Réviser les droits d'accès
Réviser les droits d'accès
Ce cas d'utilisation décrit les cas d'utilisation des droits d'accès de révision pour les utilisateurs finaux et les administrateurs IGA . En général, la recertification et les droits d'accès de révision ont des objectifs différents, mais pour plus de clarté pour les utilisateurs finaux dans la solution IGA , ces cas d'utilisation sont regroupés sous le terme « cas d'utilisation des droits d'accès de révision ».
Les révisions des droits d'accès sont des audits ou évaluations périodiques de l'accès des utilisateurs aux différentes applications et ressources d'une organisation. L'objectif est de garantir que l'accès est adapté au rôle, aux responsabilités et aux besoins actuels de chaque individu. Ces révisions permettent de détecter et de supprimer les accès excessifs ou inutiles, de réduire les risques de sécurité et d'améliorer la conformité.
La recertification se distingue de la recertification par le processus formel de vérification et de confirmation, généralement à intervalles réguliers, que les droits d'accès des utilisateurs sont toujours appropriés et nécessaires à leur rôle. Ce processus nécessite souvent que les responsables ou les propriétaires de systèmes confirment ou « recertifient » qu'un utilisateur a toujours besoin d'accéder à des ressources, systèmes ou données spécifiques.
Aspects clés des examens et de la recertification des droits d’accès :
- Évaluations périodiques : Examens réguliers (par exemple, trimestriels, annuels) des droits d'accès des utilisateurs pour s'assurer qu'ils sont à jour et demande formelle aux gestionnaires ou aux propriétaires d'accès pour confirmer si les niveaux d'accès accordés aux utilisateurs sont toujours valides.
- Vérifications d'accès basées sur les rôles : vérifier que l'accès accordé correspond au rôle professionnel et aux responsabilités actuelles de l'utilisateur.
- Identification des risques : détection des accès non autorisés, des accès à des données sensibles non nécessaires ou des vulnérabilités potentielles.
- Conformité aux réglementations : Certaines industries nécessitent une recertification d'accès pour répondre aux normes réglementaires, telles que le RGPD, NIS2, DORA ou l'application d'exigences de certification comme ISO27001, etc.
Les examens et les renouvellements de certification des droits d'accès sont essentiels pour maintenir une sécurité renforcée, minimiser les risques et garantir la conformité aux politiques internes et aux réglementations externes. Ces activités sont généralement prises en charge par des outils automatisés et nécessitent une coordination efficace entre les équipes informatiques, de sécurité et les unités opérationnelles.
Intégrez M42 Intelligence - Assistance communication (module complémentaire) pour garantir une communication claire avec les utilisateurs finaux et une compréhension claire de l'importance des demandes de révision des droits d'accès périodiques et des attentes vis-à-vis de l'utilisateur. Cette fonctionnalité garantit, par exemple, que les utilisateurs reçoivent les informations dans leur langue maternelle.
Cas d'utilisation
Cas d'utilisation pour les utilisateurs finaux
L'utilisateur peut également consulter les droits d'accès en utilisant la fonctionnalité Mes objets dans le libre-service et les gestionnaires ont des capacités similaires pour consulter les droits d'accès des subordonnés en utilisant la fonctionnalité Mes employés.
Les cas d'utilisation décrits ici sont des services uid , qui permettent aux utilisateurs finaux de demander également des droits d'accès ou la suppression des droits d'accès, et à la fin du service, l'utilisateur final donne des commentaires d'évaluation qui sont stockés à des fins d'audit.
Cas d'utilisation des utilisateurs finaux décrits ci-dessous :
- Revoir mes droits d'accès
- Réviser les droits d'accès (gestionnaire)
- Réviser les droits d'accès (approbateur)
| Description | |
| Aperçu |
Dans ce cas d'utilisation, les services de révision des droits d'accès en libre-service sont décrits, ainsi que la manière dont les utilisateurs finaux peuvent réviser les droits d'accès actifs à tout moment, ou lorsqu'il existe des demandes de révision ouvertes, comme par exemple la nécessité de vérifier si un seul droit d'accès est toujours valide pour tous les utilisateurs (également appelé recertification).
|
| Opérateurs |
Utilisateur final Directeur Approbateur En libre service Solution IGA |
| Prérequis |
Pour consulter les droits d'accès à tout moment, les utilisateurs finaux devront accéder aux services de révision dans le libre-service. Pour examiner les demandes de révision des droits d'accès libre , l'administrateur IGA a créé une demande de révision dans la solution IGA et l'utilisateur a reçu une notification par courrier électronique concernant les demandes de révision en attente d'actions. |
| Résultat | Les droits d'accès des utilisateurs sont vérifiés, mis à jour et ceux qui ne sont pas nécessaires sont supprimés. Les résultats sont stockés à des fins d'audit et la vérification est terminée. |
| Revoir mes droits d'accès |
|
| Réviser les droits d'accès (gestionnaires) |
|
| Examiner les droits d'accès (approbateurs) |
|
Cas d'utilisation pour les administrateurs IGA
Voici les cas d'utilisation décrits permettant aux administrateurs IGA de lancer, d'annuler, de réexaminer, de surveiller et de signaler les révisions des droits d'accès. Le client peut décider si d'autres utilisateurs, comme les propriétaires d'applications, peuvent lancer des révisions des droits d'accès pour l'application dont il est désigné comme propriétaire.
Cas d'utilisation de l'administrateur IGA décrits ici :
- Créer une nouvelle demande d'avis
- Annuler la demande de révision en cours
- Commencer la réévaluation
- Surveiller et signaler
| Description | |
| Aperçu |
Dans ce cas d'utilisation, il est décrit comment l'administrateur IGA peut démarrer, définir, surveiller et auditer les demandes de révision des droits d'accès. |
| Opérateurs |
Administrateur IGA Solution IGA |
| Prérequis | Les relations entre les droits des utilisateurs, les rôles métier, les enregistrements de droits d'accès, les comptes et les périodes de travail doivent être correctement mises en place. |
| Résultat | Une demande de révision ponctuelle ou récurrente a été créée, les réviseurs sont avertis, les résultats sont visibles et les détails de l'audit sont enregistrés. |
| Créer une nouvelle demande d'avis |
|
| Annuler la demande de révision en cours |
|
| Démarrer un nouvel examen pour les demandes qui n'ont pas été approuvées pendant la période d'examen (planification) |
|
| Suivi et rapports des demandes d'examen |
|
M42 Intelligence - Assistance aux communications 
La solution IGA prend en charge différents cas d'utilisation liés à l'IA (module complémentaire), et le cas d'utilisation des droits d'accès à la révision est l'un des cas d'utilisation dans lesquels l'administrateur IGA doit communiquer clairement avec les utilisateurs finaux pour s'assurer qu'ils savent pourquoi les demandes de révision sont faites et ce qui est attendu des réviseurs et des utilisateurs finaux.
M42 Intelligence - Assistance aux communications
Lorsqu'elle est activée, IGA peut utiliser l'assistance Comms pour rédiger un message aux réviseurs (utilisateurs finaux, gestionnaires et approbateurs), ce qui nécessite généralement une explication complète de ce qu'est la révision des droits d'accès et des actions attendues de l'utilisateur.
L'assistance aux communications aide l'administration IGA avec,
- Corriger et améliorer les messages avec les utilisateurs finaux, par exemple par e-mail
- Cas d'utilisation prêts à l'emploi optimisés pour la communication de l'administrateur IGA vers les utilisateurs finaux
- Facile à configurer et à adapter à la langue de votre entreprise
Instructions de livraison
Flux et objectif de la carte de données
Objectif de la carte de données,
- Droits d'accès aux révisions IGA : utilisés par les administrateurs IGA pour démarrer de nouvelles demandes et réexaminer les demandes, suivre et surveiller les demandes en cours, signaler et auditer les informations liées aux demandes de révision.
- Approbation - est créée dans les cas où le type d'approbation est défini sur « demande d'approbation » et l'approbation est effectuée à l'aide des fonctionnalités d'approbation en libre-service
- Demande de service IGA - est créée pour les nouvelles demandes de révision, et elle est créée si l'utilisateur demande simultanément l'ajout ou la suppression de droits d'accès ou si une nouvelle révision est requise par l'administrateur IGA .
- Droits IGA : peut être le contenu de la revue et définir les approbateurs pour les revues de droits et de demandes. Sert également à la revue des droits récemment revus ou jamais revus.
- Rôle commercial IGA - peut être le contenu de l'examen et définit les approbateurs pour les examens des rôles commerciaux
- Application - est utilisé pour vérifier quels accès aux applications ont été vérifiés en dernier et quand la vérification a été effectuée
- Période de travail IGA - est utilisée pour examiner les derniers utilisateurs examinés ou ceux qui n'ont jamais été examinés
- Stockage d'identité IGA - est utilisé pour examiner et auditer tous les avis liés à l'utilisateur
- Enregistrement des droits d'accès IGA - stocke les détails d'audit sur les avis
Instructions de configuration
Veuillez suivre les instructions correctes, selon que vous configurez un nouvel environnement (version de base 2025.1 ou plus récente) ou que vous ajoutez ces cas d'utilisation à l'environnement client existant.
N'oubliez jamais de,
- Configurer d'abord les cas d'utilisation dans l'environnement de test
- Effectuer des tests d'approbation du système et des utilisateurs dans l'environnement de test
- Corrigez tous les résultats possibles et effectuez de nouveaux tests
- Déplacer la configuration vers l'environnement de production
- Valider que la configuration est correctement déplacée vers l'environnement de production
Instructions de configuration pour le nouvel environnement :
- Configuration dans la solution IGA (plateforme)
- Publier un modèle de demande de service IGA
- Publier le flux de travail des droits d'accès aux examens IGA
- Publier le modèle de droits d'accès à l'examen IGA
- Flux de travail des droits d'accès à la révision IGA
- Publier un modèle de demande de service IGA
- Configuration en libre-service
- Publier les services suivants
- Revoir mes droits d'accès
- Réviser les droits d'accès (gestionnaires)
- Examiner les droits d'accès (approbateurs)
- Publier les services suivants
Instructions de configuration pour l'environnement existant (solution IGA ) :
- Importez à partir d'environnements One-Click-Demo (OCD) et/ou apportez des modifications aux modèles suivants
- Application
- Ajouter un nouvel attribut : droits associés
- Droit à IGA
- Ajouter un nouvel attribut à xx : Réviser les droits d'accès
- Ajouter un nouvel attribut (champ technique) : filtrage ESS (attribut partagé)
- Enregistrer toutes les cartes de données d'autorisation
- Écouteur post-enregistrement : Enregistrer l'application associée lorsqu'elle est ajoutée au droit (2025.1).
- Enregistrement des droits d'accès IGA
- Ajouter une nouvelle classe : vérifier les informations sur les droits d'accès
- Ajouter un nouvel attribut : Historique des avis
- Flux de travail de mise à jour : 2.0 Ajouter ou supprimer l'appartenance à un groupe
- Rôle commercial IGA
- Ajouter un nouvel attribut : Réviser les droits d'accès
- Ajouter un nouvel attribut (champ technique) : filtrage ESS (attribut partagé)
- Enregistrer toutes les cartes de données de rôle d'entreprise
- Importer un NOUVEAU modèle : droits d'accès aux révisions IGA , qui comprend
- Auditeurs
- Événements
- Flux de travail
- Demande de service IGA
- Ajouter de nouveaux attributs :
- Droits d'accès à l'examen IGA
- Droits d'accès aux révisions connexes inachevées
- Droits en cours de révision
- Les rôles des entreprises en revue
- Demande rejetée
- Approbateur(s) demandé(s)
- Aide du ou des approbateurs demandée
- Publier le flux de travail des droits d'accès à l'examen IGA
- Ajouter de nouveaux attributs :
- Période de travail IGA
- Ajouter une nouvelle classe : vérifier les informations sur les droits d'accès
- Ajouter un nouvel attribut : droit d'accès à la révision
- Créer de nouveaux éléments de service :
- Réviser les droits d'accès
- Commentaires de révision
- Application
Instructions de configuration pour le libre-service existant :
- Importer de nouveaux services :
- Revoir mes droits d'accès
- Réviser les droits d'accès (gestionnaires)
- Examiner les droits d'accès (approbateurs)
- Importer des services liés à MyServices :
- Révision IGA / Demandes des utilisateurs (Utilisateur)
- Révision IGA / Demandes du gestionnaire (gestionnaire)
- Demandes d'examen/d'approbation IGA (Approbateur)
- Rôles commerciaux de IGA Review (utilisateur, gestionnaire, approbateur)
- Droits d'examen IGA (utilisateur, gestionnaire, approbateur)
- Rôles de travail/d'entreprise de révision IGA (gestionnaire, approbateur)
- Examen des WP/habilitations IGA (gestionnaire, approbateur)
- Droits d'accès actifs IGA WP (Utilisateur)
- Rôle commercial automatique IGA WP (utilisateur)
- Droits automatiques IGA WP (Utilisateur)
- Rôle commercial demandé par IGA WP (utilisateur)
- Rôle commercial IGA / Approbateurs (Approbateur)
- Droits IGA / Approbateurs (Approbateur)
- Période de travail IGA (ma) - Demande et suppression d'accès (utilisateur)
- Mon application accède (Utilisateur)
- Mon application / accès subordonné (Manager)
- Ma demande / mon approbateur
- Examen des WP/droits d'application IGA (gestionnaire)
- Rôle de gestionnaire de projets/d'applications IGA Review (gestionnaire)
- Mes équipes (utilisateur)
- Approbateur des droits IGA 1 (utilisateur)
- Approbateur des droits IGA 2 (utilisateur)
- Rôle commercial IGA Approbateur 1 (Utilisateur)
- Rôle commercial IGA Approbateur 2 (Utilisateur)
Instructions de test du système et d'approbation
Préparation des tests,
- La solution IGA contient des utilisateurs qui ont toutes les relations nécessaires avec les droits, les applications, les gestionnaires, les enregistrements de droits d'accès, etc.
- Créez des utilisateurs de test pour le libre-service avec des accès corrects aux services et relations suivants en place dans la solution IGA
- Utilisateur - revoir mes droits d'accès
- Gestionnaire - examine les droits d'accès (gestionnaires), a des relations avec les subordonnés
- Approbateur - examiner les droits d'accès (approbateurs), marqué comme approbateur des droits et/ou des rôles métier
Instructions de test pour les administrateurs IGA ,
- Créez différents types de demandes d'évaluation en fonction du cas d'utilisation pour les administrateurs IGA
- Choisissez tous les types de contenu pour les avis
- Choisissez les deux types d'approbations
- Créez au moins dix (10) types différents de demandes d'avis pour que les utilisateurs finaux puissent tester différents résultats pour les avis
- Passer au test des actions de l'utilisateur final
- Une fois que certains utilisateurs finaux ont examiné leurs accès, annulez l'une des demandes en cours
- Quand la date de fin survient
- Pour l'une des demandes, démarrez une nouvelle révision pour les utilisateurs qui n'ont pas effectué la révision dans le délai défini.
- Valider les résultats et s'assurer que les rapports affichent correctement les informations
- Valider que le statut et les résultats des demandes d'examen s'affichent correctement
Instructions de test pour les utilisateurs finaux,
- Connectez-vous au libre-service
- Tous les utilisateurs devraient voir « Consulter mes droits d'accès »
- Les gestionnaires qui ont des subordonnés doivent consulter le service de révision des droits d'accès (gestionnaire)
- Les approbateurs qui ont des responsabilités d'approbateur définies dans les cartes de données d'autorisation IGA et/ou de rôle commercial IGA doivent consulter le service de révision des droits d'accès (approbateurs)
- Si l'utilisateur final a plusieurs responsabilités de révision, il est possible qu'un ou plusieurs services de révision soient visibles dans le libre-service
- Valider que les services corrects sont disponibles pour l'utilisateur de test en fonction du rôle attribué
- Ouvrir le service
- Valider que le texte et les instructions sont corrects
- Sélectionnez « Réviser tous mes droits d'accès »
- Valider que le service fonctionne conformément aux cas d'utilisation décrits pour le rôle
- Sélectionner la demande de droit d'accès en cours
- Sélectionnez la demande pour laquelle l'administrateur IGA a inclus l'avis de l'utilisateur
- Valider que les informations sont affichées correctement pour les utilisateurs finaux.
- Comparez les informations visibles aux données de stockage d'identité IGA des utilisateurs associés
- Valider que les gestionnaires ne peuvent voir que leurs propres subordonnés, et non tous les utilisateurs
- Valider que les approbateurs ne peuvent voir que les informations relatives aux accès pour lesquels ils sont marqués comme approbateurs (droit IGA ou rôle commercial IGA )
- Approuver et refuser les demandes d'approbation de droits uniques ou de rôles métier, visibles sur la première page
- Valider que suffisamment d'informations sont visibles pour vérifier les droits d'accès