Transmettre un identifiant ne suffit pas toujours. Il faut savoir sur quelle ressource le prestataire intervient, pendant combien de temps et quelle trace sera disponible.
Le premier périmètre peut porter sur une catégorie d’intervenants et quelques usages convenus, sans intégrer tout le système d’information avant une démonstration.
Un scénario comprend une identification, une autorisation, une session et le comportement attendu à sa fermeture. Le retrait doit être vérifié sur la cible.
Une session enregistrée ne prouve pas ce qui s’est passé par un autre chemin d’accès. Les chemins alternatifs et accès d’urgence doivent être explicites.
Cas pratique
Une intervention prestataire doit avoir une fin vérifiable
Scénario pédagogique
Un prestataire intervient ponctuellement sur un serveur critique. Sans cadre précis, il peut conserver un compte actif après son passage ou utiliser un identifiant d'administration partagé qui empêche d'attribuer les actions. Lui fournir un accès VPN et un mot de passe conservé dans un coffre ne suffit pas à définir ce qu'il est autorisé à faire.
Lire la démarche et les vérifications à réaliser
Le parcours de départ est simple : demande justifiée, approbateur identifié, ressource définie, créneau et droits adaptés, authentification forte lorsque prévue, chemin de connexion contrôlé, journalisation appropriée. La fermeture de la demande doit déclencher une vérification réelle de l'accès sur la cible, pas seulement un changement de statut dans un ticket.
À vérifier : le prestataire ne peut pas se connecter en dehors du périmètre autorisé, les accès directs interdits sont bloqués et les moyens de retour d'urgence restent documentés. Les sessions déjà ouvertes et les jetons éventuellement encore actifs doivent aussi être examinés.