Les comptes à privilèges, un risque enfin pris au sérieux

Raytheon vient de rendre publics les résultats d’un sondage réalisé auprès de 693 professionnels de l’informatique en entreprise - dont plus de 50 % de DSI et 16 % de RSSI - sur les risques associés aux titulaires de comptes à privilèges. Et la conscience semble bien là : 88 % des participants anticipent une progression des cas d’utilisation abusive de ces comptes au cours des 12 à 24 prochains mois. Pourtant, près de la moitié des participants n’ont pas de politiques clairement établies en matière d’attribution des comptes à privilèges. Et dans 40 % des cas, cette attribution se fait suivant un processus manuel. De quoi s’interroger sur les capacités de traçabilité. Pire, l’examen a posteriori des comptes à privilèges attribués reste manuel pour 46 % des sondés. Toutefois, 44 % des sondés indiquent disposer d’un système commercial de certification automatisée des vérifications - contre 31 % il y a trois ans.

L’attribution de ces comptes sensibles relève majoritairement, pour 51 % des sondés, de la responsabilité des métiers, puis des opérations IT (40 %), et les propriétaires des applications concernées (35 %). La certification des comptes existants est à peu près gérée de la même manière, à savoir sous la responsabilité des métiers en premier lieu (36 %), puis de la sécurité (24 %), et enfin des services de conformité (15 %). Ces derniers arrivaient bien plus loin dans le classement pour l’édition 2011 de l’étude, le signe peut-être, d’un gain de maturité.
La principale difficulté évoquée pour la gestion des comptes à privilèges reste, à 53 %, le rythme et le nombre de demandes, suivi du manque de processus d’approbation clairement défini (45 %), puis des délais d’ouverture de ces comptes (44 %).

Et pourtant, là encore, la menace est perçue comme importante. 73 % des sondés estiment probable ou très probable que des titulaires de comptes à privilèges croient pouvoir légitimement accéder à toutes les informations à leur portée, ou encore, pour 65 % des sondés, que ces utilisateurs accèdent à des données sensibles ou confidentielles par pure curiosité, et enfin pour 54 %, que les attributions soient disproportionnées par rapport aux fonctions des utilisateurs.