FICHE 8 : REVUE DES HABILITATIONS
EXEMPLE DE RISQUE EXEMPLE DE FACTEUR DÉCLENCHANT EXEMPLE D’IMPACT
Budgétaire : fraude
Accès aux données et Absence de revue des habilitations
aux applications par
Comptable et financier : incertitudes quant à la
des personnes non Absence de correction des anomalies détectées
fiabilité des données concourant à la production
autorisées lors de la revue des habilitations
des états financiers
Comptable et financier : incertitudes quant à la
Erreurs, Irrégularités Dérogation exceptionnelle à la matrice des
fiabilité des données concourant à la production
ou fraude incompatibilités non suivie de contrôles
des états financiers
(Ces éléments non exhaustifs peuvent être complétés des risques et facteurs de risque propres à l'entreprise)
OBJECTIF
S’assurer que les accès aux applications, bases de données et systèmes d'exploitation clés sont régulièrement revus.
EXEMPLE DE BONNES PRATIQUES
Levier « documentation »
Une procédure de revue périodique des comptes génériques est réalisée pour s’assurer que ces comptes sont limités
et justifiés.
Une procédure de revue périodique (a minima 1 fois par an) des comptes nominatifs (administrateurs, utilisateurs) est
documentée. Elle vise à s’assurer :
- du respect de la procédure de validation et approbation de la demande d’habilitation ;
- du rattachement effectif à la structure des agents pour lesquels des comptes sont actifs ;
- de l’exactitude des différentes informations liées à l’agent;
- de la pertinence des habilitations en fonction des missions exercées par les acteurs et des délégations qu’ils ont
reçues ;
- du respect de la matrice des incompatibilités entre les rôles détenus pas un même acteur.
Levier « organisation »
La revue des comptes génériques comptes nominatifs est formalisée a minima annuellement.
Un agent en charge des aspects de sécurité au sein de la DSI initie la revue en procédant à une extraction des comptes
génériques et nominatifs et de leurs droits d’accès. Sur la base du fichier transmis par la DSI, le responsable de service
procède à la revue périodique des comptes. Il annote le fichier en identifiant les comptes et droits d’accès injustifiés.
Afin d’en garantir l’indépendance, la revue périodique des comptes des agents en charge de la sécurité peut être
effectuée par une entité externe.
Les anomalies détectées ont été corrigées dans un délai raisonnable (ex : dans la semaine suivant la revue).
Un contrôle de supervision est réalisé afin de s’assurer que les corrections nécessaires ont été effectuées dans des
délais raisonnables et qu’elles ont été documentées et archivées.
En cas d’externalisation, l'entreprise procède à une revue périodique des comptes applicatifs, de base de données et
d’administration du domaine détenus par le prestataire de sorte à s’assurer que :
- les comptes nominatifs sont justifiés et correspondent à des salariés toujours en poste chez le prestataire.
- les comptes génériques sont restreints à des exigences techniques.
Cette revue ne peut pas être déléguée au prestataire qui intervient dans le cadre de l’externalisation
Levier « traçabilité »
La revue est traçable : le contrôle est formalisé (le responsable de service annote le fichier en identifiant les comptes
et droits d’accès injustifiés) et archivé.
PLAN D’ACTION
(Compléter des actions mises en œuvre ou devant être mises en œuvre par l'entreprise)