La revue des habilitations : la corvée annuelle qui peut vraiment servir

La revue des habilitations est exigée par à peu près tous les référentiels : ISO 27001, les contrôles sectoriels, les questionnaires d’assurance, les audits de certification. Elle est donc réalisée à peu près partout. Et elle ne retire à peu près rien.

Le schéma est constant : un fichier de plusieurs milliers de lignes part vers les managers en novembre, revient en janvier avec 98 % de « conforme », l’auditeur constate que la revue a eu lieu, et les droits accumulés depuis dix ans restent en place. L’exigence est satisfaite. Le risque n’a pas bougé.

Pourquoi les managers valident tout

Ce n’est pas de la négligence, et le comprendre est la condition pour corriger le dispositif.

Un manager qui reçoit une ligne indiquant que l’un de ses collaborateurs appartient au groupe APP_GESTION_RW_N2 n’a aucun moyen de savoir ce que ce groupe autorise. Le nom est technique, la documentation n’existe pas, et personne dans son équipe ne saura répondre. Face à cette incertitude, deux options : valider, ou retirer un droit et risquer de bloquer quelqu’un en pleine période de clôture.

Le calcul est immédiat. Valider ne coûte rien et ne casse rien. Retirer expose à un appel du collaborateur bloqué et à un reproche. Dans un dispositif où l’erreur de validation n’a aucune conséquence visible et l’erreur de retrait en a une immédiate, tout le monde valide. Le comportement observé est rationnel ; c’est la conception du contrôle qui est en cause.

Les quatre corrections qui changent le résultat

1. Traduire les droits en langage métier

Aucune revue ne fonctionne sur des noms techniques. Chaque groupe soumis à revue doit être accompagné d’une phrase compréhensible : « permet de modifier les coordonnées bancaires des fournisseurs », « permet de consulter les dossiers du personnel ». Ce travail de traduction est fastidieux, il ne se fait qu’une fois, et il conditionne tout le reste.

S’il est impossible de décrire ce qu’autorise un groupe, c’est déjà une information : ce groupe ne devrait pas exister sous cette forme.

2. Renoncer à l’exhaustivité annuelle

Une revue de six mille lignes ne sera pas lue. Une revue de quarante lignes le sera. Le découpage par sensibilité produit beaucoup plus de retraits qu’une couverture complète :

• Les droits d’administration et les accès aux données à caractère personnel : revus tous les trimestres, ligne par ligne.
• Les accès aux applications financières et de paie : deux fois par an.
• Le reste : une fois par an, ou par exception uniquement.

Un auditeur accepte sans difficulté une fréquence différenciée si elle est justifiée par une analyse de sensibilité. Il acceptera moins volontiers une revue exhaustive dont aucune ligne n’a jamais été rejetée.

3. Attaquer par les mouvements, pas par les stocks

La quasi-totalité des droits excédentaires viennent d’un mécanisme unique : la mobilité interne. Un collaborateur change de service, obtient les droits de son nouveau poste, et conserve ceux de l’ancien parce que personne ne les a demandés en retrait. Au bout de trois mobilités, il cumule des accès qu’aucun poste ne justifie — la situation classiquement décrite comme accumulation de privilèges.

Extraire du système de gestion du personnel la liste des mobilités des douze derniers mois, et revoir uniquement ces personnes, produit plus de retraits en une journée qu’une revue générale en trois mois. Et c’est une population où le manager sait répondre, parce que la question est concrète : « cette personne a changé de poste il y a huit mois, a-t-elle encore besoin des accès de son ancien service ? »

4. Rendre le retrait réversible

La peur de bloquer quelqu’un disparaît si le retrait n’est pas définitif. Un droit suspendu pendant trente jours, avec une remise en place en quelques minutes sur simple demande, change complètement l’arbitrage du manager. En pratique, l’écrasante majorité des droits suspendus ne sont jamais réclamés — ce qui est en soi la démonstration qu’ils étaient inutiles.

Les populations qu’on oublie

Trois catégories échappent presque toujours au périmètre, et ce sont les plus risquées :

• Les comptes de prestataires et d’intervenants externes, rattachés à aucun manager dans le système de gestion du personnel, donc absents des extractions.
• Les comptes techniques et de service, qui n’ont pas de propriétaire déclaré. Leur revue relève d’une logique différente — inventaire, justification d’existence, réduction des privilèges — mais elle doit exister.
• Les accès accordés hors de l’informatique : outils souscrits directement par une direction métier, partages de fichiers hébergés, accès aux portails de partenaires. Ils ne figurent dans aucun référentiel central.

Le seul indicateur qui compte

Le taux de couverture de la revue ne dit rien. Le nombre de droits effectivement retirés dit tout.

Une revue qui couvre 100 % du périmètre et retire 0,5 % des droits n’a pas fonctionné. Une revue qui couvre 15 % du périmètre — le plus sensible — et retire 12 % des droits examinés a fait son travail. C’est cet indicateur qu’il faut présenter en comité, et c’est celui qui rend la conversation possible avec une direction générale : il se lit sans connaissance technique.

Sources

• ISO/IEC 27001:2022 — contrôle relatif à la revue des droits d’accès
• ANSSI — recommandations relatives à la gestion des comptes et des privilèges
• CNIL — obligations de limitation des accès aux données à caractère personnel