Monitor
Nous suivons vos comptes à privilèges et vos secrets à intervalles convenus.
Livrables- Inventaire des comptes à privilèges tenu à jour
- Contrôle des accès prestataires et de leurs échéances
- Alertes sur les clés et certificats à renouveler
Domaine · Accès à privilèges et secrets (PAM)
Les comptes qui ouvrent tout, sous contrôle.
Nous recensons vos comptes à privilèges et vos secrets, séparons l’administration de l’usage courant, encadrons chaque accès sensible et sortons les mots de passe et les clés du code et des tableurs.
Situations
Vous êtes au bon endroit si…
- Vos administrateurs utilisent le même compte pour lire leurs emails et administrer vos serveurs.
- Des comptes « admin » partagés circulent entre équipes et prestataires, sans que l’on sache qui a fait quoi.
- Des mots de passe et des clés d’API sont écrits en clair dans le code, des scripts ou un tableur.
- Un prestataire d’infogérance dispose d’un accès permanent à vos systèmes critiques.
- Personne ne sait quand vos clés de chiffrement et vos certificats ont été renouvelés pour la dernière fois.
Notre conviction
Un attaquant vise vos comptes d’administration : c’est là que la protection rapporte le plus.
Une intrusion grave passe le plus souvent par la conquête de comptes à privilèges et de l’annuaire. Un secret laissé dans le code ou un compte d’administration partagé raccourcit ce chemin.
Nous concentrons donc l’effort sur ces accès : des comptes dédiés à l’administration, des accès accordés au besoin et tracés, des secrets rangés dans un coffre-fort et des clés gérées sur tout leur cycle de vie.
Notre démarche
De l’inventaire des privilèges au coffre-fort.
Un périmètre restreint mais critique, traité en priorité.
- 01RecenserComptes d’administration, comptes de service et techniques, accès des prestataires, secrets et clés : où ils sont, qui les détient, ce qu’ils ouvrent.
Vous obtenezUn inventaire des privilèges et des secrets
- 02SéparerComptes d’administration dédiés, postes et chemins d’administration distincts, fin des comptes partagés, authentification forte.
Vous obtenezUn modèle d’administration cible
- 03EncadrerBastion, accès juste-à-temps et approuvés, enregistrement des sessions sensibles, accès des prestataires bornés dans le temps.
Vous obtenezDes règles d’accès à privilèges et leur outillage
- 04Ranger les secretsCoffre-fort, secrets retirés du code et des scripts, rotation, gestion des clés et des certificats sur tout leur cycle de vie.
Vous obtenezUne politique de gestion des secrets et des clés
Ce que disent les textes
Ce que les textes attendent des accès à privilèges et des secrets.
Les textes traitent à part les accès d’administration et les clés : attribués au besoin, fortement authentifiés et protégés sur tout leur cycle de vie.
- DORA · RTSDORA art. 9(4), point (d) · RTS 2024/1774 art. 21, point (e) (ii) · RTS 2024/1774 art. 21, point (f) (ii)
DORA demande aux entités financières des politiques et protocoles d’authentification forte et des mesures de protection des clés cryptographiques ; son RTS précise qu’elles n’attribuent les accès à privilèges, d’urgence et d’administration qu’au besoin ou ponctuellement, et exigent une authentification forte pour les accès à privilèges, les accès distants et les actifs soutenant des fonctions critiques ou importantes.123
- DORA · RTSRTS 2024/1774 art. 7(1) · RTS 2024/1774 art. 7(2) · RTS 2024/1774 art. 7(3)
Leur politique de gestion des clés cryptographiques couvre tout le cycle de vie des clés, de la génération à la destruction, les protège contre la perte, l’accès non autorisé, la divulgation et la modification, et prévoit leur remplacement en cas de perte ou de compromission.456
- ReCyFReCyF v2.5, objectif 11
Le ReCyF (version de travail) fixe aux entités l’objectif de comptes d’administration exclusivement dédiés à cet usage et réservés aux personnes autorisées, y compris pour qui administre en leur nom, et aux entités essentielles celui de sécuriser l’administration de leurs annuaires.7
- Guide CNILGuide CNIL sécurité, fiche 9, F09-PE-03 · Guide CNIL sécurité, fiche 21, F21-PE-04 · Guide CNIL sécurité, fiche 21, F21-PE-05 · Guide CNIL sécurité, fiche 22, F22-PE-07
La CNIL recommande une politique de mots de passe propre aux administrateurs, de protéger les clés secrètes par des droits d’accès restrictifs, de rédiger une procédure de gestion des clés et des certificats et, dans le cloud, de gérer les clés de façon appropriée et de n’accorder que les accès nécessaires.891011
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Notre interventionNiveau 01 Niveau 02 Niveau 03
Le même sujet, à trois niveaux d’engagement.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Advise
Nous concevons le modèle d’administration et la politique de gestion des secrets, et recommandons l’outillage, que vous arbitrez.
Livrables- Inventaire des privilèges et des secrets
- Modèle d’administration et règles d’accès à privilèges
- Politique des secrets et des clés, critères de choix d’un bastion et d’un coffre-fort
Drive
Nous pilotons le programme avec votre DSI, vos équipes de développement et vos prestataires, sans effectuer les changements dans votre SI.
Livrables- Pilotage du déploiement du bastion et du coffre-fort
- Suivi du retrait des comptes partagés et des secrets en clair
- Preuves prêtes pour l’auditeur ou l’autorité
AccélérateursModèle d’administration Repérage des secrets en clair Votre appli web de suivi
Ce que nous apportons dès le premier jour.
Comptes dédiés, niveaux d’administration et chemins d’accès : un modèle cible à adapter à votre SI.
Une méthode et des règles pour repérer les mots de passe et les clés laissés dans vos dépôts de code et vos scripts.
Comptes à privilèges, secrets, clés et écarts dans un outil partagé avec vos équipes.
Questions fréquentes
Avant de commencer.
Un bastion suffit-il ?
Non. Un bastion trace et filtre les accès, mais n’empêche ni les comptes partagés, ni les secrets laissés dans le code, ni l’administration depuis un poste exposé. Il s’inscrit dans un modèle d’administration complet.
Que faire des comptes de service et des comptes techniques ?
Les recenser, leur donner un responsable, réduire leurs droits au strict nécessaire et ranger leurs secrets dans un coffre-fort avec une rotation. Ce sont souvent les comptes les plus puissants et les moins surveillés.
Nos prestataires doivent-ils passer par le même dispositif ?
Oui. Les comptes d’administration dédiés valent aussi pour qui administre en votre nom ; leurs accès sont en plus bornés dans le temps et tracés.7
Intervenez-vous sur nos serveurs ?
Non. Nous concevons, pilotons et vérifions ; vos équipes ou votre intégrateur déploient le bastion, le coffre-fort et les changements. Nous pouvons vous aider à trouver l’intégrateur adapté, que vous mandatez.
Commencez par vos vingt comptes les plus puissants.
Décrivez vos comptes d’administration, vos accès prestataires et l’endroit où vivent vos secrets. Nous revenons vers vous avec une proposition de cadrage.
Sources
Les extraits cités.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
Voir les 11 extraits cités
- 1DORA art. 9(4), point (d)
32022R2554-a9-p4-4implement policies and protocols for strong authentication mechanisms, based on relevant standards and dedicated control systems, and protection measures of cryptographic keys whereby data is encrypted based on results of approved data classification and ICT risk assessment processes;
- Force normative
- droit UE directement applicable (règlement, niveau 1)
- Source
- Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector
- Version
- CELEX 32022R2554 — ELI reg/2022/2554
- 2RTS 2024/1774 art. 21, point (e) (ii)
32024R1774-a21-p0-7assignment of privileged, emergency, and administrator access on a need-to-use or an ad-hoc basis for all ICT systems;
- Force normative
- droit UE directement applicable (règlement délégué — RTS, niveau 2)
- Source
- Commission Delegated Regulation (EU) 2024/1774 of 13 March 2024 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards specifying ICT risk management tools, methods, processes, and policies and the simplified ICT risk management framework
- Version
- CELEX 32024R1774 — ELI reg_del/2024/1774
- 3RTS 2024/1774 art. 21, point (f) (ii)
32024R1774-a21-p0-12the use of strong authentication methods in accordance with leading practices and techniques for remote access to the financial entity’s network, for privileged access, for access to ICT assets supporting critical or important functions or ICT assets that are publicly accessible;
- Force normative
- droit UE directement applicable (règlement délégué — RTS, niveau 2)
- Source
- Commission Delegated Regulation (EU) 2024/1774 of 13 March 2024 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards specifying ICT risk management tools, methods, processes, and policies and the simplified ICT risk management framework
- Version
- CELEX 32024R1774 — ELI reg_del/2024/1774
- 4RTS 2024/1774 art. 7(1)
32024R1774-a7-p1Financial entities shall include in the cryptographic key management policy referred to in Article 6(2), point (d), requirements for managing cryptographic keys through their whole lifecycle, including generating, renewing, storing, backing up, archiving, retrieving, transmitting, retiring, revoking, and destroying those cryptographic keys.
- Force normative
- droit UE directement applicable (règlement délégué — RTS, niveau 2)
- Source
- Commission Delegated Regulation (EU) 2024/1774 of 13 March 2024 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards specifying ICT risk management tools, methods, processes, and policies and the simplified ICT risk management framework
- Version
- CELEX 32024R1774 — ELI reg_del/2024/1774
- 5RTS 2024/1774 art. 7(2)
32024R1774-a7-p2Financial entities shall identify and implement controls to protect cryptographic keys through their whole lifecycle against loss, unauthorised access, disclosure, and modification. Financial entities shall design those controls on the basis of the results of the approved data classification and the ICT risk assessment.
- Force normative
- droit UE directement applicable (règlement délégué — RTS, niveau 2)
- Source
- Commission Delegated Regulation (EU) 2024/1774 of 13 March 2024 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards specifying ICT risk management tools, methods, processes, and policies and the simplified ICT risk management framework
- Version
- CELEX 32024R1774 — ELI reg_del/2024/1774
- 6RTS 2024/1774 art. 7(3)
32024R1774-a7-p3Financial entities shall develop and implement methods to replace the cryptographic keys in the case of loss, or where those keys are compromised or damaged.
- Force normative
- droit UE directement applicable (règlement délégué — RTS, niveau 2)
- Source
- Commission Delegated Regulation (EU) 2024/1774 of 13 March 2024 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards specifying ICT risk management tools, methods, processes, and policies and the simplified ICT risk management framework
- Version
- CELEX 32024R1774 — ELI reg_del/2024/1774
- 7ReCyF v2.5, objectif 11
recyf:obj-11Les entités [importantes ou essentielles], ou toute personne qu’elles ont mandatée pour réaliser les activités d’administration, disposent de comptes d’administration exclusivement dédiés à cet usage et utilisés par les seules personnes autorisées. Les entités [essentielles] s’assurent de la sécurisation de l’administration de leurs annuaires en s’appuyant sur les recommandations de l’autorité nationale de sécurité des systèmes d’information.
- Force normative
- obligation (décret, PJL résilience)
- Source
- ReCyF — Référentiel Cyber France (NIS 2, transposition nationale)
- Version
- 2.5 du 17/03/2026 (version de travail)
- Statut
- Version de travail : non opposable tant que la transposition n’est pas promulguée
- 8Guide CNIL sécurité, fiche 9, F09-PE-03
F09-PE-03Adopter une politique spécifique de mots de passe pour les administrateurs. Changer les mots de passe, au minimum, lors de chaque départ d’un administrateur et en cas de suspicion de compromission.
- Force normative
- recommandation (droit souple)
- Source
- Guide pratique RGPD — Sécurité des données personnelles
- Version
- 2024 (mise à jour 2026)
- 9Guide CNIL sécurité, fiche 21, F21-PE-04
F21-PE-04Protéger les clés secrètes, au moins par la mise en œuvre de droits d’accès restrictifs et d’un mot de passe sûr.
- Force normative
- recommandation (droit souple)
- Source
- Guide pratique RGPD — Sécurité des données personnelles
- Version
- 2024 (mise à jour 2026)
- 10Guide CNIL sécurité, fiche 21, F21-PE-05
F21-PE-05Rédiger une procédure indiquant la manière dont les clés et certificats vont être gérés en prenant en compte les cas d’oubli du mot de passe de déverrouillage.
- Force normative
- recommandation (droit souple)
- Source
- Guide pratique RGPD — Sécurité des données personnelles
- Version
- 2024 (mise à jour 2026)
- 11Guide CNIL sécurité, fiche 22, F22-PE-07
F22-PE-07Appliquer les précautions élémentaires du présent guide aux traitements dans le cloud. En particulier : chiffrer les données au repos et en transit et avoir une gestion des clés cryptographiques appropriée (voir la fiche n°21 - Chiffrement, hachage, signature). Il est à noter que l’utilisation des services de gestion de clefs proposés par le fournisseur de service implique que ce dernier a la capacité d’accéder aux données ; attribuer méticuleusement les accès et autorisations aux seules personnes habilitées à accéder aux ressources (données et applications) dans le cloud et appliquer le principe de moindre privilège (voir la fiche n°5 - Gérer les habilitations) ; authentifier les utilisateurs pour les accès aux services dans le cloud (voir la fiche n°4 - Authentifier les utilisateurs) et n’accorder que les habilitations nécessaires (voir la fiche n°5 - Gérer les habilitations) ; configurer les permissions liées aux ressources dans le cloud ; réaliser des sauvegardes (voir la fiche n°17 - Sauvegarder) et vérifier que le fournisseur dispose bien de lieux de sauvegarde géographiquement éloignés des centres de données.
- Force normative
- recommandation (droit souple)
- Source
- Guide pratique RGPD — Sécurité des données personnelles
- Version
- 2024 (mise à jour 2026)