Revues des accès : qui a encore les clés
Nous vérifions, à intervalles réguliers, qui peut entrer dans vos annuaires, vos comptes cloud et vos applications clés, et s'il le devrait encore. Vous obtenez le nettoyage et les preuves qu'un auditeur demande.
Présentation
Pourquoi les accès dérivent
Des personnes arrivent, changent de poste et partent. Des prestataires terminent leur mission. Des comptes de service survivent aux systèmes qui en avaient besoin. Chaque changement est petit, et personne ne retire un accès avec la même urgence qu'il l'accorde. Au bout d'un an, la liste de qui accède à quoi ne correspond plus guère à une intention.
Black Fox mène des revues des accès périodiques sur les systèmes qui comptent : votre annuaire, vos plateformes cloud et les applications qui détiennent vos données ou votre argent. Nous recueillons les comptes et les droits, les comparons à vos registres de qui travaille où, et soumettons chaque entrée douteuse à la personne qui peut trancher.
Les accès privilégiés reçoivent plus d'attention que le reste. Les droits d'administrateur, root et propriétaire sont là où un seul compte oublié fait le plus de dégâts, et là où les auditeurs regardent en premier.
À qui s'adresse ce service
Les organisations qui préparent ou maintiennent l'ISO/IEC 27001, SOC 2, PCI DSS ou un référentiel comparable, où la revue périodique des accès est un contrôle attendu, et toute équipe qui a grandi, s'est réorganisée ou a changé de systèmes et ne sait plus très bien qui accède à quoi.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Systèmes couverts
Nous convenons des systèmes revus et de la fréquence, par exemple votre annuaire, vos comptes cloud, votre plateforme de code source et vos applications de finance et de RH.
Extraction des comptes et des droits
Nous recueillons qui a accès et avec quels droits, à partir d'exports ou d'accès en lecture que vous fournissez, et rattachons les comptes à des personnes réelles.
Arrivées, mobilités et départs
Nous comparons les accès à vos registres RH et prestataires : partants encore actifs, personnes mutées ayant gardé leurs anciens droits, nouveaux venus avec plus que leur rôle ne demande.
Accès privilégiés
Droits d'administrateur et de propriétaire, comptes partagés, comptes d'urgence et comptes de service revus un par un, avec un responsable nommé.
Attestation par les responsables
Managers et responsables de systèmes confirment ou retirent chaque entrée, et leurs décisions sont consignées et datées.
Revue du processus
Nous examinons comment les accès sont demandés, approuvés et retirés, et recommandons des changements pour que la revue suivante trouve moins.
Déroulement de la mission
Lancement
Nous convenons des systèmes, de la fréquence, des responsables et des preuves attendues par vos auditeurs, et signons d'abord un accord de confidentialité si vous le souhaitez.
Collecte
Nous rassemblons les données de comptes et de droits ainsi que vos registres du personnel et des prestataires actuels.
Analyse
Nous rapprochons, comparons et signalons : comptes orphelins, droits excessifs, conflits de séparation des tâches et accès privilégiés inexpliqués.
Attestation
Chaque responsable reçoit sa liste, confirme ou retire, et nous relançons les réponses qui n'arrivent pas.
Nettoyage et preuves
Vos équipes suppriment ce qui a été retiré, nous le vérifions, et la revue est mise en forme comme preuve. Le cycle reprend ensuite selon la fréquence convenue.
Ce que vous recevez
- Inventaire des comptes et des droits par système
- Rapport de constats : comptes orphelins, droits excessifs, conflits
- Registre des accès privilégiés avec responsables nommés
- Attestations des responsables avec décisions et dates
- Vérification de la suppression des accès retirés
- Recommandations sur les processus d'arrivée, de mobilité et de départ
Questions
À quelle fréquence faut-il revoir les accès ?
Cela dépend du système et de votre référentiel. Les accès privilégiés et les systèmes dans le périmètre d'un audit sont couramment revus plus souvent que le reste. Nous vous aidons à fixer une fréquence que vous pouvez justifier et réellement tenir.
Supprimez-vous les comptes vous-mêmes ?
Ce sont vos équipes qui le font, car elles possèdent les systèmes et le processus de changement. Nous leur indiquons quoi supprimer, relançons et vérifions que c'est fait.
Cela suffira-t-il à notre auditeur ?
Nous ne pouvons pas parler à la place de votre auditeur. Nous produisons les preuves avec lesquelles les revues des accès sont habituellement testées : qui a été revu, par qui, ce qui a été décidé et que la décision a été appliquée. C'est votre auditeur qui juge si cela répond à l'exigence.
Avez-vous besoin d'un accès administrateur à nos systèmes ?
Non. Des exports ou un accès en lecture suffisent généralement, et nous convenons avant de les recevoir de la façon dont les données sont traitées et supprimées.
Services associés
- Sécurité managéeConformité continueConformité continue avec Black Fox Security : calendrier des preuves, audits internes, tests de contrôles, revue des politiques, audits de surveillance.
- Conformité et certificationSOC 2SOC 2 avec Black Fox Security : périmètre selon les Trust Services Criteria, analyse d'écarts, conception des contrôles et préparation des preuves pour votre cabinet CPA.
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Gouvernance et risquesAudit de sécurité de l'informationAudits indépendants de sécurité de l'information par Black Fox Security selon l'ISO/IEC 27001, la 27002, le RGPD, PCI DSS, vos politiques ou un questionnaire client.
Découvrez qui a encore les clés
Dites-nous quels systèmes comptent le plus et quand a lieu votre prochain audit. Nous vous proposerons une revue adaptée aux deux.