Que ce soit pour les auditeurs, pour le RSSI, ou pour la bonne gestion du périmètre des habilitations, il est nécessaire de réaliser régulièrement des revues d'habilitation.
Qu'est ce qu'une revue des comptes ou des habilitations ?
Une revue de compte peut signifier plusieurs choses. Généralement, on parle de revue de comptes lorsque l'on veut être sûr que les comptes actifs dans les différentes applications sont des comptes légitimes. Cette revue de compte est souvent lourde car nécessite de traiter souvent à la main des listes RH de collaborateurs et de les comparer avec la liste des accès ouverts sur chacune de applications de l'entreprise.
La revue de compte (ou audit d'habilitation) est demandée par les auditeurs (internes ou externes) ou par le RSSI. Ce process peut être réalisé par le RSSI lui-même ou une personne responsable dans l'équipe IT. C'est une opération engageante (celui qui valide la revue de compte peut engager sa responsabilité car cela rentre dans le cadre de procédures d'audit légales), minutieuse, et fastidieuse. Pour une entreprise disposant de plusieurs milliers de comptes, le traitement de 80% de ces comptes est relativement aisé mais ce sont les 20% restant qui doivent être traités manuellement de manière unitaire.
A quoi sert une revue des comptes ?
La revue de comptes concerne potentiellement 2 pans de la société :
- juridique : dans le cadre d'audits juridiques, les auditeurs sont souvent amenés à vérifier que les accès sont suivis par le service IT. Ce n'était pas le cas il y a quelques années mais avec le nombre croissant d'applications (Saas ou on-premise), les fuites de données peuvent être des enjeux juridiques importants et peuvent mettre à mal la solidité d'une entreprise. C'est également la traçabilité qui est en jeu ici pour pouvoir remonter une piste d'audit et suivre les différentes modifications d'accès sur les applications.
- cyber-sécurité : à l'initiative du RSSI, cette revue de compte est nécessaire pour limiter la superficie d'exposition aux risques d'attaque. Rien n'est plus dangereux qu'un compte d'un utilisateur parti dont l'accès n'est pas clôturé.
Globalement cet audit des habilitations sert à identifier plusieurs choses :
- que les utilisateurs partis n'ont plus accès à leurs anciens comptes : pour éviter les fuites de données si par exemple l'ancien utilisateur est parti à la concurrence.
- que tous les comptes sont clairement identifiés et associés à au moins un utilisateur. Dans le cadres de comptes partagés (voir notre article sur les comptes partagés entre utilisateurs), ceux ci doivent être limités et cela sera certainement un point négatif soulevé par l'auditeur.
- que les comptes à privilèges sont correctement identifiés et suivis comme le lait sur le feu
- que les droits d'accès (groupes de sécurité dans l'Active Directory par exemple) sont exactement ce qu'ils doivent être pour les utilisateurs (par exemple pas d'accès administrateurs pour tous les utilisateurs)
- que les modifications sur les différents comptes sont bien tracées pour pouvoir remonter dans le temps et savoir de quand date une éventuelle faille de sécurité.
Comment réaliser cette revue des habilitations ?
Pour cette revue de comptes, chacun y va de sa méthode, mettant le curseur où il le souhaite entre le temps passé et la précision des résultats.
Il y a 2 grandes difficultés pour les revues de comptes : récupérer les données, gérer les variations rapides.
Il est très difficile de récupérer la liste exhaustive de tous les utilisateurs et de tous les comptes. Les données utilisateurs par exemple sont pour la plupart issues du SIRH (dont il faut extraire les informations avec le service RH) mais pas que : les intérimaires, prestataires extérieurs etc... sont considérés comme des utilisateurs mais pas des collaborateurs car ils n'ont pas de fiche de paye. Ils ont pourtant des comptes sur différentes applications et il faut donc les saisir dans un annuaire d'utilisateurs pour pouvoir réaliser la revue de comptes.
D'autre part, entre le moment où vous avez réuni les listes d'utilisateurs et les listes de comptes, des mouvements ont eu lieu et peuvent perturber la réconciliation entre les utilisateurs et leurs comptes.
Une fois que vous avez ces 2 listes, il suffit de déterminer les associations et de détecter les éventuelles anomalies (ou de constater que tout est correct, ce qui n'arrive jamais).
Avec Youzer, en un clic vous exportez la liste de associations et vous pouvez fournir aux auditeurs la preuve que vous suivez correctement les différents comptes avec un outil adhoc.
