Maîtriser les connexions et accès
Repère: ACCESS
De quoi s’agit-il ?
Donner à chaque personne les droits appropriés et demander des preuves adaptées à la connexion. La MFA ajoute un autre type de preuve.
Pourquoi c’est utile
Un mot de passe volé ou des droits inutiles peuvent ouvrir les systèmes à un attaquant.
Ce que vous pouvez faire
Utilisez des comptes individuels, protégez les connexions importantes et retirez les droits lors d’un départ ou changement de rôle. Révisez les comptes administrateur.
Services utiles
Device Shield soutient les contrôles d’identité convenus. Les méthodes disponibles dépendent des systèmes et du service.
Référence officielle — NIS2 art. 21(2)(j)
2. Les mesures visées au paragraphe 1 sont fondées sur une approche «tous risques» qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents, et elles comprennent au moins:
— Directive (UE) 2022/2555 (NIS2), Art. 21(2)
j) l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.
— Directive (UE) 2022/2555 (NIS2), Art. 21(2)(j)
Un mot de passe seul ne suffit pas : un deuxième facteur pour se connecter, et des canaux chiffrés pour les appels, la vidéo, les messages et les urgences.
Lire l’article sur EUR-Lex → · Texte officiel, cité du Journal officiel de l’UE
Les sigles utilisés ici: NIS2, GDPR, DORA, CRA
- NIS2 — Network and Information Systems Directive 2
- Une directive européenne sur la cybersécurité, avec des exigences pour les organisations qui entrent dans son champ.
- GDPR — General Data Protection Regulation
- Le Règlement général sur la protection des données (RGPD). GDPR est le sigle anglais et AVG le sigle néerlandais.
- DORA — Digital Operational Resilience Act
- Des règles européennes sur la résilience opérationnelle numérique du secteur financier.
- CRA — Cyber Resilience Act
- Des règles européennes de cybersécurité pour les produits comportant des éléments numériques, dont certains logiciels et appareils connectés.