Établir un diagnostic
Un coffre central peut concentrer les secrets sans réduire les privilèges ni contrôler les actions.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Vérifier qu’une tâche administrative autorisée est possible sans accorder de droits permanents plus larges que nécessaire.
Suivre privilèges permanents, comptes partagés, accès sans justification et sessions non traçables.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Vérifiez un départ récent de bout en bout : annuaire, applications non fédérées, sessions, jetons et accès partenaires. La désactivation d'un compte central n'implique pas toujours la disparition immédiate de tous les moyens d'accès.
Trois actions de départ
- Identifier les privilèges et leurs usages
- Limiter l’accès selon les tâches et durées
- Contrôler les sessions et tester les accès de secours