RGPD : rappel quant aux enjeux d'une bonne gestion des comptes administrateur
Le RGPD rappelle l’importance d’une bonne gestion des habilitations. En termes de bonne gouvernance de la sécurité informatique il est essentiel de définir dans votre entreprise, qui doit pouvoir accéder à quelles données et pour quel traitement. Explications.
Dans le cadre du RGPD, la CNIL fait un rappel précis sur le sujet de la « bonne gestion des habilitations » qui s’inscrit le Règlement européen sur le traitement des données personnelles (RGPD / 25 Mai 2018). Votre entreprise ou association, si elle traite ou stocke des données personnelles, doit se mettre en conformité avec le RGPD afin d’éviter des sanctions financières importantes.
A ce titre, vous devez vérifier :
- que les données que vous traitez sont nécessaires à vos activités
- que vous ne traitez aucune donnée dite « sensible » ou, si c’est le cas, que vous avez bien le droit de les traiter
- que seules les personnes habilitées ont accès aux données dont elles ont besoin ;
- que vous ne conservez pas vos données au-delà de ce qui est nécessaire.
Administrateur / Utilisateur quels droits ?
Le RGPD impose plusieurs niveaux de paramétrage de comptes : ADMINISTRATEUR / UTILISATEUR.
Lorsque vous accédez à votre ordinateur, vous bénéficiez de droits d’utilisation plus ou moins élevés sur celui-ci.
On distingue généralement les droits dits « utilisateur » et les droits dits « administrateur ».
- Dans l’utilisation quotidienne de votre ordinateur de travail (naviguer sur Internet, lire ses emails, utiliser des logiciels de bureautique, …), il est important d’utiliser un compte Utilisateur.
- Pour tout ce qui concerne les modifications et interventions sur le fonctionnement de l’ordinateur (gérer des comptes utilisateurs, modifier la politique de sécurité, installer ou mettre à jour des logiciels,…), il est préférable d’utiliser le compte Administrateur.
- En agissant de la sorte, vous évitez que par erreur ne soient installés des logiciels qui perturberaient le fonctionnement de votre système d’information, le mot de passe Administrateur étant demandé pour effectuer les manipulations désirées.
Conseils à appliquer au sein de l’entreprise
Toutes les analyses convergent vers le même constat : il est indispensable de limiter les accès aux seules données dont un utilisateur a besoin. Cela passe par :
- Une bonne définition des profils d’habilitations des utilisateurs ;
- La réalisation de revues périodiques des habilitations afin d’identifier et de supprimer les comptes non utilisés et de réaligner les droits accordés sur les fonctions de chaque utilisateur.
- Pas de navigation sur INTERNET avec un poste connecté avec un compte AMINISTRATEUR.
- Pas de compte anonyme générique de type « contact »….
- Identifiez précisément vos utilisateurs et les privilèges qui leur sont accordés.
- Chaque utilisateur doit être identifié nommément afin de pouvoir relier une action sur le système à un utilisateur.
- Si vous possédez un service Informatique, réservez-lui le niveau ADMINISTRATEUR.
- Dans le cas contraire, ouvrez pour vos collaborateurs uniquement des comptes UTILISATEURS et protégez l’accès au compte ADMINISTRATEUR.
- Définissez des règles et un cadre d’utilisation pour les différents utilisateurs du système.
- Les droits octroyés sur les systèmes d’information doivent être déterminés par écrit à l’arrivée du collaborateur et la procédure établie doit vous permettre surtout de révoquer les accès lors du départ de la personne.
CYBER COVER vous accompagne dans cette démarche
Ces dispositions qui viennent en tant que bonnes pratiques pour la conformité au RGPD sont parfaitement industrialisables avec des solutions logicielles spécialisées sur ce sujet.
CYBER COVER s’appuie sur un partenariat exclusif avec la société IS DECISIONS et sa solution UserLock, en intégrant cette solution gratuitement pendant 6 mois pour tous les nouveaux assurés CYBER COVER.
La solution UserLock vous aidera dans le contrôle des habilitations et la sécurisation des accès à votre système d’information. En maîtrisant les habilitations sur votre système d’information, c’est votre surface d’exposition au risque cyber que vous réduisez, principales exigences du RGPD. Plus de détail sur UserLock.
Le RGPD fait courir des risques financiers importants pour votre entreprise (sanction, enquête, obligations de notification), risques couverts par l’assurance Cyber RGPD proposée par CYBER COVER. N’attendez plus ! Votre Devis Assurance Cyber RGPD en moins de 5 mn avec CYBER COVER !
