Sécuriser les comptes administrateurs d'une PME

Un compte administrateur peut tout faire : créer des utilisateurs, lire les boîtes mail, désactiver la sauvegarde ou supprimer des données. C'est pourquoi les attaquants le cherchent en priorité. Sécuriser les comptes administrateurs est l'une des mesures les plus rentables pour une PME.

Dans beaucoup de petites structures, le patron, le responsable informatique interne et le prestataire partagent pourtant un même compte « admin », utilisé aussi pour lire ses e-mails. Voici comment remettre de l'ordre, sans outils coûteux.

Pourquoi un compte administrateur séparé ?

Le compte de tous les jours reçoit des e-mails, ouvre des pièces jointes et navigue sur le Web : il est exposé au phishing. S'il possède aussi des droits d'administration, un seul clic malheureux donne à l'attaquant les clés de toute l'entreprise.

La règle est donc simple : chaque personne qui administre dispose de deux comptes. Un compte standard pour travailler, et un compte nominatif dédié à l'administration, sans boîte mail ni usage quotidien. Les comptes « admin » partagés disparaissent autant que possible : chaque action doit pouvoir être attribuée à une personne, et un compte qui ne peut pas être nominatif est rangé dans un coffre-fort à accès tracé.

Le principe du moindre privilège

Tout le monde n'a pas besoin des pleins pouvoirs. Dans Microsoft 365, des rôles limités existent pour la gestion des utilisateurs, de la messagerie ou des appareils. Le rôle d'administrateur général doit rester réservé à un très petit nombre de comptes.

Avec Entra ID P2, la gestion des identités privilégiées (PIM) va plus loin : les droits sont attribués seulement pour la durée d'une intervention, sur demande et avec justification. Les mêmes principes valent pour les comptes administrateurs locaux des postes, du pare-feu et des serveurs.

Les étapes pour sécuriser les comptes administrateurs

Quelle MFA pour les administrateurs ?

Un code par SMS ou une simple notification ne suffisent pas pour un compte qui peut tout faire. Les comptes administrateurs méritent une méthode résistante au phishing : une clé de sécurité FIDO2 ou une passkey, qui ne fonctionne que sur le vrai site de Microsoft et ne peut pas être relayée par une fausse page de connexion. Idéalement, l'administration se fait aussi depuis un poste géré et à jour.

Les comptes de secours (break glass)

Si la double authentification ou une règle d'accès conditionnel se dérègle, plus personne ne peut se connecter. Microsoft recommande de prévoir des comptes d'accès d'urgence, dits « break glass », réservés à ce cas.

• Au moins deux comptes, non nominatifs, avec le rôle d'administrateur général.
• Protégés par une méthode robuste, par exemple une clé FIDO2 conservée en lieu sûr.
• Exclus avec précaution des règles qui pourraient les bloquer.
• Jamais utilisés au quotidien : toute connexion déclenche une alerte.
• Testés régulièrement, avec une procédure écrite.

Revue et journalisation

Une fois par trimestre ou par semestre, vérifiez la liste des comptes à privilèges : départs, changements de fonction, accès d'un ancien prestataire. Conservez les journaux de connexion et d'administration assez longtemps pour retracer un incident, et faites surveiller les connexions suspectes. Une détection des menaces sur les identités (ITDR) signale par exemple une connexion inhabituelle ou une élévation de droits inattendue.