Entrazure
« L’assureur exige le MFA partout et notre réseau est plat »
La pression vient rarement d’une ambition interne. Elle vient de l’extérieur : un renouvellement d’assurance cyber avec un questionnaire de contrôles en pièce jointe, la revue de sécurité d’un client devenue condition du contrat, ou un incident chez une organisation comparable qui a poussé le conseil à poser une question directe.
Le portrait interne, quand quelqu’un finit par le regarder, est reconnaissable. Un RPV qui donne un accès réseau large dès qu’on est connecté. Onze ou douze comptes qui détiennent l’administrateur général en permanence. Des comptes de service dont les mots de passe vivent dans un document parce que les faire tourner a déjà cassé quelque chose. Des comptes invités d’un projet terminé en 2022. Des politiques d’accès conditionnel qui existent, avec un groupe d’exclusion passé discrètement à quarante membres.
Rien de tout ça ne relève de la négligence. Chaque élément était un accommodement raisonnable pris sous pression, et les accommodements se sont accumulés. La question maintenant est de savoir lequel corriger en premier, avec un budget fini et une échéance fixée par quelqu’un d’autre.
Pourquoi la réponse habituelle échoue
La feuille de route de maturité. La réponse standard est une évaluation zero trust sur cinq ou six piliers, notée contre un modèle de maturité, produisant une feuille de route de deux ans découpée en chantiers. L’évaluation consomme à elle seule une part notable du budget et plusieurs mois. À la fin, les douze administrateurs généraux permanents le sont toujours, parce que leur retrait était planifié en phase deux. Un score de maturité mesure de l’activité. Un attaquant mesure des privilèges permanents.
Acheter l’architecture. La deuxième réponse est de l’approvisionnement. Un produit d’accès réseau, une plateforme de microsegmentation, une suite de gouvernance des identités, chacun avec sa console et son agent. Le parc est maintenant plus compliqué et pas moins exposé, parce que le contrôle qui aurait le plus compté, éliminer les droits administratifs permanents, est un ensemble de décisions et non un achat. Microsoft Entra ID porte déjà l’essentiel du nécessaire. Ajouter des produits avant d’utiliser ce qui est déjà sous licence transforme un problème de gouvernance en problème de budget.
Le MFA décoratif. L’authentification multifacteur est activée, annoncée, déclarée terminée, pendant que les protocoles d’authentification héritée incapables de présenter un second facteur restent permis. Qui veut contourner l’invite en utilise simplement un. Le même motif se répète avec les groupes d’exclusion d’accès conditionnel, créés pour un dirigeant en déplacement dans une région et jamais révisés. Un contrôle dont la liste d’exceptions n’est pas examinée est un contrôle sur papier.
Commencer par le réseau. Un budget considérable part dans la segmentation pendant que l’identité reste le chemin réellement emprunté. La segmentation vaut la peine. Elle vaut la peine en deuxième, parce que l’identifiant compromis qui détient propriétaire de souscription se moque du nombre de sous-réseaux.
Comment nous le séquençons
L’identité d’abord, parce que l’identité est le périmètre. Politiques d’accès conditionnel écrites en code et déployées par pipeline, donc relisibles et reproductibles plutôt que cliquées dans le portail. Authentification héritée bloquée. Méthodes résistantes à l’hameçonnage pour les administrateurs avant tout le monde. Conformité des appareils via Intune comme condition d’accès à ce qui compte. Comptes de secours créés, exclus, conservés hors ligne et testés avant l’application.
Privilèges permanents retirés. Attributions permanentes d’administrateur général et de propriétaire de souscription converties en rôles admissibles via Privileged Identity Management, avec approbation, justification et durée limitée. Revues d’accès planifiées pour que le compte invité de 2022 relève de la routine et non de l’archéologie. Identités de charge de travail passées aux informations d’identification fédérées, ce qui supprime les secrets à longue durée de vie que personne ne fait tourner.
Puis le réseau et le plan de données. Topologie hub-and-spoke, points de terminaison privés sur les services PaaS pour que les plans de données ne soient pas joignables depuis Internet, Azure Firewall ou une appliance avec des règles lisibles, et le RPV remplacé comme mécanisme d’accès large plutôt que conservé à côté du nouveau modèle. C’est du travail de plateforme, et il appartient à la même structure que le reste, soit le mandat landing zone Azure. Les permissions de contenu font partie de la même posture, et elles deviennent urgentes dès qu’un assistant peut chercher dedans : c’est l’argument de notre approche du déploiement de Copilot.
Une détection dimensionnée honnêtement. Defender XDR déployé comme une seule posture sur le poste, l’identité, Office et les applications infonuagiques plutôt qu’en quatre consoles, et Microsoft Sentinel avec une conception d’ingestion qui reflète ce que vous allez réellement investiguer. Sentinel se facture au gigaoctet, et un programme de sécurité qui devient un incident de coût perd son mandat.
Chaque contrôle associé à la question qu’il règle. Le questionnaire d’assurance, la revue de sécurité d’un client, le contrôle SOC 2, l’obligation Loi 25. La preuve est produite par la plateforme selon un calendrier, pas assemblée la semaine avant l’audit. Quand l’exigence est une certification formelle, le travail se poursuit en architecture de conformité, et les environnements cliniques ajoutent un cloisonnement plus strict, décrit dans nos travaux en santé.
Un registre d’exclusions avec dates d’expiration. Chaque exception écrite avec un propriétaire, une raison et une date de révision. Petit artéfact, et c’est celui qui empêche la posture de retomber là où elle était.
Le mandat qui livre ça
Six semaines. La semaine 1 est la revue de posture : politiques telles qu’elles existent, inventaire des privilèges, authentification héritée, exclusions, invités, comptes de service, et le questionnaire auquel vous devez répondre. Les semaines 2 et 3 déploient l’accès conditionnel en mode rapport, mesurent l’impact, corrigent les bris légitimes puis appliquent, en parallèle du modèle d’accès privilégié. Les semaines 4 et 5 couvrent le réseau, le plan de données et la couche de détection. La semaine 6 produit la preuve, le transfert et le registre d’exclusions.
L’architecture de sécurité du mandat est menée par des architectes certifiés en sécurité de l’information, et les livrables sont écrits pour être lus par un auditeur et un assureur, pas seulement par un ingénieur. Vous gardez les politiques en code, le modèle de privilèges, le calendrier de revues d’accès, le registre d’exclusions et la table d’association contrôle-question.
À l’échelle des grandes entreprises et du secteur public, l’intelligence des espaces de noms et du territoire numérique constitue une couche distincte du même problème, et nous agissons comme MSSP et revendeur pour Klarvant quand elle s’applique. Quand le parc est en migration, le modèle d’identité et de réseau se construit dans la cible plutôt qu’en rattrapage : il se conçoit donc à l’intérieur du plan de sortie de VMware quand il y en a un.
Questions fréquentes
Par où commencer si on ne fait qu’une seule chose ?
Supprimer les privilèges permanents. Convertir les attributions permanentes d’administrateur général et de propriétaire de souscription en rôles admissibles activés par Privileged Identity Management, avec approbation et justification. C’est le contrôle qui réduit le plus le rayon d’impact d’un compte compromis, il ne coûte aucun produit supplémentaire, et il se fait en jours plutôt qu’en trimestres.
Nous avons déjà activé l’authentification multifacteur. Sommes-nous couverts ?
Seulement si l’authentification héritée est bloquée. Les protocoles incapables de présenter un second facteur contournent complètement l’invite : un parc avec MFA activé et authentification héritée encore permise est protégé en apparence, pas en fait. Nous vérifions ça en premier, avec les groupes d’exclusion, l’autre endroit où une politique cesse discrètement de s’appliquer.
Faut-il microsegmenter le réseau ?
Un jour, et moins vite que la plupart des fournisseurs le suggèrent. L’identité est le chemin qu’empruntent réellement la majorité des intrusions : les contrôles d’identité achètent donc plus de réduction de risque par semaine d’effort. La segmentation réseau compte, et elle vient après l’accès conditionnel, les accès privilégiés et la conformité des appareils.
Notre renouvellement d’assurance cyber exige des contrôles précis. Pouvez-vous les documenter ?
Oui, et c’est généralement le déclencheur concret. Chaque contrôle mis en place est associé à la question à laquelle il répond dans un questionnaire d’assurance ou de client, et la preuve est produite par la plateforme plutôt qu’assemblée à la main. Des captures d’écran prises la semaine avant l’audit ne sont pas une preuve, c’est l’instantané d’une bonne semaine.
Et les comptes de service et l’automatisation ?
C’est habituellement la partie la plus faible d’un parc et la moins discutée. Nous basculons pipelines et applications vers des identités de charge de travail avec informations d’identification fédérées, ce qui élimine le secret à longue durée de vie qu’il faut rotationner ou qui fuit, puis nous inventorions le reste avec un propriétaire et une date d’expiration par compte.
Est-ce que ça va casser la façon de travailler des gens ?
Une partie, si c’est déployé sans soin. Nous passons les politiques en mode rapport d’abord, nous mesurons qui aurait été bloqué et pourquoi, nous corrigeons les cas légitimes, puis nous appliquons. Les comptes de secours sont créés, exclus, conservés hors ligne et testés avant toute mise en application : le moyen le plus rapide de perdre le programme est de verrouiller les administrateurs dehors.