On va donner des accès distants pour la réponse à incident — que mettre dans la convention d'habilitation ?

Au lieu d'un VPN ouvert en continu, implémentez une solution de PAM (gestion des accès à privilèges). L'analyste se connecte sans connaître le mot de passe réel, qui est injecté automatiquement depuis un coffre-fort numérique, et chaque commande est streamée en direct par syslog vers un serveur de logs dédié. Impossible pour eux de maquiller leurs traces.

Sur le plan juridique, la distinction sous-traitant / responsable de traitement au sens de la KVKK doit être parfaitement claire. De plus, le contrat doit obliger le prestataire à appliquer une méthodologie d'analyse forensique conforme aux standards internationaux afin de préserver la chaîne de traçabilité des preuves (chain of custody).

Il y a deux ans, on a donné un accès VPN permanent à une boîte de conseil similaire pour des tests. La mission s'est terminée, mais le compte n'a jamais été fermé. Neuf mois plus tard, l'ordinateur portable d'un de leurs employés a été volé et des attaquants se sont introduits sur notre réseau. Par chance, on les a repérés rapidement dans les logs. Depuis ce jour, on n'ouvre plus aucun accès permanent, uniquement des comptes temporaires.

Restreignez la connexion au niveau du pare-feu pour n'autoriser que deux adresses IP fixes fournies par l'entreprise. Bloquez totalement les accès depuis le domicile, les cafés ou via des IP dynamiques. Rendez l'authentification multifacteur (MFA) obligatoire avec une clé matérielle.

L'argument du "on ne pourra pas intervenir dans la première demi-heure", c'est surtout de la flemme. Activer un compte avec un script d'approbation automatique, ça prend 90 secondes. Ne laissez pas votre infrastructure vulnérable en permanence juste pour leur confort.

3 clauses à faire impérativement ajouter au contrat : 1) La liste nominative et les extraits de casier judiciaire des experts qui feront partie de l'équipe d'intervention. 2) Le standard de chiffrement et le protocole de destruction pour les données extraites du système à des fins d'analyse (comme un dump mémoire/RAM). 3) Les plafonds d'indemnisation en cas d'interruption de service suite à une mauvaise manipulation.

Laisser des privilèges root ou domain admin permanents à un prestataire externe, c'est acceptable dans aucune norme de sécurité.

Est-ce que l'équipe d'intervention dispose d'une assurance responsabilité civile professionnelle ? Si une mauvaise commande fait sauter votre base de données ou s'il y a une fuite de données, quel montant des dégâts leur police d'assurance couvre-t-elle ?

J'aimerais poser une question. franchement le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Tous ceux qui se pressent sur contrat habilitation acces reponse incident se heurtent au même obstacle. du coup c'est mon avis, je ne l'écris pas comme une vérité absolue.

C'est exactement ça. Quand on essaie de tout changer en même temps, rien ne prend.

Je le note au cas où.

Je vais résumer ce qui a été dit jusqu'ici. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle. Je le note au cas où.

Beau travail. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Bon courage.

C'est noté, merci.

Merci beaucoup, je teste dès aujourd'hui. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

À votre place, j'irais par cette voie.

je suis d'accord.

Je vais essayer.

Vous avez raison, je suis aussi passé par là. Si vous grondez les fausses alertes plus personne ne signalera rien.

Si vous avez des questions écrivez-moi je répondrai au mieux.

je vais résumer ce qui a été dit jusqu'ici. bon la réponse varie beaucoup selon le secteur il n'y a pas de règle générale.

si vous avez des questions, écrivez-moi, je répondrai au mieux.