Contrôle CIS 5 : Gestion des comptes

Les CIS Critical Security Controls sont des outils puissants pour aider les entreprises à évaluer leurs vulnérabilités, à gérer efficacement les risques de cybersécurité, à renforcer leur posture de sécurité et à établir et maintenir la conformité avec les mandats de cybersécurité.

Le Contrôle CIS 5 propose des stratégies pour garantir que vos comptes d'utilisateur, d'administrateur et de service sont correctement gérés. Par exemple, il traite de la mise en place de contrôles d'accès aux données robustes et de la mise en œuvre d'une surveillance continue pour protéger les comptes contre les exploitations malveillantes par les attaquants. Cet article décrit ces benchmarks CIS plus en détail pour vous aider à éviter les problèmes de cybersécurité causés par des comptes vulnérables.

(Notez que certains CIS controls ont été renumérotés dans la version 8 ; auparavant, la gestion des comptes était le CIS Control 16.)

5.1 Établir et maintenir un inventaire des comptes

Le Contrôle CIS 5 se concentre sur l'établissement et la maintenance d'un inventaire des comptes administrateurs et utilisateurs dans une entreprise. Le nom du titulaire du compte, les dates de début/fin, le nom d'utilisateur et le département doivent être documentés ; il peut également être bénéfique de documenter l'objectif du compte.

La tenue de l'inventaire nécessite de vérifier régulièrement que tous les comptes actuellement utilisés sont autorisés. Normalement, la validation a lieu tous les trimestres, bien qu'elle puisse être effectuée plus fréquemment si nécessaire. Il est important d'utiliser ce processus en lien avec les mesures de protection de l'inventaire énumérées dans d'autres contrôles, tels que les suivants :

• 1.1 : Utilisez un outil de découverte active
• 2.1 : Maintenir un inventaire des logiciels autorisés
• 3.2 : Réaliser un balayage de vulnérabilités authentifié
• 5.1 : Établir des configurations sécurisées
• 6.6 : Déployez SIEM ou des outils d'analyse de journaux
• 16.4 : Chiffrer ou hacher toutes les informations d'authentification

5.2 Utilisez des mots de passe uniques

L'utilisation de mots de passe uniques pour chaque compte de votre réseau est cruciale pour sécuriser vos actifs d'entreprise contre les accès non autorisés. Les meilleures pratiques définies par CIS incluent :

• Exigez une longueur minimale de mot de passe de huit caractères lorsqu'elle est combinée avec l'authentification à plusieurs facteurs (MFA), et une longueur d'au moins 14 caractères pour les comptes qui n'utilisent pas MFA.
• Évitez d'utiliser des mots de passe faciles à deviner pour les pirates, comme des noms ou des dates de naissance.
• Évitez de réutiliser les anciens mots de passe car ils pourraient avoir été divulgués, ce qui augmente le risque d'une fuite de données
• Modifiez les mots de passe par défaut pour toutes les applications.

5.3 Désactiver les comptes dormants

Les comptes dormants sont ceux qui n'ont pas été utilisés depuis au moins 45 jours. Auditer régulièrement votre environnement pour ces comptes et les désactiver ou les supprimer réduit le risque que des pirates les compromettent et pénètrent dans votre réseau. Vous pouvez désactiver ces comptes automatiquement en définissant des dates d'expiration, si le système de votre entreprise le permet.

5.4 Restreindre les privilèges d'administrateur aux comptes administrateur dédiés

Les comptes privilégiés doivent être utilisés uniquement lorsque cela est nécessaire pour accomplir des tâches administratives. Lorsque les administrateurs souhaitent effectuer des tâches courantes telles que naviguer sur internet ou travailler sur des emails, ils doivent utiliser leur compte non privilégié afin de minimiser les risques de sécurité.

5.5 Établir et maintenir un inventaire des comptes de service

Il est important d'établir un inventaire de tous les comptes de service. Au minimum, il doit inclure le nom du propriétaire du département, la date de révision et l'objectif du compte. L'inventaire doit être révisé selon un calendrier, au moins trimestriellement, pour valider que tous les comptes actifs sont toujours nécessaires.

5.6 Centraliser la gestion des comptes

Centraliser toute la gestion des comptes en un seul endroit à l'aide d'un service d'identité ou d'un annuaire, tel que Active Directory, facilite le travail et aide à garantir l'exactitude.