---
title: "Gestion des accès à privilèges (PAM) : définition"
description: "Decouvrez comment mettre en oeuvre une gestion des accès a privileges conforme aux exigences ISO 27001, SOC 2, NIS2 et DORA. Couvre l'architecture PAM, la gestion des sessions, l'accès juste-a-temps, le coffre-fort d'identifiants et les preuves de conformité."
canonical: https://www.orbiqhq.com/fr/glossaire/gestion-acces-privilegies
html: https://www.orbiqhq.com/fr/glossaire/gestion-acces-privilegies
publisher: Orbiq GmbH
language: en
---
# Gestion des accès à privilèges (PAM) : définition

Decouvrez comment mettre en oeuvre une gestion des accès a privileges conforme aux exigences ISO 27001, SOC 2, NIS2 et DORA. Couvre l'architecture PAM, la gestion des sessions, l'accès juste-a-temps, le coffre-fort d'identifiants et les preuves de conformité.


## Qu'est-ce que la gestion des accès a privileges ?

La gestion des accès a privileges (PAM) est la discipline de sécurité qui contrôle, surveille et audite tous les accès realises avec des privileges eleves dans l'environnement informatique d'une organisation. Elle protege les comptes les plus puissants de l'organisation — comptes administrateur, comptes de service et comptes d'accès d'urgence — qui, en cas de compromission, donneraient a un attaquant un accès illimite aux systemes et données critiques.

Pour les organisations orientees conformité, la PAM fournit les contrôles et les preuves d'audit nécessaires pour demontrer que les accès a privileges sont correctement gouvernes dans le cadre d'ISO 27001, SOC 2, NIS2 et DORA.

## Types de comptes a privileges

| Type de compte | Description | Niveau de risque |
| --- | --- | --- |
| **Administrateur de domaine** | Contrôle total sur Active Directory et tous les systemes joints | Critique |
| **Root/sudo** | Accès illimite sur les systemes Linux/Unix | Critique |
| **Administrateur cloud** | AWS root, Azure Global Admin, GCP Organisation Admin | Critique |
| **Administrateur de base de données** | Accès complet aux serveurs de base de données et aux données | Eleve |
| **Compte de service** | Authentification application-a-application avec privileges systeme | Eleve |
| **Administrateur réseau** | Accès de configuration aux routeurs, commutateurs, pare-feu | Eleve |
| **Compte d'urgence (break-glass)** | Accès d'urgence contournant les contrôles normaux | Critique |
| **Administrateur d'application** | Accès administratif au sein des applications metier | Moyen-Eleve |

## Composants de l'architecture PAM

| Composant | Fonction | Exemples |
| --- | --- | --- |
| **Coffre-fort d'identifiants** | Stockage securise et rotation des identifiants privilegies | CyberArk, BeyondTrust, Delinea |
| **Gestionnaire de sessions** | Enregistrement et surveillance des sessions privilegiees | CyberArk PSM, BeyondTrust, Teleport |
| **Passerelle d'accès** | Proxy pour les connexions privilegiees sans exposer les identifiants | CyberArk, Teleport, StrongDM |
| **Moteur d'accès JIT** | Elevation temporaire de privileges avec workflows d'approbation | Azure PIM, CyberArk, Britive |
| **Analyse des privileges** | Analyse comportementale de l'activité privilegiee | CyberArk, Securonix |
| **Gestionnaire de secrets** | Gestion et injection d'identifiants applicatifs | HashiCorp Vault, AWS Secrets Manager |

## Contrôles PAM

| Contrôle | Description | Mise en oeuvre |
| --- | --- | --- |
| **Moindre privilege** | Accorder les permissions minimales nécessaires pour chaque role | Accès base sur les roles avec revue periodique |
| **Coffre-fort d'identifiants** | Stocker tous les identifiants privilegies dans un coffre-fort chiffre | Rotation automatisee, pas de mots de passe partages |
| **Accès juste-a-temps** | Elevation de privileges a duree limitee avec approbation | Demandes via workflow, expiration automatique |
| **Enregistrement des sessions** | Enregistrer toutes les sessions privilegiees pour l'audit | Relecture video, journalisation des frappes |
| **Application de MFA** | Exiger l'authentification multi-facteurs pour tous les accès privilegies | FIDO2 ou jetons materiels pour les administrateurs |
| **Separation des fonctions** | Empecher une seule personne de realiser des taches critiques | Double approbation, segregation des roles |
| **Certification des accès** | Revue reguliere des personnes disposant d'un accès a privileges | Revues trimestrielles avec attestation du responsable |

## Cycle de vie des accès a privileges

| Phase | Activites | Contrôles |
| --- | --- | --- |
| **Demande** | L'utilisateur demande un accès a privileges avec justification metier | Workflow d'approbation, évaluation des risques |
| **Approbation** | Le responsable et l'équipe sécurité examinent et approuvent | Double approbation pour les systemes critiques |
| **Provisionnement** | Accorder un accès a duree limitee, injecter les identifiants | Elevation JIT, coffre-fort d'identifiants |
| **Surveillance** | Enregistrer la session, surveiller les activités anormales | Enregistrement de session, analyse comportementale |
| **Revue** | Auditer l'activité privilegiee par rapport au comportement attendu | Revue post-session, contrôles de conformité |
| **Revocation** | Retirer automatiquement l'accès a l'expiration du delai | Expiration automatique, rotation des identifiants |
| **Certification** | Revue periodique de tous les droits d'accès a privileges | Certification d'accès trimestrielle |

## Exigences de conformité

### Correspondance avec les référentiels

| Exigence | ISO 27001 | SOC 2 | NIS2 | DORA |
| --- | --- | --- | --- | --- |
| Contrôle des accès a privileges | A.8.2 | CC6.3 | Art. 21(2)(i) | Art. 9(4) |
| Moindre privilege | A.8.3 | CC6.1 | Art. 21(2)(i) | Art. 9(2) |
| Revue des accès | A.5.18 | CC6.2 | Art. 21(2)(i) | Art. 9(2) |
| Surveillance des sessions | A.8.15 | CC7.2 | Art. 21(2)(g) | Art. 10(2) |
| Gestion des identifiants | A.8.5 | CC6.1 | Art. 21(2)(j) | Art. 9(4)(b) |
| Separation des fonctions | A.5.3 | CC6.1 | Art. 21(2)(i) | Art. 9(2) |

### Preuves d'audit

| Type de preuve | Description | Referentiel |
| --- | --- | --- |
| Politique PAM | Politique documentee de gestion des accès a privileges | Tous les référentiels |
| Inventaire des comptes a privileges | Liste complete de tous les comptes a privileges avec leurs responsables | Tous les référentiels |
| Journaux de rotation des identifiants | Preuve de rotation automatisee des mots de passe et cles | Tous les référentiels |
| Enregistrements de sessions | Enregistrements des sessions privilegiees pour la revue d'audit | ISO 27001, SOC 2, DORA |
| Journaux d'accès JIT | Registres des demandes et approbations d'elevation de privileges | Tous les référentiels |
| Rapports de certification des accès | Resultats des revues trimestrielles avec attestations | Tous les référentiels |
| Alertes de detection d'anomalies | Registres des activités privilegiees suspectes signalees | NIS2, DORA |

## Erreurs courantes

| Erreur | Risque | Solution |
| --- | --- | --- |
| Comptes administrateur partages | Aucune responsabilite individuelle pour les actions privilegiees | Comptes nommes individuels avec coffre-fort PAM |
| Mots de passe statiques pour les comptes de service | Vol d'identifiants et mouvement lateral | Rotation automatisee, identites gerees |
| Pas de surveillance des sessions | Impossibilite de detecter l'utilisation abusive des accès a privileges | Mettre en oeuvre l'enregistrement et la revue des sessions |
| Privileges permanents | Surface d'attaque excessive due aux accès administrateur persistants | Accès juste-a-temps avec expiration automatique |
| Exclusion du cloud de la PAM | Comptes administrateur cloud non geres et non surveilles | Etendre la PAM a toutes les plateformes cloud |
| Pas de procedures d'urgence (break-glass) | Blocage lors des urgences, ou accès d'urgence non contrôle | Processus break-glass documente, teste et audite |

## Comment Orbiq soutient la conformité PAM

Orbiq vous aide a demontrer vos contrôles d'accès a privileges :

- **Collecte de preuves** — Centralisez les politiques PAM, les revues d'accès et les journaux de sessions
- **Surveillance continue** — Suivez la couverture des accès a privileges et la posture de conformité
- **Trust Center** — Partagez vos contrôles d'accès a privileges via votre [Trust Center](/fr/glossaire/trust-center)
- **Correspondance de conformité** — Associez les contrôles PAM a ISO 27001, SOC 2, NIS2 et DORA
- **Preparation aux audits** — Dossiers de preuves pre-construits pour l'examen des auditeurs

## Pour aller plus loin

- [Gestion des identites et des accès](/fr/glossaire/gestion-identites-acces) — Strategie IAM complete
- [Authentification multi-facteurs](/fr/glossaire/authentification-multifacteur) — Securisation de l'authentification privilegiee
- [Zero Trust](/fr/glossaire/architecture-zero-trust) — Accès a privileges dans une architecture zero trust
- [Centre des operations de sécurité](/fr/glossaire/centre-operations-securite) — Surveillance de l'activité privilegiee
- [Classification des données](/fr/glossaire/classification-donnees) — Classification des données pour les contrôles d'accès