Droits d’accès
10.C.4-EI/EE
Revoir les droits au moins annuellement
Il faut régulièrement comparer les besoins théoriques, alimentés notamment par les processus RH, avec les accès réellement détenus, puis appliquer les décisions prises.
Cœur IAG
Mis en pratique dansRevue des droits
1 · Ce que demande l’ANSSI
Les droits d’accès sont revus périodiquement, au minimum une fois par an, et les anomalies sont corrigées.
Source : ANSSI — ReCyF, objectif de sécurité 10 · 10.C.4-EI/EE
2 · En clair
Il faut régulièrement comparer les besoins théoriques, alimentés notamment par les processus RH, avec les accès réellement détenus, puis appliquer les décisions prises.
Cœur IAG
3 · Ce que fait l’IAG
- 01Lancer des campagnes de certification sur un périmètre défini.
- 02Affecter les revues aux responsables concernés.
- 03Présenter les droits réellement détenus et les données utiles à la décision.
- 04Enregistrer une décision de conservation ou de révocation et suivre son avancement.
- 05Déclencher le déprovisioning issu des résultats de certification.
- 06Interroger les données actuelles et historiques, sauvegarder les rapports et les exporter.
4 · Exemple de mise en œuvre
Les droits réellement détenus sont collectés et rapprochés de la base des besoins à jour.
Une campagne sélectionne les personnes, comptes, applications ou droits à examiner.
Chaque revue est routée vers le responsable compétent.
Le responsable décide de conserver ou de révoquer.
La décision est appliquée dans la cible, puis son traitement est suivi et restitué dans un rapport.
5 · Ce que l’IAG ne fait pas
L’IAG outille la campagne et l’application des décisions ; les responsables doivent disposer d’une base des besoins à jour et assumer la décision métier.
Briques ou acteurs complémentaires : Processus RH, responsables métiers, propriétaires d’applications et systèmes cibles.
6 · Traces disponibles
- Périmètre et dates de campagne
- Responsables affectés
- Droits présentés
- Décisions de conservation ou révocation
- Déprovisioning résultant
- Rapports et exports
Ces traces permettent d’étayer la mise en œuvre. Elles ne constituent pas une preuve automatique de conformité.
Comment le mettre en place
De l’exigence à la mise en œuvre.
- 01Définir le périmètre de la première revue.
- 02Importer les droits effectivement détenus.
- 03Disposer des informations RH permettant de comprendre le besoin théorique.
- 04Identifier les responsables de revue.
- 05Lancer la campagne.
- 06Recueillir conserver / révoquer.
- 07Déprovisionner les droits refusés.
- 08Contrôler les erreurs.
- 09Produire le rapport de campagne.
Source : ANSSI — ReCyF, objectif de sécurité 10. Voir aussi : ANSSI — ReCyF en pratique, Gestion des identités. Détail des sources
Pour lancer le projet
Choisissez une première offre, puis obtenez un prix adapté à votre périmètre.
Voyons quelles briques vous pouvez automatiser avec un premier IAG.
Netwrix édite la solution. Ariovis est l’équipe française avec laquelle vous la choisissez, l’achetez et la déployez.