Accès

Le domaine des accès porte sur les capacités techniques réelles, pas seulement sur les fonctions inscrites dans un organigramme. Il examine qui peut consulter, créer, modifier, extraire ou supprimer une information, depuis un compte individuel comme depuis un programme automatisé. Dans une PME, les droits s’accumulent au gré des arrivées, des remplacements, des projets et des changements de fonction. La confusion vient souvent d’un raisonnement par intitulé de poste, alors que les autorisations effectives résultent de plusieurs outils et de nombreux réglages successifs.

Ce que nous regardons

• Les comptes nominatifs actifs et les droits attribués dans chaque application contenant des données sensibles pour l’entreprise.
• Les comptes partagés, génériques, administrateurs ou temporaires, avec leur usage connu et leur mode d’authentification.
• Les comptes de service employés par les synchronisations, interfaces, tâches planifiées, équipements et sauvegardes.
• Les procédures d’ouverture, de modification et de fermeture des accès lors des arrivées, mobilités, absences et départs.
• Les autorisations d’export, de suppression, de délégation et de modification en masse, distinctes du simple droit de lecture.
• Les accès accordés aux prestataires, experts-comptables, sociétés de maintenance et collaborateurs occasionnels, y compris à distance.
• Les contrôles périodiques permettant aux responsables métier de confirmer ou de retirer les habilitations existantes.

Les écarts les plus courants

• Un salarié ayant changé de fonction conserve ses anciens droits en plus des nouveaux, sans décision explicite sur leur utilité.
• Des identifiants collectifs empêchent d’attribuer une action à une personne et restent inchangés après le départ d’un utilisateur régulier.
• Une connexion technique dispose d’autorisations étendues parce que le besoin précis du traitement n’a jamais été défini.
• Les accès externes sont ouverts pour résoudre un incident, puis maintenus sans échéance ni responsable chargé de leur réexamen.
• La liste tenue par l’administration ne correspond plus aux permissions configurées dans les logiciels, les dossiers partagés ou les consoles d’hébergement.

Les cinq niveaux

La question à se poser

Pouvons-nous dire qui peut techniquement lire et modifier quoi, comptes de service compris ?