Le cas le plus mal traité, et le plus fréquent
Une personne change de service. Le nouveau responsable demande les accès de son nouveau poste, et ils sont ouverts le jour même. Personne ne demande le retrait des anciens, parce que personne ne les connaît et que personne n'y a intérêt.
Résultat après trois mobilités en huit ans : une personne de la comptabilité qui conserve les accès de l'atelier, du service commercial et de la paie.
Ce n'est pas un cas rare. C'est le fonctionnement par défaut de toute organisation qui n'a pas décidé le contraire.
Pourquoi c'est pire qu'un départ
Le départ se voit. Il a une date, un responsable, une procédure même sommaire.
La mobilité ne se voit pas : la personne reste, son badge fonctionne, ses collègues la croisent. Rien ne déclenche de revue.
Trois conséquences se cumulent.
Un cumul de droits que plus personne ne comprend. Le jour où l'on regarde, il est impossible de dire ce qui est légitime et ce qui est résiduel.
Une séparation des tâches rompue. La même personne qui saisit une commande et qui valide un paiement crée une possibilité de fraude, et surtout une possibilité d'erreur non détectée.
Un compte à valeur élevée pour un attaquant, sans que la personne ait un rôle particulier dans l'organisation.
Le point à faire entendre à la direction est celui-là : il ne s'agit pas de se méfier de quelqu'un. Un cumul de droits est un risque même chez une personne parfaitement loyale, parce qu'un compte compromis porte tout ce qu'il détient.
Traiter la mobilité comme un objet à part
Une mobilité n'est ni une arrivée ni un départ. Elle a sa propre demande, avec quatre informations.
La personne, la date d'effet, l'ancien poste et le nouveau.
Le traitement se fait en deux temps volontairement séparés.
Ouvrir les nouveaux droits à la date d'effet.
Retirer les anciens quelques jours après, une à deux semaines selon le métier, parce qu'une passation en cours peut exiger un accès résiduel.
Ce décalage est légitime, et c'est précisément lui qui fait tout oublier s'il n'est pas porté par une tâche datée. La règle qui tient : le retrait est planifié au moment de l'ouverture, jamais décidé plus tard.
Les profils de poste, encore
Le mécanisme vu au premier chapitre trouve ici son plein usage.
Si les droits sont attribués par appartenance à un groupe d'annuaire correspondant au métier, une mobilité devient une opération unique : retirer du groupe de l'ancien service, ajouter à celui du nouveau.
Si les droits ont été attribués individuellement, il faut les retrouver un par un, et personne n'en a le courage. C'est l'argument le plus concret en faveur des profils, et il ne se voit qu'à la première mobilité.
Les droits qui échappent aux groupes
Trois familles résistent, et elles demandent une liste tenue à jour.
Les applications métier avec leur propre gestion de comptes, non reliées à l'annuaire.
Les partages de fichiers attribués à une personne plutôt qu'à un groupe.
Les accès chez des tiers : portails fournisseurs, outils en ligne, banque.
Ces trois-là ne se retirent que si quelqu'un sait qu'ils existent, ce qui renvoie à la trace de ce qui a été ouvert à l'arrivée, et à la revue traitée dans la leçon suivante.
À retenir
La mobilité est plus dangereuse que le départ parce qu'elle ne se voit pas. Elle a sa propre demande, avec l'ancien poste et le nouveau. Les nouveaux droits s'ouvrent à la date d'effet, les anciens se retirent une à deux semaines après, planifié dès l'ouverture. Et ce qui n'est pas porté par un groupe demande une liste tenue à jour.