1. Le concept d’IAM (Identity and Access Management)

La gestion des identités et des accès constitue la pierre angulaire de la sécurité périmétrique moderne, particulièrement dans les environnements hybrides et le modèle Zero Trust (« Ne jamais faire confiance, toujours vérifier »). L’IAM orchestre trois phases distinctes :

  • Identification : L’entité déclare qui elle prétend être (nom d’utilisateur, identifiant matricule, adresse électronique).
  • Authentification : L’entité prouve formellement son identité à l’aide d’un ou plusieurs facteurs vérifiables.
  • Autorisation : Le système détermine précisément quelles actions, ressources ou données l’entité authentifiée a le droit de lire, écrire, modifier ou exécuter.

2. Le principe du moindre privilège (Principle of Least Privilege – PoLP)

Ce principe cardinal stipule qu’un utilisateur, un processus applicatif ou un compte de service ne doit disposer strictement que des autorisations minimales nécessaires à l’accomplissement de sa tâche légitime, et ce pour la durée la plus courte possible :

  • Aucun collaborateur ne doit travailler au quotidien avec une session administrateur local ou « Domain Admin ». Les tâches d’administration doivent s’exécuter via des comptes séparés dédiés et tracés.
  • Les droits accordés temporairement lors d’un projet ou d’un remplacement doivent faire l’objet d’une révocation automatique programmée.
  • La séparation des tâches (Segregation of Duties) empêche qu’un individu unique puisse à la fois initier, valider et exécuter une transaction critique sans contrôle croisé.

3. Modèles de contrôle d’accès : Du DAC au RBAC et à l’ABAC

L’attribution des permissions peut s’effectuer selon plusieurs paradigmes méthodologiques :

Modèle Principe de fonctionnement Avantages & Limites
DAC (Discretionary Access Control) Le propriétaire du fichier décide lui-même à qui il délègue les droits d’accès. Très souple mais hautement risqué en entreprise (perte rapide du contrôle global des droits).
RBAC (Role-Based Access Control) Les droits sont rattachés à des rôles métiers (ex. « Comptable », « Développeur ») auxquels sont associés les utilisateurs. Standard industriel de référence : maintenance simplifiée, cohérence d’équipe, gestion fluide des départs et arrivées.
ABAC (Attribute-Based Access Control) L’accès est calculé dynamiquement en fonction d’attributs (rôle, heure de connexion, localisation géographique, posture de sécurité du terminal). Idéal pour les architectures Zero Trust de pointe, mais plus complexe à modéliser et à auditer.

Mise en situation professionnelle : Modélisez la matrice des rôles (RBAC) pour une agence bancaire de Genève comprenant un guichetier, un conseiller clientèle patrimoniale, un responsable de conformité et un auditeur externe. Précisez pour chaque rôle les droits en lecture, écriture et approbation sur les dossiers de crédit.

PreviousNext