Le principe des droits minimaux nécessaires

1) Objectif et définition

Objectif : Permettre à l'utilisateur/service uniquement les ressources strictement nécessaires à l'exécution d'une tâche spécifique, pour une durée minimale suffisante et dans un minimum de volume.
Définition : « minimum en latitude (ressources), profondeur (opération), temps (TTL), contexte (géo/appareil/changement), sensibilité (PII/finances) ».

2) Principes de base de la mise en œuvre

1. Need-to-Know : chaque droit est lié à une purpose spécifique (base).
2. Time-Bound : des droits élevés sont accordés avec TTL (JIT) ; droits permanents - uniquement read/masked.
3. Scope-Bound : accès limité par location/région/marque/projet (tenant/région scoping).
4. Minimisation des données : Le PII est masqué par défaut ; de-mask - uniquement sur une base explicite.
5. Traceability : tout accès → journal + 'purpose '/' ticket _ id'.
6. Revocability : rappel rapide (offboarding ≤ 15 minutes, JIT - auto).

3) Communication avec d'autres contrôles

RBAC : spécifie qui peut en principe (rôle de base).
ABAC : précise dans quelles conditions (géo, appareil/MDM, heure, niveau KYC, risque).
SoD : interdit les combinaisons dangereuses de rôles, nécessite 4-yeux pour les actions sensibles.
Segmentation : périmètre réseau/logique (paiement, KYC, DWH, secrets).
PAM/JIT/break-glass : délivrance sécurisée de privilèges temporaires et leur enregistrement.

4) Classification des ressources et des opérations

Opérations : 'READ', 'MASKED _ READ' (par défaut pour PII), 'WRITE' (scoped), 'APPROVE _' (4-eyes), 'EXPORT' (uniquement via les vitrines, signature/journal).

5) Ingénierie des droits « de la tâche à l'accès »

1. User Story → Purpose : « L'analyste doit construire un rapport de conversion sur l'UE sans PII ».
2. Liste des ressources : la vitrine 'agg _ conversions _ eu'.
3. Opérations : 'READ' (sans PII), interdiction 'EXPORT _ RAW'.
4. Contexte ABAC : heures de travail, corp-VPN/MDM, région = UE.
5. TTL : lecture masquée permanente ; JIT pour démasquer une fois (si nécessaire).
6. Journaux : 'READ '/' EXPORT' avec 'purpose' et 'fields _ scope'.

6) Masquage et démasquage sélectif

Masquage par défaut de l'e-mail/téléphone/IBAN/PAN ;

L'accès non masqué ('pii _ unmask') n'est que la confirmation JIT + 'purpose' + du propriétaire du domaine/Conformité ;

Dans les rapports - agrégats/k-anonymat, l'interdiction des « petits échantillons » (privacy thresholds).

7) Privilèges temporaires : JIT et break-glass

JIT : 15-120 minutes, sous tiquet, auto, audit complet.
Break-glass : accès d'urgence (MFA + deuxième confirmation, enregistrement de session, sécurité post-revue + DPO).
PAM : coffre-fort secret, proxy de session, rotation des privilèges.

8) Processus (SOP)

8. 1 Délivrance d'accès (IDM/ITSM)

1. Demande avec « purpose », ressources, TTL/permanence.
2. Vérification automatique SoD/juridiction/classe de données/contextes.
3. Approbation du propriétaire du domaine ; для Restricted+ — Security/Compliance.
4. Délivrance d'un scoop minimal (souvent masqué-lu).
5. Inscription au registre des droits : date de révision, SLA révocation.

8. 2 Re-certification (quarterly)

Le propriétaire du domaine confirme chaque rôle/groupe ; Droits inutilisés (> 30/60 jours) - auto.

8. 3 Exportation de données

Seulement par des vitrines approuvées ; des listes blanches de formats ; signature/hash ; Journal des décharges ; PII - par défaut est impersonnel.

9) Contrôle des fournisseurs/sous-traitants

Les piles API minimales, les clés individuelles d'intégration per, allow-list IP, les fenêtres temporelles.
DPA/SLA : rôles, journaux d'accès, rétentions, géographie, incidents, sous-processeurs.
Offboard : révocation des clés, confirmation de suppression, acte de fermeture.

10) Audit et suivi

Журналы: `ROLE_ASSIGN/REVOKE`, `JIT_GRANT`, `READ_PII`, `EXPORT_DATA`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR : alertes d'accès sans « purpose », volumes anormaux, sortie hors fenêtre temporelle/géo, violation SoD.
WORM : copie immuable des journaux + chaînes de hachage/signatures.

11) Métriques de maturité (KPI/KRI)

Coverage :% des systèmes critiques sous RBAC/ABAC ≥ 95 %.
Taux de lecture masquée : ≥ 95 % des appels à l'IPI sont masqués.
Taux JIT : ≥ 80 % des augmentations de droits vont comme JIT.
Offboarding TTR : révocation des droits ≤ 15 min.
Exports Signé : 100 % des exportations sont signées et allumées.
SoD Violations: = 0; les tentatives sont auto-bloc/ticket.

Dormant Access Cleanup : ≥ 98 % des droits « suspendus » sont supprimés dans les 24 heures

12) Scénarios types

A) Une seule vue KYC pour le client VIP

Base : masked-read chez le responsable VIP.
Action : Accès JIT 'pii _ unmask' pendant 30 min par tiket, enregistrement des champs/scryn-log, post-revue.

B) L'ingénieur a besoin d'un accès prod-OBD

Seulement via PAM + JIT ≤ 60 min, session enregistrée, interdiction de 'SELECT' par PII, post-revue et CAPA en cas d'irrégularités.

C) Rapport BI avec coupe par pays

Accès aux unités sans PII ; Filtre ABAC : 'region in [EEE]', corp-VPN/MDM, heure 08 : 00-21 : 00.

13) Anti-modèles et comment les éviter

« Superroli « /héritage sans frontières → être divisé en rôles de domaine, inclure ABAC.
Privilèges permanents « au cas où » → JIT + auto.
Copier les données prod dans dev/stage → pseudonyme/synthétique.
L'exportation de PII en dehors des vitrines → des listes blanches, une signature, un journal, un masque.
L'absence de 'purpose' → un bloc dur et un tiquet automatique.

14) RACI (agrandi)

15) Chèques-feuilles

15. 1 Avant d'accorder l'accès

• Spécifié par 'purpose' et TTL
• Vérification de la SoD/juridictions passée
• Masquage par défaut, scoop minimum
• Conditions ABAC : réseau/appareil/heure/région
• Journal et date de révision personnalisés

15. 2 Trimestriels

• Révision des rôles/groupes, droits « suspendus » automatiques
• Contrôle des exportations anormales et break-glass
• Formation validée sur la vie privée/sécurité

16) Feuille de route pour la mise en œuvre

Semaines 1 à 2 : inventaire des données/systèmes, classification, matrice des rôles de base, activation du masquage par défaut.
Semaines 3 à 4 : ABAC (mercredi/géo/MDM/heure), JIT et PAM, listes blanches d'exportation, revues « purpose ».
Mois 2 : automatisation offboarding, SOAR-alerts (sans « purpose »/anomalie), rééducation trimestrielle.
Mois 3 + : extension des attributs (niveau CUS/risque de l'appareil), privacy thresholds, exercices de tabletop réguliers.

TL; DR

Least Privilège = Minimum scoop + masque PII + contexte ABAC + JIT/PAM + audit rigoureux et rappel rapide. Rend l'accès gérable, réduit les risques de fuites/fraudes et accélère les audits.