Établir un diagnostic
Un compte de service très privilégié peut rester actif longtemps parce que personne n’ose le modifier sans connaître ses dépendances.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Changer un moyen d’accès de test et vérifier que tous les consommateurs attendus basculent sans conserver l’ancien secret.
Suivre identités sans propriétaire, secrets anciens, droits excessifs et usages hors périmètre.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Vérifiez un départ récent de bout en bout : annuaire, applications non fédérées, sessions, jetons et accès partenaires. La désactivation d'un compte central n'implique pas toujours la disparition immédiate de tous les moyens d'accès.
Trois actions de départ
- Inventorier les identités et consommateurs
- Réduire les droits et privilégier les mécanismes adaptés
- Tester rotation, révocation et détection des usages anormaux