1. Utilisation de comptes utilisateurs personnalisés

• Pour accéder aux fonctions d'administration de l'Assistant téléphonique, seuls des comptes utilisateurs personnalisés doivent être utilisés.

• L'utilisation de comptes partagés (shared accounts) est à éviter.

• Explication : seule cette approche permet d'attribuer clairement les accès et les modifications de configuration à des personnes identifiées (traçabilité, responsabilité).

2. Séparation des rôles et principes de droits d'accès

Voir aussi : Gestion des utilisateurs, rôles et droits

• Les tâches administratives et l'utilisation opérationnelle doivent être séparées (séparation des rôles).

• En particulier, les rôles suivants doivent être fonctionnellement distincts :

  • Administrateurs (ex. configuration du service, gestion des utilisateurs et des rôles, configuration du système)

  • Utilisateurs standard (ex. utilisation de l'Assistant téléphonique au quotidien)

• Les droits d'accès doivent être attribués selon le principe du moindre privilège : les utilisateurs ne reçoivent que les droits strictement nécessaires à leurs tâches.

3. Contrôle des transferts et des voies de communication

• Les configurations de renvois d'appels, de renvois de messagerie ou de fonctions similaires doivent être vérifiées régulièrement (ex. au minimum trimestriellement ou en cas d'événement).

• Il convient de vérifier en particulier si les renvois :

  • sont toujours nécessaires d'un point de vue opérationnel,

  • pointent vers les bonnes destinations,

  • n'ont pas été modifiés de manière non autorisée (ex. renvoi non autorisé vers des numéros externes).

4. Utilisation d'appareils de confiance pour la configuration

• Les accès d'administration et de configuration de l'Assistant téléphonique doivent être effectués exclusivement depuis des appareils de confiance gérés par l'utilisateur (ex. PC du cabinet conformes aux règles de sécurité internes).

• Pour les tâches administratives, les appareils doivent notamment :

  • disposer des dernières mises à jour du système d'exploitation et des correctifs de sécurité,

  • utiliser un antivirus/anti-malware à jour,

  • avoir le chiffrement du disque dur et le verrouillage d'écran activés conformément à la politique interne.

• L'utilisation d'appareils personnels, non sécurisés ou non gérés pour l'administration est à éviter, ou ne peut être autorisée que sur la base d'une évaluation explicite des risques.

5. Gestion des identifiants et authentification

• Les mots de passe et identifiants ne doivent pas être partagés ni stockés de manière non sécurisée (ex. pas de post-it, pas de fichiers non chiffrés).

• Si la plateforme d'authentification (ex. CGM ID) prend en charge des fonctions telles que l'authentification multi-facteurs (MFA), celle-ci doit être activée et utilisée conformément aux règles de sécurité internes.

• Le cabinet est responsable de la désactivation rapide des accès en cas de changement de poste ou de départ d'un collaborateur.

6. Documentation et formation

• Les règles de configuration et d'utilisation mentionnées ci-dessus doivent être intégrées dans la documentation interne du cabinet (ex. procédure opérationnelle, politique de sécurité informatique pour l'Assistant téléphonique).

• Les utilisateurs disposant de droits administratifs doivent être explicitement informés de ces règles et formés si nécessaire.

• Les manquements à ces règles doivent être traités conformément aux processus internes du cabinet (ex. gestion des incidents de sécurité).