Gestion des accès et des identités
Trop d’accès ouverts trop longtemps, c’est un risque classique. Nous structurons les droits, les privilèges et le cycle de vie des comptes pour coller aux exigences ISO 27001.
Ce qu’on voit trop souvent
Les accès s’accumulent : comptes partagés, ex-employés encore actifs, privilèges « on verra plus tard ». L’audit ne cherche pas un produit IAM. Il cherche qui a droit à quoi, et qui a revu ça récemment.
- des comptes génériques, surtout en administration
- aucun processus d’arrivée / départ / changement de rôle
- mots de passe dans un fichier, ou pas de gestionnaire du tout
- revues d’accès jamais faites, ou faites « de mémoire »
- la production, le courriel et les dépôts de code avec les mêmes privilèges
De quoi s’agit-il
La gestion des accès, c’est accorder le minimum nécessaire, le retirer à temps, et pouvoir le démontrer. ISO 27001 n’impose pas un outil unique ; elle impose des règles, des revues et des preuves.
Nous posons le processus (joiner / mover / leaver), les règles de privilèges, l’usage d’un gestionnaire de mots de passe, et une revue que quelqu’un peut réellement faire. Le lien avec le développement sécurisé se fait sur les dépôts et les secrets.
Où ça se situe dans ISO 27001
Le module couvre les contrôles d’accès de l’Annexe A et s’appuie sur les rôles de la clause 5.3. La classification (gouvernance) donne le « pourquoi » des droits.
Ce que comprend ce module
- Politique d’accès et principe du moindre privilège
- Arrivée, changement de rôle et départ
- Comptes privilégiés et authentification
- Revue périodique des droits
Comment on travaille
Cartographier les accès critiques
Admin, courriel, fichiers clients, prod, dépôts. On commence par ce qui fait mal si ça fuit ou si ça reste ouvert.
Règles et cycle de vie
Qui demande, qui approuve, comment on retire. Arrivées, départs, changements de poste.
Mots de passe et privilèges
Gestionnaire, MFA là où ça compte, interdiction des comptes partagés sauf exception écrite.
Revue périodique
Calendrier, responsables, preuves. Une revue trop lourde ne se fera pas : on la dimensionne pour une PME.
Ce que vous recevez
- Politique de contrôle d’accès
- Procédure d’arrivée, de mutation et de départ
- Matrice des droits pour les systèmes du périmètre
- Checklist de revue périodique des accès
Pour qui
PME dont les comptes s’accumulent, les administrateurs sont trop nombreux, ou les départs ne ferment pas les accès.
Pour qui ce n’est pas
Ce module n’est pas un projet d’annuaire d’entreprise, ni un pentest des authentifications. Il ne classifie pas l’information à votre place (c’est la gouvernance).
Durée type
2 à 4 semaines, plus le temps interne de nettoyer les comptes.
Ce que vous devez fournir
Vous donnez la liste des systèmes critiques, un export approximatif des comptes (même imparfait), et un responsable RH ou direction pour les arrivées / départs.
Limites de ce module
Ce module pose les règles et les preuves. Il ne configure pas tous vos annuaires à votre place, sauf si c’est convenu à part.
Questions fréquentes
- Faut-il un SSO dès le départ ?
- Utile, pas obligatoire. L’audit veut des règles, un cycle de vie et des revues. Le SSO peut venir ensuite.
- Les comptes de service sont-ils inclus ?
- Oui. Les comptes techniques oubliés sont une cause fréquente d’écart. Ils figurent dans la matrice et la revue.
- Qui approuve les accès ?
- Le propriétaire de l’actif ou un responsable désigné, pas seulement le TI. C’est documenté dans le RACI de gouvernance.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.