Contrôle d’accès ISO 27001 : définition et mise en œuvre

Un collaborateur quitte l’entreprise et, trois mois plus tard, son compte est toujours actif, avec un accès au CRM et aux documents financiers. Ce genre de situation, la norme ISO 27001 cherche précisément à l’éviter grâce au contrôle d’accès — c’est d’ailleurs l’un des constats les plus fréquents lors des audits de certification. Car maîtriser les accès, c’est décider qui entre dans chaque système, ce qu’il peut y faire et pendant combien de temps il conserve cette autorisation. La norme consacre plusieurs mesures à l’organisation de ce processus.

Dans cet article, nous verrons ce qu’est le contrôle d’accès selon l’ISO 27001, ce qu’exige la version 2022, sur quels principes il repose, quels types existent, ce que doit contenir la politique et comment le mettre en œuvre concrètement.

Qu’est-ce que le contrôle d’accès dans l’ISO 27001 ?

Le contrôle d’accès désigne l’ensemble des règles et des mécanismes qui déterminent qui peut accéder à l’information et aux systèmes d’une organisation, et ce qu’il peut en faire. Son objectif est de garantir que seules les personnes autorisées accèdent aux informations dont elles ont besoin pour travailler, et de prévenir tout accès non autorisé.

La norme couvre deux dimensions qui doivent obéir aux mêmes principes :

• Accès logique : droits sur les applications, les bases de données, les réseaux, les fichiers et les services cloud.
• Accès physique : entrée dans les locaux, les salles serveurs et les supports où l’information est stockée ou traitée.

L’idée de fond repose sur le principe du need-to-know. Autrement dit, chaque personne accède uniquement aux informations indispensables à l’exercice de ses fonctions, ni plus ni moins. Un contrôle d’accès bien pensé n’est pas une barrière ponctuelle, mais un processus continu qui se définit, s’applique, se surveille et se révise.

Que dit l’ISO 27001 sur le contrôle d’accès ?

Le contrôle d’accès est l’une des sections les plus importantes de l’Annexe A de l’ISO 27001, et aussi l’une de celles qui ont le plus évolué entre la version 2013 et la version 2022. Comprendre ce changement permet d’éviter une bonne partie de la confusion habituelle.

Dans l’ISO 27001:2013, l’ensemble du contrôle d’accès figurait dans le domaine A.9, avec quatorze mesures réparties en quatre blocs : exigences métier, gestion des accès utilisateurs, responsabilités de l’utilisateur et contrôle d’accès aux systèmes et aux applications.

L’ISO 27001:2022 a réorganisé l’Annexe A et redistribué ces exigences entre plusieurs nouvelles mesures. Le contrôle d’accès à proprement parler correspond désormais à la mesure 5.15, mais le détail opérationnel se répartit sur d’autres.

Comment le contrôle d’accès se répartit-il dans la version 2022 ?

Voici les mesures de l’ISO 27001:2022 qui, ensemble, couvrent ce qui relevait auparavant du A.9 :

• 5.15 Contrôle d’accès : définit les règles d’accès physique et logique en fonction des exigences métier et de sécurité (anciens 9.1.1 et 9.1.2).
• 5.16 Gestion des identités : cycle de vie des identités, de la création à la suppression du compte utilisateur.
• 5.17 Informations d’authentification : gestion des mots de passe et des autres identifiants d’accès.
• 5.18 Droits d’accès : attribution, révision et révocation des droits.
• 8.2 Droits d’accès privilégiés : contrôle renforcé des comptes à privilèges.
• 8.3 Restriction d’accès à l’information : ce que chaque utilisateur peut lire, écrire ou supprimer.
• 8.5 Authentification sécurisée : procédures de connexion, y compris l’authentification multifacteur.

Si votre documentation fait encore référence au A.9, ce n’est pas rédhibitoire, mais mieux vaut mettre à jour les références vers la version 2022 avant un audit de certification ou de transition.

Les principes du contrôle d’accès

Au-delà des mesures concrètes, la norme repose sur quelques principes qui devraient guider chaque décision relative aux droits d’accès. Ce sont les fondations sur lesquelles se construit la politique.

1. Moindre privilège et need-to-know

Voici les principes qui devraient guider chaque décision sur les accès accordés et leur périmètre :

• Moindre privilège : chaque utilisateur reçoit juste les droits nécessaires à son travail, et uniquement le temps qu’il en a besoin.
• Need-to-know : l’accès est accordé en fonction des informations que la personne a besoin de connaître, et non de son poste ou de son ancienneté.
• Need-to-use : le même critère appliqué à l’infrastructure et aux outils, pas seulement aux données.
• Interdiction par défaut : tout est interdit sauf ce qui est explicitement autorisé, et non l’inverse.
• Séparation des tâches : dissocier les tâches incompatibles pour qu’aucune personne ne maîtrise un processus critique de bout en bout.

2. Identification, authentification et autorisation

Tout accès robuste repose sur trois étapes successives qu’il ne faut pas confondre :

• Identification : l’utilisateur déclare qui il est au moyen d’un identifiant unique (un ID ou un compte nominatif).
• Authentification : le système vérifie qu’il est bien celui qu’il prétend être, à partir de quelque chose qu’il sait (mot de passe), quelque chose qu’il possède (token, carte) ou quelque chose qu’il est (empreinte, visage). Combiner deux de ces facteurs constitue la base de l’authentification multifacteur.
• Autorisation : une fois l’identité vérifiée, on détermine quelles actions il peut effectuer sur chaque ressource.

Les types de contrôle d’accès : DAC, MAC, RBAC et ABAC

L’ISO 27001 n’impose aucun modèle particulier, mais elle attend de l’organisation qu’elle en choisisse un cohérent avec son niveau de risque. Voici les quatre plus courants :

• DAC (contrôle d’accès discrétionnaire) : le propriétaire de chaque ressource décide qui peut y accéder. Souple, mais difficile à auditer et à maintenir cohérent à grande échelle.
• MAC (contrôle d’accès obligatoire) : une autorité centrale définit l’accès à partir d’étiquettes et de niveaux de classification. C’est le plus strict, réservé aux environnements à haute sécurité.
• RBAC (contrôle d’accès basé sur les rôles) : les droits sont attribués à des rôles, et les personnes héritent des droits de leur rôle. C’est le modèle le plus répandu en entreprise, car il simplifie la gestion et les revues.
• ABAC (contrôle d’accès basé sur les attributs) : l’accès dépend d’attributs comme la localisation, l’appareil, l’heure ou le type de donnée. Il permet des règles très précises, au prix d’une plus grande complexité.

Dans la plupart des organisations, un modèle RBAC bien conçu couvre l’essentiel des besoins et s’accorde naturellement avec l’attribution des droits par poste.

Que doit contenir la politique de contrôle d’accès ?

La politique de contrôle d’accès est un document obligatoire. La norme impose de l’établir, de la documenter et de la revoir régulièrement. Elle fonctionne comme la déclaration de ce que l’organisation autorise et de ce qu’elle interdit, plutôt que comme un manuel technique décrivant la marche à suivre. Ce sont les propriétaires des actifs qui la définissent, en cohérence avec la politique de sécurité et l’analyse des risques.

Une politique complète reprend généralement les éléments suivants.

• Périmètre et responsabilités : les systèmes et les informations concernés, ainsi que les personnes qui approuvent, accordent et révisent les accès.
• Règles d’attribution : critères pour créer, modifier et révoquer les droits, fondés sur le moindre privilège.
• Gestion des identités : recours aux comptes nominatifs, interdiction des comptes partagés et cycle de vie de l’identifiant.
• Accès privilégiés : conditions renforcées pour les comptes à privilèges et leur supervision.
• Authentification : exigences en matière de mots de passe, recours à la MFA et protection des identifiants.
• Accès aux réseaux et télétravail : connexions autorisées, VPN et accès depuis l’extérieur de l’organisation.
• Revue et traçabilité : fréquence des revues de droits et journalisation des accès et des modifications.

Comment mettre en œuvre le contrôle d’accès étape par étape ?

Une fois les principes et la politique définis, la mise en œuvre peut se dérouler par étapes ordonnées, chacune s’appuyant sur la précédente.

Étape 1 : classer l’information

Le point de départ consiste à savoir quelles informations vous manipulez et ce qu’exposerait leur perte ou leur fuite. Distinguer les données critiques, sensibles et publiques permet d’ajuster chaque droit à son niveau de risque réel, plutôt que de tout protéger de la même façon.

Étape 2 : définir les rôles et les règles d’accès

Une fois l’information classée, l’étape suivante consiste à traduire les postes en rôles assortis de droits précis. C’est là qu’intervient le moindre privilège : chaque rôle ne reçoit que ce dont il a besoin pour sa fonction, et les personnes héritent des droits de leur rôle.

Étape 3 : gérer les arrivées, les départs et les accès privilégiés

C’est dans le cycle de vie des accès que se concentrent le plus d’écarts lors des audits. Voici les points critiques à traiter en priorité :

• Arrivées avec identification individuelle : chaque personne dispose de son propre compte et de droits formellement approuvés.
• Départs immédiats : lorsqu’un collaborateur quitte l’entreprise, ses accès doivent être révoqués sans délai, sans dépendre de la mémoire de quelqu’un.
• Accès orphelins : les comptes de personnes parties ou de projets clôturés qui restent actifs constituent une porte d’entrée fréquente.
• Comptes à privilèges : réservés à ceux qui en ont besoin, avec authentification renforcée et journalisation de leur utilisation.

Étape 4 : renforcer l’authentification

Définir qui accède ne sert à rien si l’identité n’est pas correctement vérifiée. Mieux vaut exiger des mots de passe robustes et activer l’authentification multifacteur (MFA) sur les accès sensibles et, surtout, sur les comptes à privilèges.

Étape 5 : réviser et surveiller les accès

Un contrôle d’accès ne se met pas en place une fois pour toutes. La norme attend des revues régulières confirmant que chaque droit reste justifié, en particulier après un changement de poste, une promotion ou un départ. Une revue trimestrielle, au cours de laquelle les responsables valident les accès de leur équipe, maintient le système en phase avec la réalité et évite les constats en audit. S’y ajoute une surveillance continue, qui garde la trace de qui accède à quoi et aide à repérer les comportements anormaux.

Comment Factorial IT facilite le contrôle d’accès ?

Gérer les accès à la main devient ingérable dès qu’il y a du turnover, des appareils distants et des dizaines d’applications SaaS. Factorial IT centralise cette gestion et la relie aux Ressources humaines, si bien que les droits suivent le cycle de vie du collaborateur.

• Provisioning et déprovisioning automatiques : les accès aux outils SaaS sont accordés lors de l’onboarding et retirés lors de l’offboarding, sans intervention manuelle.
• Révocation immédiate au départ : lorsqu’un collaborateur quitte l’entreprise, ses accès sont révoqués aussitôt et l’opération est tracée, ce qui règle le problème des comptes orphelins.
• Visibilité en temps réel : une cartographie à jour de qui a accès à quoi, disponible quand vous en avez besoin.
• Politiques d’appareils et de mots de passe : chiffrement, verrouillage à distance et politiques de sécurité par profil sur les postes Mac, Windows et Linux.
• Preuves pour l’audit : journaux et rapports exportables qui documentent les arrivées, les départs et les modifications de droits.