Pourquoi une revue, même avec un bon processus
Même une organisation rigoureuse dérive, pour trois raisons qui n'ont rien à voir avec la négligence.
Les accès temporaires qui ne le sont plus. Un droit ouvert pour un remplacement de trois semaines, jamais retiré.
Les changements d'organisation. Un service fusionne, une activité est externalisée, et les groupes ne suivent pas.
Les applications hors annuaire, qui vivent leur vie avec leurs propres comptes.
La revue n'est pas un aveu d'échec du processus : c'est le filet qui rattrape ce qu'aucun processus ne capte.
La méthode qui tient en deux heures
Une revue exhaustive annuelle échoue : elle demande des jours, elle est reportée, puis abandonnée. La méthode par lots réussit.
Trimestre 1 : les comptes à privilèges. Administrateurs de l'annuaire, des serveurs, des applications critiques. Peu nombreux, effet maximal.
Trimestre 2 : les applications sensibles. Paie, comptabilité, données personnelles.
Trimestre 3 : les partages de fichiers, en particulier ceux attribués à des personnes.
Trimestre 4 : les comptes externes, prestataires, intérimaires, partenaires, et les accès chez des tiers.
Deux heures par trimestre, un lot à chaque fois, et l'ensemble du périmètre est couvert sur l'année sans jamais bloquer personne.
Qui valide, et la question à poser
La revue ne se fait pas par le service informatique seul : il voit les droits, il ignore leur légitimité métier.
Le responsable de chaque service reçoit la liste des accès de son équipe. La question posée décide de la qualité de la réponse.
« Validez-vous ces accès ? » obtient un oui global en trente secondes, et ne sert à rien.
« Quelles sont, dans cette liste, les personnes qui n'utiliseraient plus cet accès ? » obtient des retraits, parce qu'elle demande de regarder ligne par ligne.
Encore mieux, quand l'outil le permet : présenter les accès non utilisés depuis quatre-vingt-dix jours. La discussion porte alors sur des faits et non sur des souvenirs.
Les comptes qui n'ont pas d'humain
Une catégorie échappe à toute revue par les responsables : les comptes de service, utilisés par des applications et des scripts.
Trois règles les concernant.
Un propriétaire humain nommé pour chacun, sinon personne ne saura jamais si le compte sert encore.
Une documentation de l'usage : quel script, quelle application, quelle conséquence si on le désactive.
Un test par désactivation quand le doute persiste. Désactiver, attendre une semaine, voir si quelque chose casse. C'est brutal, c'est efficace, et cela se fait en période calme, jamais avant une clôture comptable.
Ces comptes sont ceux dont les mots de passe sont les plus anciens et les droits les plus larges, précisément parce que personne ne les regarde.
Ce que la revue trouve, à chaque fois
Dans la quasi-totalité des organisations qui font l'exercice pour la première fois, quatre choses apparaissent.
Des comptes de personnes parties. Des droits administrateurs accordés pour un dépannage et jamais retirés. Des accès à des applications que la personne n'a jamais ouvertes. Et des comptes de service dont plus personne ne connaît l'usage.
La première revue est toujours la plus longue et la plus productive. Les suivantes prennent une heure et confirment que le processus tient.
À retenir
La revue rattrape ce qu'aucun processus ne capte : accès temporaires, réorganisations, applications hors annuaire. Par lots trimestriels de deux heures, jamais en exhaustif annuel. Demandez qui n'utilise plus, pas si l'on valide, et présentez les accès inutilisés depuis quatre-vingt-dix jours. Et donnez un propriétaire humain à chaque compte de service.