Comptes à privilèges : comment 340 comptes non justifiés ont été éliminés en 8 semaines
Un seul compte à privilèges compromis peut donner un accès complet au SI et immobiliser l’activité en quelques heures. Arrêt de production, exfiltration de données, ransomware, fraude sur les paiements fournisseurs — dans chaque scénario, le point d’entrée est le même : un compte admin non maîtrisé.
Ce que risque concrètement votre organisation
Les conséquences d’une compromission de compte privilégié ne sont pas techniques — elles sont business :
- Arrêt de production : un ransomware déclenché via un compte admin peut immobiliser la production en moins de 2 heures. Coût moyen d’un jour d’arrêt : 300 000€ à 1M€ pour un ETI industriel
- Fraude financière : un compte SAP avec droits de création fournisseur + validation paiement permet un détournement direct. Montant moyen d’une fraude interne détectée : 150 000€
- Audit SOX raté : une non-conformité sur les accès privilégiés entraîne une réserve du commissaire aux comptes, avec impact direct sur la valorisation
- Non-conformité NIS2 : depuis la transposition, les OIV et opérateurs essentiels risquent des sanctions allant jusqu’à 2% du CA mondial en cas de défaut de maîtrise des accès
Le diagnostic que personne ne veut entendre
Quand un groupe industriel international nous a demandé d’auditer ses comptes à privilèges, la DSI estimait en avoir « environ 200 ». L’audit en a révélé 340. Plus de la moitié n’avaient aucune justification métier : des comptes de service créés pour des projets terminés, des accès de prestataires jamais révoqués, des comptes admin partagés entre 3 personnes avec un mot de passe inchangé depuis 2019.
Ce n’est pas un cas isolé. Dans chaque mission PAM que nous réalisons, le nombre réel de comptes à privilèges dépasse de 40 à 60% le nombre connu par la DSI. La raison est simple : personne ne les inventorie systématiquement, et la création d’un compte admin est toujours plus rapide que sa révocation.
Selon le rapport Verizon DBIR, les identifiants compromis restent le premier vecteur d’accès initial dans les incidents de sécurité. IBM rapporte que les brèches impliquant des identifiants volés prennent en moyenne 292 jours à détecter. C’est presque 10 mois pendant lesquels l’attaquant se déplace librement.
Ce que nous avons fait concrètement
**Semaine 1-2 : inventaire exhaustif.** Scan de l’Active Directory, des serveurs Linux, des équipements réseau, des environnements AWS. Chaque compte avec droits élevés est identifié, catégorisé et attribué à un propriétaire métier. Résultat : 340 comptes identifiés contre 200 estimés.
**Semaine 3-4 : qualification et nettoyage.** Chaque compte est évalué : est-il encore nécessaire ? Le propriétaire est-il toujours en poste ? Le mot de passe a-t-il été changé récemment ? 180 comptes ont été identifiés comme non justifiés et supprimés ou désactivés.
**Semaine 5-6 : déploiement CyberArk.** Mise en place du coffre-fort centralisé, rotation automatique des mots de passe sur les 160 comptes restants, configuration du Just-in-Time pour les accès temporaires, enregistrement vidéo des sessions privilégiées.
**Semaine 7-8 : industrialisation.** Automatisation du provisioning via AWS Lambda et Python, intégration avec ServiceNow pour les demandes d’accès, formation des équipes internes à l’exploitation quotidienne de CyberArk.
Résultats mesurés
- AVANT : 340 comptes privilégiés dont 180 sans justification — autant de vecteurs d’attaque actifs, 24h/24. APRÈS : 160 comptes justifiés, chacun avec un propriétaire identifié
- AVANT : mots de passe statiques, certains inchangés depuis 5 ans — un seul vol donne un accès permanent. APRÈS : rotation automatique après chaque utilisation
- AVANT : zéro traçabilité — impossible de savoir qui a fait quoi sur un serveur de production. APRÈS : chaque session enregistrée en vidéo, consultable en cas d’incident
- AVANT : provisioning en 15 jours par email — les équipes contournent en partageant les mots de passe. APRÈS : 4 heures, automatisé, avec exactement les droits nécessaires
- Surface d’attaque réduite de plus de moitié en 8 semaines
Les 5 signaux d’alerte dans votre organisation
Si vous reconnaissez l’un de ces symptômes, votre posture PAM est probablement insuffisante :
- Vous ne pouvez pas donner le nombre exact de comptes à privilèges existants
- Des mots de passe de comptes de service n’ont pas été changés depuis plus de 90 jours
- Plusieurs personnes partagent le même compte admin sur un système de production
- Les sessions privilégiées ne sont pas enregistrées
- Des comptes de prestataires ne sont pas révoqués en fin de mission
Ce que nous en tirons
L’erreur la plus fréquente que nous observons : traiter le PAM comme un projet technique. Ce n’est pas un projet — c’est un changement de gouvernance. L’outil (CyberArk, en l’occurrence) n’est que le support. Ce qui change réellement, c’est la manière dont les équipes gèrent les accès critiques au quotidien.
Les organisations qui réussissent leur déploiement PAM sont celles qui impliquent les métiers dès le départ, qui définissent des KPI clairs avant de commencer, et qui acceptent que le nettoyage initial sera inconfortable.
