cette fin.
Avantages
POLP limite l'accès aux données sensibles et aux ressources informatiques précieuses d'une organisation. Ce faisant, il peut apporter plusieurs avantages à l'organisation, tels que
- Réduction du risque cybernétique : En mettant en œuvre le POLP. une organisation limite l'accès d'un utilisateur, d'une application, etc. aux ressources informatiques de l'entreprise. Il est ainsi plus difficile pour un attaquant qui a compromis un compte ou une application d'utiliser cet accès pour atteindre ses objectifs. Par exemple, un compte qui n'a pas accès à la base de données des clients ne peut pas être utilisé pour voler et exfiltrer des données sensibles de cette base de données.
- Moins d'erreurs : Les pannes et les violations de données ne sont pas toutes causées par un acteur malveillant. Une négligence ou une simple erreur de la part d'un utilisateur non technique peut entraîner l'installation d'un logiciel malveillant sur une machine, la suppression d'enregistrements dans la base de données, etc. Avec POLP, l'accès des utilisateurs aux ressources critiques est restreint, ce qui limite les risques d'infections accidentelles, de fuites ou de pannes.
- Increased Visibility: La mise en œuvre du POLP nécessite une visibilité accrue dans les systèmes de contrôle d'accès d'une organisation afin d'appliquer des restrictions par opposition à une politique "tout autoriser". Cette visibilité accrue peut aider à détecter des cyberattacks ou d'autres incidents pouvant nécessiter une attention particulière.
- Simplified Compliance: Le champ d'application des audits de conformité est souvent limité aux utilisateurs et aux systèmes qui ont accès aux données protégées par un règlement. En mettant en œuvre le POLP et en limitant cet accès en fonction des besoins de l'entreprise, une organisation peut réduire l'étendue des responsabilités et des audits de conformité, ce qui facilite l'obtention et la démonstration de la conformité.
Comment mettre en œuvre le principe du moindre privilège dans votre organisation ?
Le POLP peut être mis en œuvre en suivant les étapes suivantes :
- Effectuer un audit des privilèges : Une bonne première étape dans la mise en œuvre du POLP consiste à vérifier les accès et les autorisations dont disposent actuellement les utilisateurs, application, et les appareils au sein d'une organisation. L'identification des actifs d'une organisation et de leur utilisation peut aider à déterminer l'accès requis.
- Définir les rôles : En fonction des besoins de l'entreprise et des privilèges existants, définissez des rôles pour la gestion des privilèges. Par exemple, identifiez les systèmes, les logiciels, les données, etc. auxquels un employé de la finance doit avoir accès pour faire son travail et incluez cet accès dans un rôle financier.
- Restreindre l'accès administratif : La plupart des employés n'ont pas besoin d'un accès de niveau administrateur pour leur travail quotidien. Supprimez l'accès administrateur par défaut et définissez des processus permettant d'obtenir des autorisations élevées lorsque cela est nécessaire.
- Mettre en place des autorisations basées sur les rôles : Une fois que les rôles et les autorisations sont définis, ils sont transmis aux utilisateurs, à application et aux systèmes afin de mettre en œuvre le POLP.
- Déployez la surveillance de l'accès : La surveillance des accès est essentielle pour détecter les abus de privilèges ou les autorisations mal alignées. La mise en place d'une surveillance permet à une organisation de détecter si les autorisations attribuées à un utilisateur sont trop restrictives ou trop générales.
- Examiner et réviser : Les définitions des rôles et des privilèges peuvent ne pas être parfaites la première fois et peuvent changer au fil du temps. Examinez périodiquement les rôles, les accès et les autorisations qui vous sont attribués et apportez les modifications nécessaires.
Le moindre privilège avec Harmony Connect
Efficacement la mise en œuvre de la confiance zéro et POLP a besoin d'outils capables de prendre en charge ses contrôles d'accès. Par exemple, les réseaux privés virtuels (VPN) ne sont pas idéalement adaptés à la confiance zéro ou au POLP, car ils sont conçus pour fournir aux utilisateurs légitimes un accès à distance illimité au réseau de l'entreprise.
Check Point’s Harmony Connect fournit un accès à distance sécurisé compatible avec le POLP via zero trust network access (ZTNA) dans le cadre de sa solution SASE. En savoir plus sur la mise en œuvre de l'accès à distance sans confiance dans votre organisation. Vous êtes également invités à inscrivez-vous pour un démo gratuit of Harmony SASE to learn about deploying POLP for your distributed workforce.
Commentaires