Revues d'accès périodiques : processus, fréquence et preuves

Une revue d'accès est une exigence d'audit qui pose problème à presque toutes les PME. La deuxième fois, vous n'y passerez plus une semaine entière — à condition de bien la structurer dès le départ.

Les revues d'accès — passer régulièrement en revue qui a accès à quoi et pourquoi — ne sont pas facultatives dans le cadre de l'ISO 27001 Annexe A.9. Même sans pression d'audit, c'est le seul moyen de maintenir votre matrice des accès à jour.

Fréquence : trimestrielle ou semestrielle

Norme PME : tous les trimestres. Moins de 20 personnes et un faible turnover ? Le semestre peut suffire. Une fréquence annuelle ne répond pas aux exigences ISO. Voir aussi ISO 27001 Annexe A.9.

Les six étapes

1. Instantané. Figez une copie de la matrice actuelle.
2. Définir le périmètre. Voir délimitation du périmètre.
3. Décider ligne par ligne. Conserver, révoquer ou modifier. Impliquez les managers, voir impliquer les managers.
4. Actions groupées pour les cas évidents. 80 % sont des « conserver ». Voir décisions groupées.
5. Actions de suivi. Chaque « révoquer » et « modifier » devient une action concrète pour l'IT.
6. Conservation des preuves. Voir preuves pour l'audit.

Pièges courants

• « On n'a pas encore le temps. » Planifiez-la dans Outlook, sinon elle ne se fera jamais.
• Revue réalisée par une seule personne. Risque majeur : ses propres accès sont validés sans contrôle.
• Décisions jamais appliquées. Une révocation sur le papier ne vaut rien.

Automatisation

Notre outil AccessGuard génère un instantané de revue en 1 clic. La démo présente un cycle en cours.

Voir aussi : cadence trimestrielle, IA et revues d'accès, sondage ou revue complète.