Gestion des accès à privilèges (PAM)
PAM · Privileged Access Management · bastion d’administration · comptes à privilèges · coffre-fort de mots de passe · PIM
Dispositif qui contrôle, trace et limite l’usage des comptes les plus puissants (administrateurs, comptes de service, accès d’urgence), cibles préférées des attaquants.
En pratique
Une solution de PAM range les mots de passe d’administration dans un coffre, les change automatiquement et ne les délivre qu’au moment de l’usage, souvent via un bastion qui enregistre les sessions. Les droits peuvent être accordés « juste à temps », pour une intervention précise, puis retirés. L’ANSSI recommande d’administrer depuis des postes dédiés, avec des comptes distincts des comptes bureautiques. Les prestataires qui télé-administrent vos systèmes doivent emprunter le même chemin contrôlé.
Cas fictif : un infogérant se connectait aux serveurs d’une PME avec un compte administrateur partagé, au mot de passe inchangé depuis six ans. Avec un bastion, chaque intervention devient nominative, limitée dans le temps et enregistrée, et le mot de passe change après chaque usage.
Comment s’en protéger
- Inventorier tous les comptes à privilèges, y compris ceux des prestataires.
- Faire passer l’administration par un bastion avec MFA et enregistrement des sessions.
- Administrer depuis des postes dédiés, sans messagerie ni navigation web.
