Personne ne sait qui accède à quoi.
Les appartenances aux groupes se sont accumulées au fil des années et sont imbriquées sur jusqu'à quatre niveaux. Le serveur de fichiers comporte en plus des droits individuels qui n'ont jamais été documentés.
Des droits d'accès clairs et bien documentés
Qui a le droit de faire quoi ?Et pouvez-vous le prouver ?
Dans la plupart des environnements construits au fil des années, personne ne peut répondre entièrement à cette question. C'est rarement dû à un mauvais travail. Au gré des départs, des projets et des exceptions, des droits s'accumulent et ne sont jamais retirés. Nous remettons de l'ordre, indépendamment des éditeurs et de façon traçable, et nous le documentons pour que vous puissiez le présenter à un auditeur.
La situation typique
D'anciens salariés ont toujours accès.
Le compte AD est bien désactivé, mais l'accès au logiciel métier, au portail fournisseurs et à la boîte aux lettres partagée existe toujours.
L'arrivée d'un collaborateur prend des jours et se passe chaque fois différemment.
Personne n'a écrit ce dont un commercial a réellement besoin. On copie donc les droits d'un collègue, avec tout son historique.
Aucune recertification n'a lieu.
Ou alors une fois par an, avec une liste Excel de 400 lignes de noms de groupes obscurs que les chefs de service signent sans les lire.
La MFA est en place, mais elle a des failles.
Il existe des exceptions pour « la direction », pour les anciennes applications et pour les commerciaux itinérants. Chacune de ces exceptions est une porte ouverte.
L'auditeur pose des questions, et c'est la panique.
NIS2, ISO 27001, TISAX et GxP exigent un contrôle d'accès justifié. Or on ne peut prouver que ce qui a été consigné de façon structurée.
Quatre briques
Analyse des droits d'accès
Nous dressons l'état des lieux : qui a accès à quoi, par quel moyen, depuis quand et avec quelle autorisation. Vous recevez un rapport qui classe les risques par urgence, au lieu d'un tableau Excel de 8 000 lignes.
Concept d'autorisations
Nous travaillons avec des rôles plutôt qu'au cas par cas. Nous définissons quelle fonction dans l'entreprise a besoin de quel accès, puis nous le traduisons techniquement. Tout le reste repose sur ce concept, car automatiser sans concept revient à automatiser le désordre.
Entra ID, accès conditionnel, Intune
Au lieu d'une autorisation globale, l'accès conditionnel (Conditional Access) décide en fonction de la personne, du lieu, de l'appareil et de l'évaluation du risque. Nous renforçons la plateforme Microsoft et fermons les exceptions qui permettent de contourner la MFA.
Processus et outils
Nous faisons des arrivées et des départs un processus défini, mettons en place une recertification que les services peuvent réellement mener et, là où c'est rentable, déployons un outil IAM pour automatiser. Nous connaissons les solutions courantes du marché et choisissons en fonction de votre environnement. Les commissions de partenaires n'y jouent aucun rôle.
Le déroulement d'un projet
- 01
Premier entretien (20 minutes)
Nous vous écoutons et vous disons franchement si nous sommes faits pour travailler ensemble.
- 02
Audit de sécurité
Nous faisons l'inventaire de l'existant et vous remettons un rapport écrit avec des mesures classées par priorité. L'audit est à prix forfaitaire, et son coût est déduit du projet qui suit.
- 03
Concept
Nous élaborons le modèle de rôles, la cible et un plan de mise en œuvre avec estimation de la charge.
- 04
Mise en œuvre
Nous procédons par étapes, en accord avec les services concernés et avec une documentation tenue au fil de l'eau.
- 05
Transfert
La documentation vous appartient, de sorte que vous pourriez à tout moment nous remplacer par un autre prestataire.
Ce dernier point est sérieux : nous construisons délibérément de façon à ce que vous ne dépendiez pas de nous. Un prestataire qui doit miser sur la dépendance n'a pas une bonne offre.
Combien cela coûte
| Taux horaire gestion des identités et des accès | 140 € / h |
| Conseil et direction de projet | 165 € / h |
| Audit de sécurité (analyse des droits d'accès, configuration Entra, analyse d'écarts NIS2) | à partir de 6 900 € |
Taille de projet typique : un projet de droits d'accès pour 100 à 250 utilisateurs coûte environ 15 000 €, état des lieux, concept et mise en œuvre compris.
Le facteur le plus important est l'état de votre documentation : quand on peut retracer qui a le droit de faire quoi et pourquoi, l'état des lieux va vite. Comptent aussi le nombre de systèmes à raccorder et la nécessité ou non d'un outil. Après l'audit, le prix est fixé, et nous déduisons le coût de l'audit.
Le prix dépend surtout du nombre de systèmes et de services concernés, de l'état de la documentation et du déploiement éventuel d'un outil. Le coût de l'audit est déduit d'un projet ultérieur.
Pourquoi nous
Nous apportons dix ans de direction de projet dans l'industrie pharmaceutique, chez des équipementiers automobiles, dans l'industrie manufacturière et dans le secteur bancaire. Cela comprend des projets de droits d'accès, des changements de prestataire, le déploiement et le remplacement d'outils ainsi que des restructurations.
Logistique, international · plus de 10 000 utilisateurs
Remplacement de la structure IAM existante et déploiement d'une nouvelle solution avec un prestataire mandaté. Nous avons conseillé, piloté le projet, réalisé l'implémentation et organisé les processus entre le client final et le prestataire.
Résultat : Le helpdesk travaille plus vite, car les agents du support ont reçu des droits étendus. Les processus liés aux identités ont en outre été automatisés et les données RH de référence, base de l'ensemble, ont été nettoyées.
Sous-traitant industriel, international · 2 000 utilisateurs
Déploiement d'une solution IAM chez un sous-traitant industriel familial actif à l'international, avec la réorganisation des espaces de stockage de fichiers et une réinitialisation de mot de passe que les utilisateurs effectuent eux-mêmes.
Résultat : Le support est soulagé : les utilisateurs réinitialisent eux-mêmes leur mot de passe, et les tickets de mot de passe sont passés de près de 300 à 10 par semaine.
Dans de nombreux Länder, ce type de mission de conseil fait partie des catégories subventionnées, généralement à hauteur de 50 % des honoraires. Nos étapes de projet correspondent à ce que financent les programmes : analyse de l'existant, conception de la cible, choix du logiciel et accompagnement de l'implémentation.
L'ordre est décisif : d'abord obtenir le devis, puis déposer la demande, attendre la décision et seulement ensuite passer commande. Qui commence avant perd son droit à la subvention. Dans la pratique, c'est l'erreur la plus fréquente et la plus coûteuse.
En savoir plus sur le conseil IT subventionnéFAQ
Questions fréquentes
Travaillez-vous avec un outil IAM particulier ?
Non. Nous connaissons les solutions courantes du marché et choisissons en fonction de votre environnement. Nous ne sommes liés à aucun éditeur et ne touchons aucune commission. Souvent, vous n'avez d'abord pas besoin d'un outil, mais d'un concept.
Avons-nous vraiment besoin d'un outil IAM ?
Rarement en dessous de 150 utilisateurs environ. Jusqu'à cette taille, Entra ID, des groupes bien structurés et des processus définis permettent déjà beaucoup. Un outil automatise seulement ce qui est déjà en ordre, il ne crée pas l'ordre à lui seul.
Combien de temps dure un projet de droits d'accès ?
L'audit dure deux à trois semaines, rapport compris, le concept quatre à huit semaines selon la taille. La mise en œuvre se fait par étapes sur plusieurs mois, pour que l'activité puisse continuer.
Nous avons déjà la MFA. Cela ne suffit-il pas ?
Non, car la MFA protège la connexion mais ne règle pas les droits. Si un compte a trop de droits, la MFA n'y change rien. Elle sécurise seulement mieux l'accès à ces droits trop larges.
Quel rapport avec NIS2 ?
NIS2 exige un contrôle d'accès que l'on peut prouver. Sans modèle de rôles documenté ni attribution traçable, cette preuve est impossible. La gestion des droits d'accès devient ainsi une question de conformité.
Prenez-vous ensuite en charge l'exploitation ?
Oui, si vous le souhaitez. Ce n'est toutefois pas une condition, car nous construisons de façon à ce que votre équipe informatique interne puisse poursuivre seule.
Gestion des identités et des accès
Parlons de vos droits d'accès
Décrivez-nous votre situation en 20 minutes. Nous vous dirons franchement si et comment nous pouvons vous aider, et aussi si nous ne sommes pas les bons interlocuteurs.