Accès privilégiés
Gérer et surveiller l'accès des comptes privilégiés.
Accès privilégiés est défini par le résultat NIST CSF 2.0 PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, PCI DSS, CMMC, 800-53 et NIS2. Éditorial Mis en correspondance de manière éditoriale dans CIS v8.1, SOC 2, Essential Eight, DORA et Cyber Essentials. Seulement faiblement liés dans HIPAA. Aucune correspondance dans nos données Aucune correspondance dans nos données pour GDPR et CPS 234.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Définition du sujet | PR.AA-05 |
| ISO 27001 | A.8.2A.8.18 | Privileged access rights; Use of privileged utility programs | Correspondance | A.8.2: via PR.AA-05; NIST 800-53 map: AC-2, AC-6 A.8.18: via PR.AA-05; NIST 800-53 map: AC-6 |
| CIS v8.1 | CIS 5.4CIS 12.8 | Restrict Administrator Privileges to Dedicated Administrator Accounts; Establish and Maintain Dedicated Computing Resources for All Administrative Work | Éditorial | CIS 5.4: Restrict administrator privileges to dedicated accounts; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): dedicated computing resources for administrative work. |
| SOC 2 | CC6.3 | Role-based access, least privilege and segregation of duties | Éditorial | CC6.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.2 | Access assigned by job function and least privilege | Correspondance | 7.2.2: via PR.AA-05 |
| CMMC | AC.L2-3.1.5AC.L2-3.1.6AC.L2-3.1.7 | Least Privilege; Non-Privileged Account Use; Privileged Functions | Correspondance | AC.L2-3.1.5: via 800-171r3 03.01.05 ↔ PR.AA-05 → AC-6; 800-171r2 Appendix D → AC-6 AC.L2-3.1.6: via 800-171r3 03.01.06 ↔ PR.AA-05 → AC-6 AC.L2-3.1.7: via 800-171r3 03.01.07 ↔ PR.AA-05 |
| 800-53 | AC-2(7)AC-6(5) | Privileged User Accounts; Privileged Accounts | Correspondance | AC-2(7): via PR.AA-05 AC-6(5): via PR.AA-05 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(4)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.AA-05) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 11.311.4 | Privileged accounts and system administration accounts; Administration systems | Correspondance | 11.3: via ENISA ISO map: A.8.2, A.8.18 11.4: via ENISA ISO map: A.8.2, A.8.18 |
| Essential Eight | ISM-1507ISM-1508ISM-0445ISM-1175ISM-1380ISM-1648ISM-1647ISM-1387 | Requests for privileged access to systems and their resources are validated when first…; Privileged access to systems and their resources is limited to only what is required…; Privileged human users are assigned a dedicated privileged user account to be used…… | Éditorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(c) | Protection and prevention | Éditorial | Art.9(4)(c): Sound administration of access rights covers privileged accounts, although the regulation's own text doesn't single them out. |
| CPS 234 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CPS 234 n'est mise en correspondance avec ce thème dans nos données. |
| Cyber Essentials | CE 4 | User Access Control | Éditorial | CE 4: Separate accounts for administrative work only, and special access privileges removed when no longer needed. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Accès privilégiés
La gestion des accès privilégiés (PAM) vise à sécuriser, contrôler et surveiller les comptes disposant de droits élevés, tels que les administrateurs de domaine, les administrateurs de bases de données et les comptes root. La mise en œuvre passe généralement par le déploiement d'une solution PAM offrant le coffre-fort de mots de passe, l'enregistrement des sessions, l'attribution des accès à la demande (just-in-time) et la rotation automatique des identifiants. Les comptes privilégiés compromis étant impliqués dans la majorité des violations de données, les organisations doivent appliquer le principe du moindre privilège, exiger l'authentification multifacteur (MFA) pour tous les accès privilégiés et procéder à des revues régulières afin de s'assurer que les droits élevés sont toujours justifiés.