Authentification
10.B.2-EI/EE
Changer les secrets configurés par défaut
Un mot de passe ou autre secret livré avec un équipement ou une application ne doit pas rester celui d’origine quand la ressource entre en service.
Principalement hors IAG
Briques principalesRessource cible, annuaire ou PAM chargé de modifier et protéger le secret.
1 · Ce que demande l’ANSSI
Les secrets fournis par défaut sont modifiés avant la mise en service d’une ressource.
Source : ANSSI — ReCyF, objectif de sécurité 10 · 10.B.2-EI/EE
2 · En clair
Un mot de passe ou autre secret livré avec un équipement ou une application ne doit pas rester celui d’origine quand la ressource entre en service.
Principalement hors IAG
3 · Ce que fait l’IAG
- 01L’IAG peut seulement aider à identifier le propriétaire d’un compte gouverné et le périmètre concerné.
- 02Il ne doit pas être présenté comme la brique qui remplace le secret par défaut.
4 · Exemple de mise en œuvre
Le responsable de la ressource recense les comptes et secrets livrés par défaut.
Le changement est réalisé dans la ressource, l’annuaire ou le PAM avant la mise en service.
Si le compte entre dans le périmètre IAG, son propriétaire et son cycle de vie peuvent ensuite être gouvernés.
5 · Ce que l’IAG ne fait pas
L’IAG ne configure pas par principe les secrets initiaux des ressources et ne vérifie pas leur valeur.
Briques ou acteurs complémentaires : Ressource cible, annuaire ou PAM chargé de modifier et protéger le secret.
6 · Traces disponibles
- Propriétaire du compte lorsqu’il est gouverné
- Présence du compte dans le périmètre IAG
- Historique de son cycle de vie — sans contenu du secret
Ces traces permettent d’étayer la mise en œuvre. Elles ne constituent pas une preuve automatique de conformité.
Comment le mettre en place
De l’exigence à la mise en œuvre.
- 01Traiter le changement des secrets par défaut au niveau de la ressource, de l’annuaire ou du PAM.
- 02Utiliser l’IAG uniquement pour savoir qui est autorisé sur la ressource concernée.
Source : ANSSI — ReCyF, objectif de sécurité 10. Voir aussi : ANSSI — ReCyF en pratique, Gestion des identités. Détail des sources
Pour lancer le projet
Choisissez une première offre, puis obtenez un prix adapté à votre périmètre.
Voyons quelles briques vous pouvez automatiser avec un premier IAG.
Netwrix édite la solution. Ariovis est l’équipe française avec laquelle vous la choisissez, l’achetez et la déployez.