Poste
Gestion des accès
Combien de fois par semaine accordez-vous des accès « les mêmes que ceux de Dupont » ? Chaque demande de ce genre copie des droits que personne n'a revus depuis des années.
Entretien préalable
Quatre questions par lesquelles nous commencerions
Combien de fois par semaine accordez-vous des accès calqués sur un autre salarié ?
Si c'est souvent, les droits grandissent par copie plutôt que par décision.
Qui remarque le premier que le compte d'un partant fonctionne encore ?
Si personne jusqu'à ce que quelqu'un s'y connecte, vous avez des comptes sans propriétaire dans chaque système.
Combien de temps prend une demande d'accès ?
Si c'est deux jours, un nouveau salarié ne travaille pas pendant deux jours - et son responsable demande des droits plus larges que nécessaire, pour éviter une seconde demande.
Que se passe-t-il quand quelqu'un change de poste dans l'entreprise ?
Si les anciens droits sont retirés, ou s'ils restent au cas où.
Nous prenons le traitement des demandes, vous gardez la décision sur les droits
Recevoir les demandes, accorder les accès depuis des modèles, les revues de droits et le traitement des départs peuvent être retirés du bureau. La décision de qui doit voir quoi reste au responsable et au propriétaire du système.
- Une demande va à la personne qui doit décider. - Pas à un administrateur comme premier maillon, mais au responsable et au propriétaire du système, et seulement ensuite à l'exécution.
- Un rôle a un modèle de droits. - Un nouveau salarié reçoit le jeu affecté à son rôle, au lieu d'une copie des droits du collègue d'à côté.
- Un départ et un changement de poste sont des événements. - Les accès expirent avec la fin du contrat, pas quand quelqu'un y pense.
Périmètre
Ce qui peut être retiré de la gestion des accès
Dix-neuf tâches à titre d'exemple. Chacune a un point de validation humaine. Ci-dessous une sélection ; le périmètre, nous l'ajustons au nombre et au type de vos systèmes.
Demandes d'accès
- Une voie de demande unique avec la motivation exigée
- Acheminement vers le responsable et le propriétaire du système (décision : le responsable)
- Signalement des droits dépassant le modèle du rôle
- L'état de la demande visible par celui qui l'a déposée
- Un registre des attributions avec la date, la personne et le fondement
Comptes et droits
- Des modèles de droits affectés aux rôles
- Signalement des comptes aux droits hors modèle
- Un signal sur un compte inutilisé plus longtemps que convenu
- Détection des comptes sans propriétaire affecté
Postes de travail et matériel
- Un registre du matériel affecté aux personnes
- Une liste de préparation de poste pour une nouvelle personne
- Un signal sur du matériel non restitué après un départ
Revues de droits
- Un calendrier de revue par système
- Les droits posés pour confirmation par le responsable (confirmation : le responsable)
- Signalement des droits non confirmés à la dernière revue
- Un registre des changements issus d'une revue
Départs
- Liaison de la fin du contrat au retrait des accès
- La liste des systèmes où la personne avait un compte
- Une confirmation que les accès sont fermés (confirmation : l'administrateur)
Une journée de travail
Aujourd'hui
- Les demandes arrivent par courriel et par messagerie, sans motivation
- Vous accordez des accès calqués sur un autre salarié, parce que c'est plus rapide
- Vous ne savez pas qui a des droits plus larges que son rôle ne l'implique
- Vous fermez les comptes des partants quand quelqu'un en parle
- Vous repoussez les revues de droits, parce qu'elles voudraient dire appeler les responsables
- À un audit des accès, vous assemblez le récapitulatif pendant une semaine
Avec l'assistance de l'IA
- Une demande a une voie unique, une motivation et parvient au décideur
- Un nouveau salarié reçoit le modèle de droits de son rôle
- Les droits hors modèle sont signalés
- La fin du contrat entraîne le retrait des accès
- La revue de droits envoie aux responsables des récapitulatifs prêts
- Le récapitulatif pour un audit vient du registre des droits plutôt que d'un tour des systèmes
- Délai de traitement d'une demande
un nouveau salarié travaille dès le premier jour
la demande va directement au décideur, pas par une file
- De l'ordre dans les droits
moins d'accès accordés par copie
un rôle a un modèle de droits
- Le risque des comptes de partants
moins de comptes actifs sans propriétaire
un départ entraîne le retrait des accès
- Prêts pour un audit des accès
le récapitulatif est disponible plutôt qu'assemblé
le registre des attributions se construit au fil de l'eau
Nous commençons par les demandes, parce que c'est le plus gros volume et le plus de copie.
- Étape 1
Une voie de demande unique avec un décideur
La motivation, l'acheminement vers le responsable et le propriétaire du système, un registre des attributions.
- Étape 2
Des modèles de droits pour les rôles
Un jeu affecté à un rôle au lieu d'une copie prise sur un collègue.
- Étape 3
Départs et changements de poste
Liaison aux événements RH et liste des systèmes à fermer.
- Étape 4
Revues de droits
Des récapitulatifs à confirmer par les responsables. En dernier, parce que cela exige des modèles en ordre.
Questions fréquentes
Les questions qui reviennent à la première réunion
En quoi est-ce différent d'un administrateur systèmes ?
L'administrateur fait tourner : serveurs, sauvegardes, mises à jour, performance. Ici le sujet est uniquement qui a accès à quoi. Dans les petites entreprises la même personne fait les deux et c'est de là que vient la confusion - mais ce sont deux genres de travail et deux genres de risque différents.
En quoi est-ce différent de la sécurité informatique ?
Là, le sujet, ce sont les vulnérabilités, les incidents et les menaces venues de l'extérieur. Ici, ce sont les accès, les comptes et les postes de travail. Les domaines se rejoignent sur les droits excessifs, mais le travail quotidien est tout autre.
Le traitement des accès demandera-t-il moins de monde ?
Les demandes d'accès sont un travail qui ne demande pas un administrateur - il demande la décision d'un responsable et une exécution. Le reprendre ne supprime pas un poste, cela cesse de consommer quelqu'un qui devrait faire autre chose. Les revues de droits que personne ne fait aujourd'hui deviennent seulement réalisables, et c'est en général le gain principal.
Cela relève-t-il du règlement sur l'IA ?
La gestion des accès n'est pas un usage à haut risque. La limite passe par les données de connexion et d'activité des comptes : elles servent la sécurité et l'ordre dans les droits, et les utiliser pour évaluer un temps de travail ou une productivité serait de la surveillance de salariés exigeant une base légale distincte.
Une question qui ne figure pas ici ? Réservez un appel
Étape suivante
Combien de comptes actifs appartiennent à des personnes qui ne travaillent plus chez vous ?
Nous vous montrerons à quoi ressemble la gestion des accès quand une demande va au décideur et que le départ d'un salarié ferme les comptes de lui-même.