frauduleuse d’identité. Le RSSI n’a aucun moyen de le distinguer. Aussi faut-il être
très strict dans l’interdiction des comptes partagés.
Traquer les comptes dormants
Un compte dormant est un compte n’ayant pas été utilisé depuis un temps défini. Il est
important de traquer ces comptes car une personne malveillante en utilisant un passera
inaperçue, alors que si elle a recours à un compte actif, l’utilisateur concerné remarquera
tôt ou tard le comportement suspect de son compte. En fait, les comptes dormants sont
une porte d’entrée abandonnée, que le cambrioleur du SI peut forcer sans se faire
remarquer.
À partir de quand un compte peut-il être considéré comme dormant ? Cela dépend de
nombreux paramètres.
De l’application : les applications sont généralement utilisées au quotidien. Dans ce
cas, il est logique de considérer un compte comme dormant au bout de deux ou trois
mois d’inactivité. Cependant, d’autres applications ne sont utilisées qu’une fois par
trimestre, voire une fois par an. La limite du compte dormant pourra logiquement être
repoussée dans ce cas.
De la personne : la cause principale de compte dormant est le départ ou la mutation
du collaborateur. Il faut cependant tenir compte de quelques exceptions individuelles.
Par exemple, un représentant du personnel peut être appelé à ne plus utiliser son
compte pendant longtemps sans pour autant qu’on lui supprime son accès. C’est aussi
le cas pour les personnes détachées dans un autre service mais appelées à revenir à
leur fonction initiale. Enfin, il est logique que les personnes bénéficiant d’un congé
maternité ou d’un congé longue maladie ne se connectent pas pendant longtemps aux
applications. Nous sommes bien d’accord que pour tous ces cas, l’idéal serait de
suspendre le compte, quitte à le réactiver au retour du collaborateur. Cependant, des
considérations politiques et sociales justifient souvent de ne pas les bloquer. Le RSSI
doit ainsi examiner toutes ces situations au cas par cas.
Le but est donc de suspendre, voire de supprimer les comptes dormants.
Remarque
Notons que dans certaines applications, telles que les applications comptables, il est préférable de
suspendre les comptes plutôt que de les supprimer.
Pour y parvenir, l’idéal est de faire en sorte que les applications désactivent
automatiquement les comptes dès que l’utilisateur ne s’est pas connecté depuis un temps
préalablement défini. Ceci est rarement le cas. La seule solution est souvent de procéder
à une revue des comptes dormants. Selon les cas, cette revue peut être plus ou moins
facile à réaliser. Pour cela, le RSSI commence par demander une extraction à
l’administrateur fonctionnel de chaque application. Plus précisément, on distingue trois
cas.
Présence du champ « date de dernière connexion » : certaines applications
disposent dans leurs bases de données d’un champ précisant, pour chaque utilisateur,
la date de sa dernière connexion. Il suffit donc de requêter la liste des comptes avec le
très strict dans l’interdiction des comptes partagés.
Traquer les comptes dormants
Un compte dormant est un compte n’ayant pas été utilisé depuis un temps défini. Il est
important de traquer ces comptes car une personne malveillante en utilisant un passera
inaperçue, alors que si elle a recours à un compte actif, l’utilisateur concerné remarquera
tôt ou tard le comportement suspect de son compte. En fait, les comptes dormants sont
une porte d’entrée abandonnée, que le cambrioleur du SI peut forcer sans se faire
remarquer.
À partir de quand un compte peut-il être considéré comme dormant ? Cela dépend de
nombreux paramètres.
De l’application : les applications sont généralement utilisées au quotidien. Dans ce
cas, il est logique de considérer un compte comme dormant au bout de deux ou trois
mois d’inactivité. Cependant, d’autres applications ne sont utilisées qu’une fois par
trimestre, voire une fois par an. La limite du compte dormant pourra logiquement être
repoussée dans ce cas.
De la personne : la cause principale de compte dormant est le départ ou la mutation
du collaborateur. Il faut cependant tenir compte de quelques exceptions individuelles.
Par exemple, un représentant du personnel peut être appelé à ne plus utiliser son
compte pendant longtemps sans pour autant qu’on lui supprime son accès. C’est aussi
le cas pour les personnes détachées dans un autre service mais appelées à revenir à
leur fonction initiale. Enfin, il est logique que les personnes bénéficiant d’un congé
maternité ou d’un congé longue maladie ne se connectent pas pendant longtemps aux
applications. Nous sommes bien d’accord que pour tous ces cas, l’idéal serait de
suspendre le compte, quitte à le réactiver au retour du collaborateur. Cependant, des
considérations politiques et sociales justifient souvent de ne pas les bloquer. Le RSSI
doit ainsi examiner toutes ces situations au cas par cas.
Le but est donc de suspendre, voire de supprimer les comptes dormants.
Remarque
Notons que dans certaines applications, telles que les applications comptables, il est préférable de
suspendre les comptes plutôt que de les supprimer.
Pour y parvenir, l’idéal est de faire en sorte que les applications désactivent
automatiquement les comptes dès que l’utilisateur ne s’est pas connecté depuis un temps
préalablement défini. Ceci est rarement le cas. La seule solution est souvent de procéder
à une revue des comptes dormants. Selon les cas, cette revue peut être plus ou moins
facile à réaliser. Pour cela, le RSSI commence par demander une extraction à
l’administrateur fonctionnel de chaque application. Plus précisément, on distingue trois
cas.
Présence du champ « date de dernière connexion » : certaines applications
disposent dans leurs bases de données d’un champ précisant, pour chaque utilisateur,
la date de sa dernière connexion. Il suffit donc de requêter la liste des comptes avec le