Établir un diagnostic
Un mécanisme robuste perd sa valeur si le support réinitialise l’accès sans vérification suffisante.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Vérifier qu’un utilisateur ne peut contourner le contrôle via un ancien protocole ou une procédure d’assistance trop permissive.
Suivre couverture effective, exceptions, échecs anormaux et demandes de récupération.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Vérifiez un départ récent de bout en bout : annuaire, applications non fédérées, sessions, jetons et accès partenaires. La désactivation d'un compte central n'implique pas toujours la disparition immédiate de tous les moyens d'accès.
Trois actions de départ
- Prioriser les accès sensibles
- Choisir des mécanismes adaptés aux risques
- Tester enrôlement, perte et récupération sans contournement excessif