Revues d'accès des rôles privilégiés : de la case cochée à la preuve d'audit
Presque toutes les normes demandent une revue périodique des droits privilégiés, et presque toutes les organisations la font sous forme de tableur annuel. Entra ID propose un mécanisme natif qui produit à la fois l'action corrective et la trace. Encore faut-il bien le paramétrer.
Ce que couvrent les revues d'accès
Les revues d'accès d'Entra ID permettent de faire valider périodiquement l'appartenance à des groupes, l'accès à des applications, les affectations de packages d'accès et, via Privileged Identity Management, les rôles Entra ID et Azure. Pour les rôles privilégiés, la fonctionnalité nécessite Entra ID P2 ou Entra ID Governance ; certaines options avancées sont réservées à Governance. Le périmètre des licences évolue, vérifiez-le avant de vous engager.
Planifier sans épuiser les réviseurs
Une revue trop fréquente devient une formalité ; trop espacée, elle laisse des droits dormir des mois. Un rythme courant consiste à revoir trimestriellement les rôles les plus sensibles (administrateur général, administrateur de rôle privilégié, administrateur de l'authentification privilégiée) et semestriellement les autres. Points de paramétrage :
- durée de la revue : suffisamment longue pour tenir compte des congés, sans dépasser deux à trois semaines ;
- récurrence fixe, pour que la revue ne dépende pas d'une personne qui y pense ;
- aides à la décision : Entra ID peut recommander le refus pour les comptes sans connexion récente.
Choisir les bons réviseurs
L'auto-évaluation, où chaque administrateur confirme son propre rôle, est tentante mais peu probante. Préférez des réviseurs désignés (responsable sécurité, RSSI) ou les responsables hiérarchiques, avec un réviseur de secours si le premier ne répond pas. Pour les rôles les plus critiques, une revue en plusieurs étapes permet de combiner avis du manager et validation par la sécurité, sous réserve de la licence.
Appliquer automatiquement les résultats
Une revue dont les décisions ne sont pas appliquées ne sert à rien. Activez l'application automatique des résultats et définissez le comportement si le réviseur ne répond pas : conserver l'accès, le retirer ou suivre les recommandations. Pour les rôles privilégiés, le retrait par défaut est souvent le choix le plus défendable, à condition d'avoir prévenu les intéressés et d'exclure les comptes d'urgence de la revue.
Attention. Les comptes d'accès d'urgence (« break-glass ») ne doivent pas être retirés automatiquement. Documentez leur exclusion et contrôlez-les par un autre moyen, par exemple une alerte sur toute connexion.
Les preuves attendues par un auditeur
Un auditeur ISO 27001 ou NIS2 ne se contente pas d'une capture de la configuration. Il attend :
- la définition de la revue (périmètre, fréquence, réviseurs) ;
- l'historique des instances terminées, avec le taux de réponse ;
- les décisions individuelles et leurs justifications ;
- la preuve que les refus ont bien été appliqués.
L'historique des revues peut être exporté depuis le centre Identity Governance, ce qui fournit une pièce datée et reproductible.
Ce qu'un audit vérifie
- l'existence de revues récurrentes couvrant tous les rôles à privilèges élevés ;
- l'absence d'auto-évaluation comme seul mécanisme ;
- l'application automatique des résultats activée ;
- des instances récentes effectivement complétées, et non expirées sans réponse.