Confidentialité et ergonomie, personnaliser l'accès au SIRH avec RBAC

U N I V E R S I T É P A R I S 1 P A N T H É O N - S O R B O N N E

MASTER MANAGEMENT DES ORGANISATIONS - M2

SPÉCIALITÉ PROFESSIONNELLE : MANAGEMENT DES SYSTÈMES

D'INFORMATION ET DE CONNAISSANCE

MÉMOIRE

CONFIDENTIALITE ET ERGONOMIE, PERSONNALISER L'ACCES AU S.I.R.H. AVEC LE CONTROLE D'ACCES BASE SUR LES ROLES (R-BAC)

RÉDIGÉ ET SOUTENU PAR :

CHRISTOPHE THOMAS

PROMOTION JB 2007

DIRECTEUR DE MÉMOIRE :

INDIQUER ICI LE NOM DU DIRECTEUR DE MÉMOIRE

DATE DE LA SOUTENANCE :

LAISSER CETTE LIGNE EN BLANC ET NE RIEN INSCRIRE SI VOUS NE LA CONNAISSEZ PAS ENCORE

INSTITUT D'ADMINISTRATION DES ENTREPRISES DE PARIS

L'UNIVERSITÉ N'ENTEND DONNER AUCUNE APPROBATION NI IMPROBATION AUX OPINIONS ÉMISES DANS CE MÉMOIRE : CES OPINIONS DOIVENT ÊTRE CONSIDÉRÉES COMME PROPRES À LEUR AUTEUR.

CONFIDENTIALITÉ ET ERGONOMIE, PERSONNALISER L'ACCÈS AU S.I.R.H. ET PROPOSER UN ENVIRONNEMENT DE TRAVAIL INFORMATIQUE ORIENTÉ MÉTIER AVEC LE CONTRÔLE D'ACCÈS BASÉ SUR LES RÔLES (R-BAC)

Table des matières

1 Introduction 6

1.1 Les rôles : clés des nouveaux paradigmes des accès au système d'information 6

1.2 Trouver comment conjuguer confidentialité et ergonomie avec l'ingénierie des rôles 6

2 Quelle solution pour personnaliser l'accès au système d'information 9

2.1 Comment différencier les accès au système d'information de l'entreprise ? 9

2.1.1 les nouvelles tendances RH imposent de déléguer certaines tâches à différentes catégories d'acteurs dans l'entreprise 9

2.2 Pourquoi avoir une approche ergonomique ? 14

2.3 La gestion des identités et des accès 15

2.3.1 gestion des accès 15

2.3.2 gestion des identités 16

2.3.3 De la gestion des rôles à l'ingénierie des rôles 16

2.4 fournir un environnement de travail dynamique grâce à un système d'information dirigé par les rôles 16

2.5 Les enjeux économiques de la mise en place d'un dispositif R-BAC 18

3 De GIP à HR-Access, des progiciels en phase avec leur époque 20

3.1 Le SIRH : HRA Suite 7 20

3.1.1 Son histoire et ses aspects techniques 20

3.1.2 Le Modèle Conceptuel des Données du SIRH 22

3.1.3 Aspects fonctionnels 22

3.1.4 La gestion de la confidentialité avec la gestion des accès par profils 23

3.2 Les nouveautés de HRA Suite 7 28

3.2.1 Les rôles 28

3.2.2 Paramétrage technique des rôles 31

3.3 Ergonomie de l'application et Caractéristiques de HRa Space 33

3.3.1 Une interface utilisateur orientée métier 33

3.3.2 Ecran type du salarié 34

3.3.3 Ecran type du responsable 34

3.3.4 Page d'accueil Expert RH 34

3.4 En conclusion. 35

4 Est-il possible de protéger l'accès à l'information en facilitant son accès ? 36

4.1 Confidentialité : un des aspects fondamentaux de la sécurité 36

4.1.1 Approche par les risques. 37

4.2 Ergonomie 43

4.2.1 ISO 13407 43

4.2.2 ISO/TR 16982 : 44

4.2.3 Conception basée sur les intentions de l'utilisateur 45

4.2.4 Conception basée sur des Critères d'ergonomie 47

4.2.5 Conception basé sur le contexte de l'utilisateur 48

4.3 R-BAC 50

4.3.1 Assembler l'authentification à l'autorisation 50

4.3.2 Utilisateurs, sujets, objets, opérations et permissions 50

4.3.3 Description formelle du R-BAC par Ferraiolo et Kuhn 51

4.4 Définir un modèle conceptuel des données pour R-BAC 53

4.4.1 Utilisateurs 53

4.4.2 Action fonctionnelle 54

4.4.3 règles métiers (business rules) 54

4.4.4 Rôle 54

4.4.5 Unité organisationnelle 54

4.4.6 permissions 54

4.4.7 contextes 54

4.4.8 Exclusions 54

4.4.9 Risques 55

4.5 règles d'héritage des permissions 55

4.5.1 Héritage des permissions par les rôles 55

4.5.2 Héritage organisationnel des permissions 55

4.5.3 Héritage hiérarchique des permissions 55

4.5.4 Héritage des permissions par les couples (rôle, organisation) 55

4.5.5 Les exclusions 56

4.5.6 Propositions de modèle conceptuel pour un R-BAC étendue 56

4.5.7 Les limites de R-BAC 56

4.5.8 Les différentes catégories de contraintes dans R-BAC 57

4.5.9 Contraintes contextuelles 59

5 A la recherche d'une ingénierie des rôles 62

5.1 Méthode empirique 62

5.1.2 La collecte des accès nécessaire 63

5.1.3 La définition des attributs des utilisateurs. 63

5.1.4 La validation du modèle. 64

5.1.5 La création de la politique à partir des accès nécessaire 64

5.1.6 Analyse critique du modèle existant des déclarations faites dans les systèmes et applications cibles. 65

5.2 ingénierie des rôles 65

5.2.1 ingénierie des rôles basés sur les scénarios 65

5.2.2 Ingénierie des rôles basés sur les buts 66

5.2.3 Une ingénierie des exigences pour les rôles 66

5.2.4 Un cadre de référence pour les scénarios : 67

5.2.5 Appliquer l'utilisation des scénarios à l'ingénierie des rôles. 68

5.2.6 Interrelations des modèles et définition documentaire 69

5.2.7 Des profils de travail aux rôles 71

5.3 Mise en oeuvre du processus d'ingénierie des rôles 72

5.3.1 Identifier et formaliser des scénarios d'utilisation 72

5.3.2 Tirer les permissions des scénarios 75

5.3.3 Identification des contraintes de permissions 77

5.3.4 Rationalisation des modèles de scénarios 79

5.3.5 Définir les tâches et les profils de travail. 80

5.3.6 En déduire une hiérarchie des rôles préliminaire 81

5.3.7 Définition du modèle R-BAC 84

6 Résultats et perspectives 86

6.1 Créer un espace de travail orienté métier en utilisant l'accès basé sur les rôles 86

Glossaire : 88

Index 89

Bibliographie 91