Gouverner les accès numériques : rôles, responsabilités et révocations

Séparer propriétaire, responsable métier, administrateur et utilisateur

Le propriétaire contractuel ou organisationnel n’est pas forcément l’administrateur quotidien. Le responsable métier définit les règles et accepte les risques. L’administrateur applique la configuration et les droits. L’utilisateur agit dans le périmètre accordé. Un support externe peut intervenir temporairement sans devenir propriétaire des données.

Dans une petite structure, une personne peut porter plusieurs rôles. Le registre les distingue tout de même afin de préparer un relais et d’éviter qu’un compte personnel devienne l’unique clé de l’organisation.

Pour chaque rôle, définissez qui l’attribue, quelles preuves sont exigées, quels conflits sont interdits et comment il est revu.

Construire une matrice d’accès à partir des objets et actions

Listez les objets : dossier, mission, document, calendrier, configuration, membre, journal et export. Pour chaque rôle, indiquez lire, créer, corriger, valider, supprimer, partager et administrer. Évitez un rôle “tout faire” utilisé par commodité.

Le périmètre compte autant que l’action : ses propres objets, une équipe, une organisation ou tout le système. Un droit de lecture global ne doit pas être déduit d’un droit de correction local. Les exports, suppressions et changements de rôles reçoivent des contrôles renforcés lorsque leur impact est large.

La matrice reste compréhensible par le responsable métier. Si elle ne peut être relue sans le code, elle n’est pas une preuve de gouvernance.

Traiter arrivée, changement de rôle, absence et départ

À l’arrivée, créez un compte nominatif, vérifiez le canal de récupération, attribuez le rôle minimal et confirmez le premier accès. Le changement de mission déclenche une revue : ajout nécessaire et retrait des anciens droits. Une absence peut justifier une délégation temporaire, jamais le partage d’un mot de passe.

Au départ, révoquez sessions, clés, invitations, appareils et accès externes ; transférez les responsabilités sans transférer les données personnelles inutiles. Les objets métier restent rattachés à l’organisation selon les règles prévues, tandis que le compte personnel est fermé ou désactivé.

Conservez la preuve de la demande et de la révocation, pas une copie indéfinie de toutes les activités de la personne.

1. Nommer le changement et son responsable
2. Lister droits directs, groupes et intégrations
3. Préparer le relais métier
4. Révoquer sessions et secrets
5. Vérifier les refus
6. Mettre à jour le registre et la prochaine revue

Éviter les comptes partagés et protéger la récupération

Un compte partagé empêche d’attribuer une action, complique la révocation et diffuse le secret. Préférez des comptes nominatifs et des rôles adaptés. Lorsqu’un compte technique est indispensable, il possède un propriétaire, un coffre, une rotation et un périmètre non interactif.

La récupération est un accès privilégié. Vérifiez les canaux, les personnes autorisées et les codes de secours. Une boîte e-mail partagée ou un ancien numéro peut contourner tous les autres contrôles.

L’authentification multifacteur réduit certains risques mais ne corrige pas des droits excessifs. Elle doit utiliser un mécanisme officiel et prévoir une récupération contrôlée.

Tester les refus aussi sérieusement que les accès autorisés

Créez des scénarios négatifs : lecteur qui tente de modifier, membre d’une organisation qui ouvre un dossier étranger, ancien membre qui réutilise une session, intervenant temporaire après expiration, utilisateur direct après révocation de la fédération. Le résultat attendu est un refus clair sans fuite de titre, métadonnée ou existence d’objet.

Testez l’interface et l’API. Masquer un bouton ne protège pas l’opération. Une session déjà ouverte doit être invalidée selon la règle annoncée ; un cache privé ne doit pas être servi à un autre compte.

Documentez la version, le profil et le résultat sans conserver de donnée réelle. Une recette synthétique vérifie la séparation mais ne prouve pas à elle seule l’ouverture à tous les utilisateurs publics.

Organiser des revues déclenchées et périodiques

Une revue intervient lors d’un départ, changement de rôle, incident, ajout d’intégration ou évolution du périmètre. Une revue périodique traite les comptes dormants, invitations ouvertes, groupes trop larges, clés anciennes et administrateurs uniques.

Le responsable métier confirme les besoins ; l’administrateur fournit la liste et applique les changements ; une seconde personne contrôle les droits critiques lorsque le risque le justifie. La revue ne valide pas automatiquement l’existant par silence.

Mesurez le nombre d’écarts corrigés et le délai de révocation plutôt que le volume de comptes parcourus. Un écart non corrigé reçoit un responsable, une échéance et une mesure compensatoire.

Journaliser pour comprendre sans surveiller excessivement

Les événements utiles sont création de compte, changement de rôle, connexion à risque, export, révocation et action administrative. Le journal associe un identifiant, une date, une action, un résultat et un périmètre. Il évite de recopier le contenu des documents, messages ou formulaires.

Les accès au journal sont eux-mêmes bornés. La durée répond à une finalité et à un risque ; elle n’est pas illimitée par défaut. Une horloge cohérente et des identifiants stables facilitent l’enquête et la correction.

Le journal aide à établir une chronologie ; il ne prouve pas automatiquement l’intention ni la responsabilité d’une personne. Toute interprétation reste prudente et contextualisée.

Checklist de gouvernance des accès

• Responsabilités décrites avant les permissions.
• Comptes nominatifs et comptes techniques séparés.
• Propriétaire métier et administrateur identifiés.
• Matrice objet/action/périmètre lisible.
• Récupération et MFA contrôlés.
• Arrivées, changements, absences et départs documentés.
• Refus inter-rôles et inter-organisations testés.
• Sessions, clés et invitations révocables.
• Journaux minimisés, protégés et bornés.
• Revue déclenchée et périodique avec corrections attribuées.

Limites et autonomie des produits

Cette méthode ne remplace pas une analyse de risque, une obligation sectorielle ou un conseil juridique. Les droits nécessaires dépendent des données, des rôles et de l’impact réel des actions.

Chaque application DOHM conserve ses comptes, rôles, sessions et données métier. DOHM ID, lorsqu’il est proposé, reste une fédération facultative ; My DOHM oriente vers les produits rattachés. La révocation du rattachement ne doit pas fermer l’accès natif du produit.