Feuille de route PAM 30/60/90 jours

Jours 1 à 30

Cadrer et décider

Choisir quelques chemins critiques et définir ce qui prouvera leur maîtrise.

Cartographier les usages réels et les accès directs avec les administrateurs.À vérifier
Nommer les propriétaires, caractériser les pouvoirs et les dépendances.À vérifier
Choisir les cibles, les identités, les flux et les exclusions du premier palier.À vérifier
Définir les critères de recette, le secours et les responsabilités de RUN.À vérifier

Livrables attendus: Note de cadrage signée, inventaire initial, schéma des flux, plan de recette et registre des exceptions.
Acteurs à mobiliser: RSSI, propriétaires, infrastructure, IAM/PAM et réseau ; SOC pour les traces.
Risques de blocage: Inventaire non confirmé, propriétaire absent, disponibilité réseau ou annuaire inconnue.
Exemple — ETI fictive: Dans l’ETI fictive, retenir l’administration AD et des hyperviseurs hébergeant les DC. Observer les scripts utilisant un compte de service, sans changer immédiatement son secret.

Jours 31 à 60

Faire fonctionner le chemin complet avec les administrateurs qui l’utiliseront.

Préparer les composants, l’annuaire, le MFA et les règles réseau.À vérifier
Intégrer les premières cibles et appliquer les politiques approuvées.À vérifier
Tester l’identité, les refus, les droits et la fin des accès.À vérifier
Retrouver une intervention dans les journaux et les enregistrements prévus.À vérifier

Livrables attendus: Configuration versionnée hors secrets, preuves de tests, procédure d’intervention et anomalies affectées à un responsable.
Acteurs à mobiliser: PAM, IAM, réseau et infrastructure ; propriétaires pour les droits ; SOC pour la corrélation.
Risques de blocage: Protocole incompatible, outil d’administration non couvert, révocation incomplète, traces inutilisables.
Exemple — ETI fictive: Faire réaliser aux administrateurs AD une intervention représentative, puis comparer les droits sur la cible avant, pendant et après la session.

Jours 61 à 90

Accepter le palier, le confier au RUN et préparer la vague suivante.

Tester les contournements et simuler une indisponibilité contrôlée.À vérifier
Exercer le secours, sa clôture et les rotations ou retraits associés.À vérifier
Vérifier supervision, support, sauvegardes et reprise.À vérifier
Reproduire l’intégration d’une nouvelle cible avec la procédure écrite.À vérifier

Livrables attendus: Procès-verbal de recette, dossier d’exploitation, exceptions approuvées et backlog priorisé.
Acteurs à mobiliser: Responsable RUN, infrastructure, PAM, réseau, SOC et RSSI ; propriétaires pour l’acceptation des risques.
Risques de blocage: Secours non testé, accès direct maintenu sans contrôle, absence de support ou d’onboarding reproductible.
Exemple — ETI fictive: Reproduire le parcours sur un hyperviseur supplémentaire ; maintenir les comptes de service dans une vague séparée avec cartographie des consommateurs.