Contrôles d'accès discrétionnaires (DAC)

Contrôles d'accès discrétionnaires, également appelés DAC, sont des mesures de cybersécurité qui autorisent ou restreignent l'accès à la discrétion de l'employé, et non du propriétaire du fichier ou de la ressource. Par exemple, si Bob dispose des droits d'administrateur sur son ordinateur, il peut installer les logiciels de son choix. De même, si un dossier intitulé Ressources humaines est accessible à tous sur le serveur de fichiers, les employés peuvent accéder à ces fichiers restreints à leur guise, risquant ainsi d'être licenciés. Cependant, l'installation ou l'accès à un fichier est laissée à la discrétion de l'employé. Contrairement aux DAC, contrôles d'accès obligatoires (ou MAC) Ils établissent des restrictions technologiques empêchant les employés d'installer des logiciels sur leur ordinateur en supprimant les droits d'administrateur de chaque utilisateur final. Ils empêchent l'accès aux fichiers RH en définissant des autorisations restrictives sur les répertoires où ces fichiers sont stockés et en limitant l'accès aux seuls employés RH. MAC empêche toute action, même lorsqu'un employé tente de la réaliser. DAC autorise les actions des employés même lorsqu'une politique de gouvernance interdit ces activités.

Qu'est-ce que cela signifie pour ma PME ?

La mise en place de contrôles d'accès discrétionnaires (CAC) est une mesure que toute entreprise devrait adopter. CyberHoot recommande aux MSP et aux PME d'établir des politiques de gouvernance pour guider les comportements et les décisions des employés lorsque les contrôles MAC ne sont pas possibles. Ces politiques incluent les éléments suivants :

1. Adopter un Password Manager pour faciliter la conformité aux exigences de longueur de mot de passe discrétionnaire dans les applications SaaS en ligne.
2. Guider et former les employés sur les raisons pour lesquelles la longueur d'un mot de passe est plus importante que sa complexité afin qu'ils choisissent judicieusement lors de la création de mots de passe uniques pour tous leurs comptes en ligne individuels.
3. Établir une politique de traitement de l'information exigeant des employés qu'ils détruisent les documents sensibles plutôt que de les jeter à la corbeille. Cette même politique interdit l'envoi non chiffré de données critiques et sensibles par courrier électronique. Ces contrôles discrétionnaires dépendent de la sensibilisation et du bon comportement des employés.

Meilleures pratiques supplémentaires pour sécuriser les MSP et les PME

CyberHoot recommande également les meilleures pratiques suivantes pour protéger les particuliers et les entreprises contre les cyberattaques en ligne et limiter les dommages causés par celles-ci :

• Exiger authentification à deux facteurs sur tout Solution SaaS ou des comptes critiques
• Exiger des mots de passe de 14 caractères ou plus dans votre Politiques de gouvernance
• Former les employés pour repérer et éviter les e-mails phishing attaques
• Vérifiez que les employés peut repérer et éviter les e-mails de phishing en les testant
• Sauvegarder les données à l'aide du Méthode 3-2-1
• Incorporer le Principe du moindre privilège
• Effectuer une évaluation des risques tous les deux à trois ans

Pour en savoir plus sur les contrôles discrétionnaires, regardez cette courte vidéo :

Articles connexes Long: Contrôles d'accès obligatoires (MAC)

Source: Techopedia