Qui a accès à quoi dans votre SI, et pouvez-vous le prouver ? Avec NIS2 et ISO 27001, la revue des accès n’est plus une bonne pratique : c’est une exigence que l’auditeur vous demandera de démontrer.
Dans la plupart des organisations, cette revue repose encore sur un export Excel annuel : appartenances aux groupes Active Directory d’un côté, droits NTFS de l’autre, puis un travail de corrélation pour en déduire les accès réels. Le fichier part chez les managers, revient en partie, et finit archivé. Quand elle existe, la revue est rarement outillée. Et la preuve se reconstitue dans l’urgence, la semaine qui précède l’audit.
Ce que NIS2 et ISO 27001 attendent vraiment
NIS2 demande de maîtriser les accès, et surtout de démontrer cette maîtrise. Trois points de la directive se combinent :
- Contrôle d’accès (article 21, paragraphe 2, point i) : politiques de contrôle d’accès, sécurité des ressources humaines et gestion des actifs.
- Efficacité des mesures (article 21, paragraphe 2, point f) : des procédures pour évaluer l’efficacité des mesures de gestion des risques.
- Responsabilité de la direction (article 20) : la direction approuve les mesures, supervise leur mise en oeuvre et en répond.
NIS2 fixe l’objectif, pas l’outil. L’autorité de contrôle attend des éléments démontrables.
L’ISO/IEC 27001:2022 dit à peu près la même chose, avec plus de précision. Quatre contrôles de l’Annexe A sont concernés : le contrôle d’accès (5.15), la gestion des identités (5.16), les droits d’accès (5.18) et les droits d’accès privilégiés (8.2). Le cœur du sujet est le 5.18 : attribution, revue à intervalles réguliers et retrait des droits. C’est exactement ce que couvre une campagne de recertification des accès. L’ancien contrôle A.9.2.5, dédié à la revue des droits des utilisateurs, y est désormais intégré.
Les cinq questions de l’auditeur
- Quel périmètre a été revu ?
- À quelle fréquence, et pourquoi celle-ci ?
- Qui a validé chaque accès ?
- Qu’est-ce qui a été révoqué, et quand ?
- La révocation a-t-elle été appliquée dans l’AD ?
Les trois premières relèvent de votre organisation : c’est à vous de dire qui s’occupe de quoi, et à quel moment. Les deux dernières sont plus exigeantes. Elles supposent de prouver qu’une revue a eu lieu à une date donnée, selon le planning et par la personne prévus, puis que chaque décision de révocation a bien été exécutée dans l’annuaire. C’est précisément là qu’un export Excel ne suffit plus. Avoir une politique ne suffit pas : il faut pouvoir en produire la preuve.
Le replay du webinar
Hugo Briand, de LAZAR SOFT, revient sur ces exigences, explique où se rompt le processus fondé sur l’export Excel, puis construit en direct une campagne de recertification dans ADManager Plus, de la définition du périmètre jusqu’à la preuve d’audit.
Pourquoi l’export Excel annuel ne tient pas
Le scénario est connu : export AD, fichier Excel, envoi aux managers, relances, retours partiels, archivage. Une fois par an, souvent juste avant l’audit. La charge pèse sur l’équipe IT, qui produit l’export puis relance les responsables métier, alors qu’elle est absorbée par les incidents et le run quotidien. Le résultat est un fichier archivé, sans lien avec l’état réel de l’annuaire.
Pour être certain que les décisions ont été appliquées, il faudrait aller plus loin encore : régénérer un export après les corrections, le renvoyer au manager, le faire vérifier. Personne ne le fait. Le processus se rompt à cinq endroits :
- Des données périmées dès l’envoi : un accès révoqué dans le fichier n’est pas pour autant retiré dans l’AD.
- Des noms de groupes techniques : la nomenclature, pensée pour les administrateurs, est illisible pour un manager.
- Aucun lien entre la cellule modifiée et l’action dans l’AD.
- Aucune trace de qui a validé quoi, ni quand, sauf à passer par un outil d’ITSM.
- Une preuve reconstituée juste avant l’audit.
Ce qui manque est une boucle fermée : de la génération des informations à la décision du manager, de la décision à l’exécution dans l’AD, et de l’exécution à la preuve.
La recertification pilotée : cinq étapes, une seule boucle
Le cycle d’une campagne
- Campagne : périmètre, réviseurs et échéance sont définis une fois, par l’équipe IT.
- Revue : le responsable métier voit les accès de son équipe.
- Décision : maintenir ou révoquer, accès par accès, ou en masse.
- Exécution : la révocation est appliquée dans l’AD dès que la décision est enregistrée.
- Preuve : chaque étape est horodatée et exportable.
À l’échéance suivante, la campagne repart automatiquement. La preuve devient un sous-produit du processus, plus un livrable à part.
Chacun retrouve son rôle. L’équipe IT configure le périmètre et la récurrence, puis se limite à vérifier que les campagnes tournent sans erreur, comme elle contrôle ses sauvegardes. Elle ne gère plus les relances. Le responsable métier reçoit une notification, se connecte et décide, parce qu’il connaît le besoin réel. Le RSSI et l’auditeur consultent les décisions et leur exécution, reçues par e-mail ou déposées sur un partage, sans dépendre de la disponibilité des équipes.
Un bénéfice de sécurité s’ajoute. L’Active Directory relève du Tier 0 dans un modèle de tiering standard. Les managers n’y reçoivent aucun droit : ils agissent à travers une interface sécurisée, sur leur seul périmètre.
La démonstration dans ADManager Plus
Dans l’onglet Gouvernance, la démonstration construit une campagne de recertification étape par étape. Le cas choisi est volontairement sensible : la revue des membres du groupe des administrateurs du domaine.
1. Définir le périmètre et les accès à revoir
À 19:28 dans le replay
La campagne reçoit un nom, un niveau de priorité et un périmètre technique : un domaine Active Directory ou un tenant Microsoft 365. Côté annuaire local, on revoit l’appartenance aux groupes, les permissions NTFS sur un partage précis et les accès aux boîtes Exchange. Côté Microsoft 365, l’appartenance aux groupes, les rôles d’administration, les applications assignées et leurs licences, les équipes et canaux Teams, les boîtes Exchange Online.
Pour l’audit. Le résultat se présente par utilisateur, pour obtenir des accès nominatifs. La population peut être filtrée : comptes désactivés, verrouillés, expirés, mot de passe ancien, OU ou groupe.
2. Désigner les réviseurs et les notifications
À 22:31 dans le replay
Le réviseur est le manager ou le responsable métier, choisi parmi les utilisateurs AD ou les utilisateurs de l’outil. Des règles plus avancées confient la revue à un groupe : validation par la moitié de ses membres, ou par le premier qui agit pour tous. Des notifications par e-mail, ou par SMS via une passerelle, signalent le lancement et les décisions.
Cas d’usage. Informer l’IT qu’un manager a révoqué un accès : le retrait d’un groupe sensible qui apparaît ensuite dans les journaux est alors attendu, et non suspect.
3. Planifier la récurrence
À 24:26 dans le replay
Une date de départ, puis une fréquence : hebdomadaire, mensuelle, trimestrielle, annuelle. Dans l’exemple, la campagne s’exécute tous les trois mois, le 20 à 9 h, sans date de fin. Une fois créée, elle tourne seule.
4. Fixer les règles de la revue
À 25:11 dans le replay
Commentaire obligatoire à l’approbation ou à la révocation, interdiction de l’auto-recertification, validation ou révocation en masse depuis un bouton unique. L’expiration de la campagne et les relances se règlent aussi. Exemple donné : clôture à 15 jours, première relance au bout de 3 jours sans réponse, puis une relance quotidienne à 9 h.
La question à trancher. Que faire des accès non revus à l’échéance ? Ne rien faire, l’option recommandée à l’écran, tout approuver par défaut, ou tout révoquer quand l’accès est trop sensible pour rester sans revue.
5. Décider, exécuter, prouver
À 28:15 dans le replay
Le réviseur voit la liste des utilisateurs qui détiennent l’accès : un bouton vert pour le maintenir, un bouton rouge pour le révoquer. Dès l’enregistrement, ADManager Plus applique les décisions dans l’annuaire. La preuve est générée dans la foulée, stockée sur un serveur ou envoyée par e-mail.
Le bon format pour le bon lecteur. PDF, XLSX, CSV ou HTML : un CSV pour l’exploitation technique, un PDF ou un HTML pour le RSSI et l’auditeur.
Des exigences à la preuve
Ce que la campagne produit pour l’auditeur
- NIS2 21.2 i et ISO 5.15 : campagne sur un périmètre défini, preuve par le périmètre et les paramètres de la campagne.
- ISO 5.18, revue : revue périodique par le responsable métier, preuve par des décisions horodatées, par réviseur.
- ISO 5.18, retrait : révocation exécutée dans l’AD, preuve par la trace des actions appliquées.
- ISO 8.2 : revue dédiée aux comptes à privilèges, preuve par un rapport sur les comptes privilégiés.
- NIS2 21.2 f : campagnes récurrentes et rapports exportables, preuve par l’historique des campagnes successives.
Par où commencer
Un périmètre pilote : les groupes à privilèges et les applications sensibles, avant de généraliser. Une périodicité justifiée : par exemple trimestrielle pour les accès privilégiés, annuelle pour le reste, à aligner sur votre analyse de risques. L’erreur la plus courante est de multiplier les campagnes au point de saturer les managers. Un AD prêt pour la revue : attribut manager à jour, utilisateurs et groupes de sécurité rangés dans des OU identifiées, groupes nommés ou décrits de façon lisible pour un responsable métier.
Pour aller au-delà des droits attribués, ADAudit Plus analyse les accès réels : qui a accédé, ou tenté d’accéder, à une ressource d’un serveur de fichiers ou d’un tenant Microsoft 365, à partir des journaux des contrôleurs de domaine et des serveurs.
Trois choses à retenir
La revue des accès est une exigence démontrable. Ce n’est plus seulement une bonne pratique. L’export Excel annuel ne referme pas la boucle : plus la chaîne compte de maillons, plus elle laisse passer d’erreurs. La preuve doit être produite par le processus lui-même, pas reconstituée la veille de l’audit.
Pour démarrer, LAZAR SOFT propose un atelier de cadrage ou une démonstration sur votre environnement AD, et si besoin une preuve de concept ADManager Plus : périmètre pilote, périodicité et prérequis, appliqués à votre contexte.
LAZAR SOFT
Votre prochaine revue des accès sera-t-elle une preuve, ou un fichier Excel ?
Nos équipes avant-vente répondent aux questions de mise en oeuvre sur l’ensemble du catalogue ManageEngine.