Délimiter le sujet
La cryptographie dépend des identités, horloges, autorités, applications et procédures de secours.
Noter les exclusions et les hypothèses avec la même précision que les éléments inclus. Un périmètre limité peut être pertinent, à condition de ne pas présenter ses conclusions comme valables pour toute l’organisation.
Chiffrer ne dispense pas de contrôler les accès. Un utilisateur autorisé peut toujours divulguer des données déchiffrées.
Application à votre contexte
Consignez les inclusions et les exclusions. Lorsqu'une activité dépend d'un partenaire ou d'un service transverse, documentez cette limite au lieu de supposer que la responsabilité s'arrête au contrat ou à l'organigramme.
Traitez l'arrivée, la mobilité et le départ comme un même cycle. Reliez chaque identité à un responsable et chaque droit à un usage. Les comptes techniques, les accès d'urgence et les prestataires ne doivent pas rester hors du dispositif.