Comment traiter les demandes d’identifiants partagés sans enfreindre votre politique de sécurité

Dans les environnements informatiques actuels, la gestion des identifiants ne se limite plus aux mots de passe. Les MSP prennent aussi généralement les devants sur la gestion des comptes à privilèges, l’application du MFA (authentification forte), la gestion des secrets et le traitement des demandes d’accès (par exemple, les accès partagés). Dans ce guide, vous découvrirez un workflow MSP fiable pour traiter les demandes d’identifiants partagés sans enfreindre vos politiques de sécurité.

Les cinq étapes de la gestion des identifiants partagés

Le partage d’identifiants comporte toujours des risques, mais il peut aussi s’avérer nécessaire pour ne pas ralentir l’activité, en particulier dans les petites et moyennes entreprises (PME).

Pour concilier continuité d’activité et sécurité, voici quelques prérequis à réunir avant de valider et de traiter les demandes :

• Des politiques de sécurité et de contrôle d’accès écrites et sans ambiguïté
• Des outils de gestion des identifiants ou des coffres-forts de mots de passe (comme Keeper ou LastPass)
• Des rôles clairement définis pour l’examen et l’approbation des demandes (par exemple, responsable de service ou référent client)
• Un système de gestion des tickets capable de consigner et de documenter les demandes d’identifiants

💡 Remarque : les prérequis peuvent varier selon les systèmes, les politiques et les besoins de l’entreprise.

Cas d’usage possibles des identifiants partagés

Un accès étendu peut être nécessaire pour un client ou pour un MSP dont l’équipe de techniciens s’appuie sur un accès administrateur partagé à plusieurs systèmes. Un fournisseur tiers peut également en avoir besoin pour finaliser le déploiement d’un nouveau système client ou d’une intégration.

Étape 1 : définir ce qui constitue une demande d’identifiants partagés

Fixez des critères permettant de déterminer quand une demande doit être traitée conformément à une politique. La plupart des demandes entrent dans l’une de ces catégories :

• Comptes génériques ou partagés (par exemple, administrateur ou compte de service)
• Accès temporaire pour des sous-traitants ou des fournisseurs
• Partage d’identifiants pour les systèmes qui ne prennent pas en charge le MFA ou l’authentification unique (SSO)

Les failles du contrôle d’accès commencent le plus souvent par des procédures d’escalade mal définies. Veillez à n’accorder les accès temporaires qu’avec parcimonie et à classer les cas d’usage de façon uniforme pour les clients comme pour les parties prenantes internes.

Étape 2 : standardiser le workflow de demande

Le workflow de demande est le deuxième élément à standardiser. Concrètement, chaque demande d’identifiants partagés doit suivre le même parcours d’approbation et de documentation. Consignez les informations essentielles : justification, identifiant du demandeur, durée de l’accès temporaire, ainsi que tous les services ou documents communiqués.

En appliquant les mêmes processus de demande, d’approbation et de documentation, vous obtenez un workflow sécurisé et auditable qui ne met pas en danger vos actifs critiques.

Étape 3 : mettre en place une approbation et une revue des risques

Avant d’accorder un accès partagé, évaluez le niveau de risque et assurez-vous que les responsables désignés valident chaque demande. Classez les demandes selon qu’elles présentent un risque faible ou élevé, et maintenez un processus d’escalade strict et auditable.

Un workflow distinct pour les accès fournisseurs peut aussi être nécessaire selon les besoins de l’entreprise.

Pour d’autres conseils sur la maîtrise des risques liés aux tiers, consultez ce guide sur l’évaluation des risques fournisseurs.

Étape 4 : encadrer les identifiants délivrés

Les identifiants partagés doivent être surveillés et encadrés en permanence. Plusieurs actions sont possibles à différentes étapes. Vous pouvez par exemple utiliser des coffres-forts de mots de passe pour distribuer des identifiants en toute sécurité, sans exposer les mots de passe.

PowerShell permet notamment de définir une date d’expiration pour un accès temporaire. Avec NinjaOne, le workflow Configurer l’expiration des mots de passe avec PowerShell peut être déployé dans des environnements informatiques plus complexes.

Étape 5 : documenter et réexaminer l’usage des identifiants partagés

Tous les événements de partage d’identifiants doivent être consignés, à des fins de conformité et pour être prêt en cas d’audit.

Idéalement, les données relatives aux approbations, à la durée et aux utilisateurs (par exemple, demandeur ou validateur) doivent être conservées dans un registre centralisé. Ces journaux peuvent être intégrés aux revues de sécurité régulières pour évaluer l’usage des identifiants partagés.

De plus, les comptes partagés inactifs ou expirés doivent être supprimés de façon proactive.

Les solutions NinjaOne pour la gestion des identifiants

NinjaOne offre des fonctionnalités de gestion des identifiants à la fois pour les utilisateurs et les administrateurs.

• Les techniciens peuvent utiliser NinjaOne pour suivre et gérer les identifiants.
• Les MSP peuvent mettre en place des contrôles d’accès basés sur les rôles, créer des restrictions supplémentaires et même utiliser le RMM pour produire des rapports ou des synthèses à destination de la direction.
• Le support informatique peut utiliser NinjaOne Remote® pour partager des accès sécurisés sur toutes les plateformes.
• Les administrateurs peuvent recourir à l’échange d’informations d’identification pour transmettre des identifiants administrateur en toute sécurité.

En tant que plateforme de UEM (gestion unifiée des terminaux) et de sécurité, NinjaOne propose différentes solutions de gestion des utilisateurs pour suivre, gérer et partager efficacement les identifiants tout en conservant des contrôles d’accès granulaires.

Cela dit, l’application rigoureuse de politiques claires reste indispensable pour poser les bases d’une gestion efficace des identifiants, tandis qu’un RMM offre les moyens de passer à l’échelle, de gagner en visibilité et de renforcer la conformité.

Sujets connexes :

• L’importance de l’évaluation des risques fournisseurs
• Protéger les données de l’entreprise grâce au contrôle d’accès en entreprise
• Qu’est-ce que la gestion des secrets ? Bonnes pratiques de sécurité informatique
• Qu’est-ce que la gestion des identifiants ? Définition et bonnes pratiques
• Comment auditer et supprimer les comptes administrateur inactifs sur plusieurs tenants dans Active Directory