Comment automatiser sa gestion des habilitations avec un outil d’IAM ?

La revue des comptes manuelle

Avec l'expansion de l'utilisation des applications et logiciels, il devient de plus en plus difficile de gérer les identités et les accès de tous les utilisateurs du système.

La multiplication des comptes, les outils SaaS et On-premise, rendent difficile la consolidation et l'unification des données.

1. Recenser les collaborateurs RH
   L’information sera à aller chercher au sein du SIRH ou fichier RH faisant foi comme source de vérité RH. Il ne faudra pas oublier les collaborateurs en périphérie qui n’ont pas de contrats de travail avec l’entreprise, mais qui sont au sein de l’entreprise avec des comptes et des accès.
   ‍
2. Consolider les utilisateurs
   Il faudra sortir une liste des utilisateurs pour la réconcilier avec la liste complète des collaborateurs (avec et sans contrats).
   Il sera important de garder les utilisateurs partis afin de pouvoir par la suite corriger tous comptes actifs reliés ou non à ces utilisateurs.
   ‍
3. Nettoyer ces fichiers
   Il est important d'examiner régulièrement les comptes inactifs ou qui ont été créés, mais jamais utilisés. Les comptes d'utilisateurs qui ne sont plus nécessaires doivent être supprimés pour éviter les risques d'intrusion.
   ‍
4. Vérifier les droits pour chaque compte
   Il faudra veiller à ce que les politiques de droits soient appliquées pour tous les comptes utilisateurs.
   ‍
5. Documenter
   Enfin, il est recommandé de documenter toutes les revues de comptes effectuées, y compris les anomalies identifiées et les mesures prises pour les corriger. Cette documentation peut être utile en cas de contrôle réglementaire ou d'audit interne.

‍

La réalisation d'une revue des comptes informatiques manuelle requiert une méthode rigoureuse, une bonne organisation et une attention particulière aux détails.

‍

Souvent réalisée à l’aide d’un fichier Excel, cette méthode peu chère est très chronophage et surtout peu fiable, car elle nécessite une rigueur absolue et comme je l’ai signifié auparavant, des mouvements ont lieu en même temps qu’elle est réalisée.

‍

‍

N’y a-t-il pas une solution d’automatisation pour réaliser cette revue des habilitations ?

‍Une revue des comptes est ainsi nécessaire à réaliser. Il est difficile de l’externaliser, car elle demande des connaissances et la participation des services RH et informatique, mais aussi des managers.

Elle est, comme on l’a vu, inévitable parce qu'il en va de la sécurité de l’entreprise.

‍

Qui va gérer ça ?

En priorité, c’est le RSSI puis le propriétaire du SI qui va gérer cette revue des comptes. Puis, il faudra intégrer le gestionnaire des applications (attribution) et le management.

Les managers sont incontournables pour la validation des habilitations. Ce sont eux, qui, en relation avec le service IT, ont défini des droits et qui seront à même valider ou non les accès et les droits de leur équipe.

‍

L’automatisation intelligente prend ainsi tout son sens : elle saura analyser les anomalies et les faire ressortir. Dans ce cas, votre revue des comptes, passerait d’un mois de travail à quelques jours.

Une solution d’IAM dans ce cas remporte plusieurs avantages :

1. Gain de temps pour les équipes informatiques qui ne passent plus un mois à réaliser cette revue, ce qui dégage du temps pour d’autres projets.
2. Amélioration de la qualité de la revue des comptes et diminution du risque d’erreur.
3. Centralisation des données pour une meilleure visibilité et prise de décisions.
4. Gestion en masse des actions.
5. Mise en lumière des anomalies.
6. Centralisation des différentes sources RH pour les collaborateurs avec et sans contrats.

‍

‍

Automatiser en interne

Les équipes informatiques peuvent développer leurs propres outils d'automatisation de la revue des comptes informatiques en utilisant des langages de programmation tels que Python, Java ou Ruby. Les avantages de cette option sont la personnalisation des outils aux besoins spécifiques de l'entreprise et la possibilité de les adapter en fonction de l'évolution des besoins.

Un développement d'outils en interne prend du temps et mobilise des ressources importantes. De plus, les équipes de développement doivent être compétentes en matière de sécurité informatique et de conformité réglementaire pour garantir l'efficacité de ces outils.

Et pour vous dissuader encore de choisir cette solution, l’entreprise devient extrêmement dépendante d’une technologie souvent maison et d’un collaborateur qui seul, en a la connaissance.

Automatiser avec une solution d’IAM

Une solution d’IAM facilite et accélère la mise en œuvre, la fiabilité des outils et la mise à disposition de fonctionnalités avancées telles que la surveillance continue de la conformité réglementaire.

De plus, une solution d’IAM, en SaaS, permet d’avoir une version toujours à jour et des évolutions pertinentes en fonction de l’évolution des besoins des clients.

Si j’ai aussi précisément défini la réalisation d’une revue des comptes manuelle, c’est parce que l’IAM automatise l’ensemble de ces étapes.

Reste à la charge des utilisateurs de la solution, la validation des accès et des droits de chaque utilisateur, en général effectuée par les managers.

Il faudra bien définir en amont les applications qui vont être concernées. L’IAM vous facilite le travail, puisque vous retrouvez sur chaque utilisateur la liste des applications sur lesquelles il a un compte. Ensuite, vous retrouvez dans la solution d’IAM, la liste de tous les managers. Ces derniers vont avoir la liste des collaborateurs qu’ils managent avec la liste des logiciels et applications qui leur sont rattachés.

‍

‍

Sans solution d’IAM, vous devrez lister toutes les applications qui sont utilisées par les utilisateurs avec le risque d’en oublier. Vous devrez avoir une liste des managers, la liste des collaborateurs pour chaque manager, la liste des applications de chaque utilisateur pour chaque manager… C’est presque un puits sans fond.

Puis, vous devrez envoyer chaque fichier à chaque manager en passant par du publipostage.

La finalité d’une revue des habilitations

Outre l’aspect réglementaire qu’on a déjà abordé, la revue des comptes permet surtout de sécuriser son système d’information.

Cela permet de réaligner les droits de vos utilisateurs et de nettoyer votre SI, donc de ne pas accorder trop d’accès et par conséquent de limiter les intrusions sur des comptes administrateurs.

Cela vous permet aussi de nettoyer votre fichier utilisateur : doublons, comptes orphelins qui sont autant de risques d’intrusion avec ransomwares.

C’est aussi un accélérateur de décisions. Quand vous avez un référentiel à jour et propre de votre SI, les décisions sont plus faciles et rapides à prendre, pour les ressources humaines et pour l’informatique.

‍