Contrôle d’accès & AuthentificationCe qu’exigent NIS 2, DORA, ISO 27001 et HDS
La compromission d’un compte utilisateur reste l’un des vecteurs d’attaque les plus fréquents et les plus redoutables contre les systèmes d’information. Qu’il s’agisse d’un mot de passe volé, d’un compte administrateur mal sécurisé ou de droits d’accès trop larges accordés à un collaborateur, les failles liées à la gestion des identités et des accès ouvrent des portes que les attaquants savent exploiter rapidement et efficacement.
Qu’est-ce que le contrôle d’accès et l’authentification ?
Selon l’ANSSI, la gestion des identités et des accès constitue l’une des pierres angulaires de la sécurité des systèmes d’information. Elle vise à limiter l’exposition aux attaques, à garantir la traçabilité des accès aux ressources sensibles, et à s’assurer que chaque utilisateur dispose uniquement des droits strictement nécessaires à l’exercice de ses fonctions.
Le contrôle d’accès et l’authentification sont aujourd’hui des exigences explicites de la quasi-totalité des référentiels de cybersécurité : ISO 27001, NIS 2, DORA, RGPD, HDS, PCI DSS… et l’authentification multi-facteurs (MFA) est désormais imposée par plusieurs d’entre eux sur tous les accès sensibles. DSI, RSSI, responsables conformité ou membres de la direction : cette page vous présente les exigences clés à mettre en œuvre et leur articulation avec les grands référentiels en vigueur.
Le contrôle d’accès désigne l’ensemble des mécanismes qui permettent de s’assurer que seules les personnes autorisées peuvent accéder aux ressources d’un système d’information, et uniquement dans la limite de leurs droits. Il repose sur trois fonctions fondamentales : l’identification (qui êtes-vous ?), l’authentification (pouvez-vous le prouver ?) et l’autorisation (à quoi avez-vous droit ?).
L’authentification, au sens du glossaire de l’ANSSI, a pour but de vérifier l’identité d’une entité, qu’il s’agisse d’une personne ou d’une machine, se réclamant d’un identifiant. L’authentification forte repose sur des protocoles défi-réponse permettant de résister à certaines attaques, là où un simple mot de passe peut être compromis par phishing, force brute ou fuite de données.
Une gestion des identités et des accès bien structurée répond à quatre questions fondamentales :
- Qui accède à quoi ? Cartographie des droits d’accès par utilisateur et par ressource
- Avec quelle garantie d’identité ? Niveau d’authentification requis selon la sensibilité de la ressource
- Selon quel périmètre de droits ? Application du principe du moindre privilège
- Avec quelle traçabilité ? Journalisation des accès, en particulier pour les comptes privilégiés
Pourquoi le contrôle d’accès est-il une mesure fondamentale ?
Un contrôle d’accès rigoureux produit des bénéfices concrets et mesurables :
- Il limite la surface d’attaque exploitable en cas de compromission d’un compte
- Il contient la propagation latérale d’un attaquant au sein du système d’information
- Il garantit la traçabilité des actions réalisées sur les ressources sensibles
- Il réduit les risques liés aux départs de collaborateurs et aux accès non révoqués
- Il constitue une condition préalable à la certification ISO 27001 et à la conformité NIS 2, DORA ou HDS
Les points de contrôle communs
Cinq exigences fondamentales structurent toute démarche de contrôle d’accès conforme aux standards reconnus.
L’authentification multi-facteurs (MFA) sur tous les accès sensibles
L’authentification multi-facteurs est la mesure de sécurité la plus efficace pour protéger les comptes contre les attaques par compromission de mots de passe. Elle repose sur la combinaison d’au moins deux facteurs d’authentification parmi trois catégories :
- La connaissance : ce que l’utilisateur sait (mot de passe, code PIN)
- La possession : ce que l’utilisateur possède (clé de sécurité physique, application d’authentification, token)
- L’inhérence : ce que l’utilisateur est (empreinte digitale, reconnaissance faciale)
L’ANSSI recommande explicitement le déploiement de la MFA dès qu’un risque externe existe, et en priorité sur les comptes administrateurs et les accès aux ressources critiques. Elle déconseille l’utilisation du MFA par SMS, vulnérable aux attaques par SIM swap, et privilégie les clés de sécurité physiques ou les applications TOTP conformes aux normes RGS.
La CNIL a également publié une recommandation spécifique sur la MFA, soulignant l’importance de respecter les principes du RGPD lors de sa mise en œuvre, notamment la minimisation des données collectées et le respect des droits des personnes concernées.
Il convient également d’être vigilant face à l’attaque dite de « MFA fatigue » : un attaquant ayant récupéré un mot de passe peut inonder le propriétaire du compte de demandes d’authentification répétées jusqu’à ce que celui-ci valide par inadvertance.
Le principe du moindre privilège
Le principe du moindre privilège est l’un des fondements du contrôle d’accès. Il stipule que chaque utilisateur, application ou service ne doit disposer que des droits strictement nécessaires à l’exercice de ses fonctions, ni plus, ni moins.
L’ANSSI en fait une exigence explicite dans ses règles de sécurité pour les Systèmes d’Information d’Importance Vitale (SIIV) : les autorisations doivent être gérées selon ce principe, et l’organisation doit avoir une connaissance précise de l’ensemble des comptes privilégiés et des droits qui leur sont associés.
En pratique, ce principe implique de segmenter les droits d’accès par rôle et par ressource, de limiter le nombre de comptes administrateurs, de ne jamais utiliser un compte à privilèges élevés pour des tâches courantes, et de révoquer immédiatement les droits qui ne sont plus nécessaires.
La revue périodique des droits d’accès
Les droits d’accès évoluent en permanence : arrivées et départs de collaborateurs, changements de poste, évolutions organisationnelles, nouveaux projets. Sans revue régulière, les droits s’accumulent et créent des risques croissants d’accès non autorisés.
L’ANSSI recommande des audits réguliers des droits d’accès pour assurer la conformité et la sécurité des systèmes. Cette revue périodique doit couvrir l’ensemble des comptes actifs, y compris les comptes de service, les comptes prestataires et les accès externes, et donner lieu à la révocation systématique de tout droit devenu inutile.
Un point d’attention particulier concerne les départs de collaborateurs : seulement 40 % des dirigeants d’entreprises françaises sont certains que leurs anciens employés n’ont plus accès aux données stockées dans le cloud de l’entreprise. La mise en place d’un processus d’offboarding structuré, idéalement appuyé sur une solution SSO connectée à l’Active Directory, permet de désactiver l’ensemble des droits d’accès d’un collaborateur en une seule opération.
Le processus de gestion du cycle de vie des comptes
La gestion du cycle de vie des comptes couvre l’ensemble des étapes de l’existence d’un compte utilisateur : sa création, son attribution de droits, ses éventuelles modifications, et sa désactivation ou suppression. Ce processus doit être formalisé, documenté et systématiquement appliqué.
Il inclut notamment :
- La création de comptes individuels nominatifs, évitant les comptes génériques ou partagés
- La protection des éléments secrets d’authentification (mots de passe, clés, certificats)
- La gestion des comptes de service et des comptes techniques avec des droits limités
- La désactivation sans délai des comptes qui ne sont plus nécessaires
- L’intégration de l’Active Directory comme annuaire central pour centraliser la gestion des identités et des droits
L’ANSSI recommande par ailleurs des mots de passe d’au moins 12 à 14 caractères pour les utilisateurs standards, et de 20 caractères ou plus pour les comptes administrateurs, stockés dans un gestionnaire de mots de passe sécurisé.
La journalisation des accès privilégiés
La journalisation des accès, et en particulier des accès réalisés avec des comptes à privilèges élevés, est indispensable pour deux raisons : la détection des comportements anormaux en temps réel, et la reconstitution de la chronologie des événements en cas d’incident.
Les journaux d’accès doivent être protégés contre toute modification ou suppression non autorisée, conservés pendant une durée suffisante, et analysés régulièrement. L’ANSSI recommande de conserver les historiques d’utilisation des facteurs d’authentification pour détecter les comportements suspects.
Ce qu’en disent les référentiels
Le contrôle d’accès et l’authentification constituent l’une des familles d’exigences les plus transversales de l’ensemble des référentiels de cybersécurité. En structurant une seule fois cette démarche, notamment via ISO 27001, vous progressez simultanément sur l’ensemble de vos obligations réglementaires.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSLes exigences 7 et 8 du standard PCI DSS v4 couvrent respectivement la restriction de l’accès aux composants du système et aux données de titulaires de cartes selon le besoin d’en connaître, et l’identification et l’authentification de l’accès aux composants du système. La MFA est désormais obligatoire dans la version 4 du standard pour tous les accès à l’environnement de données de cartes.
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701Les exigences héritées de l’ISO 27001 s’appliquent intégralement, complétées par le contrôle A.7.2.6 relatif à la gestion des accès aux données à caractère personnel (DCP). Cette extension intègre explicitement les exigences de contrôle d’accès dans une dimension protection des données personnelles.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001Les contrôles A.5.15 à A.5.18 couvrent la politique de contrôle d’accès, la gestion des identités, les droits d’accès et les droits d’accès privilégiés. Les contrôles A.8.2 à A.8.5 traitent des droits d’accès aux systèmes et aux applications, de l’authentification sécurisée et des systèmes de gestion des mots de passe. La couverture est explicite et constitue un socle structurant pour l’ensemble de la démarche.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSLe référentiel Hébergeur de Données de Santé impose explicitement le déploiement de la MFA pour les accès administrateurs aux systèmes hébergeant des données de santé. Cette exigence s’applique à l’ensemble des accès permettant d’administrer les environnements hébergeant des données à caractère personnel de santé.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLes règles de sécurité applicables aux Systèmes d’Information d’Importance Vitale imposent un contrôle d’accès renforcé : identification par comptes individuels, protection des éléments secrets d’authentification, gestion des autorisations selon le principe du moindre privilège, et connaissance précise des comptes privilégiés et de leurs droits associés.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORAL’article 9 du règlement DORA impose des mesures de protection des systèmes TIC, incluant des politiques et procédures de contrôle d’accès, la gestion des identités et des droits, ainsi que des mécanismes d’authentification forte pour les accès aux systèmes critiques des entités financières.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 21.2(i) de la directive NIS 2 impose explicitement le déploiement de l’authentification multi-facteurs ou de solutions d’authentification continue pour les accès aux réseaux et systèmes d’information des entités essentielles et importantes. C’est l’une des rares mesures techniques nommément citées dans le texte de la directive.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Les critères CC6.1, CC6.2 et CC6.3 du référentiel SOC 2 évaluent respectivement la mise en œuvre de contrôles d’accès logiques, la gestion des identifiants et des authentifiants, et la restriction des accès non autorisés. Une politique de contrôle d’accès documentée et appliquée y répond de façon explicite.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDL’article 32 du RGPD impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, incluant la protection contre les accès non autorisés aux données à caractère personnel. La couverture est partielle : le RGPD n’impose pas de mesures techniques spécifiques mais exige que les mesures soient proportionnées aux risques identifiés.
Contrôle d’accès & Authentification en 4 questions
Qu’est-ce que l’authentification multi-facteurs (MFA) et pourquoi est-elle obligatoire ?
La MFA est une méthode d’authentification qui exige la combinaison d’au moins deux facteurs de vérification distincts pour accéder à un système. Elle est rendue obligatoire par plusieurs référentiels (NIS 2, HDS, PCI DSS v4) car elle réduit drastiquement le risque de compromission de compte, même en cas de vol de mot de passe. L’ANSSI la recommande sur tous les accès sensibles, en priorité pour les comptes administrateurs et les accès distants.
Qu’est-ce que le principe du moindre privilège ?
Le principe du moindre privilège stipule que chaque utilisateur, application ou service ne doit disposer que des droits strictement nécessaires à l’exercice de ses fonctions. Il s’applique à tous les niveaux du système d’information : postes de travail, serveurs, applications, bases de données. Son respect limite considérablement l’impact d’une compromission de compte, en empêchant un attaquant de se propager librement dans le système.
À quelle fréquence faut-il revoir les droits d’accès ?
La revue des droits d’accès doit être réalisée au minimum une fois par an, conformément aux exigences de la norme ISO 27001. En pratique, elle doit également être déclenchée à chaque événement significatif : départ ou changement de poste d’un collaborateur, fin de mission d’un prestataire, évolution organisationnelle ou ouverture d’un nouveau projet.
Comment gérer les accès des prestataires et sous-traitants ?
Les accès des prestataires et sous-traitants doivent faire l’objet d’une attention particulière : création de comptes nominatifs dédiés avec des droits limités au strict nécessaire, activation uniquement pendant la durée de la mission, traçabilité renforcée des actions réalisées, et révocation immédiate à la fin de l’intervention. Ces exigences sont explicites dans les règles de sécurité applicables aux OIV et dans les contrôles de la norme ISO 27001.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
