Démontrer plutôt que déclarer
Associer la preuve au critère attendu, à une date et à un périmètre. Un document décrit une intention, tandis qu’un résultat de test ou une observation peut montrer une application effective. La force de la conclusion doit rester proportionnée à ce qui a été vérifié.
L’automatisation propage aussi les erreurs de source. Prévoir correction, suspension et contrôle des événements sensibles.
Un processus d’habilitation, une matrice de rôles et des traces de validation.
Application à votre contexte
Préservez le contexte de la preuve : objet, périmètre, date et conditions d'obtention. Ne généralisez pas une observation réussie à des situations qui n'ont pas été examinées.
Vérifiez un départ récent de bout en bout : annuaire, applications non fédérées, sessions, jetons et accès partenaires. La désactivation d'un compte central n'implique pas toujours la disparition immédiate de tous les moyens d'accès.