Un fournisseur de services financiers menait des certifications trimestrielles des accès via sa plateforme IGA : tous les gestionnaires de comptes recevaient des tâches de certification pour les comptes de leur portefeuille, achevaient les certifications dans le délai imparti, et la plateforme indiquait cent pour cent d’achèvement à chaque cycle. Lors d’un audit interne, des analystes ont examiné les journaux de certification et constaté qu’un responsable chargé de deux cent trente comptes avait achevé toute sa certification en quarante-sept minutes, soit en moyenne douze secondes par compte. L’analyse de ses décisions de certification a montré que les deux cent trente comptes avaient tous été approuvés, avec zéro révocation sur quatre trimestres consécutifs. Une enquête plus approfondie a établi que sa méthode consistait à sélectionner tous les comptes et à cliquer sur l’approbation en masse : la plateforme ne l’empêchait pas, le flux de travail n’exigeait pas de justification par compte et l’achèvement était techniquement valide. Les indicateurs de certification affichaient cent pour cent d’achèvement. Le processus de certification n’avait produit aucune valeur de sécurité. Les comptes qui auraient dû être révoqués l’année précédente, ceux de trois anciens employés et deux comptes liés à des projets terminés, étaient toujours actifs. Ils avaient passé quatre certifications sans aucune revue individuelle.
Qu’est-ce que l’efficacité de la certification des accès, vraiment ?
La certification des accès est le processus périodique qui consiste à revoir les comptes actifs et leurs autorisations et à décider délibérément si chaque compte doit conserver ses accès actuels : confirmer que l’accès reste approprié, en réduire la portée lorsqu’il est devenu disproportionné et révoquer l’accès qui n’est plus nécessaire. Bien exécutée, la certification des accès est un véritable processus de revue qui produit des décisions d’accès fondées sur une évaluation réelle du besoin actuel. Exécutée comme une case de conformité à cocher, c’est la soumission d’un formulaire qui produit des enregistrements d’approbation sans décisions d’accès correspondantes.
Le problème de la validation de pure forme est le mode de défaillance le plus courant des programmes de certification des accès. Des responsables chargés de revoir des centaines de comptes sans autre information par compte que le nom du compte et le niveau d’accès, sans temps alloué à une revue sérieuse et sans responsabilité pour des décisions d’approbation qui se révèlent ensuite erronées, choisiront systématiquement la voie de la moindre résistance : tout approuver rapidement pour faire disparaître la tâche de certification de leur file d’attente. La plateforme IGA enregistre l’achèvement. La valeur de sécurité de cet achèvement dépend de la qualité des décisions prises, que la plateforme ne peut pas distinguer d’une approbation en masse.
C’est la difficulté de détection qui rend la certification de pure forme particulièrement difficile à gouverner. Une certification achevée par une revue individuelle réelle et une certification achevée par approbation en masse produisent des enregistrements identiques dans la plateforme : les deux indiquent le responsable, l’horodatage et un statut d’achèvement. Seuls le temps écoulé et la répartition des décisions (le pourcentage de comptes révoqués ou modifiés par rapport à ceux simplement approuvés) révèlent si une revue réelle a eu lieu. Ces indicateurs secondaires sont rarement suivis ou communiqués à côté de l’indicateur principal d’achèvement que les organisations utilisent pour démontrer la maturité de leur programme de certification.
- Possibilité d’approbation groupée sans garde-fou : la plateforme permet de sélectionner tous les comptes et de les approuver simultanément sans exiger de revue compte par compte
- Aucune exigence de justification par compte : certifications acceptées sans que les réviseurs aient à motiver leurs décisions d’approbation
- Aucune surveillance de l’adéquation du temps de revue : la durée des certifications n’est pas comparée au temps minimal requis pour une revue réelle
- Aucun suivi du taux de révocation : qualité des certifications non évaluée au moyen du pourcentage de comptes révoqués ou modifiés
- Taux d’achèvement comme seul indicateur de réussite : la plateforme rend compte de l’achèvement sans rendre compte d’indicateurs de qualité des décisions
Pourquoi c’est important
L’efficacité de la certification des accès est importante pour le TPRM, car les certifications des accès sont souvent citées comme un contrôle de gouvernance majeur pour la gestion des accès des fournisseurs : la preuve que les accès sont revus périodiquement et confirmés comme appropriés. Un programme de certification qui produit systématiquement cent pour cent d’achèvement et zéro révocation ne démontre pas une gouvernance des accès solide ; il démontre une validation de pure forme systématique. Le contrôle censé détecter les accès excessifs, les comptes orphelins et les autorisations inappropriées produit des approbations qui ne protègent contre aucun de ces risques.
La dimension des preuves d’audit est importante. Les évaluations SOC 2, les contrôles réglementaires et les revues TPRM acceptent les registres d’achèvement des certifications des accès comme preuve de la maturité de la gouvernance des accès. Ces registres indiquent avec exactitude que les certifications ont été achevées. Ils ne révèlent pas si les certifications ont donné lieu à une revue réelle. Un auditeur qui accepte des registres d’achèvement sans examiner les taux de révocation, l’adéquation du temps de revue et les indicateurs de qualité des certifications a accepté une preuve de formulaire rempli comme preuve d’une gouvernance de fond, une distinction qui compte lorsque cette même certification n’a pas détecté les trois anciens employés dont les comptes sont restés actifs pendant quatre trimestres certifiés consécutifs.
Là où la plupart des équipes se trompent
La défaillance la plus constante consiste à suivre l’achèvement des certifications comme principal indicateur de réussite sans suivre d’indicateurs de qualité des certifications. L’achèvement confirme que le formulaire a été soumis. Les indicateurs de qualité (taux de révocation, temps moyen de revue par compte, taux de justification par compte) indiquent si la soumission du formulaire correspondait à une revue réelle. Les deux indicateurs sont nécessaires. Le premier sans le second confirme l’activité sans confirmer la valeur.
- Suivre le taux d’achèvement sans indicateurs de qualité
- Aucun suivi du taux de révocation : pourcentage de comptes modifiés ou révoqués
- Approbation en masse non bloquée : fonctionnalité de la plateforme permettant une certification de pure forme
- Aucune exigence de justification par compte
- Aucune évaluation de l’adéquation du temps de revue
À quoi ressemblent les bonnes pratiques
Les programmes de certification matures conçoivent le processus de certification de façon à exiger une revue réelle : ils empêchent l’approbation en masse, exigent une justification par compte, fixent des attentes de durée minimale de revue et suivent des indicateurs de qualité en plus des taux d’achèvement. Les certifications qui ne présentent aucune révocation déclenchent une revue de qualité au lieu d’être acceptées comme preuve d’un environnement d’accès bien géré.
- Blocage de l’approbation en masse : la plateforme exige une décision par compte plutôt qu’une approbation groupée
- Exigence de justification par compte : les réviseurs doivent fournir une brève justification pour les décisions de maintien
- Suivi du taux de révocation : le pourcentage de comptes révoqués ou modifiés est suivi comme indicateur de qualité
- Contrôle de l’adéquation du temps de revue : les certifications achevées nettement plus vite que la durée minimale de revue sont signalées pour une revue de qualité
- Absence de réponse vaut révocation : les comptes non certifiés dans le délai sont automatiquement révoqués au lieu d’être approuvés par défaut
Outils
Gouvernance des identités : SailPoint, Saviynt
Les plateformes IGA d’entreprise proposent une configuration des flux de certification qui permet aux organisations d’exiger des décisions compte par compte, de bloquer l’approbation en masse, de fixer des exigences de justification et de suivre des indicateurs de qualité des certifications. SailPoint IdentityAI fournit des analyses des schémas de certification, en identifiant les responsables dont le comportement de certification suggère une validation de pure forme grâce à l’analyse du temps de revue et de la répartition des décisions. Pour les professionnels du TPRM, demander si la plateforme de certification du fournisseur bloque l’approbation en masse et exige une justification par compte fournit des questions précises sur la conception des certifications.
Analyse des accès : Veza, Varonis
Les plateformes d’analyse des accès fournissent le contexte de qualité des décisions que les plateformes de certification ne fournissent généralement pas : elles montrent quelles autorisations sont réellement utilisées par rapport à celles qui sont attribuées, ce qui permet aux certificateurs de prendre des décisions éclairées fondées sur les données d’utilisation et pas seulement sur l’existence du compte. Pour les professionnels du TPRM, demander si les données d’utilisation des accès sont fournies aux certificateurs pendant le processus de certification constitue une question précise sur l’amélioration de la qualité des revues.
Enjeux de gouvernance
La difficulté de gouvernance liée à l’efficacité des certifications tient à l’échelle et au temps. Les organisations certifient des centaines de comptes par réviseur et par cycle. Une revue réelle compte par compte à grande échelle exige soit de réduire le nombre de comptes par réviseur, soit de fournir aux certificateurs des informations permettant une revue réelle plus rapide (données d’utilisation, signaux de risque), soit d’automatiser les décisions simples (les comptes sans utilisation récente sont proposés à la révocation) et de concentrer la revue humaine sur les cas qui demandent du jugement. Le choix de conception qui produit l’approbation en masse est celui qui rend la revue réelle impraticable à l’échelle qu’exige le processus.
- Suivre les taux de révocation en plus des taux d’achèvement : un indicateur de qualité à côté de l’indicateur d’achèvement
- Contrôler l’adéquation du temps de revue : les certifications achevées trop rapidement sont signalées pour une revue de qualité
- Exiger une justification par compte pour les décisions de maintien
- Bloquer l’approbation en masse dans la configuration de la plateforme de certification
- Intégrez la qualité des certifications dans l’évaluation de la gouvernance des fournisseurs, et pas seulement la confirmation de leur réalisation
Si vous êtes une petite équipe
Demandez à vos fournisseurs les plus à risque deux indicateurs de certification plutôt qu’un seul : le taux d’achèvement de leur dernière certification et le taux de révocation de leur dernière certification. Le taux d’achèvement indique si le formulaire a été soumis. Le taux de révocation indique si la revue a produit des décisions. Un fournisseur qui déclare cent pour cent d’achèvement et zéro révocation sur plusieurs cycles consécutifs dispose d’un processus de certification qui valide systématiquement sans examiner. Demandez quel pourcentage de comptes a été modifié ou révoqué lors du dernier cycle de certification. La réponse est le signal de qualité que le taux d’achèvement ne peut pas fournir.
- Demander le taux de révocation en plus du taux d’achèvement de la dernière certification
- Demander si la plateforme de certification bloque l’approbation en masse
- Demander si une justification par compte est exigée
- Demandez si les certifications réalisées beaucoup plus vite que prévu déclenchent une revue de la qualité
Ce qu’il faut exiger
Demandez directement :
« Lors de votre dernier cycle de certification des accès, quel pourcentage de comptes a été révoqué ou a vu ses accès modifiés, et votre plateforme de certification exige-t-elle des décisions compte par compte ou permet-elle l’approbation en masse de tous les comptes en une seule fois ? »
« Suivez-vous des indicateurs de qualité des certifications au-delà du taux d’achèvement, plus précisément, contrôlez-vous le temps de revue par compte et signalez-vous les certifications dont le temps de revue suggère une approbation en masse plutôt qu’une revue individuelle ? »
Preuves attendues
- Taux de révocation de la dernière certification, pas seulement le taux d’achèvement
- Confirmation du blocage de l’approbation en masse dans la plateforme de certification
- Confirmation de l’exigence de justification par compte
- Description du contrôle de la qualité des certifications : adéquation du temps de revue et répartition des décisions
Il faut demander à un fournisseur qui déclare cent pour cent d’achèvement des certifications quel pourcentage de comptes a été révoqué ou modifié au cours du même cycle. Cent pour cent d’achèvement avec zéro révocation sur plusieurs cycles n’est pas un signal solide de gouvernance des accès ; c’est le signal d’une validation de pure forme systématique. L’achèvement décrit l’activité. Le taux de révocation décrit la valeur.
Comment le prouver
- Registres des taux de révocation des certifications en plus des taux d’achèvement
- Confirmation de la configuration du blocage de l’approbation en masse
- Documentation de l’exigence de justification par compte
- Enregistrements de la surveillance de la qualité des certifications
À retenir
La certification a été achevée en quarante-sept minutes. Deux cent trente comptes à onze virgule sept secondes chacun. Chaque compte approuvé. Quatre trimestres consécutifs à cent pour cent d’achèvement et zéro révocation. Les trois anciens employés qui auraient dû être révoqués sont toujours actifs. Ils ont passé quatre certifications qui ne les ont jamais examinés. L’achèvement mesure si le formulaire a été soumis. Le taux de révocation mesure si la revue a eu lieu. L’absence de révocation n’est pas la preuve d’un environnement d’accès bien géré ; c’est la preuve d’un processus de certification qui produit des approbations sans décisions. Suivez le taux de révocation. Bloquez l’approbation en masse. Exigez une justification par compte. Une certification qui ne produit aucune révocation sur plusieurs cycles ne démontre pas des accès sains. Elle démontre que la revue est une case à cocher.