Que sont les revues d'accès (recertification) et pourquoi importent-elles ?

Le provisionnement attire beaucoup l'attention, mais l'accès tend à s'accumuler silencieusement avec le temps. Les revues d'accès — aussi appelées recertification ou attestation — sont le contrôle de gouvernance qui demande périodiquement : « cette personne devrait-elle encore avoir ceci ? »

Ce qu'est réellement une revue

Selon un calendrier (trimestriel pour les systèmes sensibles, au moins annuel ailleurs) ou déclenché par des événements comme une mutation, un propriétaire responsable se voit présenter la liste de qui a accès à une ressource ou un rôle et doit attester pour chacun : conserver ou révoquer. Les révocations sont ensuite appliquées. Cela se mappe directement sur la gestion des comptes NIST 800-53 AC-2 et constitue une attente d'audit récurrente (SOX, ISO 27001, SOC 2).

Pourquoi c'est important

• Dérive de privilèges. À mesure que les gens changent de poste, ils conservent leurs anciens accès et en gagnent de nouveaux — accumulant bien plus que ce dont leur fonction actuelle a besoin. L'automatisation du provisionnement gère les cas propres ; les revues attrapent le résidu et restaurent le moindre privilège.
• Comptes orphelins et dormants. Les prestataires, comptes de service et personnes mutées dont l'accès n'a jamais été nettoyé apparaissent ici.
• Séparation des tâches. Les revues peuvent signaler des combinaisons toxiques (p. ex. quelqu'un qui peut à la fois créer et approuver un paiement).

Le mode de défaillance : la validation machinale

Le contrôle ne vaut que par l'examen qui le sous-tend. La défaillance classique est le réviseur qui clique sur « tout approuver » sans réfléchir — ce qui produit une preuve de conformité mais zéro sécurité. Mesures d'atténuation :

• Acheminer vers le bon réviseur — le manager ou le propriétaire de la ressource qui connaît réellement le poste de la personne, pas un service IT générique.
• Donner du contexte — afficher les dates de dernière utilisation, les indicateurs à risque/privilégiés et ce qu'accorde chaque droit.
• Faire de la suppression le choix par défaut pour les accès inutilisés ou non reconnus, et réconcilier avec les RH pour le personnel parti.

Ce que recherchent les recruteurs : vous définissez la recertification comme une attestation du propriétaire qui pilote la révocation, vous la reliez à la dérive de privilèges / aux comptes orphelins / à la séparation des tâches, et vous nommez la validation machinale comme la faiblesse centrale avec des correctifs concrets.