Configurer les contrôles d’accès aux identités pour être conforme au niveau d’impact élevé FedRAMP High

L’organisation :
(a.) Identifie et sélectionne les types de comptes de système d’information suivants pour appuyer les missions et les fonctions organisationnelles : [Affectation : types de comptes du système d’information définis par l’organisation].

(b.) Affecte des gestionnaires de comptes aux comptes du système d’information.

(c.) Établit les conditions d’appartenance au groupe et au rôle.

(d.) Spécifie les utilisateurs autorisés du système d’information, l’appartenance aux groupes et aux rôles, ainsi que les autorisations d’accès (par ex., les privilèges) et, si nécessaire, d’autres attributs pour chaque compte.

(e.) Exige l’approbation [Affectation : du personnel ou des rôles définis par l’organisation] pour les requêtes de création de compte du système d’information.

(f.) Crée, active, modifie, désactive et supprime les comptes du système d’information conformément aux [Affectation : procédures ou conditions définies par l’organisation].

(g.) Surveille l’utilisation des comptes du système d’information.

(h.) Avertit les gestionnaires de comptes :
(1.) Lorsque les comptes ne sont plus requis
(2.) Lors de la suppression ou du transfert des utilisateurs
(3.) Lorsque l’utilisation d’un système d’information individuel ou les besoins en matière de connaissances évoluent

(i.) Autorise l’accès au système d’information en fonction des éléments suivants :
(1.) Autorisation d'accès valide
(2.) Utilisation prévue du système
(3.) Autres attributs requis par l’organisation ou les missions/fonctions métier associées

(j.) Vérifie la conformité des comptes aux exigences de gestion des comptes [Affectation FedRAMP : mensuellement pour l’accès privilégié, tous les six (6) mois pour l’accès non privilégié]

(k.) Établit un processus de réémission des informations d’identification pour les comptes partagés ou de groupe (si déployés) lorsque des personnes sont retirées du groupe.

Utilisez Microsoft Entra ID pour provisionner des comptes à partir de systèmes RH externes, d'Active Directory sur site ou directement dans le cloud. Toutes les opérations du cycle de vie du compte sont auditées dans les journaux d'audit Microsoft Entra. Vous pouvez collecter et analyser les journaux en utilisant une solution SIEM (Security Information and Event Management) comme Microsoft Sentinel. Vous pouvez également utiliser Azure Event Hubs pour intégrer des journaux dans des solutions SIEM tierces afin d’activer la supervision et la notification. Utilisez la gestion des droits Microsoft Entra avec des examens d’accès pour garantir l’état de conformité des comptes.

Provisionner des comptes

Configurez le provisionnement automatisé des comptes contrôlés par le client à partir de systèmes RH externes ou d’Active Directory local. Pour les applications qui prennent en charge le provisionnement d'applications, configurez Microsoft Entra ID pour créer automatiquement des identités et des rôles d'utilisateur dans les applications Cloud Software as a Solution (SaaS) auxquelles les utilisateurs doivent accéder. En plus de créer des identités utilisateur, l’approvisionnement automatique comprend la maintenance et la suppression d’identités utilisateur en cas de modification de l’état ou des rôles. Pour faciliter la surveillance de l'utilisation du compte, vous pouvez diffuser les journaux Microsoft Entra ID Protection, qui affichent les utilisateurs à risque, les connexions à risque et les détections de risques, ainsi que les journaux d'audit directement dans Microsoft Sentinel ou Event Hubs.

Approvisionner

AC-02(3)
Le système d’information désactive automatiquement les comptes inactifs au bout de [Affectation FedRAMP : trente-cinq (35) jours pour les comptes d’utilisateurs].

AC-2 (3) Exigences et conseils supplémentaires pour FedRAMP :
Exigence : le fournisseur de services définit les délais pour les comptes non associés à des utilisateurs (par exemple, les comptes associés à des appareils). Le JAB/AO approuve et accepte les délais. Lorsque la gestion des utilisateurs dépend du service, les rapports d’activité des utilisateurs consommateurs doivent être mis à disposition.

Implémentez l’automatisation de la gestion des comptes avec Microsoft Graph et Microsoft Graph PowerShell. Microsoft Graph permet de superviser l’activité de connexion et Azure AD PowerShell de prendre des mesures sur les comptes dans le délai imparti.

Déterminer l’inactivité

Toutes les opérations de cycle de vie des comptes (opérations de création, de modification, d’activation, de désactivation et de suppression des comptes) sont auditées dans les journaux d’audit Azure. Vous pouvez diffuser en continu les journaux directement dans Microsoft Sentinel ou Event Hubs pour faciliter la notification.

Audit

AC-2 (5) Exigences et conseils supplémentaires relatifs à FedRAMP :
Conseil : Utiliser un délai plus court que AC-12

Implémentez le verrouillage des appareils à l'aide d'une stratégie d'accès conditionnel limitant l'accès aux appareils conformes. Configurez les paramètres de stratégie sur l’appareil pour appliquer le verrouillage de l’appareil au niveau du système d’exploitation avec des solutions de gestion des appareils mobiles comme Intune. Endpoint Manager ou des objets de stratégie de groupe peuvent également être envisagés dans les déploiements hybrides. Pour les appareils non managés, configurez le paramètre de fréquence de connexion pour forcer les utilisateurs à s’authentifier à nouveau.

Accès conditionnel

L’organisation :
(a.) Établit et administre des comptes utilisateurs privilégiés conformément à un système d’accès basé sur des rôles qui organise l’accès et les privilèges autorisés du système d’information en fonction des rôles.
(b) Surveille les attributions de rôles privilégiés.
(c) Décide de [Affectation FedRAMP : désactiver/révoquer l’accès dans un délai spécifié par l’organisation] lorsque les attributions de rôles privilégiés ne sont plus appropriées.

Implémentez la gestion des identités privilégiées de Microsoft Entra avec des examens d'accès pour les rôles privilégiés dans Microsoft Entra ID afin de surveiller les attributions de rôles et de supprimer les attributions de rôles lorsqu'elles ne sont plus appropriées. Vous pouvez diffuser en continu les journaux d’audit directement dans Microsoft Sentinel ou Event Hubs pour faciliter la notification.

Administrer

Créez des stratégies d’accès conditionnel pour appliquer des décisions de contrôle d’accès sur les utilisateurs et les appareils.

Accès conditionnel

L’organisation :
(a) Surveille les comptes du système d’information concernant l’[Affectation : utilisation atypique définie par l’organisation].
(b) Signale l’utilisation atypique des comptes de système d’information [Affectation FedRAMP : au minimum à l’ISSO et/ou à un rôle similaire au sein de l’organisation].

AC-2 (12) (a) et AC-2 (12) (b) Exigences et conseils supplémentaires relatifs à FedRAMP :
Requis pour les comptes privilégiés.

Pour faciliter la supervision en cas d’utilisation atypique, vous pouvez diffuser en continu les journaux Microsoft Entra ID Protection (qui montrent les utilisateurs à risque, les connexions à risque et les détections de risques) et les journaux d’audit, avec l’aide de la corrélation avec l’attribution des privilèges, directement dans une solution SIEM comme Microsoft Sentinel. Vous pouvez également utiliser Event Hubs pour intégrer les journaux à des solutions SIEM tierces.

ID Protection

Dans Microsoft Entra ID Protection, configurez et activez une stratégie de risque utilisateur avec le seuil défini sur Élevé. Créez des stratégies d’accès conditionnel pour bloquer l’accès aux utilisateurs à risque et aux connexions à risque. Configurez les stratégies de risque pour permettre aux utilisateurs de corriger eux-mêmes et de débloquer les tentatives de connexion ultérieures.

ID Protection

L’organisation :
(a.) Passe en revue [Affectation FedRAMP : au moins une fois par an] les privilèges attribués à [Affectation FedRAMP : l’ensemble des utilisateurs disposant de privilèges], et ce afin de vérifier qu’ils en ont besoin.
(b.) Réattribue ou supprime des privilèges, le cas échéant, pour refléter correctement la mission ou les besoins organisationnels.

Utilisez la gestion des droits Microsoft Entra avec des examens d'accès pour les utilisateurs privilégiés afin de vérifier si un accès privilégié est requis.

Révisions d’accès

L’organisation :
(a.) Applique une limite de [Affectation FedRAMP : trois (3)] tentatives d’ouverture de session non valides consécutives par un utilisateur toutes les [Affectation FedRAMP : quinze (15) minutes].
(b.) [Sélection : Verrouille automatiquement le compte/nœud pour une [Affectation FedRAMP : durée minimale de trois (3) heures ou jusqu’à son déverrouillage par un administrateur]; retarde l’invite de connexion suivante en fonction de l’[Affectation : algorithme de délai défini par l’organisation]] lorsque le nombre maximal de tentatives infructueuses est dépassé.

Activez les paramètres de verrouillage intelligent personnalisés. Configurez le seuil de verrouillage et la durée de verrouillage en secondes pour implémenter ces exigences.

Verrouillage intelligent

Le système d’information :
(a.) Affiche une [Affectation : notification ou bannière concernant d’utilisation du système définie par l’organisation (Affectation FedRAMP : voir la section sur les exigences et conseils supplémentaires)] à l’attention des utilisateurs avant de leur accorder l’accès au système d’envoi d’avis de confidentialité et de sécurité, conformément aux lois fédérales applicables, aux décrets exécutifs, aux directives, aux stratégies, aux règlements, aux normes et aux conseils, et fournit les indications suivantes :
(1.) Les utilisateurs accèdent à un système d’information des États-Unis.
(2.) L’utilisation du système d’information peut être surveillée, enregistrée et soumise à un audit.
(3.) L’utilisation non autorisée du système d’information est interdite et passible de sanctions pénales et administratives.
(4.) L’utilisation du système d’information est soumise au consentement à la surveillance et à l’enregistrement.

(b.) Continue d’afficher la notification ou la bannière à l’écran jusqu’à ce que les utilisateurs acceptent les conditions d’utilisation et prennent des mesures explicites pour se connecter ou accéder au système d’information.

(c.) Pour les systèmes accessibles publiquement :
(1.) Affiche des informations sur l’utilisation du système [Affectation : selon les conditions définies par l’organisation (Affectation FedRAMP : voir exigences et conseils supplémentaires)], avant d’accorder d’autres accès.
(2.) Fait référence, le cas échéant, à des activités de surveillance, d’enregistrement ou d’audit cohérentes par rapport aux exigences de confidentialité des systèmes, qui interdisent généralement ces activités.
(3.) Inclut une description des utilisations autorisées du système.

AC-8 Exigences et conseils supplémentaires relatifs à FedRAMP :
Exigence : Le fournisseur de services doit déterminer quels éléments de l’environnement cloud nécessitent le contrôle de la notification d’utilisation du système. Le JAB/AO approuve et accepte les éléments de l’environnement cloud pour lesquels une notification d’utilisation du système est requise.
Exigence : Le fournisseur de services doit définir une méthode de validation de la notification d’utilisation du système et renseigner un délai de validation approprié. Le JAB/AO approuve et accepte la validation et la périodicité de la notification d’utilisation du système.
Conseils : Si cette procédure est effectuée dans le cadre d’une vérification de la base de référence de configuration, le taux d’éléments nécessitant un paramètre qui sont vérifiés et jugés valides (ou non valides) peuvent être fournis.
Exigence : Si cette procédure n’est pas effectuée dans le cadre d’une vérification de la base de configuration, un accord documenté doit être établi concernant la production des résultats de la validation et la périodicité exigée de la validation par le fournisseur de services. Le JAB/AO approuve et accepte l’accord documenté sur la méthode de production de la validation des résultats.

Avec Microsoft Entra ID, vous pouvez envoyer des notifications ou des bannières pour toutes les applications qui nécessitent et enregistrent un accusé de réception avant d'accorder l'accès. Vous pouvez cibler de manière granulaire ces conditions d’utilisation pour des utilisateurs spécifiques (membre ou invité). Il vous est également possible de les personnaliser par application via des stratégies d’accès conditionnel.

Conditions d’utilisation

Aujourd'hui, les utilisateurs se connectent à partir de plusieurs appareils, parfois simultanément. Limiter les sessions simultanées provoque une dégradation de l’expérience utilisateur et a peu de valeur en termes de sécurité. Une meilleure approche pour traiter l’intention derrière ce contrôle consiste à adopter une position de sécurité Confiance Zéro. Les conditions sont validées explicitement avant qu’une session ne soit créée et validées en continu pendant toute la durée d’une session.

En outre, utilisez les contrôles de compensation suivants.

Utilisez les stratégies d’accès conditionnel pour restreindre l’accès aux appareils conformes. Configurez les paramètres de stratégie sur l’appareil pour appliquer les restrictions d’inscription d’utilisateur au niveau du système d’exploitation avec des solutions de gestion des appareils mobiles comme Intune. Endpoint Manager ou des objets de stratégie de groupe peuvent également être envisagés dans les déploiements hybrides.

Utilisez Privileged Identity Management pour restreindre et contrôler davantage les comptes privilégiés.

Configurez le verrouillage de compte intelligent pour les tentatives de connexion non valides.

Conseils d’implémentation

Confiance Zéro

AC-11(1)
Le système d’information dissimule, via le verrouillage de session, les informations précédemment affichées à l’écran avec une image visible publiquement.

Implémentez le verrouillage de l’appareil à l’aide d’une stratégie d’accès conditionnel limitant l’accès aux appareils conformes. Configurez les paramètres de stratégie sur l’appareil pour appliquer le verrouillage de l’appareil au niveau du système d’exploitation avec des solutions de gestion des appareils mobiles comme Intune. Endpoint Manager ou des objets de stratégie de groupe peuvent également être envisagés dans les déploiements hybrides. Pour les appareils non managés, configurez le paramètre de fréquence de connexion pour forcer les utilisateurs à s’authentifier à nouveau.

Accès conditionnel

Implémentez la réévaluation automatique des sessions utilisateur avec les fonctionnalités de Microsoft Entra telles que l'accès conditionnel basé sur les risques et l'évaluation continue des accès. Vous pouvez implémenter les conditions d’inactivité au niveau de l’appareil, comme décrit à la section AC-11.

Ressources

AC-8 Exigences et conseils supplémentaires relatifs à FedRAMP :
Orientation : Test de la fonctionnalité de déconnexion (OTG-SESS-006) Test de la fonctionnalité de déconnexion

Toutes les interfaces Web Microsoft Entra ID offrent une fonctionnalité de déconnexion pour les sessions de communication initiées par l'utilisateur. Lorsque les applications SAML sont intégrées à Microsoft Entra ID, implémentez la déconnexion unique.

Capacité de déconnexion

AC-20(1)
L’organisation permet aux personnes autorisées d’utiliser un système d’information externe pour accéder au système d’information ou pour traiter, stocker ou transmettre des informations contrôlées par l’organisation uniquement lorsque l’organisation :
(a.) Vérifie la mise en œuvre des contrôles de sécurité requis sur le système externe conformément à la stratégie de sécurité de l’information et au plan de sécurité de l’organisation.
(b.) Conserve les contrats approuvés de traitement ou de connexion au système d’information avec l’entité organisationnelle qui héberge le système d’information externe.

Exigez l’acceptation des conditions d’utilisation pour les utilisateurs autorisés accédant aux ressources à partir de systèmes externes. Implémentez des stratégies d’accès conditionnel pour restreindre l’accès à partir de systèmes externes. Les stratégies d’accès conditionnel peuvent également être intégrées aux applications Microsoft Defender pour le Cloud afin de contrôler les applications Cloud et sur site à partir de systèmes externes. La gestion des applications mobiles dans Intune peut protéger les données de l’organisation au niveau de l’application, notamment les applications personnalisées et les applications du Store, des appareils managés qui interagissent avec les systèmes externes. Par exemple lors de l’accès à des services cloud. Vous pouvez utiliser la gestion des applications sur des appareils personnels et des appareils appartenant à l’organisation.

Conditions générales