Après l'audit : prioriser le plan de remédiation et mesurer les progrès
Un rapport d'audit n'améliore rien par lui-même. Nous revoyons parfois, d'un audit à l'autre, les mêmes constats critiques, simplement parce que le plan d'action n'a jamais été piloté. Voici une méthode pour passer d'une liste de constats à un plan de remédiation réaliste, suivi et vérifiable.
Ordonner par le risque, pas par la facilité
La tentation est forte de commencer par ce qui est simple. Pourtant, la priorité doit refléter le risque : la probabilité qu'un constat soit exploité, combinée à l'impact s'il l'est. Un compte d'administrateur général sans MFA, un chemin d'attaque menant aux administrateurs du domaine ou un modèle de certificat vulnérable passent avant un paramètre de confort, même si leur correction demande plus d'efforts.
La question utile pour chaque constat : un attaquant ayant compromis un poste utilisateur ordinaire peut-il s'en servir, et que gagne-t-il ? Les constats qui mènent directement au contrôle de l'annuaire ou du locataire forment le premier lot, quelle que soit leur difficulté.
Distinguer mesures rapides et chantiers structurants
Une fois le risque établi, l'effort permet d'organiser le calendrier. Deux catégories se dégagent :
- Les mesures rapides : peu coûteuses et à fort effet, comme créer des comptes d'urgence correctement protégés, retirer des administrateurs généraux devenus inutiles, bloquer l'authentification héritée, restreindre le consentement des utilisateurs aux applications, ou supprimer des comptes privilégiés inactifs ;
- Les chantiers structurants : modèle d'administration en niveaux, déploiement de PIM, généralisation de méthodes résistantes au hameçonnage, refonte des délégations Active Directory, assainissement de l'autorité de certification. Ils demandent un projet, un budget et du temps.
Les mesures rapides montrent des progrès visibles en quelques semaines et créent de l'élan ; les chantiers structurants traitent les causes. Un bon plan mène les deux en parallèle.
Attention aux dépendances entre actions. On ne peut pas imposer une méthode résistante au hameçonnage avant que les utilisateurs l'aient enregistrée, ni retirer les attributions permanentes avant d'avoir configuré PIM et formé les administrateurs, ni durcir les délégations Active Directory sans savoir qui les utilise. Regrouper les constats par thème (accès privilégiés, authentification, applications, annuaire local) aide à faire apparaître ces enchaînements et à constituer des lots cohérents, confiés chacun à une équipe. Cela évite aussi de traiter dix fois le même sujet sous des angles différents.
Un responsable et une échéance par action
Une action sans responsable nommé n'avance pas. Chaque ligne du plan doit indiquer une personne (et non une équipe), une échéance, les dépendances éventuelles et le critère de fin : comment saura-t-on que c'est fait ? Pour les risques que l'organisation choisit de ne pas traiter, une acceptation formelle par un responsable habilité, datée et revue périodiquement, vaut mieux qu'un oubli silencieux. Un registre des exceptions évite que les dérogations temporaires deviennent permanentes.
Tester avant d'imposer. Beaucoup de corrections dans Entra ID touchent l'accès des utilisateurs. Le mode rapport seul de l'accès conditionnel et les déploiements par groupes pilotes permettent de mesurer l'impact avant de l'appliquer à tous. Un correctif qui bloque la production est souvent annulé, et le constat revient au prochain audit.
Mesurer les progrès
Le pilotage repose sur quelques indicateurs simples, mesurés à intervalle régulier :
- le nombre d'attributions permanentes à des rôles privilégiés ;
- la part des utilisateurs et des administrateurs disposant d'une méthode résistante au hameçonnage ;
- le nombre de chemins d'attaque vers les groupes privilégiés d'Active Directory ;
- le nombre de constats critiques et élevés encore ouverts ;
- l'évolution du Secure Score, à interpréter avec prudence car il reflète des recommandations génériques plutôt que votre risque réel.
Ces indicateurs alimentent un point de suivi mensuel avec le sponsor de la direction, qui arbitre en cas de blocage.
Vérifier par un contre-audit
Une action déclarée terminée n'est pas forcément efficace. Un contre-audit ciblé, quelques mois après, vérifie que les corrections sont bien en place et qu'elles n'ont pas introduit de nouveaux problèmes. Il permet aussi de repérer les régressions : une configuration corrigée puis modifiée par un nouveau projet, un compte d'administration recréé hors processus.
Ce qu'un audit vérifie
- L'existence d'un plan d'action ordonné par le risque, issu de l'audit précédent.
- Un responsable nommé, une échéance et un critère de fin pour chaque action.
- Un registre des risques acceptés et des exceptions, avec dates de revue.
- Des indicateurs suivis dans le temps et présentés à la direction.
- L'état réel des corrections déclarées terminées, et l'absence de régression.