Minerva Studio - Fotolia

Conseil

Il faudrait supprimer les droits admin locaux, pour de bon

Certaines entreprises n’osent pas supprimer les droits d’administration locaux, pour satisfaire leurs utilisateurs. Mais supprimer ces droits peut prévenir de nombreux problèmes et améliorer la sécurité.

Kevin Beaver
par
Publié le: 27 août 2015

Supprimer les droits administrateur locaux permet à coup sûr d’améliorer la sécurité de Windows. Mais les aspects politiques afférents empêchent de nombreux administrateurs de parc de sauter le pas.

Lorsque les utilisateurs disposent des droits administrateurs sur leur poste de travail, ils ont le pouvoir d’y faire presque tout ce qu’ils veulent. Ils peuvent télécharger n’importe quelle application, utiliser n’importe quel programme ; ils peuvent même ignorer, voire défaire tout ce que les administrateurs des postes de travail ont fait à leurs terminaux.

De nombreux utilisateurs, en particulier en haut de la hiérarchie, peuvent se sentir bridés, voire offensés parce qu’ils ne disposent pas d’un contrôle complet. Dès lors, les administrateurs laissent ces utilisateurs rester maîtres de leurs appareils.

Mais dans de nombreux cas, la décision de laisser ou non les droits d’administration sur les postes est plus basée sur l’émotion que sur les faits. Et les administrateurs ne peuvent pas laisser de tels sentiments dicter la manière dont ils gèrent la sécurité.

Pourquoi restreindre les droits des utilisateurs

Les droits locaux d’administration donnent trop de pouvoir aux utilisateurs. Les postes de travail sont l’endroit où se concentrent de nombreux risques pour la sécurité de l’entreprise. Et donner aux utilisateurs le contrôle sur ces terminaux ne fait qu’augmenter le risque.

Les logiciels malveillants sont partout. La navigation sur le Web et le hameçonnage font peser un risque permanent sur les postes de travail Windows. Si les utilisateurs disposent de droits d’administration, le risque est encore plus grand parce qu’ils peuvent faire l’impasse sur les mesures de sécurité de la DSI.

Un simple scan de vulnérabilités peut montrer combien de correctifs sont absents des postes de travail sur lesquels les utilisateurs disposent des droits d’administration.

Les DSI qui n’accordent pas les droits d’administration locaux aux utilisateurs disposent d’une bien meilleure posture de sécurité. Retirer ces droits aux utilisateurs peut être difficile au début, mais une fois que la DSI a fini de résoudre les problèmes afférents, et que les utilisateurs ont dépassé le choc, les postes de travail s’avère considérablement moins vulnérables. Et les incidents liés aux erreurs des utilisateurs et les fuites de données surviennent moins fréquemment.

Il y a des justifications au fait de confier aux utilisateurs les droits d’administration sur leurs postes de travail : compatibilité, manque de ressources IT pour régler les problèmes, bureaucratie, considérations politiques internes… Mais les bénéfices de sécurité apportés par la suppression de ces droits restent toujours plus importants.

Il est important que les entreprises fassent ce qui est bon pour leur activité et évaluent les risques associés. En se préparant correctement à l’avance, et en faisant appel aux bonnes personnes, elles peuvent restreindre les droits d’administration locaux sans conséquences défavorables. Il est possible de révoquer ces droits pour seulement une partie de la population des utilisateurs, ou d’imposer des limites aux utilisateurs travaillant dans les divisions où le risque est le plus important, comme le service client ou les ventes. Déployer ces restrictions à l’occasion d’un renouvellement de systèmes permet de rendre la transition plus facile à accepter par les utilisateurs.

Mais quoi qu’il en soit, les administrateurs de postes de travail ne devraient pas laisser traîner des droits d’administration locaux mettre leur organisation en danger. Et ils ne devraient pas donner tout pouvoir aux utilisateurs puis se demander pourquoi ils continuent de faire face à des problèmes de sécurité liés à Windows.

Adapté de l’anglais

Pour approfondir sur Protection du terminal et EDR