Qu'est-ce que le principe des quatre yeux ?
Le principe des quatre yeux, aussi appelé double contrôle ou approbation à deux personnes, est une règle selon laquelle certaines actions exigent deux personnes autorisées : l'une demande, l'autre approuve. Aucun individu seul, ni aucun compte compromis seul, ne peut mener l'action à son terme.
Comment fonctionne le principe des quatre yeux ?
Une action protégée est lancée par une personne et reste en attente. Une seconde personne, avec un compte distinct, l'examine puis l'approuve ou la rejette. Seule une demande approuvée est exécutée, et les deux identités sont enregistrées. Les demandes restées sans réponse dans un délai défini expirent. Ce contrôle est établi de longue date dans la banque et dans la manipulation des clés cryptographiques. Les logiciels de sauvegarde l'ont adopté pour les opérations qui suppriment des données.
Quelles opérations de sauvegarde doivent exiger deux personnes ?
Le principe s'applique aux actions qui réduisent la capacité de restauration, y compris de façon indirecte.
| Action | Pourquoi elle est couverte |
|---|---|
| Suppression de sauvegardes ou de points de restauration | Perte directe de données de restauration |
| Réduction de la rétention ou de l'immuabilité | Les données expirent plus tôt que prévu |
| Retrait d'un référentiel | Son contenu peut devenir orphelin ou être effacé |
| Modification des comptes administrateurs | Pourrait créer un second approbateur aux mains d'une seule personne |
| Désactivation de la fonction d'approbation | Couperait le contrôle |
Qu'est-ce qui rend la double approbation efficace ?
Les deux parties doivent être indépendantes. Si les deux comptes dépendent du même annuaire, un attaquant qui le contrôle contrôle les deux. Si un administrateur connaît le mot de passe de l'autre, il n'y a en réalité qu'une personne. Les comptes d'approbateurs doivent être nominatifs, détenus individuellement, protégés par leur propre authentification multifacteur et, idéalement, détachés du domaine de production. Dans les petites équipes, l'approbateur peut être un responsable, un responsable de la sécurité ou un prestataire externe. L'article Approbation des suppressions de sauvegardes décrit le déroulement en pratique.
Quel lien avec l'immuabilité ?
Le principe des quatre yeux encadre ce que les administrateurs peuvent faire dans le logiciel de sauvegarde, et il laisse aboutir une suppression justifiée. L'immuabilité porte sur les données stockées elles-mêmes et, en mode conformité, n'admet aucune suppression avant l'expiration du verrou. Les deux se complètent. L'approbation protège la configuration et les données hors période de verrouillage. L'immuabilité protège les points de restauration récents même si les deux approbateurs sont compromis.
Questions fréquentes
Le principe des quatre yeux est-il identique à la séparation des tâches ?
Les deux sont liés. La séparation des tâches confie des tâches différentes à des personnes différentes. Le principe des quatre yeux exige deux personnes pour la même tâche.
La double approbation ralentit-elle l'exploitation ?
Seulement pour les quelques actions concernées. Les sauvegardes et les restaurations courantes ne sont pas touchées.
Que se passe-t-il si un seul administrateur est disponible ?
La demande attend. C'est pourquoi il est recommandé de prévoir au moins trois approbateurs possibles, afin que les absences ne bloquent pas le travail légitime.