Article invité de Julian Lübke, cofondateur et CEO de deeploi
L'essentiel en bref
- Une preuve manquante est un symptôme, pas le problème. Lorsque personne ne peut montrer qui avait accès à quoi, c'est en général parce que le processus n'a jamais été défini, pas parce que quelqu'un a manqué de rigueur.
- Un processus défini repose sur trois éléments : un évènement qui le déclenche, une personne nommément responsable du résultat et un système qui exécute le changement et enregistre qu'il l'a fait.
- Les trois journées qui comptent le plus. Les accès changent de mains le premier jour d'une personne, le jour où elle rejoint une autre équipe et son dernier jour. Celle du milieu est celle que presque tout le monde saute.
- Structurez le processus et la trace s'écrit toute seule. Les dates deviennent réelles parce que le système les a enregistrées au moment où il agissait, au lieu d'être reconstituées de mémoire pendant la semaine de l'audit.
Pourquoi une entreprise IT écrit sur un blog consacré à la conformité
L'essentiel de ce que vous lisez ici se situe au niveau des politiques : ce à quoi votre organisation s'engage, quelles mesures s'appliquent, comment le risque est apprécié et documenté. Ce travail est nécessaire et Kertos le fait bien.
Cet article se place une couche en dessous. Une politique de gestion des accès est la description écrite d'un processus que quelqu'un, quelque part, est censé exécuter. Si ce processus n'existe pas sous forme de séquence définie dans un système réel, alors la politique décrit quelque chose que personne ne fait, et la preuve qu'on vous demande au moment de l'audit n'a jamais été produite.
C'est dans cet écart que deeploi intervient. deeploi exploite l'IT de petites et moyennes entreprises qui n'ont pas de service informatique ou en ont un très réduit, ce qui signifie que notre équipe passe ses journées dans les systèmes qui attribuent les accès et les retirent. Ce qui suit est ce que ce travail fait remonter, et à quoi ressemblent les trois moments les plus importants du cycle de vie d'un collaborateur lorsqu'ils sont structurés correctement.
Le problème n'est pas la négligence
Quand un auditeur demande qui avait accès à quoi, et à quel moment, la réponse honnête dans la plupart des petites entreprises est que personne ne peut le reconstituer. Il est tentant d'y voir un problème de discipline. Ce n'en est généralement pas un.
Les accès sont accordés sur Slack par la personne qui a dix minutes devant elle ce jour-là. Ils sont retirés quand quelqu'un y repense. Comme il n'y a ni déclencheur, ni responsable, ni état final défini, il n'y a rien à documenter. La preuve manque parce que le processus manquait, et on ne peut pas documenter un processus qui n'existe pas.
Un processus d'accès défini est un processus où chaque changement se compose de trois éléments : un évènement qui le déclenche, une personne nommément responsable du résultat et un système qui exécute le changement et enregistre qu'il l'a fait. Retirez l'un des trois et vous dépendez de la mémoire de quelqu'un.
Il y a trois journées, dans toute relation de travail, où les accès changent de mains : le premier jour du collaborateur, le jour où il rejoint une autre équipe et son dernier jour. Chacune peut être traitée comme un processus défini et, lorsque c'est le cas, la trace dont vous avez besoin au moment de l'audit découle du processus lui-même, au lieu d'être un travail distinct que vous refaites de mémoire deux fois par an.
Voici à quoi ressemble un processus défini à chacun de ces trois moments. C'est écrit pour les entreprises où la personne qui distribue les accès a déjà un autre poste à plein temps, parce que c'est en général elle qui s'en charge.
Quand une personne rejoint l'entreprise
1. Accès basés sur les rôles : chaque rôle a un socle par défaut, tout le reste est une exception
La version informelle commence par demander ce dont cette personne a besoin. Celui qui répond devine, et la supposition est généreuse, car être trop restrictif crée un ticket de support tandis qu'être trop généreux ne crée rien de visible.
L'alternative ne consiste pas à donner des accès identiques à toutes les personnes portant le même intitulé de poste. Deux personnes de la même équipe marketing peuvent avoir des besoins très différents, l'une gérant les comptes publicitaires et l'autre rédigeant du contenu, par exemple. L'alternative consiste à décider de ce que le rôle obtient par défaut, à l'appliquer automatiquement et à traiter tout ce qui vient en plus comme une demande approuvée par une personne nommée.
Cette seule distinction est ce qui rend une revue des accès possible. Lorsqu'il existe un socle par défaut, vous pouvez regarder les accès d'une personne, voir où ils s'en écartent et demander pourquoi. Lorsqu'il n'y a pas de socle, il n'y a rien à quoi comparer, et la revue se transforme en une longue conversation qui se termine par un haussement d'épaules.
2. La gestion du parc commence par savoir à qui appartient quel ordinateur portable
Presque toutes les entreprises de moins de cent personnes suivent leur matériel dans un tableur. Il y a un onglet avec les numéros de série, une colonne indiquant qui a quel ordinateur portable et une date que quelqu'un a saisie au moment de la remise. C'est une façon raisonnable de commencer, et cela reste exact environ trois mois.
Puis un ordinateur portable est échangé parce qu'il ralentissait, et l'échange n'arrive jamais dans le tableur. Un appareil est prêté à un freelance pour un projet qui se termine sans que personne ne le récupère. La ligne de quelqu'un est supprimée lors d'un nettoyage. Le tableur continue de faire autorité, comme les tableurs le font toujours, mais il est devenu discrètement l'enregistrement de ce que quelqu'un croyait vrai à un moment du passé.
Le problème ne vient pas du format du tableur. Il vient de ce qu'un tableur est une affirmation sur la réalité tenue à la main, et tout enregistrement tenu à la main dérive dans la même direction : vers l'incomplétude, et avec assurance.
Un inventaire en temps réel fonctionne dans l'autre sens. L'appareil déclare ce qu'il est, qui y est connecté, quelle version du système d'exploitation il exécute et si le chiffrement est actif. L'enregistrement se met à jour parce que l'appareil l'a dit, et non parce que quelqu'un a pensé à le noter. Dans les parcs que nous gérons chez deeploi, c'est cela l'inventaire : pas une liste que quelqu'un entretient, mais ce que chaque appareil déclare actuellement sur lui-même. Lorsque vous devez ensuite démontrer qu'un ordinateur portable contenant des données clients était chiffré à une date précise, vous lisez un système qui l'a observé plutôt que vous ne le reconstituez à partir d'un tableur.
Ce lien entre une personne nommée et un appareil précis est aussi le fondement de tout le reste. L'état des correctifs, l'état du chiffrement et le verrouillage à distance sont des attributs d'un appareil, et ils ne deviennent des preuves concernant une personne que si l'attribution est correctement enregistrée. Réussir la gestion du parc au moment de la remise est ce qui rend les huit autres étapes démontrables.
3. Les réglages de sécurité s'appliquent dès le premier jour, pas un jour ou l'autre
Le chiffrement du disque, le verrouillage de l'écran, les règles de mot de passe et les mises à jour automatiques sont autant de choses qui finissent par être configurées correctement, un certain temps après le premier jour, quand quelqu'un s'en occupe. L'intervalle entre la date d'entrée et ce moment est invisible, sans limite et impossible à reconstituer après coup.
La version structurée applique le socle avant même que la personne ne se connecte. L'appareil arrive déjà configuré et les réglages sont imposés plutôt que recommandés. C'est le moment où une politique écrite devient réelle ou reste théorique, et cela ne coûte rien de plus de le faire dès le début. Le faire plus tard coûte une demi-journée par appareil et laisse un trou dans la chronologie.
Quand une personne change d'équipe
4. Les accès du nouveau rôle sont ajoutés
Cette étape a toujours lieu, puisque la personne ne peut pas faire son nouveau travail sans elle. C'est la seule des neuf qui n'est jamais sautée, ce qui mérite d'être relevé : le travail qui pourrait bloquer quelqu'un se fait, celui qui ne bloque personne ne se fait pas.
5. Les accès de l'ancien rôle sont retirés
C'est l'étape que presque tout le monde saute, et c'est la raison pour laquelle les revues d'accès dans les entreprises à forte croissance font apparaître des personnes disposant de droits liés à deux postes en arrière. L'ancien accès ne pose problème à personne. Rien ne casse, personne ne se plaint, et il reste donc en place.
Un processus défini traite un changement d'équipe comme un évènement unique en deux volets, et non comme une demande d'accès supplémentaires. Le mouvement est déclenché depuis le système RH, et l'ajout comme le retrait font partie de la même action. Si le retrait est une tâche distincte dont quelqu'un doit se souvenir, il sera oublié, et la personne qui finira par quitter l'entreprise partira avec un ensemble de droits que personne ne comprend.
6. Une personne confirme le résultat
La troisième étape est celle qui paraît bureaucratique, sans l'être réellement. Une fois le changement exécuté, il devrait exister un moment défini où une personne nommée regarde ce que l'ensemble des accès est devenu et confirme qu'il correspond au nouveau rôle.
Sans ce moment, vous supposez que le changement a fonctionné. La plupart du temps, c'est le cas. Les fois où cela n'a pas fonctionné sont précisément les cas qui ressortent lors d'un audit, et ce qui sépare les deux est une confirmation d'une minute environ qui produit une trace datée portant un nom.
Quand une personne quitte l'entreprise
7. L'offboarding IT ferme tous les comptes sur un déclencheur, pas sur un rappel
La messagerie est fermée le dernier jour parce que la messagerie se voit. L'outil de gestion de projet, l'outil de design, le CRM, l'outil qu'une équipe a commencé à utiliser au printemps dernier sans le dire à personne : ceux-là restent ouverts, parfois pendant des années.
Un offboarding défini se déclenche à partir de la date de sortie dans le système RH plutôt qu'à partir du souvenir de quelqu'un, et il couvre l'ensemble des comptes en un seul flux. deeploi est connecté au système RH de l'entreprise : lorsqu'une personne des RH saisit une date de sortie dans Personio ou dans le système qu'elle utilise, l'offboarding est automatiquement planifié pour cette date, les comptes sont mis en file pour être fermés, les licences pour être libérées et l'appareil pour être verrouillé.
Le déclencheur compte autant que la couverture. Une tâche qui dépend de la mémoire d'une personne sera faite en retard, et c'est ce retard que la trace montrera. Automatiser l'offboarding IT ne vise pas la vitesse, même si c'est plus rapide. Cela vise à ce que le processus démarre sans que personne n'ait à décider de le démarrer.
8. L'appareil revient ou est verrouillé à distance, et dans les deux cas cela est consigné
Le matériel disparaît lors des départs plus souvent qu'on ne veut bien l'admettre, en particulier avec des équipes à distance et lorsque la séparation n'a pas été à l'amiable. Le processus doit couvrir les deux issues. Soit l'appareil est restitué et réinitialisé, soit il est verrouillé et effacé à distance, et l'issue est consignée avec une date dans les deux cas.
Un ordinateur portable non restitué est un incident gérable lorsque vous pouvez démontrer qu'il a été verrouillé le dernier jour. C'est un problème sérieux lorsque la réponse honnête est que personne ne sait où il se trouve.
9. Les fichiers sont transmis et les licences récupérées avant que quiconque ne les cherche
Deux choses se produisent lorsque cette étape n'est pas définie. D'abord, des documents essentiels à l'activité restent dans un compte fermé et quelqu'un doit demander l'accès au disque de son ancien collègue trois semaines plus tard. Ensuite, des licences payantes continuent de se renouveler pour des personnes qui ne travaillent plus dans l'entreprise.
La transmission des données à un successeur nommé et la récupération de la licence appartiennent au même flux que la fermeture du compte, sur le même déclencheur. L'angle RGPD mérite d'être relevé également : une date de nettoyage définie, distincte de la date de sortie, vous donne un point documenté auquel les données personnelles sont réellement supprimées, plutôt qu'un compte qui subsiste discrètement pour toujours.
Les neuf étapes, leurs déclencheurs et la trace qu'elles laissent
L'écart que personne ne consigne
Voici la situation qui défend l'argument mieux que n'importe quel principe.
Votre système RH indique que la personne est partie le 31. Ses comptes ont en réalité été fermés la semaine suivante, ou celle d'après, parce que la personne qui ferme les comptes était en congé et s'en est occupée à son retour. Rien nulle part n'enregistre la différence entre ces deux dates et, six mois plus tard, personne ne peut vous dire quelle elle était.
Cet écart n'est pas un problème de discipline, et recruter quelqu'un de plus consciencieux ne le comblera pas. C'est ce qui arrive lorsqu'une tâche dépend de la mémoire d'une personne plutôt que du déclenchement d'un processus. La correction est structurelle : définir le déclencheur, nommer le responsable et laisser le système exécuter l'étape.
Faites cela et la preuve s'écrit d'elle-même. Les dates sont réelles parce que le système les a enregistrées au moment où il agissait, et c'est le seul type de preuve qui vaille. Laissez ces trois journées informelles et vous passerez la semaine de l'audit à reconstituer l'histoire de mémoire, en espérant que la version reconstituée soit assez proche de ce qui s'est passé.
Les politiques décrivent comment les accès doivent changer de mains. Ce qui les rend vraies, c'est un processus qui tourne que quelqu'un y pense ou non. Si le travail sur les politiques est déjà fait correctement, la conformité IT au niveau des appareils et des accès est ce qu'il faut structurer ensuite.
Questions fréquentes
Quels sont les trois moments où les accès d'un collaborateur changent ?
Les accès changent de mains le premier jour d'une personne, le jour où elle rejoint une autre équipe ou un autre rôle, et son dernier jour. Chacun de ces moments est un point où des droits sont ajoutés, retirés, ou les deux, et chacun devrait être déclenché par un évènement du système RH plutôt que par la demande de celui qui l'a remarqué.
Pourquoi les petites entreprises peuvent-elles rarement montrer qui avait accès à quoi ?
Parce que le processus n'a jamais été défini, pas parce que quelqu'un a manqué de rigueur. Quand les accès sont accordés de façon informelle et retirés quand quelqu'un y repense, il n'y a ni déclencheur, ni responsable, ni système qui exécute le changement, donc rien n'est enregistré au passage. La preuve manque parce que le processus qui l'aurait produite n'existe pas.
Les personnes occupant le même rôle ont-elles besoin d'accès identiques ?
Non, et un bon processus ne le suppose pas. Le rôle définit un socle par défaut qui s'applique automatiquement, et tout ce qui va au-delà est demandé et approuvé par une personne nommée. Deux personnes de la même équipe peuvent se retrouver avec des droits différents, tant que la différence est une exception enregistrée et non un accident.
Qu'est-ce qui devrait déclencher un offboarding IT ?
La date de sortie dans le système RH. Un déclencheur lié à une date ferme les comptes à l'heure, que quelqu'un y pense ou non, tandis qu'un déclencheur qui dépend de la mémoire produit un écart entre le dernier jour officiel et le jour où les accès ont réellement pris fin. C'est cet écart que les auditeurs interrogent, et il n'est généralement pas documenté.
Pourquoi un tableur de suivi des appareils pose-t-il problème pour la conformité ?
Un tableur enregistre ce que quelqu'un croyait au moment où il l'a saisi. Les appareils sont échangés, prêtés et restitués sans que le tableur soit mis à jour : il se périme tout en continuant de faire autorité. Un inventaire en temps réel lit l'état depuis chaque appareil, ce qui fait du chiffrement et de l'état des correctifs des faits observés et datés plutôt que des affirmations à reconstituer.
