service d’assistance) pour signaler tout problème qui serait causé par la suppression de
cet accès.
Exemple
Le texte ci-après propose un exemple de message à envoyer pour annoncer la fin d’un service d’accès
distant appelé KARINE :
« Nous vous informons que le 1 er décembre prochain, le service d’accès à distance KARINE sera
supprimé. À cette date, plus aucun accès à distance ne sera possible par ce moyen.
Nous vous invitons à prendre contact avec le service d’assistance pour nous signaler tout problème que
vous causerait la suppression de ce service. »
Prise en compte des réponses : pendant une semaine, le service d’assistance pourra
prendre les appels des personnes pour lesquelles la suppression du service poserait un
problème. Généralement, les usages les plus courants sont l’accès à distance à un
partage réseau, ou l’accès à une application bien précise, non publiée sur Internet. Le
RSSI doit collecter tous les usages résiduels. Il existe presque toujours une alternative
très simple pour chacun de ces usages : utilisation d’un autre service d’accès distant,
plus moderne et mieux géré, publication d’application sur un extranet, etc. L’équipe
Sécurité contactera ainsi chaque personne pour leur proposer des alternatives
appropriées.
Seconde communication : deux semaines avant la fin du service, il sera possible
d’envoyer à nouveau le message annonçant la fin du service.
Prise en compte des réponses : le service d’assistance prendra à nouveau les appels
des personnes concernées.
Dernière communication : la veille de la suppression du service, un dernier message
notifiant sa suppression définitive pourra être envoyé.
Suppression des accès : l’accès distant pourra enfin être mis à la réforme.
Faire des revues périodiques
Maintenant que le RSSI a fait l’inventaire des solutions d’accès distant proposées en
interne et qu’il a repris le contrôle des processus de validation, il lui est techniquement
possible de procéder à des revues périodiques. Le but de ces revues est de limiter autant
que possible la surface d’exposition aux risques en supprimant tous les accès individuels
n’ayant plus de raison d’être. Pour cela, il demandera à chaque responsable technique de
solution d’accès distant une liste de comptes, ainsi que la date de dernière connexion de
chaque utilisateur. Cette revue périodique servira à identifier concrètement les cas
suivants.
Comptes dormants : la recherche des comptes non connectés depuis plus d’un an
permettra d’identifier les personnes ne se servant plus de cette solution. Ces comptes
seront supprimés sans risques.
Comptes orphelins : généralement, le processus de suppression des comptes
fonctionne bien au niveau de l’annuaire central d’entreprise, si bien que lorsqu’un
collaborateur quitte l’entreprise, son compte AD et ses principaux comptes applicatifs
sont rapidement supprimés. Cependant, il est rare que cette suppression soit
cet accès.
Exemple
Le texte ci-après propose un exemple de message à envoyer pour annoncer la fin d’un service d’accès
distant appelé KARINE :
« Nous vous informons que le 1 er décembre prochain, le service d’accès à distance KARINE sera
supprimé. À cette date, plus aucun accès à distance ne sera possible par ce moyen.
Nous vous invitons à prendre contact avec le service d’assistance pour nous signaler tout problème que
vous causerait la suppression de ce service. »
Prise en compte des réponses : pendant une semaine, le service d’assistance pourra
prendre les appels des personnes pour lesquelles la suppression du service poserait un
problème. Généralement, les usages les plus courants sont l’accès à distance à un
partage réseau, ou l’accès à une application bien précise, non publiée sur Internet. Le
RSSI doit collecter tous les usages résiduels. Il existe presque toujours une alternative
très simple pour chacun de ces usages : utilisation d’un autre service d’accès distant,
plus moderne et mieux géré, publication d’application sur un extranet, etc. L’équipe
Sécurité contactera ainsi chaque personne pour leur proposer des alternatives
appropriées.
Seconde communication : deux semaines avant la fin du service, il sera possible
d’envoyer à nouveau le message annonçant la fin du service.
Prise en compte des réponses : le service d’assistance prendra à nouveau les appels
des personnes concernées.
Dernière communication : la veille de la suppression du service, un dernier message
notifiant sa suppression définitive pourra être envoyé.
Suppression des accès : l’accès distant pourra enfin être mis à la réforme.
Faire des revues périodiques
Maintenant que le RSSI a fait l’inventaire des solutions d’accès distant proposées en
interne et qu’il a repris le contrôle des processus de validation, il lui est techniquement
possible de procéder à des revues périodiques. Le but de ces revues est de limiter autant
que possible la surface d’exposition aux risques en supprimant tous les accès individuels
n’ayant plus de raison d’être. Pour cela, il demandera à chaque responsable technique de
solution d’accès distant une liste de comptes, ainsi que la date de dernière connexion de
chaque utilisateur. Cette revue périodique servira à identifier concrètement les cas
suivants.
Comptes dormants : la recherche des comptes non connectés depuis plus d’un an
permettra d’identifier les personnes ne se servant plus de cette solution. Ces comptes
seront supprimés sans risques.
Comptes orphelins : généralement, le processus de suppression des comptes
fonctionne bien au niveau de l’annuaire central d’entreprise, si bien que lorsqu’un
collaborateur quitte l’entreprise, son compte AD et ses principaux comptes applicatifs
sont rapidement supprimés. Cependant, il est rare que cette suppression soit