Démontrer plutôt que déclarer
Associer la preuve au critère attendu, à une date et à un périmètre. Un document décrit une intention, tandis qu’un résultat de test ou une observation peut montrer une application effective. La force de la conclusion doit rester proportionnée à ce qui a été vérifié.
Ne jamais prendre un identifiant client fourni dans le navigateur comme preuve d’autorisation.
Une matrice d’accès, des scénarios de contrôle et un cycle de vie des comptes externes.
Application à votre contexte
Préservez le contexte de la preuve : objet, périmètre, date et conditions d'obtention. Ne généralisez pas une observation réussie à des situations qui n'ont pas été examinées.
Rapprochez les données aux frontières des applications. Un message techniquement transmis n'est pas forcément une opération métier acceptée. Prévoyez un suivi des rejets, des doublons, des corrections et du responsable de leur résolution.