Dernière mise à jour le 27/10/2026
La sécurité informatique concerne aujourd’hui toutes les entreprises. Les ordinateurs portables, les connexions à distance et les échanges avec les collaborateurs ou les partenaires facilitent le travail, mais multiplient aussi les points d’accès au système d’information.
L’administration informatique mérite une attention particulière, car elle donne accès à des fonctions et à des données sensibles. Pour sécuriser cette administration informatique, il faut combiner des mesures techniques et des règles d’organisation. Il s’agit surtout de s’assurer que seules les bonnes personnes peuvent administrer le système, que les outils utilisés sont suffisamment protégés et que les erreurs ou les accès malveillants restent limités.
Dans cet article, nous allons tâcher d’évaluer les bonnes pratiques permettant de sécuriser son administration informatique.
Nous verrons :
- comment protéger les infrastructures contre les intrusions et les altérations de données,
- comment protéger les moyens et les ressources utilisés dans le cadre de l’administration du système d’information
Pour appuyer notre analyse, nous allons nous baser notamment sur les recommandations de l’ANSSI (l’Agence nationale de la sécurité des systèmes d’information), et plus particulièrement sur son guide « Recommandations relatives à l’administration sécurisée des systèmes d’information« , mis à jour en mai 2021.
Bien choisir son administrateur
Pour sécuriser l’administration de son système d’information, l’entreprise doit pouvoir compter sur un administrateur compétent, fiable et conscient de l’importance des règles de sécurité et de confidentialité.
Loyauté
Un administrateur dispose de droits importants sur le système d’information. Il peut accéder à des ressources sensibles, modifier des configurations et intervenir sur des équipements essentiels au fonctionnement de l’entreprise.
Ces accès doivent être utilisés uniquement pour les besoins de sa mission. L’administrateur doit respecter les règles fixées par l’entreprise et agir dans le cadre des responsabilités qui lui sont confiées. Une utilisation abusive de ses privilèges peut engager sa responsabilité, notamment sur le plan disciplinaire ou pénal, selon les circonstances.
Transparence
Les règles concernant l’utilisation et l’administration du système d’information doivent être clairement établies et connues des salariés concernés.
Une charte informatique permet de formaliser ces règles. Elle précise notamment ce que les salariés peuvent faire avec les outils de l’entreprise, les pratiques à respecter et les comportements à éviter. Elle joue également un rôle important dans la sensibilisation aux risques informatiques.
Lorsqu’elle est intégrée au règlement intérieur dans le respect des formalités applicables, le non-respect de la charte peut entraîner des sanctions disciplinaires.
Confidentialité
L’administrateur est tenu au secret professionnel. Un administrateur peut avoir accès, dans le cadre de son travail, à des informations sensibles, notamment des données personnelles ou des correspondances privées. Il n’a pas le droit de divulguer des informations couvertes par le droit à la vie privée ou le secret des correspondances, sauf s’il a découvert des contenus illicites. L’administrateur doit également veiller à ne pas les communiquer à des personnes qui n’ont pas à en prendre connaissance.
Lorsque l’administrateur est un prestataire, il convient également de tenir compte des mêmes recommandations et de cadrer le respect de cette confidentialité au travers des différents éléments de contractualisation qui vont définir la relation entre les deux parties. Celui-ci doit préciser les obligations de confidentialité, les droits d’accès du prestataire et les responsabilités de chacun. Les conditions d’intervention sont ainsi claires, aussi bien pour l’entreprise que pour le prestataire.
Établir des zones de confiance
L’établissement de zones de confiance est un élément essentiel de la sécurisation de l’administration informatique.
L’objectif : maîtriser les accès et assurer leur cloisonnement, en regroupant les systèmes et applications dans des zones de confiance, c’est-à-dire, dans des environnements distincts selon leur niveau de sensibilité et leurs besoins de sécurité. Ces zones permettent alors d’isoler ou de cloisonner un système, des ressources ou un service par des mesures de protection adaptées en fonction des besoins opérationnels.
Ainsi, si un environnement est compromis, les risques de propagation de l’attaque vers les autres environnements sont limités.
Comment procéder?
- D’abord en menant une analyse des domaines fonctionnels et techniques à traiter.
- Puis en définissant les besoins de sécurité en termes de confidentialité, d’intégrité, d’authentification et de traçabilité.
- Enfin, en mettant en place des mécanismes de filtrage des accès, de cloisonnement des réseaux, de chiffrement ou d’authentification adaptés à chaque environnement.
C’est en combinant plusieurs de ces mécanismes qu’il est possible d’obtenir un niveau de confiance satisfaisant.
Les autres menaces
Lorsqu’il s’agit de protéger son administration informatique, les éventuelles menaces peuvent se révéler nombreuses et variées. Le poste d’administration, les comptes d’administration, ou encore les passerelles d’administration constituent autant de points sensibles qu’il est nécessaire de sécuriser.
Le poste d’administration
Dans sa note technique, l’ANSSI donne des exemples d’attaques visant en particulier le poste d’administration. Ainsi, on peut mentionner les attaques consistant à exécuter un code malveillant sur un poste depuis lequel un administrateur s’est connecté avec ses privilèges.
Ce code malveillant peut être introduit par de multiples moyens (Internet, pièce jointe, support amovible, etc.). Il peut alors exploiter les privilèges de la session d’administration pour voler des empreintes de mots de passe ou d’autres informations d’authentification. Cette technique peut permettre à un attaquant d’usurper l’identité d’un compte privilégié et d’accéder aux ressources du système d’information sans connaître le mot de passe en clair, pour installer un logiciel espion, diffuser des logiciels malveillants ou encore accéder aux serveurs.
Pour prévenir ce type de problème, il convient donc d’apporter un soin tout particulier à la sécurisation du poste d’administration.
Comment sécuriser le poste d’administration ?
Pour sécuriser le poste d’administration, une première solution consiste à séparer physiquement les environnements de travail, en particulier l’administration d’une part, et la bureautique d’autre part. Cela oblige à disposer d’au moins deux stations de travail, mais cette séparation physique constitue une mesure de protection particulièrement robuste, en limitant le risque qu’une menace présente sur le poste bureautique compromette les outils ou les accès d’administration.
Une deuxième solution est d’utiliser les technologies de virtualisation afin d’obtenir un système « multi-niveaux ». Le principe consiste à utiliser la virtualisation pour faire fonctionner plusieurs environnements logiciels séparés sur un même poste physique. L’un peut être réservé à l’administration, tandis que l’autre sert aux tâches bureautiques courantes.
Pour limiter les risques, ces environnements doivent être correctement isolés grâce à des mesures de sécurité adaptées, notamment au niveau du système hôte et de l’hyperviseur. L’objectif est d’éviter qu’une compromission de l’environnement bureautique n’atteigne celui utilisé pour l’administration, ou que des informations sensibles ne circulent vers un environnement moins protégé.
Cette solution permet d’utiliser un seul poste physique, mais elle n’offre un niveau de protection suffisant que si l’isolation entre les environnements est réellement robuste.
Sécuriser les comptes d’administration
Avez-vous déjà reçu une demande vous invitant à modifier ou à renforcer votre mot de passe ? Les identifiants font partie des premières cibles des attaques informatiques. Le vol de ces informations compromet forcément le système d’information, en particulier si le compte compromis dispose de droits importants, mais surtout, ce type de compromission est particulièrement difficile à détecter.
Même avec des mots de passe robustes, il est préférable de ne pas reposer uniquement sur ce moyen d’authentification pour protéger les comptes d’administration. L’authentification multifacteur (MFA) constitue aujourd’hui une mesure essentielle.
L’authentification multifacteur ajoute une vérification supplémentaire en combinant plusieurs éléments :
- quelque chose que l’utilisateur connaît, comme un mot de passe ou un code PIN ;
- quelque chose qu’il possède, comme une clé de sécurité, une carte à puce ou une application d’authentification ;
- quelque chose qui lui est propre, comme une empreinte digitale ou une autre donnée biométrique.
Ainsi, le vol d’un mot de passe ne suffit plus, à lui seul, pour accéder au compte.
Pour les comptes d’administration les plus sensibles, il est recommandé de privilégier des méthodes résistantes au phishing, notamment les clés de sécurité utilisant le standard FIDO2 ou les cartes à puce avec authentification par certificat.
La protection des comptes passe aussi par une gestion stricte des droits. Chaque administrateur doit utiliser un compte dédié à l’administration, distinct de son compte habituel, et disposer uniquement des accès nécessaires à ses missions. Les comptes et les actions d’administration doivent également être surveillés et enregistrés afin de pouvoir détecter les usages inhabituels et retracer les opérations réalisées.
Le guide de l’ANSSI relatif à l’administration sécurisée des systèmes d’information détaille les mesures de protection applicables aux comptes et aux accès d’administration.
Sécuriser les passerelles d’administration
Les outils et les infrastructures utilisés pour administrer le système d’information doivent être protégés avec le même niveau d’attention que les serveurs et les applications sensibles.
Les passerelles d’administration, notamment les serveurs de rebond (ou bastions), permettent de contrôler et de centraliser les connexions des administrateurs vers les équipements et serveurs sensibles du système d’information.
L’ANSSI recommande de séparer, physiquement ou logiquement, les infrastructures d’administration des environnements de production et des postes bureautiques. Cette séparation peut notamment s’appuyer sur le filtrage des accès, une authentification renforcée et le chiffrement des communications.
L’accès aux passerelles doit être strictement limité aux personnes autorisées. Les connexions et les actions réalisées doivent être enregistrées afin de pouvoir suivre les opérations effectuées et repérer d’éventuels comportements suspects.
Cette tâche est rendue délicate par l’augmentation du nombre de systèmes et la complexité croissante des solutions techniques d’administration.
Souvent, s’ajoutent à cette complexité des contraintes budgétaires, des ressources humaines limitées et la nécessité de maintenir un service qui fonctionne en continu.
Conclusion
La sécurisation de l’administration informatique repose donc sur plusieurs mesures complémentaires : la protection des postes, la maîtrise des comptes privilégiés et le contrôle des accès aux infrastructures. Mais leur efficacité dépend aussi de leur maintien dans le temps.
Il ne s’agit pas seulement de mettre en place un système sécurisé. Il est aussi crucial de maintenir tous ses composants dans de bonnes conditions de sécurité. Pour bien faire, il faut mettre en œuvre un ensemble de mesures techniques et organisationnelles permettant de :
- maintenir le niveau de sécurité initial du système
- anticiper ou au moins faire face à l’émergence des nouveaux risques.
Les risques doivent être réévalués régulièrement, notamment lors d’une évolution importante de l’infrastructure, de l’apparition d’une nouvelle menace ou après un incident de sécurité. Un point annuel peut servir de référence, mais il est important de procéder à une nouvelle évaluation chaque fois que la situation le nécessite.
Vous souhaitez évaluer la sécurité de votre système d’information et identifier les points à améliorer ? Nos équipes vous accompagnent dans la réalisation de votre audit informatique. Demandez gratuitement un devis !
