Mener une revue d'accès

Rôle : Responsable conformité Rôle : Approbateur Une revue d'accès prouve que les droits sont vérifiés à intervalles réguliers (ISO 27001 A.5.18, SOC 2 CC6.2 et CC6.3). Le détail de l'écran est dans Revues d'accès.

Avant de commencer : choisissez le périmètre (projets, groupes Jira), les relecteurs (au moins un par projet et pour les groupes) et l'échéance. Vous devez voir les rôles des projets visés : une campagne ne révèle pas plus que vos droits.

1. Lancer la campagne#

Rôle : Responsable conformité Écran : Revues d'accès.

1. « Nouvelle campagne », « Clés des projets », « Groupes Jira », « Période revue », « Échéance des décisions », « Relecteurs ».
2. « Lancer la campagne » ; ne fermez pas le panneau, la lecture reprend si elle s'interrompt. Une campagne compte 5 000 accès au plus.

Capture à venir

2. Faire décider#

Rôle : Approbateur Chaque relecteur ouvre sa campagne, filtre par « Décision » et choisit « Garder » ou « Retirer » pour chaque accès, avec un commentaire facultatif.

3. Clore#

1. Quand tout est décidé, « Clore la campagne ».
2. La rubrique « Accès à retirer dans Jira » liste ce qu'il faut retirer.
3. Retirez-les à la main dans Jira. L'app ne modifie aucun accès.
4. « Exporter en CSV » pour garder la campagne et ses décisions.

4. La preuve#

Le fichier revues-acces.csv du dossier d'audit reprend périmètre, période, relecteurs, décisions avec auteur et date. Chaque étape est au journal.

Ce que l'app ne fait pas#

• Elle ne retire aucun accès et ne vérifie pas que vous l'avez fait.
• Elle ne relance pas les relecteurs par e-mail.
• Elle ne couvre que Jira, pas les autres systèmes.
• Si deux relecteurs décident le même accès au même instant, le dernier arrivé l'emporte.