Détecter la dérive entre deux audits
Deux audits, même verdict, même score — et un parc qui a bougé en dessous. La détection de dérive compare les constats ressource par ressource plutôt que verdict par verdict : c'est ainsi qu'on voit les trois nouveaux écarts cachés derrière les deux qui ont été corrigés.
L'angle mort qu'un score ne voit pas
Prenez un contrôle non conforme en mars, toujours non conforme en juin. Le verdict n'a pas changé, donc le score non plus, et une comparaison des deux audits ne signale rien.
Sauf qu'en mars il désignait deux comptes de service, et qu'en juin il en désigne trois autres. Les deux premiers ont été corrigés ; trois nouveaux sont apparus. La remédiation a fonctionné et le parc s'est dégradé en même temps — et ni le verdict ni le score n'en disent un mot.
Ce n'est pas un cas limite. Sur un parc cloud où les ressources sont déployées par pipeline, c'est la situation normale.
Comparer les constats, pas les verdicts
La détection de dérive compare les objets nommés de chaque constat entre deux audits, y compris quand le verdict est identique des deux côtés, et produit deux listes :
| Liste | Ce qu'elle contient | Comment la lire |
|---|---|---|
| Nouveaux constats | Les objets en écart dans l'audit B qui ne l'étaient pas dans l'audit A | C'est la dérive. Elle désigne presque toujours un déploiement qui n'a pas suivi le standard — un pipeline à corriger, pas seulement une ressource. |
| Constats résolus | Les objets en écart dans l'audit A qui ne le sont plus dans B | C'est la preuve du travail accompli, objet par objet. La matière d'une restitution de fin de chantier. |
Les deux listes portent le titre du contrôle, son niveau et l'objet concerné, et figurent dans l'export CSV de la comparaison — c'est ce qui les rend exploitables en réunion, et pas seulement visibles à l'écran.
Pourquoi le format des constats compte
La dérive ne fonctionne que parce que les constats sont écrits de la même façon à chaque fois. Sur Active Directory, c'est le nom distinctif de l'objet ; sur Entra ID, l'identifiant de l'objet ou le nom de la stratégie. L'identifiant rend le constat actionnable et lève l'ambiguïté entre deux objets homonymes ; c'est la clé sur laquelle la comparaison se fait. Sans nom stable, la dérive est invisible.
D'où le fait qu'un renommage ressemble à une dérive. Une ressource renommée entre deux audits apparaît comme un constat résolu et un nouveau constat. Autant le savoir avant de présenter la liste comme la preuve de quoi que ce soit.
La condition que personne ne respecte la première fois
Comparer deux audits exécutés sur des périmètres différents produit des écarts qui ne veulent rien dire. Même baseline, même périmètre — le même tenant, le même domaine — sinon la comparaison est de l'arithmétique, pas de l'information.
Le scénario le plus fréquent est silencieux : un service devient illisible entre deux audits, il est écarté du périmètre, et le score monte parce que ses constats ont simplement disparu. Rien n'a été corrigé. C'est pourquoi le connecteur annonce ce qu'il a pu atteindre, et pourquoi cette information a sa place dans vos notes.
Ce qu'une hausse de score peut vouloir dire
- Une remédiation. Celle que vous espériez.
- Une suppression. Des ressources retirées plutôt que corrigées. Légitime, mais ce n'est pas la même histoire.
- Un périmètre réduit. Un service écarté, une baseline modifiée en cours de mission.
- Des contrôles non évalués. Une attribution de rôle manquante transforme des échecs en « non évalué », et le non évalué est exclu du calcul.
La liste des constats résolus sépare immédiatement les deux premiers cas ; les notes de périmètre du rapport traitent les deux derniers. C'est tout l'intérêt de les lire avant de commenter une progression.
En pratique
- Épinglez l'audit initial comme audit de référence. Il est exclu de la purge de rétention, et c'est sur lui que toutes les comparaisons ultérieures s'ancrent.
- Attachez une note à chaque audit : « audit initial », « après le déploiement de la MFA », « périmètre réduit, domaine historique exclu ». Six mois plus tard, cette ligne fait la différence entre une courbe explicable et une courbe mystérieuse.
- Rejouez la même baseline sur le même périmètre. Figez-la pour la durée de la mission.
- Lisez les nouveaux constats en premier, avant le score. Un flux récurrent de nouveaux constats sur le même contrôle est un problème de standard, pas un problème d'exploitation.
- Emmenez la liste des constats résolus en restitution. « Voici les quatorze ressources que vous avez corrigées, nommément » est une meilleure diapositive de clôture qu'un score qui a pris huit points.