NIS2 et accès à privilèges : ce que l'auditeur vous demandera de montrer

Lors d'un audit de conformité, une question simple met souvent une organisation en difficulté : « Qui s'est connecté avec le compte administrateur du serveur de production, mardi dernier, et qu'a-t-il fait ? » Quand la réponse est un silence, le problème n'est pas seulement technique. Il devient un écart de conformité.

Un scénario que nous rencontrons régulièrement

Prenons une organisation de taille moyenne, soumise à NIS2 depuis l'entrée en vigueur de la loi belge du 26 avril 2024. Son informatique est en bon état apparent : pare-feu à jour, antivirus déployé, sauvegardes testées. Pourtant, l'examen des accès à privilèges révèle un tableau classique.

Le compte « admin » du domaine est partagé par trois techniciens internes. Le mot de passe d'un équipement industriel n'a pas changé depuis son installation. Deux prestataires de maintenance se connectent par VPN avec des identifiants transmis par e-mail il y a plusieurs années, dont l'un pour un contrat terminé. Enfin, aucun enregistrement ne permet de savoir ce qui a été fait pendant ces connexions.

Rien de tout cela ne relève d'une négligence spectaculaire. C'est l'accumulation ordinaire de décisions pratiques prises au fil du temps. Mais du point de vue d'un auditeur, chacun de ces éléments est un constat.

Ce que dit le texte

La directive NIS2 impose, en son article 21, paragraphe 2, un socle de mesures de gestion des risques. Plusieurs d'entre elles touchent directement les accès à privilèges : les politiques de contrôle d'accès et de gestion des actifs (point i), le recours à l'authentification multifacteur (point j), la sécurité de la chaîne d'approvisionnement, y compris les relations avec les prestataires (point d), et la gestion des incidents (point b), qui suppose de pouvoir reconstituer ce qui s'est passé.

En Belgique, le cadre CyberFundamentals (CyFun) du Centre pour la Cybersécurité Belgique traduit ces exigences en mesures concrètes, que l'organisation peut utiliser pour démontrer qu'elle a pris des mesures appropriées et proportionnées. La norme ISO/IEC 27001:2022 couvre les mêmes thèmes, notamment avec ses mesures sur les droits d'accès privilégiés et la journalisation.

Ce que l'auditeur voudra voir

Un auditeur ne se contente pas d'une politique écrite. Il demande des éléments vérifiables. En pratique, cinq preuves reviennent presque toujours :

un inventaire des comptes à privilèges, avec pour chacun un titulaire nominatif ;
la preuve que le MFA est appliqué à ces comptes, et pas seulement activé pour la messagerie ;
une trace des sessions d'administration : qui, sur quel système, quand, et idéalement ce qui a été fait ;
un processus pour les prestataires : accès limité dans le temps, révoqué en fin de contrat, sans mot de passe partagé ;
une revue périodique de ces droits, datée et documentée.

Le point qui manque le plus souvent est le troisième. Les journaux système indiquent parfois qu'une connexion a eu lieu, rarement ce qui s'est passé ensuite. Or c'est précisément cette information qui fait défaut le jour où il faut analyser un incident.

Le bastion, une réponse structurante

Pour combler ces écarts de manière cohérente, la solution la plus efficace consiste à faire passer tous les accès d'administration par un point de contrôle unique : un bastion d'accès à privilèges, ou PAM. Les utilisateurs s'y authentifient avec un second facteur, n'accèdent qu'aux systèmes autorisés pour leur rôle, et chaque session est enregistrée.

Ces outils ont longtemps été réservés aux grandes organisations, en raison du coût des licences. Des solutions open source, comme Vauban, changent la donne : le code est auditable, l'outil s'héberge sur l'infrastructure de l'organisation et le budget se concentre sur le déploiement plutôt que sur la licence.

L'outil ne suffit pas à lui seul. Il faut d'abord savoir quels comptes protéger, définir qui peut accéder à quoi, puis organiser la revue des droits. Mais une fois en place, il fournit d'un coup plusieurs preuves que l'auditeur attend.

Ce qu'il faut retenir

Les accès à privilèges concentrent le risque : ce sont eux qu'un attaquant cherche à obtenir, et eux qu'un auditeur examine en premier. Avant un audit NIS2 ou CyFun, la question utile n'est pas « avons-nous une politique d'accès ? », mais « pouvons-nous montrer, preuves à l'appui, qui a accédé à nos systèmes critiques et ce qu'il y a fait ? ».

Cyber Praxis réalise des audits CyFun et accompagne la mise en place de ces contrôles, de l'inventaire des accès jusqu'au bastion.