Mode d’emploi 07
Faire une revue des droits
Le résultat recherchéUne revue se termine par des droits réellement retirés, pas par un fichier archivé que personne ne rouvre.
Vérifier périodiquement que les droits détenus correspondent encore au besoin. La fiche ANSSI explique que la revue compare les besoins théoriques aux accès effectivement détenus, ce qui suppose une base de besoins à jour, généralement appuyée sur les procédures RH. Le ReCyF prévoit une revue périodique, au minimum annuelle.
Contribue principalement à
Mise en œuvre
Événement, règle, décision, action, contrôle, trace.
- 01
Choisir le périmètre
Une campagne de certification peut porter sur des accès existants, un applicatif, ou les collaborateurs d’un ou plusieurs départements.
- Une application
- Une population
- Un département
- Une famille de droits
- 02
Préparer les données
Afficher assez de contexte pour permettre une décision utile.
- Personne
- Compte
- Droit
- Rôle
- Application
- Contexte organisationnel disponible
- 03
Désigner le responsable de la revue
Les revues sont routées vers des responsables désignés.
- 04
Demander une décision
Au minimum conserver ou révoquer. Une campagne ne doit pas devenir une collecte administrative sans effet.
- 05
Enregistrer la décision
Conserver qui a décidé et quand.
- 06
Appliquer les révocations
Le déprovisioning s’appuie sur les résultats de certification. La boucle est revue → décision → correction, et non revue → fichier Excel archivé.
- 07
Vérifier le résultat
Contrôler les déprovisionings en erreur ou restant à traiter manuellement.
Le flux
- Gouvernance IAGPérimètre de campagne
- ExécutionDroits réellement détenus
- Gouvernance IAGRevue routée au responsable
- Gouvernance IAGConserver ou révoquer
- ExécutionDéprovisioning
- Gouvernance IAGContrôle et rapport
Décision, puis exécution
Connecteur disponible → révocation automatique
Pas de connecteur → tâche manuelle → confirmation
Dans les deux cas l’opération reste gouvernée : l’action attendue, son responsable, son état et sa réalisation finale sont connus. Un projet peut donc commencer avant que toutes les applications soient automatisables.
Pour commencer
Le plus petit périmètre utile.
- Une application sensible ou un seul département.
- Un jeu de droits limité mais réellement exploitable.
Pour industrialiser
Ce que l’on étend ensuite.
- Élargir les campagnes à davantage d’applications et de populations.
- Fixer une périodicité et un calendrier.
- Automatiser l’application des révocations.
À surveiller ensuite
Un workflow lancé n’est pas un workflow terminé. Ces points se contrôlent en fonctionnement courant.
- Décisions de certification non appliquées
- Déprovisionings en erreur
- Campagnes sans réponse des responsables
Traces utiles
- Périmètre de campagne
- Date
- Personnes sollicitées
- Décisions
- Droits révoqués
- Éventuelles erreurs d’exécution
- Rapport de campagne
Pour lancer le projet
Choisissez une première offre, puis obtenez un prix adapté à votre périmètre.
Préparer une première campagne de revue : identifions le périmètre, les responsables et l’application des révocations.
Netwrix édite la solution. Ariovis est l’équipe française avec laquelle vous la choisissez, l’achetez et la déployez.