Les étapes
- Choisir les systèmes : commencer par ceux qui détiennent des données sensibles, et par les droits d'administration.
- Exporter les comptes et droits actuels depuis le système lui-même.
- Envoyer à chaque manager ou propriétaire de système la liste à revoir.
- Lui faire conserver, modifier ou supprimer chaque entrée.
- Appliquer les suppressions, et vérifier qu'elles ont eu lieu.
- Conserver les preuves : la liste, les décisions et les changements.
À quelle fréquence
La fréquence suit le risque : trimestrielle est courante pour les accès à privilèges et les systèmes critiques, et tous les six à douze mois pour le reste. Quoi que vous décidiez, écrivez-le dans votre politique et tenez-vous-y.
Ce que les relecteurs ratent
- Les partants et les mutés dont les accès n'ont jamais été retirés.
- Les comptes de service sans propriétaire.
- Les droits accordés directement, hors du modèle de rôles.
- Les relecteurs qui approuvent tout : échantillonnez leurs décisions.
Ce que disent les règles
La mesure 5.18 de l'annexe A de l'ISO/IEC 27001:2022 couvre les droits d'accès, y compris leur revue. L'exigence 7 de PCI DSS et la HIPAA Security Rule exigent aussi de gérer et de revoir les accès.
Questions
- Qui doit revoir les accès ?
- Quelqu'un qui connaît le besoin : le manager de la personne ou le propriétaire du système, pas l'administrateur du système seul.
- Quelles preuves les auditeurs veulent-ils ?
- Une liste complète tirée du système, les décisions datées du relecteur, et la preuve que les suppressions ont été effectuées.