Revues d'accès

À quoi sert l'écran#

Une revue d'accès prouve que les droits sont vérifiés à intervalles réguliers (ISO 27001 A.5.18, SOC 2 CC6.2 et CC6.3). Chaque « campagne » liste les comptes et leurs accès dans des projets et des groupes Jira. Des relecteurs gardent ou retirent chaque accès, puis la campagne est close.

Qui peut faire quoi#

Une campagne nomme des personnes et leurs accès : elle n'est ouverte qu'à ses relecteurs et aux responsables conformité.

Pas à pas#

Lancer une campagne#

1. Cliquez sur « Nouvelle campagne ».
2. Sous « Périmètre », saisissez les « Clés des projets » (séparées par une virgule ou un espace, par exemple SEC, OPS) et les « Groupes Jira » (un par ligne). Jira ne montre que ce que vous avez le droit de voir : une campagne ne peut pas révéler plus que vos propres droits.
3. Indiquez la « Période revue » (« Du », « Au ») et l'« Échéance des décisions ».
4. Sous « Relecteurs », choisissez au moins un relecteur par projet, et pour les groupes. Ce sont eux qui décident.
5. Cliquez sur « Lancer la campagne ». L'app lit les accès dans Jira, étape par étape. Ne fermez pas le panneau. Si la lecture s'interrompt, relancez : elle reprend là où elle s'était arrêtée.
6. Si un projet ou un groupe est illisible (groupe mal orthographié, projet dont vous n'administrez pas les rôles), la campagne n'est pas créée. Corrigez ou retirez cette partie.

L'app laisse de côté les comptes d'application, les clients de portail et les comptes inactifs : ce ne sont pas des personnes dont on revoit l'accès. Elle en donne le compte. Une campagne contient 5 000 accès au plus.

Décider les accès#

1. Ouvrez la campagne. Filtrez par « Relecteur », « Décision » (« À décider », « Gardé », « À retirer ») ou « Projet ».
2. Pour chaque ligne, cliquez sur « Garder » ou « Retirer ». Vous pouvez ajouter un commentaire (facultatif).
3. La ligne indique qui a décidé et quand. Si quelqu'un a déjà décidé cet accès, l'écran recharge la campagne.

Clore la campagne#

1. Quand tout est décidé, cliquez sur « Clore la campagne » et confirmez. Tant qu'il reste des accès à décider, le bouton dit combien.
2. La rubrique « Accès à retirer dans Jira » liste, par projet ou par groupe, ce qu'il faut retirer.
3. Retirez ces accès à la main dans Jira, un par un. L'app ne modifie aucun accès.
4. Cliquez sur « Exporter en CSV » pour garder la campagne et ses décisions.

Ce que l'auditeur en tirera#

La preuve d'une revue : le périmètre, la période, les relecteurs, chaque décision avec son auteur et sa date, et la liste de ce qui a été retiré. Le fichier revues-acces.csv du dossier d'audit le reprend. Chaque étape est dans le journal (les commentaires des relecteurs n'y figurent pas).

Limites connues#

• L'app ne retire aucun accès : le retrait est manuel dans Jira.
• Deux relecteurs qui décident le même accès au même instant : le dernier arrivé l'emporte.
• La lecture des accès dépend de Jira : si Jira ne répond pas, rien n'est perdu, réessayez.
• Une campagne ne couvre que Jira. Les autres systèmes sont à venir.
• Il n'y a pas de relance des relecteurs : les rappels par e-mail ne portent que sur les tâches et les preuves.