Gestion des Capacités et des Comportements

En contrôle d'accès, un sujet est tout acteur capable d'agir dans un système : un compte d'employé, un administrateur, un prestataire, un compte de service ou un processus exécuté pour l'un d'eux. Les deux mots du terme posent des questions différentes à propos de ce sujet.

La gestion des capacités demande ce que le sujet peut techniquement faire. Elle prend en charge l'attribution, la revue et la révocation des privilèges : rôles, droits sur les fichiers et les systèmes, autorisation d'utiliser des supports amovibles ou d'installer des logiciels, et élévation administrative.

La gestion des comportements demande ce que le sujet est autorisé à faire. Elle prend en charge les règles de conduite : usage acceptable des canaux et des données, restrictions pour des groupes définis, conditions d'arrêt ou de signalement d'une action, et conséquences en cas de manquement.

Les deux moitiés se limitent mutuellement. Un sujet peut être capable d'exporter une base de clients et pourtant en être interdit, car aucune politique ne peut autoriser ce que la capacité sous-jacente refuse. Les programmes matures gèrent le couple ensemble : la capacité fixe le plafond du dommage possible, et les règles de comportement définissent le couloir d'action acceptable en dessous.

La plupart des modèles de menaces internes décrivent le risque comme la combinaison de la motivation, de l'opportunité et de la capacité. Les intentions ne se lisent pas, et l'opportunité est inscrite dans le travail ordinaire, puisque les personnes doivent accéder aux données pour les utiliser. Le facteur que l'on contrôle directement est la capacité, ainsi que le comportement entourant son usage.

Réduire la capacité ne rend pas un incident moins probable. Cela rend l'incident qui survient plus petit, plus lent et plus facile à voir. La discipline se place donc à l'extrémité préventive d'un programme de menaces internes : elle agit chaque jour, alors que la détection se juge sur des événements rares.

Dans la pratique, le travail est un cycle de vie et non un verrouillage ponctuel. De nombreuses équipes gardent leurs groupes dans un annuaire d'entreprise, afin que les revues partent d'une seule liste de comptes.

La gestion des capacités et des comportements est préventive, et ses voisines couvrent ce qu'elle ne voit pas. La gestion des identités et des accès fournit l'infrastructure : annuaires, groupes et circuits d'approbation. L'analyse comportementale observe la conduite par rapport à des références et à des règles déclarées, et la prévention des pertes de données (DLP) applique les règles au niveau du contenu, quel que soit le détenteur du privilège.

La répartition des rôles compte dans les deux sens. Une surveillance sans limites de capacité produit des alertes sans confinement, car une violation confirmée laisse le sujet en mesure de la répéter. Des limites sans observation produisent un confinement silencieux, car personne ne sait quand les règles sont testées. L'investigation et la réponse prennent le relais dès qu'un signal apparaît.

Dans la console Anexet, les droits se règlent par groupe d'utilisateurs. L'onglet des privilèges présente les modules que les membres du groupe peuvent ouvrir, et la vue des droits indique quel groupe accorde chaque droit, ce qui permet de remonter à la source d'une permission inattendue.

1 / 2

• 
• 

La gestion des comportements commence sur le papier et se termine dans l'application. Une règle publiée que personne n'applique crée une apparence de contrôle, pas le contrôle lui-même :

1. 1

   Définir les règles d'usage acceptable

   Précisez quels canaux, données et actions sont normaux au travail, dans une politique que les sujets connaissent et acceptent.

2. 2

   Ajouter des restrictions techniques

   Là où le comportement rencontre la capacité : conditions de blocage, canaux désactivés pour certains groupes, mise en quarantaine des actions hors politique.

3. 3

   Appliquer des conséquences prévisibles

   Appliquez des sanctions proportionnées et cohérentes. La dissuasion dépend davantage de la constance que de la sévérité.

4. 4

   Observer au regard des règles

   Comparez ce que font réellement les sujets avec ce que les règles permettent, afin que les violations apparaissent comme des événements.

5. 5

   Guider et renforcer

   La formation, des exemples clairs et la reconnaissance des bonnes pratiques façonnent la conduite, et ne se contentent pas de sanctionner son absence.

Les modes d'échec sont prévisibles. Des capacités resserrées au-delà du besoin du travail bloquent les tâches courantes et créent des files d'exceptions. Laissées trop larges, elles s'accumulent en dérive de privilèges. Les règles de conduite appliquées de façon sélective perdent leur sens plus vite que des règles inexistantes, car elles enseignent que l'application est arbitraire.

L'observation des comportements recoupe la surveillance des salariés et en hérite les limites juridiques : proportionnalité, transparence, finalité et, dans de nombreuses juridictions, consultation des représentants du personnel. Elle réduit l'impact sans supprimer le risque, c'est pourquoi les programmes la combinent avec la détection et la réponse.

Commencez par les données dont la fuite serait la plus dommageable, puis cartographiez les capacités et les canaux qui y mènent. Les politiques rédigées pour chaque fichier et chaque privilège à la fois finissent par bloquer le travail et sont désactivées.

Pour aller plus loin : Le profilage.