Contrôles d'accès discrétionnaires (DAC)

Les contrôles d'accès discrétionnaires ( CAD), également appelés contrôles d'accès discrétionnaires (CAD), sont des mesures de cybersécurité qui autorisent ou restreignent l'accès à une ressource selon le bon vouloir de l'employé, et non selon celui du propriétaire du fichier ou de la ressource. Par exemple, si Bob dispose des droits d'administrateur sur son ordinateur, il peut installer les logiciels de son choix. De même, si un dossier nommé « Ressources humaines » est accessible à tous sur le serveur de fichiers, les employés peuvent accéder à ces fichiers restreints à leur guise (au risque d'un licenciement). L'installation ou l'accès à un fichier reste toutefois à la discrétion de l'employé. À l'inverse, les contrôles d'accès obligatoires (CAO) imposent des restrictions techniques empêchant les employés d'installer des logiciels sur leur ordinateur en supprimant les droits d'administrateur. Ils empêchent l'accès aux fichiers RH en définissant des permissions restrictives sur les répertoires où ces fichiers sont stockés et en limitant l'accès aux seuls employés des RH. Les CAO bloquent les actions, même lorsqu'un employé tente de les effectuer. Les CAD autorisent les actions des employés même lorsqu'une politique de gouvernance les interdit.

Qu'est-ce que cela signifie pour ma PME ?

La mise en place de contrôles d'accès discrétionnaires (CAC) est une mesure que toute entreprise devrait adopter. CyberHoot recommande aux MSP et aux PME d'établir des politiques de gouvernance pour guider les comportements et les décisions des employés lorsque les contrôles MAC ne sont pas possibles. Ces politiques incluent les éléments suivants :

1. Adopter un Password Manager pour faciliter la conformité aux exigences de longueur de mot de passe discrétionnaire dans les applications SaaS en ligne.
2. Guider et former les employés sur les raisons pour lesquelles la longueur d'un mot de passe est plus importante que sa complexité afin qu'ils choisissent judicieusement lors de la création de mots de passe uniques pour tous leurs comptes en ligne individuels.
3. Établir une politique de traitement de l'information exigeant des employés qu'ils détruisent les documents sensibles plutôt que de les jeter à la corbeille. Cette même politique interdit l'envoi non chiffré de données critiques et sensibles par courrier électronique. Ces contrôles discrétionnaires dépendent de la sensibilisation et du bon comportement des employés.

Meilleures pratiques supplémentaires pour sécuriser les MSP et les PME

CyberHoot recommande également les meilleures pratiques suivantes pour protéger les particuliers et les entreprises contre les cyberattaques en ligne et limiter les dommages causés par celles-ci :

• Exiger authentification à deux facteurs sur tout Solution SaaS ou des comptes critiques
• Exiger des mots de passe de 14 caractères ou plus dans votre Politiques de gouvernance
• Former les employés pour repérer et éviter les e-mails phishing attaques
• Vérifiez que les employés peut repérer et éviter les e-mails de phishing en les testant
• Sauvegarder les données à l'aide du Méthode 3-2-1
• Incorporer le Principe du moindre privilège
• Effectuer une évaluation des risques tous les deux à trois ans

Pour en savoir plus sur les contrôles discrétionnaires, regardez cette courte vidéo :

Terme associé : Contrôles d'accès obligatoires (MAC)

Source : Technopedia