Nous structurons le cycle de vie des identités, de l’arrivée au départ, définissons les rôles et les habilitations avec vos métiers, étendons l’authentification forte et organisons des revues d’accès qui retirent vraiment les droits inutiles.
Beaucoup de projets IAM commencent par le choix d’un outil et butent sur ce qui le précède : des sources d’identités fiables, des rôles définis avec les métiers, des responsables qui valident les droits.
Nous posons d’abord ce modèle, puis l’automatisation qu’il rend possible. Les revues d’accès deviennent alors un contrôle utile : chaque droit a un propriétaire, une justification et une date de fin.
Un modèle simple, tenu par les métiers, que l’outillage automatise ensuite.
Vous obtenezUne cartographie des identités et des droits
Vous obtenezUn modèle de rôles et une politique d’habilitation
Vous obtenezUne feuille de route d’authentification forte
Vous obtenezDes revues d’accès tracées et leurs preuves
DORA, NIS 2 et le guide de la CNIL convergent : une identité unique par personne, des droits au strict besoin, retirés à temps et revus régulièrement.
Les entités financières se dotent de politiques de gestion des identités qui garantissent l’identification et l’authentification uniques des personnes et des systèmes, chaque membre de leur personnel ou de celui de leurs prestataires disposant d’une identité unique.12
Leur politique de contrôle d’accès attribue les droits selon le besoin d’en connaître et le moindre privilège, sépare les tâches, retire les droits sans retard injustifié au départ et les revoit au moins une fois par an, tous les six mois pour les systèmes soutenant des fonctions critiques ou importantes.3456
La directive demande aux États membres d’exiger des entités des politiques de contrôle d’accès et, le cas échéant, l’authentification multifacteur ; le ReCyF (version de travail) leur fixe l’objectif de mécanismes d’identification et d’authentification et de processus de gestion des droits, jusqu’à la révocation des droits et à la désactivation des comptes au départ.789
La CNIL recommande de définir des profils d’habilitation qui séparent les tâches, de faire valider chaque demande par un responsable, de supprimer les accès dès qu’ils ne sont plus justifiés, de revoir les habilitations au moins une fois par an avec les métiers, et d’utiliser l’authentification multifacteur pour les données sensibles et les opérations à risque, notamment l’administration, la connexion depuis l’extérieur et l’accès à la messagerie professionnelle.1011121314
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous suivons vos indicateurs d’habilitation et relançons les revues à leur échéance.
LivrablesNous concevons le modèle de rôles et la politique d’habilitation, et recommandons l’outillage, que vous arbitrez.
LivrablesNous pilotons le programme avec vos RH, votre DSI et vos métiers, sans effectuer les changements dans votre SI.
LivrablesUne base de rôles métier et de règles de séparation des tâches, à adapter à votre organisation.
Lancement, consignes aux managers, relances et compte rendu : une campagne de revue prête à démarrer.
Identités, droits, revues et écarts dans un outil partagé avec vos équipes.
Non. Un outil automatise un modèle : sans sources d’identités fiables ni rôles définis, il reproduit le désordre plus vite. Nous posons le modèle d’abord, puis vous aidons à choisir l’outil qui lui correspond.
Au moins une fois par an, et plus souvent pour les systèmes sensibles. Une entité financière soumise à DORA les revoit au moins tous les six mois sur les systèmes soutenant des fonctions critiques ou importantes ; la CNIL recommande une revue au moins annuelle.613
L’IAM gère les identités et les accès au quotidien : création des comptes, authentification, attribution des droits. L’IAG les gouverne : qui valide, sur quel modèle, avec quelles revues et quelles preuves. Nous traitons les deux ensemble.
Non. Nous concevons, pilotons et vérifions ; vos équipes ou votre intégrateur effectuent les changements dans votre SI. Nous pouvons vous aider à trouver l’intégrateur adapté, que vous mandatez.
Décrivez vos annuaires, vos applications sensibles et la façon dont vous gérez les départs. Nous revenons vers vous avec une proposition de cadrage.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32024R1774-a20-p1As part of their control of access management rights, financial entities shall develop, document, and implement identity management policies and procedures that ensure the unique identification and authentication of natural persons and systems accessing the financial entities’ information to enable assignment of user access rights in accordance with Article 21.32024R1774-a20-p2-1without prejudice to Article 21, first paragraph, point (c), a unique identity corresponding to a unique user account shall be assigned to each staff member of the financial entity or staff of the ICT third-party service providers accessing the information assets and ICT assets of the financial entity;32024R1774-a21-p0-1the assignment of access rights to ICT assets based on need-to-know, need-to-use and least privilege principles, including for remote and emergency access;32024R1774-a21-p0-2the segregation of duties designed to prevent unjustified access to critical data or to prevent the allocation of combinations of access rights that may be used to circumvent controls;32024R1774-a21-p0-8withdrawal of access rights without undue delay upon termination of the employment or when the access is no longer necessary;32024R1774-a21-p0-9update of access rights where changes are necessary and at least once a year for all ICT systems, other than ICT systems supporting critical or important functions and at least every 6 months for ICT systems supporting critical or important functions;32022L2555-a21-p2-9human resources security, access control policies and asset management;32022L2555-a21-p2-10the use of multi-factor authentication or continuous authentication solutions, secured voice, video and text communications and secured emergency communication systems within the entity, where appropriate.recyf:obj-10Les entités [importantes ou essentielles] mettent en œuvre :
1. Des mécanismes d’identification et d’authentification des utilisateurs et des processus automatiques de leurs systèmes d’information ;
2. Des processus de gestion des droits permettant notamment l’attribution des droits d’accès aux ressources en fonction du besoin opérationnel des utilisateurs et des processus automatiques, la révocation des droits en cas de changement d’affectation des utilisateurs et la désactivation du compte utilisateur en cas de départ de l’entité.F05-PE-01Définir des profils d’habilitation dans les systèmes en séparant les tâches et les domaines de responsabilité, afin de limiter l’accès des utilisateurs aux seules données strictement nécessaires à l’accomplissement de leurs missions.F05-PE-02Faire valider toute demande d’habilitation par un responsable (ex. : supérieur hiérarchique, chef de projet).F05-PE-03Supprimer les permissions d’accès des utilisateurs dès qu’ils ne sont plus habilités à accéder à un local ou à une ressource informatique (ex. : changement de mission ou de poste), ainsi qu’à la fin de leur contrat.F05-PE-04Réaliser une revue régulière, au moins annuelle, des habilitations afin d’identifier et de supprimer les comptes non utilisés et de réaligner les droits accordés sur les fonctions de chaque utilisateur. Les métiers devraient être impliqués dans cette revue afin qu’ils s’assurent de la légitimité opérationnelle des droits attribués.F04-MC-01Utiliser une authentification multifacteur lorsque des données sensibles au sens de l’article 9 du RGPD sont traitées, des traitements ou opérations à risque pour les personnes concernées sont effectuées, telles que l’administration systèmes et réseaux, la connexion au système d’information depuis l’extérieur ou, en général, l’accès à une messagerie professionnelle.