Pourquoi les revues d’accès déçoivent
Une revue d’accès doit répondre à une question simple : chaque personne a-t-elle encore besoin de chacun de ses accès ? Dans la pratique, elle prend souvent la forme d’un tableur envoyé à des responsables qui valident tout en bloc, faute de temps et de contexte.
Le résultat ne protège rien et ne convainc pas un auditeur : il voit une validation, pas une décision. Une bonne campagne est courte, ciblée, et laisse une trace de chaque choix.
1. Choisir un périmètre restreint
Commencez par les ressources où une erreur coûte cher : la comptabilité, la paie, les comptes d’administration, les données de clients. Une campagne sur une application ou un petit groupe d’applications est terminée ; une campagne sur « tout le système d’information » ne l’est jamais.
2. Désigner un réviseur qui connaît le métier
Le bon réviseur sait pourquoi un accès existe : c’est souvent le responsable du service ou le propriétaire de l’application, rarement l’équipe informatique seule. Une règle s’impose : personne ne révise ses propres accès.
3. Fixer une échéance et s’y tenir
Deux à trois semaines suffisent pour un périmètre bien choisi. Une échéance trop lointaine dilue l’attention ; une campagne sans échéance n’est jamais clôturée. Pour les accès sensibles, beaucoup d’organisations retiennent un rythme trimestriel, et semestriel ou annuel pour le reste.
4. Exiger une justification
Conserver un accès doit être une décision motivée, en une phrase : « nécessaire pour la clôture mensuelle », « remplacement pendant un congé jusqu’au 30 novembre ». C’est cette phrase qui transforme une case cochée en preuve.
- Interdisez les justifications génériques (« OK », « besoin métier »).
- Rappelez qu’aucun mot de passe ni secret ne doit figurer dans une justification.
5. Traiter les retraits sans délai
Une décision de retrait qui attend une semaine un ticket manuel laisse l’accès ouvert. Le retrait doit s’appliquer à toutes les ressources que couvre l’accès, et l’écart entre la décision et son application doit être nul ou mesuré.
6. Clôturer et conserver la preuve
Clôturez la campagne quand toutes les décisions sont prises. Conservez ce qu’un auditeur demandera : le périmètre, le réviseur, la date de chaque décision, sa justification et la preuve que les retraits ont été appliqués.
Les référentiels de sécurité, comme ISO/IEC 27001:2022 (mesure 5.18 sur les droits d’accès), attendent que les droits soient revus régulièrement. La forme exacte et la fréquence restent à définir par votre organisation, selon ses risques.