Établir un diagnostic
Une revue où le manager valide une liste technique incompréhensible peut devenir un exercice administratif sans effet.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Prendre un utilisateur et expliquer chacun de ses accès sensibles, vérifier que les droits refusés sont réellement retirés.
Suivre accès sans justification, revues en retard et décisions non appliquées.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Vérifiez un départ récent de bout en bout : annuaire, applications non fédérées, sessions, jetons et accès partenaires. La désactivation d'un compte central n'implique pas toujours la disparition immédiate de tous les moyens d'accès.
Trois actions de départ
- Définir des rôles compréhensibles
- Faire valider les accès par des responsables compétents
- Contrôler les retraits et exceptions