One account to administer, another to work
Free
Reading email or browsing with an admin account hands all your rights to the first malicious click. A dedicated admin account, few global admins, rights switched on only for the task.
- 3 min
- 3-question check
- English · Français
- Attestation
You will be able to
- Use a dedicated admin account, never for email or web browsing
- Keep global administrators to a minimum and prefer narrower roles
- Switch admin rights on only for the task, and protect admin accounts with strong MFA
The module
3 min-
One account to administer, another to work 2 min
-
Knowledge check
3 questions, pass mark 80 %. Explanations after each answer; you can try again.
-
Attestation
One per person, with the date, the score and the frameworks covered — anyone can check it online with its code.
Sources
- ANSSI, Recommandations relatives à l'administration sécurisée des SI (PA-022 v3.0, 11 mai 2021), R27 comptes d'administration dédiés
- NSA / CISA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5 oct. 2023 (n° 2 : séparation insuffisante des privilèges utilisateur / administrateur)
- Microsoft Learn, Best practices for Microsoft Entra roles (Global Administrator : moins de cinq ; PIM, accès juste à temps)
- Règlement d'exécution (UE) 2024/2690, annexe, 11.3 (comptes dédiés à l'administration), guide ENISA du 26 juin 2025 : applicable aux fournisseurs de services gérés (MSP / MSSP) concernés, bonne pratique pour les autres
- À retenir : idéalement depuis un poste d'administration dédié (ANSSI) ; comptes admin cloud uniquement, sans licence ni boîte aux lettres, et deux comptes d'urgence ; sans PIM (Entra ID P2), attribuer le rôle pour la tâche, le retirer ensuite et le journaliser
Version 1 · updated October 5, 2026