Pourquoi les anciens accès survivent-ils au travail ?

Les anciens accès persistent au-delà de leur objectif prévu et la plupart des organisations ne les surveillent jamais. Les nouveaux droits d’accès arrivent dans la journée suivant une demande. Les anciens droits sont révoqués, s’ils le sont, uniquement sur demande de quelqu’un. Les outils qui aident les employés à confirmer, faire pivoter et sauvegarder leurs comptes de service m’ont appris à maintes reprises que la suppression de l’accès doit être aussi réfléchie que l’octroi de l’accès. Les professionnels de la sécurité peuvent combler ce gouffre en modifiant simplement leurs politiques en matière de changements de rôle et de révision des accès.

Cela arrive tout le temps. Un employé passe d’une équipe à une autre. Le nouveau responsable approuve l’accès nécessaire pour le nouveau rôle dans la journée et la personne est productive au déjeuner. L’accès depuis l’ancien rôle reste. Après des mois, l’examen des accès ne pose qu’une seule question : « En avez-vous toujours besoin ? » Le réviseur voit le nom à côté du droit, mais rien sur le tableau de bord n’indique s’il a été utilisé depuis le déplacement. Il est difficile de cliquer sur non, car quelque chose pourrait se casser. Ils n’ont jamais pris la peine de cliquer sur oui. Ainsi, ils cliquent sur oui, et ça leur va.

Pourquoi est-il facile d’accorder l’accès mais de le supprimer difficilement ?

L’octroi a un propriétaire et une date limite. Un responsable soumet une demande, un approbateur clique sur oui et le processus se termine en quelques heures seulement puisque quelqu’un y est impliqué. La suppression n’a aucun des deux. Personne n’ouvre un ticket lorsque l’autorisation devient inutile, car la seule personne qui le remarque ne soumettra pas le ticket faute de raison de le faire. Le coût du maintien de l’autorisation est élevé, mais il n’est pas visible et apparaît dans le futur. Les incitations fonctionnent de la même manière. Personne n’évalue à quel point le niveau d’accès de son équipe est bas, tandis qu’une autorisation qui a été supprimée par erreur et devenue nécessaire entraîne un ticket d’assistance furieux soumis le même jour.

Et c’est quelque chose qui doit être fait via des critiques, mais, à mon avis, cela ne se fait pas comme ça. Et, au moins dans toutes les activités d’attestation et de recertification auxquelles j’ai participé, il y a simplement une question fondamentale pour l’évaluateur : l’accès est-il toujours valide ? Dire « oui » n’est pas vraiment difficile : l’accès a été accordé, aucune action n’a suivi et l’examen de plusieurs centaines prend moins de temps que l’enquête sur un accès particulier. Ce n’est pas ce qui apparaîtra sur votre écran. Lorsque vous examinez les noms de comptes, vous ne savez pas s’ils ont été utilisés la semaine dernière ou l’année dernière.

Le contrôle d’accès basé sur les rôles est utile ici, mais le problème est que, lorsqu’un utilisateur change de rôle, son rôle est mis à jour, mais pas l’accès direct, les groupes et les dossiers qu’il a acquis au fil du temps.

Que coûte réellement l’accès restant ?

Je dois être très prudent ici, car cette métrique ne reflète pas l’accès qui reste. Le rapport Verizon Data Breach Investigations Report 2026 a démontré que l’exploitation des vulnérabilités était la méthode de violation la plus fréquemment utilisée, représentant 31 % de toutes les violations, tandis que le leader précédent – ​​l’abus d’informations d’identification – était réduit à 13 %. Cependant, je tiens à souligner que ce rapport particulier n’a aucun rapport avec la question des autorisations obsolètes. Pourtant, ce que l’intrus pourrait faire après avoir pénétré dans le système dépend des autorisations du compte piraté, qui à son tour dépend du nombre d’autorisations acquises. Dans la pratique, cela ressemble à des résultats d’audits et d’enquêtes qui s’éternisent, car personne ne sait exactement à qui autoriser l’accès aux données de l’entreprise.

Cependant, il existe des informations prouvant le cas des sortants, bien qu’assez maigres. Ainsi, selon l’enquête PasswordManager.com réalisée en mars 2023, parmi 1 000 travailleurs américains, 58 % des travailleurs ayant répondu avoir utilisé les mots de passe de leurs précédents employeurs ont admis n’avoir jamais mis à jour leurs mots de passe après avoir quitté l’entreprise. Il s’agit d’une enquête d’opinion réalisée en ligne, c’est pourquoi c’est un indicateur. En effet, j’ai également remarqué cela : les départs doivent passer par les listes de contrôle d’offboarding des RH, mais pas par les autorisations et les certificats créés par des centaines de personnes pendant de nombreuses années.

Les transferts sont encore plus problématiques et les études à leur sujet sont moins nombreuses. Dans le cas d’un quittant, au moins quelque chose se passe : le processus de départ est déclenché. Rien ne se déclenche en cas de transfert. Je pense donc que les transferts devraient être tout aussi importants que les licenciements, car c’est exactement ce que les normes exigent. NIST SP 800-53 Rev. 5 — catalogue de contrôle de sécurité et de confidentialité utilisé dans toutes les organisations — contient la gestion des comptes AC-2 et AC-6 et les contrôles de moindre privilège exigeant l’examen des comptes, le traitement des transferts et des résiliations, et n’accordant que les privilèges requis par le rôle de l’individu.

3 correctifs qui rendent les accès restants difficiles à ignorer

Et voici comment je vais m’assurer que les changements seront adoptés. Il n’est pas nécessaire de mettre en œuvre une nouvelle technologie. Juste la décision concernant la propriété du processus de suppression.

1. Tout changement de poste sera considéré comme un cas de suppression

Partez du dossier RH du système. Une fois le changement effectué, générez une tâche pour le manager sortant et entrant où il n’y aura qu’une seule question à laquelle le manager devra répondre : de quoi l’individu n’aura-t-il plus besoin ? Fournissez-leur la liste d’accès et 10 minutes pour répondre à la question. Tous les accès que l’individu a créés pendant cette période doivent avoir un propriétaire. Si vous ne faites qu’un de ces trois, faites celui-ci.

2. Chaque autorisation doit avoir son propre propriétaire et sa propre date d’expiration

Les autorisations ou l’accès aux dossiers du projet, les autorisations spéciales ou l’accès au système de production doivent expirer à une date particulière, qui peut être soit la date d’expiration du projet, soit, par défaut, trois mois après son émission, sauf renouvellement par le propriétaire, qui doit être une personne nommée et non une adresse e-mail. Je considère le compte, le propriétaire et les applications auxquelles il accède sous forme de graphique, car s’il y a un changement dans les comptes, alors avec une seule requête, il peut déterminer ce qu’il possède et ses dépendances. Le renouvellement doit se faire en un clic, mais dans le cas où cette personne n’est plus disponible, il doit être effectué via son responsable afin qu’il ne se perde pas dans les mailles du filet. Il s’agit d’un paramètre par défaut. Dans le scénario actuel, si vous ne faites rien, c’est votre permission ; par conséquent, la paresse est la voie dangereuse. N’effectuez pas l’action par défaut en renouvelant l’autorisation.

3. Présentez les dernières informations utilisées sur tous les avis et permettez aux gens d’agir en conséquence

Extrayez les horodatages de la dernière connexion et de la dernière activité de votre fournisseur d’identité et des journaux d’application et présentez-les avec chaque droit. Classez la liste de telle sorte que l’accès le moins utilisé apparaisse en haut, sélectionnez-le pour le supprimer et demandez au réviseur d’expliquer pourquoi il doit le conserver. Par expérience, j’ai constaté que les gens sont heureux de confirmer lorsque « ce droit n’a pas été utilisé depuis sept mois » apparaît à l’écran. Permettez-leur ensuite d’agir en fonction de ce qu’ils pensent être le mieux. Si l’attestation a lieu à l’aide d’un outil et que la rotation/le stockage a lieu à l’aide d’un autre outil, vous trouverez alors des personnes confirmant la question et ignorant l’action. C’est pourquoi j’ai commencé à regrouper l’attestation, la rotation, la sauvegarde et le retrait des accès en un seul processus. N’oubliez pas cependant que cette approche présente des limites. Toutes les applications ne conservent pas de journaux d’utilisation et il existe parfois un accès légitime rarement utilisé. Prenons par exemple le cas des comptes clôturés trimestriellement et des comptes bris de glace. Ils doivent se voir attribuer un propriétaire et une note.

Même si les employés seront en mesure d’identifier ce dont ils n’ont plus besoin, cela n’est efficace que lorsqu’un système est en place qui leur permet de le faire facilement et en toute sécurité, et c’est une autre raison pour laquelle nous devons mettre en œuvre les trois correctifs ci-dessus.

Au cours de ce trimestre, commencez avec un système unique sur lequel les données sensibles sont stockées et exécutez un rapport sur la dernière utilisation sur ce système. Commencez par les utilisateurs qui ont été transférés vers un rôle différent au cours de l’année écoulée, puisque personne n’a révisé leurs droits d’accès depuis lors. Envoyez une liste de tous les utilisateurs qui n’ont pas utilisé ce système au cours des six derniers mois au propriétaire du système et posez-lui une question simple : en ont-ils toujours besoin ? Les résultats seront suffisants pour renforcer les arguments en faveur du reste que n’importe quel cadre.