5 erreurs dans la gestion de l'accès d'urgence
La chaîne GRC Ninja vient de publier un nouvel épisode consacré à la gestion de l'accès d'urgence et privilégié dans les systèmes ERP/IT. Les experts SAP Security Filip Nowak et Andrzej Partyka ont identifié, à partir de leur expérience, les 5 erreurs les plus fréquemment commises lors de la configuration et de la gestion de l'accès d'urgence et privilégié au système SAP.
Support du système - le moment d'utiliser intelligemment le système GRC
Une fois le déploiement d'un système GRC terminé, vient la phase de support. Pendant cette période, nous observons comment la solution déployée prend vie et est réellement utilisée par les entreprises. Certaines le font de manière exemplaire, d'autres luttent en permanence contre de nouvelles recommandations des auditeurs financiers qui, lors de l'examen des états financiers, pointent les faiblesses dans le domaine de l'accès privilégié. Quelles sont ces erreurs les plus fréquentes ? À quoi faut-il prêter attention lors de la conception d'une solution ? Comment les éviter ? Vous pouvez l'entendre dans le dernier épisode sur la chaîne GRC Ninja. Dans cette série, au niveau Expert, nous évoquons 5 erreurs dans le domaine de la gestion de l'accès d'urgence, décortiquées par nos experts.
1. Utilisation excessive de l'accès d'urgence
En démarrant leur travail sur le système ERP (SAP), les consultants ont la possibilité d'utiliser des comptes privilégiés (Firefighter), ce qui leur confère des autorisations spéciales facilitant l'exécution des tâches courantes. Malheureusement, ils ne mesurent pas les conséquences de l'utilisation excessive de ces comptes d'urgence, ce qui génère une charge de travail considérable pour les contrôleurs qui analysent les journaux des opérations effectuées dans le système. Cette action involontaire entraîne fréquemment l'omission des audits de session et la négligence du contrôle d'accès au système. C'est pourquoi il est essentiel que l'accès d'urgence ne soit utilisé que dans les situations spécifiques pour lesquelles il a été initialement prévu, et non comme une solution universelle dans le travail quotidien. L'accès d'urgence étendu (comptes dits privilégiés ou comptes de type « Firefighter ») est destiné à être utilisé dans des situations urgentes ou nécessitant une intervention immédiate.
Voici quelques exemples de situations dans lesquelles l'utilisation d'un tel accès peut être appropriée :
Panne du système : lorsqu'une panne critique de système ou d'application se produit et que les procédures normales ne permettent pas une réaction rapide pour réparer ou rétablir les fonctionnalités, l'accès d'urgence peut permettre un accès rapide aux outils ou aux autorisations nécessaires pour résoudre le problème.
Menace de sécurité : en cas de détection d'une menace sérieuse pour la sécurité du système, l'accès privilégié peut être utilisé pour identifier, bloquer ou corriger rapidement les violations de sécurité.
Nécessité urgente d'intervention : lorsqu'il y a un besoin urgent d'intervention dans le système ou l'application et que les autorisations standard ne suffisent pas à entreprendre les actions nécessaires, un accès d'urgence étendu peut être utilisé pour une intervention efficace. Cela survient souvent lors du go-live d'un projet ou lors du déploiement d'un volume important de modifications dans le système ERP (SAP).
Problèmes de performance du système : en cas de chute soudaine des performances du système, l'accès d'urgence peut permettre d'agir rapidement pour diagnostiquer et résoudre le problème, contribuant ainsi à restaurer les performances optimales du système.
Il convient toutefois de rappeler que l'utilisation d'un accès d'urgence étendu doit être limitée aux situations réellement urgentes, car son utilisation excessive et injustifiée peut entraîner des risques et des menaces accrus pour le système et les données. Il est important d'appliquer le principe de précaution et de respecter les procédures liées à de telles autorisations, en évitant leur utilisation excessive et incontrôlée dans le travail quotidien.
Une utilisation trop fréquente des comptes d'urgence (tels que les comptes privilégiés de type « Firefighter ») peut entraîner toute une série d'effets négatifs et de conséquences pouvant impacter le fonctionnement du système et la sécurité des données. Voici quelques conséquences potentielles d'une utilisation excessive de ces comptes :
Risque de sécurité : la connexion fréquente aux comptes d'urgence augmente le risque de violation de la sécurité du système. Plus le nombre de personnes utilisant ces comptes est élevé, plus il est probable que les identifiants d'accès soient compromis ou utilisés de manière non conforme aux règles de sécurité.
Absence de traçabilité des actions : un travail excessif sur les comptes d'urgence peut conduire à négliger la documentation appropriée et la traçabilité des opérations effectuées par les utilisateurs. Cela peut compliquer l'audit, l'analyse et le suivi des actions dans le système, ce qui est essentiel en cas d'incidents de sécurité ou d'audits.
Non-conformité réglementaire : pour les systèmes soumis à des réglementations juridiques et organisationnelles (par exemple PCI DSS, RGPD), l'utilisation excessive des comptes d'urgence peut entraîner une violation des exigences de conformité, qui imposent un suivi strict des accès et des actions des utilisateurs.
Risque accru d'erreurs : l'utilisation des comptes d'urgence sans nécessité en cas d'urgence peut conduire à des erreurs opérationnelles ou à des actions irréfléchies, ce qui peut à son tour causer de graves problèmes dans le système ou l'application.
Surcharge du système : un nombre excessif d'utilisateurs travaillant sur des comptes privilégiés peut générer une charge supplémentaire pour le système, ce qui peut affecter ses performances et sa stabilité.
C'est pourquoi il est essentiel de n'utiliser les comptes d'urgence que dans les situations pour lesquelles ils ont été initialement prévus - à savoir pour des tâches urgentes ou d'urgence qui ne peuvent être réalisées avec les autorisations standard. Des formations régulières et la sensibilisation des collaborateurs à l'utilisation appropriée et contrôlée de ces comptes sont essentielles pour garantir la sécurité et le bon fonctionnement des systèmes informatiques.
2. Absence de contrôle des actions effectuées sur les comptes d'urgence
La deuxième erreur est liée à la précédente : on se retrouve dans une situation où le contrôle n'est pas du tout effectué. Cela résulte d'un trop grand nombre de journaux que le contrôleur n'est pas en mesure d'examiner efficacement. Il devient alors impossible de déterminer quelles modifications ont été apportées au système sur le compte d'urgence. L'absence de contrôle des actions sur les comptes privilégiés peut entraîner divers effets négatifs, notamment :
Risque de sécurité accru : l'absence de surveillance des actions sur les comptes privilégiés peut conduire à un accès non autorisé à des ressources ou données critiques. Cela peut entraîner leur perte, leur vol ou leur manipulation, exposant l'organisation à des risques de cyberattaques ou de violations de sécurité.
Difficultés à détecter les incidents : sans suivi des actions sur ces comptes, il est plus difficile de détecter d'éventuels incidents de sécurité ou actions non autorisées, ce qui peut entraîner une réponse tardive aux menaces, voire empêcher leur détection en temps utile.
Non-conformité réglementaire : dans certains secteurs et industries, des exigences légales imposent le suivi et le reporting des actions des utilisateurs, y compris ceux utilisant des comptes privilégiés. L'absence de contrôle approprié peut entraîner des violations de la législation et des réglementations.
Risque d'abus d'autorisations : sans surveillance des actions sur les comptes privilégiés, il existe un risque d'abus de ces autorisations par les collaborateurs ou des tiers. Cela permet d'entreprendre des actions qui dépassent le périmètre des autorisations et peuvent porter atteinte à l'intégrité du système ou des données.
Difficultés d'audit et de suivi des incidents : l'absence de contrôle des actions sur les comptes privilégiés complique les audits, l'analyse des incidents et le suivi des actions des utilisateurs dans le système. Cela rend plus difficile la reconstitution des événements ou la réponse aux questions portant sur des actions passées.
C'est pourquoi une surveillance et un contrôle appropriés des actions sur les comptes privilégiés sont essentiels pour garantir la sécurité des systèmes, prévenir les incidents de sécurité et maintenir la conformité aux réglementations sectorielles. Des audits réguliers et le suivi des actions des utilisateurs sont indispensables pour minimiser le risque d'incidents et assurer la transparence et la fiabilité des actions menées sur ces comptes.
3. Manque de connaissances du contrôleur Firefighter sur les activités effectuées durant la session
La majorité des erreurs résultent souvent d'un manque de connaissances ou d'une méconnaissance du système concerné. Même si le contrôleur est bien familiarisé avec les exigences générales de sécurité, il peut lui manquer une connaissance détaillée des spécificités d'un système donné, comme par exemple SAP, qui possède des capacités fonctionnelles très étendues et complexes. Par conséquent, lors du contrôle des journaux d'actions effectuées sur les comptes Firefighter, il peut ne pas prêter attention à des actions concrètes susceptibles d'impacter négativement la stabilité de l'ensemble du système. Cela entraîne une inefficacité du contrôle, et les actions nuisibles passent inaperçues. Le manque d'attention ou la non-détection d'actions nuisibles affectant la stabilité du système lors du contrôle peut avoir plusieurs conséquences défavorables :
Sécurité du système et des données : l'ignorance de certaines actions susceptibles d'affecter la stabilité peut également ouvrir la porte à des attaques de sécurité ou à des menaces pouvant nuire à l'intégrité du système ou des données.
Coûts de réparation : les erreurs ou problèmes non identifiés qui restent indétectés lors du contrôle peuvent rendre nécessaires des corrections ultérieures, ce qui génère des coûts supplémentaires liés à la maintenance du système.
Perte de confiance et de réputation : la répétition de problèmes liés à l'absence de contrôle efficace peut diminuer la confiance des utilisateurs envers le système ou l'organisation responsable de sa gestion, ce qui peut nuire à la réputation de l'entreprise ou de l'organisation.
4. Traitement manuel du processus lié à l'absence d'un outil GRC
L'absence d'implémentation d'un outil GRC approprié résulte souvent d'une volonté d'économie ou de la conviction qu'à la taille actuelle de l'entreprise (faible nombre d'utilisateurs), cet outil n'est pas nécessaire. À plus long terme, et compte tenu du nombre croissant d'actions à effectuer manuellement (par exemple le simple blocage/déblocage d'un utilisateur, la récupération des journaux, l'analyse manuelle des données, la vérification que chaque session a été contrôlée, etc.), cela conduit à l'accumulation de problèmes. La récupération et l'enregistrement manuels des journaux après chaque session peuvent s'avérer une solution inefficace. L'absence d'un outil de contrôle approprié, justifiée par un faible nombre d'utilisateurs, remet en cause l'ensemble du processus d'audit et de contrôle des journaux. La situation dans laquelle aucun outil de contrôle n'est implémenté dans l'entreprise ou l'organisation par souci d'économie ou par conviction qu'avec un faible nombre d'utilisateurs ce n'est pas nécessaire, peut avoir plusieurs conséquences négatives :
Manque d'efficacité opérationnelle : l'exécution manuelle d'opérations qui pourraient être automatisées par un outil approprié peut entraîner une perte de temps et une augmentation du travail administratif. Cela peut à son tour diminuer l'efficacité globale de l'équipe IT ou du personnel responsable de la gestion du système.
Risque accru d'erreur humaine : l'exécution manuelle d'opérations telles que le blocage/déblocage d'utilisateurs peut augmenter le risque d'erreurs humaines, ce qui peut entraîner des actions incorrectes ou des violations de sécurité dans le domaine de l'accès privilégié.
Problèmes d'audit et de conformité : l'absence d'outil d'automatisation du contrôle et de l'enregistrement des journaux peut entraîner des difficultés d'audit et de maintien de la conformité aux réglementations et exigences juridiques et organisationnelles.
Manque d'évolutivité : à mesure que l'entreprise ou l'organisation se développe, l'absence de mise en œuvre d'un outil approprié peut entraîner des difficultés à faire évoluer les processus, ce qui peut générer des problèmes à l'avenir.
Perte de données ou d'informations : la gestion manuelle des données ou des journaux après chaque session peut entraîner des erreurs ou des pertes d'informations, ce qui peut se traduire par des données incomplètes ou insuffisantes pour les analyses dans le domaine de l'accès d'urgence.
C'est pourquoi, même si dans la phase initiale de l'entreprise il peut sembler qu'un outil d'automatisation du contrôle n'est pas nécessaire en raison du faible nombre d'utilisateurs, il convient d'envisager son déploiement dans la perspective du développement futur et pour garantir l'efficacité, la sécurité et la conformité des actions. Le sous-investissement dans des outils appropriés peut entraîner la nécessité de corriger ultérieurement les problèmes apparus et freiner le développement de l'entreprise à long terme.
5. Accès trop étendu pour les comptes FireFighter
Cette situation se produit lorsqu'une entreprise lance le processus sans avoir préalablement défini et réfléchi à un concept de rôles et d'autorisations. La création de comptes FireFighter commence par la création de comptes disposant d'un accès total au système. Résultat : dans des situations où il aurait suffi de créer un compte FireFighter avec un accès limité à un module désigné, l'utilisateur reçoit des autorisations complètes qui permettent l'accès à des données confidentielles, exposant l'entreprise à un risque inutile. Cela peut concerner un consultant inexpérimenté qui, sans en avoir conscience, prend des mesures impactant l'ensemble du système. La situation dans laquelle des comptes FireFighter sont créés avec des autorisations complètes, au lieu d'être limités aux modules ou fonctionnalités nécessaires, peut entraîner plusieurs effets négatifs :
Risque d'erreurs et d'actions accidentelles : un excès d'autorisations accordées à des utilisateurs qui n'en mesurent pas pleinement la portée peut conduire à des actions accidentelles ou des erreurs. Cela peut entraîner des pannes système ou des problèmes de données.
Risque accru de perte de données : des autorisations complètes pour des utilisateurs qui ne devraient pas avoir accès à toutes les données augmentent le risque de perte ou d'utilisation inappropriée des données.
Absence de contrôle et d'audit : des autorisations excessivement accordées peuvent entraîner une perte de contrôle sur les actions des utilisateurs. Il sera plus difficile de suivre et d'auditer qui utilise ces autorisations étendues et de quelle manière, ce qui peut compliquer l'identification d'éventuelles menaces ou irrégularités.
En conséquence, l'octroi d'autorisations trop étendues aux utilisateurs peut avoir de graves conséquences sur la sécurité du système, des données et l'efficacité de l'entreprise. C'est une menace tant pour l'organisation elle-même que pour ses clients ou partenaires commerciaux. Il est donc essentiel d'attribuer les autorisations selon le principe du moindre privilège, à savoir n'accorder que les autorisations indispensables à l'exécution de tâches déterminées, afin de minimiser le risque de survenue des problèmes évoqués.
Durant leur échange, Andrzej et Filip examinent les solutions pour chacune de ces situations. Vous trouverez l'intégralité de la conversation sur la chaîne GRC Ninja sur YouTube.
Conclusion
Des erreurs apparaîtront toujours lors de l'utilisation d'un système. La connaissance des situations décrites permettra une gestion et une utilisation conscientes de l'accès d'urgence et privilégié. Cet échange s'est concentré sur les erreurs commises dans la conception de l'accès d'urgence. Nous avons également abordé les risques liés aux autorisations excessives des utilisateurs travaillant sur des comptes privilégiés, ainsi qu'à l'absence de sensibilisation ou d'outils de contrôle. L'octroi excessif d'autorisations peut compromettre la sécurité des données, poser des problèmes d'audit et exposer à des erreurs systémiques. Nous avons souligné l'importance du principe du moindre privilège, à savoir n'accorder que les autorisations indispensables aux tâches sur les comptes d'urgence. Le déploiement d'outils appropriés pour gérer les autorisations spéciales - privilégiées - et surveiller ces actions est essentiel. L'utilisation consciente d'outils automatisant les processus et la réalisation systématique d'audits pour suivre les actions constituent le fondement d'une exploitation sûre et efficace des systèmes IT. La stabilité, la conformité réglementaire et la protection des données sont des priorités qui exigent une approche responsable de la gestion des autorisations et de la surveillance de l'infrastructure IT - un impératif à l'ère des évolutions technologiques constantes et d'un environnement économique dynamique.