Séparation des fonctions et contrôles compensatoires

Comprendre l’enjeu et le périmètre

Elle évite qu’une même personne puisse réaliser seule une opération sensible sans vérification.

Couvrir création, approbation, exécution, modification de référence et contrôle des opérations importantes.

Passer à l’action

• Identifier les combinaisons de tâches sensibles
• Configurer les incompatibilités utiles
• Définir les contrôles compensatoires et vérifier leur exécution

Traitez l'arrivée, la mobilité et le départ comme un même cycle. Reliez chaque identité à un responsable et chaque droit à un usage. Les comptes techniques, les accès d'urgence et les prestataires ne doivent pas rester hors du dispositif.

Responsabilités et moyens

Les métiers définissent les incompatibilités, contrôle interne et sécurité qualifient les risques, et la DSI applique les règles.

Inclure analyse, configuration, contrôle et gestion des situations d’absence.

Produire et vérifier

Livrable utile

Une matrice d’incompatibilités et un registre des cumuls autorisés.

Preuve à rechercher

Tester qu’un utilisateur ne peut à la fois créer et approuver une opération interdite, ou que le contrôle compensatoire détecte ce cumul.

Indicateur à interpréter

Suivre incompatibilités actives, dérogations et contrôles compensatoires non réalisés.

Vérifiez un départ récent de bout en bout : annuaire, applications non fédérées, sessions, jetons et accès partenaires. La désactivation d'un compte central n'implique pas toujours la disparition immédiate de tous les moyens d'accès.

Arbitrages et dépendances

Une séparation affichée dans l’organigramme peut être annulée par des comptes partagés ou des délégations trop larges.

Le dispositif dépend des processus, habilitations, journaux et délégations.

Séparez le confort d'usage du niveau de privilège. La fédération facilite la connexion, mais peut aussi concentrer la dépendance à un fournisseur d'identité. Prévoyez la récupération des accès sans créer un contournement plus faible que l'authentification normale.