Expliquez le principe du moindre privilège et comment vous l'appliqueriez.

Le moindre privilège est un principe fondamental qui apparaît partout, de l'Active Directory à l'IAM cloud. Les recruteurs veulent savoir que vous comprenez pourquoi il compte et comment vous le feriez réellement respecter.

Le principe

Chaque utilisateur, compte, processus et service ne devrait disposer que de l'accès nécessaire à l'exécution de sa fonction — et rien de plus. Un technicien de support n'a pas besoin de droits d'administrateur de domaine ; le compte de base de données d'une application web n'a pas besoin de pouvoir supprimer des tables ; un microservice ne devrait pas avoir des permissions cloud étendues à tout le compte.

Pourquoi c'est important

Le bénéfice central est de limiter le rayon d'impact. Lorsqu'un compte est inévitablement compromis — par hameçonnage, vol de jeton ou service vulnérable — le moindre privilège plafonne ce que l'attaquant peut atteindre. Un compte surprivilégié est un passe-partout ; un compte étroitement défini est une impasse. Cela réduit aussi le risque de menace interne et diminue la surface d'attaque globale.

Comment l'appliquer

• Contrôle d'accès basé sur les rôles (RBAC) : définir des rôles aux permissions ciblées et affecter les personnes aux rôles plutôt que d'accorder des droits ponctuels.
• Séparer les fonctions et les comptes : les administrateurs utilisent des comptes standards pour le travail quotidien et n'élèvent leurs privilèges qu'en cas de besoin.
• Accès juste-à-temps (JIT) et limité dans le temps : accorder des droits élevés temporairement et les révoquer automatiquement.
• Revues d'accès régulières : combattre la dérive des privilèges, où les personnes accumulent des permissions en changeant de poste mais ne perdent jamais les anciennes.
• Identités de service ciblées : dans le cloud, restreindre les politiques IAM et éviter les rôles génériques ou administrateur pour les charges de travail.

Pourquoi c'est important

Les recruteurs posent cette question pour voir si vous reliez le principe à des résultats concrets. Une bonne réponse rattache le moindre privilège à la réduction du rayon d'impact, désigne la dérive des privilèges comme l'ennemie, et propose des mécanismes concrets — RBAC, accès JIT et revues périodiques — plutôt que de se contenter de définir le terme.