Que ce soit pour les auditeurs, pour le RSSI, ou pour la bonne gestion du périmètre des habilitations, il est nécessaire de réaliser régulièrement des revues d'habilitation. Qu'est ce qu'une revue des comptes ou des habilitations? Une revue de compte peut signifier plusieurs choses. Généralement, on parle de revue de comptes lorsque l'on veut être sûr que les comptes actifs dans les différentes applications sont des comptes légitimes. Cette revue de compte est souvent lourde car nécessite de traiter souvent à la main des listes RH de collaborateurs et de les comparer avec la liste des accès ouverts sur chacune de applications de l'entreprise. La revue de compte (ou audit d'habilitation) est demandée par les auditeurs (internes ou externes) ou par le RSSI. Ce process peut être réalisé par le RSSI lui-même ou une personne responsable dans l'équipe IT. C'est une opération engageante (celui qui valide la revue de compte peut engager sa responsabilité car cela rentre dans le cadre de procédures d'audit légales), minutieuse, et fastidieuse.
- Revue des habilitations d
- Revue des habilitations francais
- Revue des habilitations et
Revue Des Habilitations D
Certains, par manque de temps et d'implication de la part des responsables métier, pourraient prendre des raccourcis et fournir des revues partielles. Un tel choix aurait malheureusement de graves conséquences sur l'entreprise. Il est donc préférable de procéder à la mise en place d'un plan d'actions pour mener à bien ce projet, mais également de réfléchir aux formats des outils à fournir aux différentes personnes impliquées dans ces validations. La sensibilisation, la pierre angulaire d'une revue des habilitations efficace
Réaliser une revue des habilitations, c'est impliquer des responsables de départements pour qui la gestion des droits d'accès, et plus largement la sécurité informatique, sont plus des empêcheurs de tourner en rond que des accélérateurs de business. En effet, la validation des accès pour un manager d'une équipe de 30 personnes est chronophage, surtout si ce dernier n'y voit pas son intérêt. C'est pourquoi, il est indispensable de les sensibiliser (quels enjeux business pour l'entreprise et pour leur département?
Quelles bonnes pratiques pour des campagnes de revues de droits efficaces? Pour que la revue des droits d'accès soit réellement efficace, un des enjeux est de pouvoir impliquer les managers fonctionnels: ils doivent être à même d'évaluer simplement si les habilitations dont bénéficient leurs équipes sont légitimes et justifiées. A minima, il s'agira de:
Définir un périmètre pertinent et raisonnable de la revue: quelles populations d'utilisateurs, quelles applications, quels responsables métiers, etc. Sensibiliser, outiller, former et accompagner les responsables métiers impliqués dans la campagne de revue
Industrialiser la revue d'habilitation en s'appuyant sur les bons outils et une méthodologie rigoureuse
De fait, si la revue des droits d'accès est un processus très opérationnel de contrôle et de gouvernance des identités et des accès, il est indispensable de la lier étroitement à votre plateforme de gestion des identités et des accès.
Revue Des Habilitations Francais
4. Définir sa politique d'authentification
L'habilitation des utilisateurs des systèmes d'informations repose sur une politique d'authentification établie par l'entreprise. Cette authentification permet d'identifier l'utilisateur qui se connecte au SI et est un prérequis indispensable à la bonne gestion des habilitations. Pour des raisons évidentes de traçabilité, toute personne doit être identifiée et authentifiée de manière sécurisée et certaine avant qu'elle ne puisse agir sur le SI (consultation, modification, téléchargement, suppression…). Compte tenu des informations accessibles sur ses systèmes d'information, il relève de la responsabilité du responsable de traitement de mettre en place une authentification sécurisée et en cohérence avec le niveau des droits attribués à chaque utilisateur. D'une manière générale la règle doit être la suivante: plus l'utilisateur aura un niveau étendu d'accès à des informations confidentielles, plus son niveau d'authentification devra être fort. Afin de déterminer une politique d'authentification rigoureuse il est notamment nécessaire se référer aux recommandations formulées par la CNIL dans sa délibération n° 2017-012 du 19 janvier 2017.
Les rapports produits sont mis à disposition des RSSI sur un portail Web; ils sont limités au périmètre de chacun. Pour l'heure, les personnes concernées, dans le cadre de l'activité opérateur de la CNAV, reçoivent leurs rapports par courriel. Mais à terme, elles aussi disposeront d'un accès via portail. En cas d'anomalies ou d'erreurs, des tickets sont créés automatiquement dans l'outil d'ITSM pour lancer le processus de remédiation. De premiers bénéfices concrets
Même si le périmètre reste limité à ce stade, de premiers résultats concrets sont là. Selon Christine Jacquemin, les revues s'avèrent déjà considérablement plus efficaces. Mais le meilleur est à venir. Et cela commence par la promesse d'une véritable autonomie des directions métiers, des auditeurs – internes et externes –, des RSSI, de la maîtrise des risques, dans la revue des droits. L'intégration future d'IdentityGRC avec l'application de demande de droits permettra en outre de vérifier la conformité des droits réellement accordés avec ceux qui auront été demandés.
Revue Des Habilitations Et
C'est aux équipes informatiques de fédérer et sensibiliser les responsables métiers (les responsables fonctionnels/applicatifs) à la sécurité et à la maîtrise du risque opérationnel.
Afin de répondre aux besoins d'analyse de manière quasi immédiate et fiable, il est préférable d'industrialiser ce processus en s'appuyant sur les bons outils et une méthodologie rigoureuse. Une solution adaptée permettra de disposer d'une vue centralisée des droits, d'avancer de façon itérative (selon la criticité des applications ciblées, les impératifs métiers ou réglementaires, etc. ), d'assurer un historique des revues effectuées et de garantir la traçabilité des actions menées, éléments indispensables de la conformité. Il sera alors simple et rapide de présenter les preuves nécessaires en cas d'audit. Une fois la recertification effectuée, un outil complet s'intégrera avec les solutions d'IAM de l'entreprise afin de lancer les processus de remédiation permettant de corriger les anomalies remontées. C'est en industrialisant les revues d'habilitations que l'entreprise réduira grandement le risque d'erreur et s'assurera un contrôle régulier au plus proche de la réalité. Les processus de contrôle seront simples et fluides et la charge associée considérablement réduite.