Implantation d'un système de gestion des utilisateurs et monitoring des taches dans un réseau d'entreprise

1.9 2.4. LA GESTION DES UTILISATEURS DANS LES ENTREPRISES

2.4.1. Etat des lieux

Aujourd'hui, la multiplication et la diversité de systèmes de contrôle d'accès liés aux systèmes d'exploitation et aux applications est devenue particulièrement contre-productive En effet, chaque « système » (OS, NOS, messagerie, groupware, applications métiers, ERP, CRM. etc.) est protégé par une procédure de contrôle d'accès spécifique. De ce fait, chaque fonction à réaliser peut nécessiter un code d'accès et des droit; associés. Cette multiplicité de contrôles d'accès est source de confusion pour l'utilisateur qui par exemple, perd ou oublie ses mots de passe. Il lui reste alors deux solutions : soit il sollicite le service de help-desk. au risque de l'engorger en lui faisant perdre trop de temps à réinitialiser très souvent des mots de passe, soit il note lesdits codes sur un support a sa portée pour ne plus les oublier ! Ban entendu, aucune de ces solutions n'est satisfaisante

D'une maniéré générale, chaque système d'exploitation et ou application est géré par un administrateur unique : de fait toute vision globale est impossible. Dans ce cas, l'administration autonome de chaque système est particulièrement source d'erreurs, de vulnérabilités et de perte de temps. Par exemple, ne pas avoir la vision globale sur les droits de l'ensemble des utilisateurs peut engendrer des problèmes de responsabilité (devenus importants dans le cadre des nouvelles lois ou réglementions). Tel qu'un acheteur qui validerait sa propre commande.

Généralement les nouveaux arrivants^1(*) se voient attribuer plus ou moins rapidement certaines ressources (un bureau, un téléphoné, un badge d'accès, un PC. etc.). Mais ne peuvent pas travailler, faute de droits d'accès. Ceci est notamment dû au fait que le délai d'attribution des ressources et des droits est trop long, que les circuits d'attribution sont trop « lourds ». Etc. Es doivent même souvent se débrouiller seuls : trouver le bon responsable pour l'accès à telle base de données, a telle application, a l'Intranet, etc. La liste des interlocuteurs est à la mesure de la complexité du Système d'Information

D'autre part, on est rarement certain d'avoir supprimé tous les droits dont disposait un employé partant ou d'avoir mis à jour les droits d'un employé en cas de changement de fonction Le Système d'Information regorge souvent de comptes dits «  fantômes » (dormants et ou périmés).

De plus, les comptes techniques génériques, installes par défaut, par les systèmes d'exploitation et ou les applications, ne sont pas toujours modifiés, voire supprimes, induisant d'autres failles. Ceci étant d'autant plus grave que ces mots de passe sont facilement accessibles sur Internet... De même, certaines personnes utilisent, lorsqu'elles arrivent dans l'entreprise des comptes utilisateurs « génériques » et partages, simplement du fut de la durée importante de création de leur propre compte.

Enfin, l'audit et la traçabilité sont souvent les parents pauvres de la mise en oeuvre des droits d'accès des utilisateurs. Pourtant, de plus en plus, les entrepris doivent respecter des normes, des lois et ou des réglementations strictes en macère de politique de contrôle interne.

* ¹Ici il est question d'un nouvel employé de l`entreprise