En brefNon, pas en permanence. Un compte standard suffit pour les courriels, Microsoft 365, l’impression et le travail courant. Les droits d’administrateur appartiennent à des comptes séparés, utilisés seulement pour la tâche qui les exige. Ça vaut pour tes employés, et encore plus pour ton personnel TI.
Un employé est pressé. Il doit convertir un fichier pour répondre à un client. Il trouve un outil en ligne, le télécharge et lance l’installation.
Une demande d’autorisation s’affiche. Comme son compte a déjà les droits d’administrateur, il l’approuve lui-même. L’installation se termine et il retourne à son travail.
Trois semaines plus tard, un outil de sécurité signale une connexion inhabituelle depuis ce portable. Personne ne peut dire quand le problème a commencé ni ce qui a été installé ce jour-là. Aucune demande de soutien, aucune trace.
« Si je retire les droits d’administrateur, mes employés ne pourront plus rien installer. C’est ça, le problème? »
Non. Le problème, c’est qu’une installation que personne n’a approuvée ne laisse aucune trace. La bonne question n’est pas à qui tu fais confiance, mais quelles tâches ont vraiment besoin de ce niveau de permission.
La règle Ékivo : trois niveaux de comptes, jamais mélangés
Le principe du moindre privilège tient en une phrase : chaque compte reçoit seulement ce dont il a besoin pour accomplir sa tâche. En PME, ça se traduit par trois niveaux bien distincts.
Le compte de tous les jours
Celui de chaque personne dans l’entreprise, direction et personnel TI compris. Courriels, navigation, applications approuvées. Aucun droit d’administrateur.
L’administration d’un poste
Un compte distinct pour intervenir sur un ordinateur. Le mot de passe ne sort pas du TI et l’accès se limite à la machine visée.
L’administration des systèmes
Administrateur de domaine et administrateur Microsoft 365. Les clés du royaume. Comptes nommés, jamais partagés, jamais utilisés pour autre chose.
La règle qui compte n’est pas la liste des trois niveaux. C’est l’interdiction de les mélanger. Une personne peut avoir deux ou trois comptes; ce sont les privilèges qui ne doivent jamais se retrouver dans le même.
Le piège le plus fréquent : le compte TI qui est admin du domaine
C’est ce qu’on trouve le plus souvent en reprenant un environnement. Le technicien ou le responsable TI a un seul compte. Il lit ses courriels avec, il navigue avec, il ouvre ses pièces jointes avec. Et ce compte est membre des Admins du domaine.
Une seule pièce jointe piégée sur ce poste, et l’attaquant n’a plus besoin de chercher. Il a déjà les privilèges les plus élevés du réseau, et le chemin direct vers les serveurs et les sauvegardes. C’est exactement comme ça qu’un incident local devient un rançongiciel à l’échelle de l’entreprise.
Ce n’est pas de la négligence, c’est de la commodité qui s’installe. Un compte, c’est plus simple. Personne ne veut se déconnecter quinze fois par jour. Sauf que la commodité disparaît le jour de l’incident, et la facture reste.
La question à poser à ton équipe TI ou à ton fournisseur cette semaine : « Le compte que tu utilises pour lire tes courriels est-il administrateur du domaine ou administrateur général de notre Microsoft 365? » Si la réponse est oui, ou hésitante, c’est ton premier chantier.
Les comptes privilégiés, en détail
Le Centre canadien pour la cybersécurité est clair là-dessus : les organisations accordent trop souvent des privilèges élevés à des comptes d’utilisateur généraux, ce qui offre une porte d’entrée de plus aux attaquants. Il recommande des comptes d’administration distincts, sans accès au courriel ni à Internet, protégés par la MFA (authentification multifacteur, ou AMF en français), avec un mot de passe unique par compte.
L’administrateur de domaine
Beaucoup de PME ont encore un serveur Active Directory pour les fichiers, l’impression ou un logiciel d’affaires. C’est souvent le privilège le plus puissant de l’entreprise, et il n’a pas de MFA native sur une ouverture de session Windows.
- Un compte d’administrateur de domaine n’ouvre jamais de session sur un poste de travail. Les identifiants restent en mémoire sur la machine, et c’est le chemin qu’emprunte un rançongiciel pour passer d’un poste infecté aux serveurs.
- Chaque administrateur a son propre compte nommé, distinct de son compte quotidien. Pas de compte partagé, et le compte Administrateur intégré reste hors d’usage.
- Le groupe Admins du domaine se compte sur les doigts d’une main. Personne n’y est ajouté « juste pour aujourd’hui » sans être retiré ensuite.
- Les comptes de service ne sont pas administrateurs du domaine. Le grand classique : un logiciel installé il y a huit ans avec un compte privilégié dont le mot de passe n’expire jamais et que plus personne ne connaît.
L’administrateur Microsoft 365
Ce compte touche aux courriels, aux fichiers, aux comptes et aux paramètres de toute l’entreprise. Il est exposé à Internet en permanence, ce qui change la nature du risque.
- Accès conditionnel renforcé : MFA résistante à l’hameçonnage et appareil géré et conforme, sinon l’accès est bloqué. C’est la différence entre une MFA qu’on approuve machinalement et un accès qui ne part que d’un poste que tu contrôles.
- Pas de rôle d’administrateur général par défaut. Microsoft 365 offre des rôles ciblés : gestion des utilisateurs, Exchange, sécurité, facturation. Chaque personne reçoit le privilège qui correspond à sa tâche et à son rôle, rien de plus.
- Le rôle d’administrateur général reste pour un ou deux comptes d’urgence, utilisés seulement quand plus rien d’autre ne fonctionne.
- Aucune boîte courriel active sur un compte d’administration, et aucune navigation web à partir de celui-ci.
Ce que les droits d’administrateur changent sur un poste
Redescendons au niveau du portable. Un administrateur local peut :
- installer ou retirer des logiciels;
- ajouter des pilotes pour une imprimante ou un autre équipement;
- créer ou modifier des comptes locaux;
- changer des paramètres du système et désactiver certaines protections.
Utile pour des tâches précises. Beaucoup trop large pour le travail courant. Microsoft recommande de limiter le nombre de membres du groupe Administrateurs local et présente le compte standard comme la façon normale d’utiliser Windows au quotidien. Apple donne le même conseil sur Mac.
Un compte standard couvre déjà l’essentiel : courriels, Microsoft 365, applications approuvées, réunions en ligne, impression. Une mise à jour occasionnelle ne justifie pas un droit permanent, elle justifie un processus.
Le vrai enjeu n’est pas l’employé, c’est le logiciel
Un logiciel lancé par un employé fonctionne avec les permissions de sa session. Faux installateur, pièce jointe piégée, mise à jour téléchargée d’une source douteuse : si la session peut s’accorder les droits d’administrateur, le logiciel aussi.
Windows demande une approbation avant un changement administratif, avec le contrôle de compte d’utilisateur. Avec un compte administrateur, l’employé approuve lui-même d’un clic. Avec un compte standard, le système exige les identifiants d’un administrateur, que l’employé n’a pas.
Retirer les droits ne bloque pas toutes les attaques. Ça réduit ce qu’un maliciel peut faire avec la session d’un employé. C’est une couche qui s’ajoute aux correctifs, à la protection des postes, à la sécurité du courriel, à la MFA et aux sauvegardes testées.
Remettre de l’ordre sans paralyser l’entreprise
- Dresse la liste. Groupe Admins du domaine, rôles d’administration Microsoft 365, administrateurs locaux sur les postes Windows et Mac, comptes de service, comptes partagés et comptes de fournisseurs.
- Commence par le TI. Sépare les comptes quotidiens des comptes privilégiés. C’est le changement qui réduit le plus le risque, et il ne coûte rien.
- Confirme le besoin. Pour chaque accès qui reste, note la tâche qui l’exige vraiment.
- Valide l’accès du TI sur les postes. Ton équipe ou ton fournisseur doit avoir un compte administrateur local fonctionnel et testé sur chaque machine. C’est l’étape qu’on oublie, et celle qui fait mal.
- Teste tes logiciels importants. Avec un compte standard : ouverture, impression, mises à jour, fonctions propres à chaque rôle.
- Passe les comptes en mode standard. Retire l’utilisateur du groupe Administrateurs, puis fais fermer et rouvrir la session.
- Explique le processus et revois-le. Où demander une installation, quoi fournir, et une révision des droits à chaque changement de rôle et à chaque départ.
Bon à savoir : le gain n’est pas seulement en sécurité. Quand moins de gens peuvent modifier la configuration d’un poste sans suivi, les problèmes deviennent plus faciles à retracer et le soutien se stabilise. Ces mêmes contrôles reviennent dans les questionnaires de cyber assurance. Si tu veux que la gestion des privilèges soit encadrée et surveillée en continu, c’est le travail qu’on fait avec Ékivo Fortify, notre service de cybersécurité gérée pour PME.
Questions fréquentes
Mon technicien dit qu’il a besoin de son compte admin pour travailler. Est-ce vrai?
Il a besoin d’un compte privilégié, pas que son compte quotidien le soit. La séparation ajoute quelques secondes par intervention et retire le scénario où une pièce jointe ouverte le matin donne les clés du domaine. Un fournisseur TI sérieux applique déjà cette séparation chez lui.
Est-ce que le retrait des droits va empêcher un employé de travailler?
Non, dans la grande majorité des cas. Les applications courantes continuent de fonctionner normalement. Ce sont les logiciels spécialisés ou plus anciens qui demandent un test avant le changement, surtout ceux qui écrivent directement dans le dossier Program Files.
Un employé peut-il encore installer un logiciel?
Oui, quand le logiciel est approuvé. L’installation passe par le TI, un déploiement géré ou une élévation ponctuelle. Ce qui change, c’est qu’il existe maintenant une trace de ce qui a été installé et pourquoi.
Et le dirigeant, lui? Il garde ses droits?
Non, et c’est important de le dire clairement. Les comptes de direction sont parmi les plus ciblés, parce qu’ils ouvrent sur l’information financière et stratégique. Une exception en haut de l’organigramme envoie aussi le mauvais message au reste de l’équipe.
Est-ce que ça empêche les maliciels?
Non. Ça limite ce qu’un maliciel peut modifier à partir d’une session compromise. Les correctifs, la protection des postes, la sécurité du courriel, la MFA et les sauvegardes testées restent nécessaires.
Les quatre choses à valider cette semaine
- Qui est membre du groupe Admins du domaine, et pourquoi
- Qui détient un rôle d’administration dans Microsoft 365, et lequel
- Si les gens du TI utilisent leur compte quotidien pour administrer
- Et le pire des cas : est-ce que le même compte est à la fois administrateur du domaine et administrateur général Microsoft 365?
Ce dernier point arrive plus souvent qu’on pense, surtout dans les environnements hybrides où les comptes de l’Active Directory sont synchronisés vers le nuage. Le résultat : un seul mot de passe se trouve entre un attaquant et l’entreprise au complet, les serveurs, les courriels, les fichiers et les sauvegardes en ligne.
Microsoft recommande justement que les comptes d’administration du nuage soient des comptes infonuagiques dédiés, jamais synchronisés depuis ton Active Directory. Si ton environnement ne respecte pas ça, c’est le point à régler en premier. Avant les postes, avant les politiques, avant tout le reste.
Qui a les clés du royaume dans ton entreprise?
Fais la liste ci-dessus, puis pose-toi la question pour chaque accès : pourquoi cette personne l’a-t-elle, et pour quelle tâche?
Si tu préfères aller plus vite, parlons-en. En 30 minutes, on regarde où en sont tes accès privilégiés et tu repars avec tes prochaines étapes.
Sources
- Centre canadien pour la cybersécurité : Gestion et contrôle des privilèges administratifs (ITSAP.10.094)
- Centre canadien pour la cybersécurité : Les 10 mesures de sécurité des TI, no 3 (ITSM.10.094)
- Microsoft Learn : comptes locaux et groupe Administrateurs
- Microsoft Learn : fonctionnement du contrôle de compte d’utilisateur
- Apple : limiter les utilisateurs administrateurs sur Mac
Article adapté avec la permission de The Technology Press.